In den letzten Jahren haben wir alle den Begriff âpersonenbezogene Datenâ gehört. In unterschiedlichem MaĂe haben wir unsere GeschĂ€ftsprozesse an die gesetzlichen Vorgaben in diesem Bereich angepasst.
Die Anzahl der Kontrollen durch die Bundesnetzagentur, die in diesem Jahr VerstöĂe in diesem Bereich festgestellt haben, strebt unaufhörlich der 100%-Marke zu. Die Statistik der Bundesnetzagentur fĂŒr das erste Halbjahr 2019 zeigt 131 VerstöĂe bei 17 Kontrollen.
In unserer tĂ€glichen RealitĂ€t erleben wir âkalteâ Anrufe von verschiedenen Organisationen, mit denen wir wahrscheinlich nie GeschĂ€fte gemacht haben. Von Handys aus im Namen groĂer Unternehmen (Banken, Versicherungen usw.). SMS-Werbung, von der man sich nicht abmelden kann. Ihre Anzahl scheint nur zu steigen.
Den Ausgleich zwischen den Interessen des Unternehmens und der ErfĂŒllung regulatorischer Anforderungen zu finden, stellt eine echte Herausforderung fĂŒr Unternehmen jeder GröĂe dar. Die Liste und Angemessenheit der ergriffenen MaĂnahmen sollen eigenstĂ€ndig bewertet werden. Positiv ist, dass Risiken verringert werden können, indem die hĂ€ufigsten VerstöĂe vermieden werden. Zudem erfordert dies keine zusĂ€tzlichen Kosten oder technisch komplexe MaĂnahmen.
Und so steht an erster Stelle â der VerstoĂ gegen die Bedingungen zur Verarbeitung personenbezogener Daten. Beispiele: unvollstĂ€ndige Liste der Verarbeitungszwecke, der betroffenen Kategorien sowie Dritter, die Zugang zu den Daten erhalten haben.
Die Wahrheit, die akzeptiert werden muss: Es ist unmöglich, eine einheitliche Einwilligung zu erstellen, die fĂŒr alle Lebenslagen gilt â weder fĂŒr Mitarbeiter, noch fĂŒr Kunden oder Nutzer eines Softwareprodukts. So wĂŒnschenswert es auch wĂ€re.
Jedes Mal, wenn eine neue Marketingkampagne gestartet oder das Vertriebssystem geĂ€ndert wird, sollten Sie 5 Minuten investieren und ĂŒberprĂŒfen, dass die Einwilligung Folgendes beinhaltet:
1) Name und Adresse des Unternehmens â des Betreibers,
2) Verarbeitungszwecke,
3) Liste der Daten,
4) Liste der Handlungen mit den Daten und der Methoden ihrer Verarbeitung,
5) grenzĂŒberschreitende Ăbertragung und/oder Ăbertragung an Dritte (unter Angabe spezifischer LĂ€nder und Dritter),
6) Dauer der Zustimmung und
7) Methode des Widerrufs.
Seltene Vorlagen aus dem Internet können sich nicht mit der ErfĂŒllung aller Kriterien rĂŒhmen, sodass man sie nutzen kann, jedoch mit Bedacht und ErgĂ€nzungen.
Haben Auditoren Zugang zu Dokumenten mit personenbezogenen Daten erhalten? â Es ist eine Zustimmung erforderlich, die den Zweck (DurchfĂŒhrung des Audits), den Namen und die Adresse des Auditors angibt. Hat sich das Unternehmen geĂ€ndert, das die Waren des Online-Shops liefert? â Die bei der Registrierung des Kunden auf der Website gegebene Zustimmung ist nicht mehr ausreichend. Die Option mit dem Verweis auf die Partnerliste bietet nicht 100% Sicherheit, ist jedoch besser als nichts.
Besonders erwĂ€hnenswert ist die Verarbeitung personenbezogener Daten von Software-Endnutzern. Wenn man seinen Nutzer so gut wie möglich kennenlernen und ihm relevante Angebote zukommen lassen möchte. Daten werden gesammelt und gespeichert, obwohl fĂŒr die Registrierung eines Softwareprodukts bereits ein LizenzschlĂŒssel ausreicht. Wir können solche Daten mit Zustimmung der betroffenen Person verwenden, jedoch die Bereitstellung der Hauptdienste oder den Verkauf des Produkts nicht an eine verpflichtende Marketingkommunikation knĂŒpfen. Es geht hier nicht nur um personenbezogene Daten, sondern auch um das Werberecht.
Ebenso schwierig sind die anderen Bedingungen. Die Liste der Zwecke darf nicht ĂŒbermĂ€Ăig sein. Prinzip: ein Zweck â eine Zustimmung. Das heiĂt, man kann nicht mit einer Unterschrift die Zustimmung zur Verarbeitung der Daten eines Bewerbers fĂŒr eine Bewerbung und deren Aufnahme in den Personalpool erhalten. Als Kompromiss erscheinen Beispiele, in denen in einem Dokument jeder Zweck durch einen eigenen Absatz hervorgehoben ist und die betroffene Person die Möglichkeit hat, in jedem Fall "einverstanden" / "nicht einverstanden" einzutragen.
Und was sind also personenbezogene Daten? Wie kann man anhand der vagen Definition im Gesetz (âjede Information, die sich auf eine direkt oder indirekt identifizierbare Person beziehtâ) erkennen, ob ein konkreter Fall unter diese Regelung fĂ€llt? Die Roskomnadzor hat bis Ende 2018 versprochen, ein Datenschutz-Matrix zu genehmigen. Der Termin wurde auf Ende 2019 verschoben. Wir warten.
Was erwarten wir noch:
- Gesetzentwurf Nr. 04/13/09-19/00095069. Vereinfachung der Form des Einvernehmens. Legalisierung der elektronischen Form des Einvernehmens (HĂ€kchen, SMS usw.). Derzeit ist die Praxis zwiespĂ€ltig, das Gericht kann die Regeln fĂŒr schriftliches EinverstĂ€ndnis analog anwenden oder das elektronische EinverstĂ€ndnis als ungeeignet anerkennen.
- Gesetzentwurf Nr. 729516-7. Erhöhung der Geldstrafen. FĂŒr wiederholte VerstöĂe gegen die Anforderungen zur Lokalisierung (erster Datensammlung in einer Datenbank auf dem Gebiet der RF) â 18 Millionen Rubel. Ănderung der Berechnungsweise der Geldstrafen. Werden wir die Geldstrafe mit der Anzahl der Subjekte multiplizieren, deren EinverstĂ€ndnis als ungeeignet anerkannt wurde?
Die betroffenen Personen warten darauf, dass die lĂ€stigen Anrufe und Nachrichten, die sich nicht stoppen lassen, aufhören. Ich interessiere mich nicht fĂŒr Kredite; kontextbezogene Werbung stört meine Sicht auf Inhalte, und ich erinnere mich, dass ich eine Versicherung fĂŒr mein Auto abschlieĂe.
Quelle: habr.com
