Persönliche Daten in der RF: Wer sind wir alle? Wohin gehen wir?

In den letzten Jahren haben wir alle den Begriff „personenbezogene Daten“ gehört. In größerem oder geringerem Maße haben Unternehmen ihre Geschäftsprozesse an die gesetzlichen Anforderungen in diesem Bereich angepasst.

Die Anzahl der Überprüfungen durch den Roskomnadzor, die in diesem Jahr Verstöße in diesem Bereich festgestellt haben, strebt hartnäckig 100 % an. Die Statistik der Roskomnadzor-Behörde für den Zentralen Föderalen Bezirk für das 1. Halbjahr 2019 zeigt 131 Verstöße bei 17 Überprüfungen.

Unsere alltägliche Realität sind „kalte“ Anrufe von verschiedenen Organisationen, mit denen man möglicherweise nie Geschäfte gemacht hat. Von Mobiltelefonen im Namen großer Unternehmen (Banken, Versicherungsgesellschaften usw.). SMS-Werbung, von der man sich nicht abmelden kann. Ihre Zahl scheint nur zu wachsen.

Den Ausgleich zwischen den Interessen der Unternehmen und der Erfüllung der Anforderungen des Regulators zu finden – das ist eine echte Herausforderung für Unternehmen jeder Größe. Der Gesetzgeber schlägt vor, die Liste und die Angemessenheit der ergriffenen Maßnahmen selbst zu bewerten. Ein positiver Aspekt ist, dass die Risiken durch die Vermeidung der häufigsten Verstöße gesenkt werden können. Zumal dies keine zusätzlichen Kosten und keine technisch aufwändigen Maßnahmen erfordert.

Und so, Platz 1 in der Liste – der Verstoß gegen die Bedingungen der Verarbeitung personenbezogener Daten. Beispiele: unvollständige Auflistung der Verarbeitungsziele, Kategorien der Betroffenen sowie Dritte, denen Zugang zu den Daten gewährt wurde.

Eine Wahrheit, die man akzeptieren muss: Man kann kein einheitliches Einverständnis für alle Lebenslagen schaffen – weder für Mitarbeiter noch für Kunden oder Nutzer von Softwareprodukten. Auch wenn man es sich wünscht.

Jedes Mal, wenn man eine neue Marketingkampagne startet oder das Verkaufssystem ändert, sollte man 5 Minuten investieren, um zu überprüfen, dass das Einverständnis Folgendes enthält:

1) den Namen und die Adresse des Unternehmens – des Betreibers,
2) die Zwecke der Verarbeitung,
3) die Datenkategorien,
4) die Liste der Datenverarbeitungen und -methoden,
5) die grenzüberschreitende Übertragung und/oder die Übertragung an Dritte (unter Angabe spezifischer Länder und Dritter),
6) die Dauer der Gültigkeit des Einvernehmens und
7) die Möglichkeit der Widerrufung.

Seltene Vorlagen aus dem Internet können sich mit der Erfüllung aller Kriterien rühmen, sodass man sie zwar übernehmen kann, aber mit Bedacht und Ergänzungen.

Haben die Prüfer Zugang zu Dokumenten mit personenbezogenen Daten erhalten? – Es ist eine Zustimmung erforderlich, die den Zweck (Durchführung der Prüfung), den Namen und die Adressen des Prüfers angibt. Hat sich das Unternehmen, das die Waren des Internetshops liefert, geändert? – Die Zustimmung, die bei der Registrierung des Kunden auf der Website eingeholt wurde, ist nicht mehr ausreichend. Ein Verweis auf die Liste der Partner sorgt nicht für 100%ige Sicherheit, aber das ist zumindest besser als nichts.

Besondere Beachtung verdient die Verarbeitung von Daten der Endnutzer von Software. Wenn man seinen Nutzer so gut wie möglich kennenlernen und ihm aktuelle Angebote zuschicken möchte. Wenn Daten gesammelt und gespeichert werden, obwohl für die Registrierung eines Softwareprodukts nur ein Lizenzschlüssel erforderlich ist. Wir dürfen solche Daten mit Zustimmung des Betroffenen verwenden, aber die Möglichkeit zur Erbringung der Hauptdienstleistung / zum Verkauf des Produkts nicht an den obligatorischen Marketingversand binden. Das betrifft nicht nur personenbezogene Daten, sondern auch die Gesetzgebung zur Werbung.

Nicht weniger schwierig zu erfüllen sind andere Bedingungen. Die Liste der Zwecke darf nicht übertrieben sein. Das Prinzip lautet: ein Zweck – eine Zustimmung. Das heißt, die Zustimmung zur Verarbeitung von Daten eines Bewerberlebenslaufs und die Aufnahme in den Personalpool mit einer Unterschrift in einem Schritt zu erreichen, wird nicht möglich sein. Als Kompromiss erscheinen Beispiele, bei denen in einem Dokument jeder Zweck in einem eigenen Absatz hervorgehoben wird und dem Betroffenen die Möglichkeit gegeben wird, in jedem Fall 'einverstanden' / 'nicht einverstanden' einzutragen.

Und schließlich, was sind personenbezogene Daten? Wie lässt sich aus der vagen Definition im Gesetz ('jede Information, die sich auf eine direkt oder indirekt identifizierte oder identifizierbare natürliche Person bezieht') herauslesen, ob ein spezifischer Fall unter dessen Geltungsbereich fällt? Die Roskomnadsor hatte bis Ende 2018 versprochen, eine Matrix für personenbezogene Daten zu genehmigen. Der Termin wurde auf Ende 2019 verschoben. Wir warten.

Was erwarten wir noch:

• Gesetzentwurf Nr. 04/13/09-19/00095069. Vereinfachung der Form der Zustimmung. Legalisierung der elektronischen Zustimmung (Häkchen, SMS usw.). Derzeit ist die Praxis zweigleisig, das Gericht kann sowohl die Regeln für die schriftliche Zustimmung analog anwenden als auch die elektronische Zustimmung als unangemessen erachten.
• Gesetzentwurf Nr. 729516-7. Erhöhung der Bußgelder. Bei wiederholtem Verstoß gegen die Anforderungen an die Lokalisierung (Ersterfassung von Daten in einer Datenbank auf dem Territorium der RF) – 18 Millionen Rubel. Änderung der Bußgeldberechnung. Werden wir die Bußgeldsumme mit der Anzahl der Subjekte multiplizieren, deren Zustimmung als unrechtmäßig betrachtet wird?

Die Subjekte personenbezogener Daten warten darauf, dass die lästigen Anrufe und die Werbung aufhören, die man nicht stoppen kann. Mich interessiert kein Kredit, kontextbezogene Werbung stört das Betrachten von Inhalten und ich erinnere mich, dass die Versicherung für mein Auto heruntergeladen wird.

Quelle: habr.com