Polityka prywatności: jak określić odbiorców danych?

GDPR raz po raz daje nowe powody do sporów o prawidłowe wykonywanie ochrony danych. Na przykład nadal nie ma zgody co do tego, jak konkretnie określić odbiorców danych w oświadczeniu o ochronie prywatności.

Dowiedz się tutaj, jakie są opinie i jak najlepiej rozwiązać ten problem w swojej polityce prywatności.

Co GDPR mówi o nazywaniu odbiorców danych?

RODO stanowi w art. 13 I lit. e) i art. 14 I lit. e), że osoba, której dane dotyczą, musi zostać poinformowana o "odbiorcach lub kategoriach odbiorców danych osobowych". spersonalizowany dane" muszą zostać przekazane. Słowo "lub" powoduje tutaj problemy, ponieważ sugeruje, że administrator może wybrać, czy na przykład określić "podmiot przetwarzający zgodnie z art. 28 RODO" czy "firmę xy" jako odbiorcę. W rzeczywistości jednak eksperci ds. ochrony danych nie są zgodni co do tego, czy administrator danych ma tutaj swobodę wyboru. W szczególności wątpliwe jest, w jakim stopniu wymóg przejrzystości zmusza administratora do podania konkretnego oznaczenia.

Jak organy nadzorcze interpretują tu GDPR?

Nawet wśród organów nadzorujących ochronę danych nie ma zgody co do interpretacji tych przepisów.

Heski komisarz ds. ochrony danych i wolności informacji interpretuje te przepisy restrykcyjnie. Odbiorcy danych musieliby być wymienieni jak najdokładniej, zwłaszcza w sektorze zdrowia. Tym samym urząd opowiada się za przejrzystością i odrzuca swobodny wybór administratora danych przy wskazywaniu odbiorców.

Państwowy Komisarz Ochrony Danych w Dolnej Saksonii nie precyzuje interpretacji. Sprawia to wrażenie, że popiera się wolny wybór administratora danych. Takie samo wrażenie sprawia Konferencja Ochrony Danych (DSK), która w krótkim referacie powtarza jedynie brzmienie ustawy.

Jak jeszcze interpretowane są przepisy?

Była grupa robocza art. 29 również zajęła stanowisko. W opracowanej przez siebie wytycznej grupa ta opowiada się za jak największą przejrzystością, ale sprzeciwia się bezwarunkowemu obowiązkowi podawania konkretnych nazw. Zamiast tego grupa zaleca jedynie, aby informacje były formułowane "tak precyzyjnie, jak to możliwe".

Jak w praktyce należy określić odbiorców danych?

Jak Administrator na mocy przepisów o ochronie danych Najbezpieczniejszym podejściem jest przestrzeganie najbardziej rygorystycznego widoku. W tym przypadku oznacza to zawsze wskazywanie konkretnych odbiorców danych. Informacje są wtedy tak przejrzyste, jak to tylko możliwe.

Jeżeli w danym przypadku podmiot odpowiedzialny określa tylko jedną kategorię odbiorców, zaleca się sformułowanie tej specyfikacji w sposób jak najbardziej szczegółowy.

Potrzebujesz pomocy w sformułowaniu polityki prywatności? Skontaktuj się z nami tutaj nasz zespół ekspertów. Z przyjemnością pomożemy!