Что такое уведомление об обработке персональных данных?
Уведомление об обработке персональных данных – информационный текст, разъясняющий реальному лицу, чьи персональные данные обрабатываются, кем, с какой целью, на каком правовом основании, каким способом и кому они могут быть переданы.
Информационный текст не следует рассматривать как стандартную страницу, добавленную на сайт. В какой бы среде ни происходила обработка данных, освещение должно осуществляться в соответствии с этим контекстом. Например, если данные собираются от сотрудника-кандидата во время подачи заявления о приеме на работу, отдельный текст информации о кандидате; Если данные получены от клиента в процессе продажи, текст информации о клиенте; Если на веб-сайте используются файлы cookie, может потребоваться отдельная информация о файлах cookie.
Обязанность информировать является одной из основных обязанностей контролера данных. Это обязательство не зависит от явного согласия заинтересованного лица. Даже в тех случаях, когда получено явное согласие, заинтересованное лицо должно быть проинформировано отдельно.
Когда информационный текст является обязательным?
Как правило, обязанность информирования возникает в каждом случае обработки персональных данных. Персональные данные; Это любая информация, касающаяся идентифицированного или идентифицируемого физического лица. В эту область могут быть включены имя, фамилия, номер телефона, адрес электронной почты, IP-адрес, запись с камеры, резюме, информация о здоровье, информация о местоположении или информация о транзакциях клиента.
Как правило, уточнения необходимо внести при получении персональных данных. Если персональные данные не получены непосредственно от соответствующего лица, необходимо предоставить отдельную информацию в сроки и этапы, указанные в Коммюнике. В положении Турецкого органа по защите персональных данных указано, что если персональные данные не получены от соответствующего лица, уточнение должно быть сделано в разумный срок, если они будут использоваться в целях связи - во время первого общения, а если они подлежат передаче, то уточнение должно быть сделано не позднее, чем при первой передаче.
Какую информацию следует включать в информационный текст?
Информационный текст должен включать как минимум следующую информацию:
- Личность контролера данных и его представителя, если таковой имеется,
- Для каких целей будут обрабатываться персональные данные,
- Кому и для каких целей могут быть переданы обработанные данные,
- Метод сбора персональных данных,
- Юридическая причина обработки данных,
- Права субъекта данных по турецкому Закону № 6698 о защите персональных данных.
Эту информацию не следует замалчивать общими, абстрактными выражениями, которые используются одинаково для каждого вида деятельности. Турецкий орган по защите персональных данных заявляет, что при предоставлении разъяснений не следует использовать расплывчатые и общие выражения, цели должны быть конкретными, ясными и законными, юридическая причина должна быть четко указана, а текст должен быть подготовлен простым/понятным языком.
Являются ли информационный текст и явное согласие одним и тем же?
Информационный текст и явное согласие — это не одно и то же. Разъяснение означает информирование соответствующего лица. Явное согласие — это добровольное одобрение конкретной деятельности по обработке данных.
Не каждое действие по обработке данных должно основываться на явном согласии. Если одно из условий обработки данных, предусмотренных турецким Законом № 6698 о защите персональных данных, соблюдено, данные могут обрабатываться без явного согласия. Однако обязательство информировать сохраняется даже в тех случаях, когда явное согласие не требуется. По этой причине подход «мы получили явное согласие, в дополнительном уточняющем тексте нет необходимости» неверен.
Одна из ошибок, допущенных на практике, заключается в том, что информационный текст и текст явного согласия представлены в одном документе и не разделены. Если необходимо получить явное согласие, необходимо четко указать, на какую деятельность по обработке данных соответствующее лицо дало явное согласие; Освещение должно быть раздельным и информативным.
Достаточно ли публикации информационного текста на сайте?
Публикации общего уведомления об обработке персональных данных на сайте в большинстве случаев может быть недостаточно. Потому что цель, юридическая причина, категория данных и получатель перевода каждого действия по обработке данных могут быть разными.
Например, если юридическая фирма использует на своем веб-сайте контактную форму, форму заявления о карьере, файлы cookie, подписку на электронные бюллетени или систему онлайн-записи, для каждого из них могут выполняться отдельные процессы обработки данных. В этом случае вместо общего уведомления об обработке персональных данных лучше дать пояснение, соответствующее контексту обработки данных.
Освещение должно быть представлено таким образом, чтобы оно было действительно доступно заинтересованному лицу. Добавление трудно читаемой ссылки внизу веб-сайта не в каждом случае может считаться достаточным. Также следует оценить конкретный процесс обработки данных и возможность субъекта данных получить доступ к тексту.
Риск доказательства для Контролера данных
Бремя доказывания того, что обязательство по раскрытию информации было выполнено, лежит на контролере данных. Поэтому важно не только подготовить текст, но и создать механизм записи, который сможет показать, когда, какому человеку и каким способом был предъявлен текст.
В зависимости от конкретного случая могут быть предпочтительны такие приложения, как отметка времени в электронных формах, флажок, запись журнала, версия формы заявления, видимые информационные знаки в зонах камеры, подписанные информационные документы в процессах сотрудников. Однако не каждый метод подходит для любого вида деятельности.
Распространенные ошибки в применении
Распространенными ошибками в уведомлениях об обработке персональных данных являются следующие:
- Используя один и тот же общий текст для каждого действия по обработке данных,
- Неспособность четко указать юридическую причину,
- Оставляя неясным лицо или группы получателей, подлежащих передаче,
- Смешивание освещения с явного согласия,
- Цели обработки описаны в очень общих и расплывчатых выражениях, ориентированных на будущее.
- Представление текста соответствующему лицу после получения данных,
- Не существует механизма доказательства того, что разъяснения были сделаны.
Эти ошибки могут привести к административным санкциям, жалобам, расследованиям безопасности данных и репутационным рискам.
Часто задаваемые вопросы
Должен ли каждый бизнес готовить уведомление об обработке персональных данных?
Как правило, обязанность информирования возникает в отношении физических или юридических лиц, осуществляющих обработку персональных данных. Масштаб бизнеса, характер деятельности по обработке данных и должность контролера данных должны оцениваться в конкретном случае.
Если есть явное согласие, необходим ли поясняющий текст?
Да. Даже при наличии явного согласия обязательство по информированию должно выполняться отдельно.
Будет ли достаточно, если текст разъяснения будет опубликован на сайте?
Во всех случаях этого может быть недостаточно. Разъяснения должны соответствовать деятельности по обработке данных, быть доступными и своевременными.
Следует ли писать юридическую причину в тексте разъяснения?
Да. Необходимо указать правовое основание обработки данных по турецкому Закону № 6698 о защите персональных данных.
Кто докажет, что он выполнил свою обязанность по информированию?
Контроллер данных должен доказать, что обязательство по раскрытию информации было выполнено.