Это перевод официального Руководства по согласию в соответствии с Регламентом 2016/679 wp259rev.01 рабочей группы Европейской Комиссии.
Оригинал опубликован на 23 официальных языках Евросоюза.
Несмотря на то, что русский язык не входит в их число, он очень распространен в Европе.
Если ваш бизнес обслуживает клиентов из стран ЕС, то вы должны соблюдать Общие положения о защите данных (Общий регламент по защите данных), который вступил в силу 25 мая 2018 года.
Согласие на обработку персональных данных - это первое, с чем сталкивается ваш клиент. Несмотря на кажущуюся простоту, «Руководящие принципы» занимают 30 страниц и по-прежнему создают проблемы: утечки персональных данных на веб-сайтах ЕС варьируются от от 12% до 41% , а штрафы регулирующих органов варьируются от тысяч до десятков миллионов евро.
Крупные компании со штатом юристов и инженеров имеют возможность быстро реагировать на изменения бизнес-среды, а вот индивидуальным предпринимателям и малому бизнесу зачастую приходится рассчитывать только на себя, принимая на себя все риски.
Автор постарался передать положения Руководства максимально близко к оригиналу, смягчив особо резкий канцелярский язык.
Перевод выполнен с оригиналов на двух языках и не имеет юридической силы.
Автор не дает никаких гарантий и не несет ответственности за любые претензии, ущерб или упущенную выгоду.
Но он будет рад здравым комментариям и улучшениям формулировок.
1. Введение
В этом руководстве представлен тщательный анализ концепции согласия, содержащейся в Регламенте 2016/679 — Общем регламенте защиты данных (GDPR).Сегодня концепция согласия, используемая в Директиве о защите данных (Директива 95/46/EC) и Директиве о конфиденциальности и электронных коммуникациях (Директива 2002/58/EC), претерпела изменения.
GDPR предоставляет дополнительные разъяснения и уточнения требований для получения и демонстрации юридически обязывающего Согласия.
В этом руководстве основное внимание уделяется этим изменениям и предлагаются практические рекомендации по соблюдению требований GDPR, основанные на согласительном заключении от 15/2011. Ответственность контролеров данных заключается в внедрении инноваций и поиске новых решений в рамках закона, которые способствуют защите персональных данных и интересов субъектов данных.
Согласно статье 6 GDPR, согласие является одним из шести оснований для законной обработки персональных данных.
Приступая к деятельности, связанной с обработкой персональных данных, контролер всегда должен учитывать законное основание предполагаемой обработки.
Как правило, согласие может быть юридическим основанием только в том случае, если субъекту данных предоставляется контроль и свободный выбор принятия или отклонения предложенных условий без неблагоприятных последствий.
При запросе согласия контролер должен оценить, будет ли оно соответствовать всем соответствующим требованиям.
Согласие, полученное в полном соответствии с GDPR, представляет собой инструмент, который дает субъектам данных контроль над тем, будут ли обрабатываться их персональные данные или нет. В противном случае субъект данных не будет иметь эффективного контроля, и такое Согласие будет считаться незаконным основанием для обработки.
Существующие выводы рабочей группы (WP29) по согласию остаются в силе до тех пор, пока они соответствуют новому законодательству, поскольку руководства и рекомендации, кодифицированные GDPR, а также ключевые элементы согласия остаются неизменными в GDPR. Таким образом, в этом документе WP29 расширяет и дополняет предыдущие выводы по конкретным аспектам Согласия, которые относятся к Соглашению в интерпретации Директивы 95/46/EC, а не заменяет их.
Как указано в Мнении 15/2011 об определении термина «Согласие», предложение принять операцию по обработке данных должно подчиняться строгим правилам, поскольку оно касается основных свобод субъектов данных и желания контролера участвовать в этих операциях.
, что без согласия субъекта данных было бы незаконным.
Жизненно важная роль Согласия подчеркивается в статьях 7 и 8 Хартии основных прав Европейского Союза.
Более того, полученное согласие не исключает и никоим образом не изменяет обязанность контролера соблюдать принципы, закрепленные в GDPR, особенно в статье 5, относительно справедливости, необходимости, соразмерности и качества данных.
Даже если обработка персональных данных основана на согласии субъекта данных, это не узаконивает сбор данных, не необходимых для заявленной цели обработки, и, таким образом, становится несправедливым.
В то же время WP29 осведомлен о пересмотре Директивы 2002/58/EC. Концепция согласия в проекте Директивы остается в соответствии с GDPR. Организациям, вероятно, потребуется Согласие в соответствии с ним для большинства маркетинговых коммуникаций, звонков и методов онлайн-отслеживания, включая использование файлов cookie, приложений или другого программного обеспечения.
Что касается Согласия, WP29 уже предоставила европейскому законодателю свои предложения и инструкции.
Что касается текущей версии Директивы 2002/58/EC, WP29 отмечает, что ссылки на отмененную Директиву 95/46/EC следует интерпретировать как ссылки на GDPR. Это также относится к ссылкам на Согласие в Директиве 2002/58/EC, поскольку она прекращает свое действие 25 мая 2018 года.
Согласно статье 95 GDPR, обязательства в контексте предоставления общедоступных электронных услуг в сетях связи общего пользования не являются обязательными.
считаются «дополнительными», а скорее предзаконными условиями.
Таким образом, требования по получению согласия GDPR также применяются в ситуациях, предусмотренных Директивой 2002/58/EC.
2. Согласие в статье 4(11) GDPR
Статья 4(11) GDPR определяет согласие следующим образом: «добровольное, конкретное, информированное и недвусмысленное волеизъявление, посредством которого субъект данных путем заявления или явного позитивного действия дает согласие на обработку своих персональных данных».Понимание основы Согласия остается таким же, как и в Директиве 95/46/EC, и Согласие является одним из правовых оснований, на которых должна основываться обработка персональных данных в соответствии со статьей 6 GDPR. В дополнение к измененному определению в статье 4(11) GDPR содержит дополнительные указания в статье 7 и пунктах 32, 33, 42 и 43 о том, как контролер должен действовать, чтобы обеспечить соблюдение элементов согласия.
Наконец, включение конкретных правил отзыва Согласия подтверждает, что Согласие должно быть обратимым и контролируемым решением со стороны субъекта данных.
3. Элементы юридического согласия
Статья 4(11) GDPR определяет согласие субъекта как:- добровольный,
- специфический,
- информированный и
- недвусмысленное волеизъявление, в котором субъект данных посредством заявления или явного позитивного действия дает согласие на обработку своих персональных данных.
3.1. Добровольный
Этот элемент подразумевает реальный выбор и контроль субъектов данных.GDPR предусматривает, что если субъект данных не имеет реального выбора, чувствует себя вынужденным дать согласие или страдает от отказа от согласия, то такое Согласие считается незаконным.
Если Согласие включено в качестве постоянной части условий обслуживания, оно не считается предоставленным добровольно.
Соответственно, Согласие не считается добровольным, если субъект данных не может отказаться или отозвать его без неблагоприятных последствий для себя.
Концепция дисбаланса между контролером и субъектом данных также учитывается в GDPR. При оценке того, было ли согласие дано добровольно, следует также учитывать конкретный контекст, в котором оно относится к соглашениям об оказании услуг, как описано в статье 7(4).
Статья 7(4) сформулирована неточно словами «в частности», что означает, что может существовать ряд ситуаций, подпадающих под действие этого положения.
В целом, любой элемент давления или влияния на субъекта данных (который может проявляться по-разному), который не позволяет субъекту данных осуществлять свою свободную волю, делает Согласие незаконным.
Пример 1 Мобильное приложение для редактирования фотографий просит своих пользователей включить геолокацию GPS, чтобы использовать его услуги.Приложение также сообщает своим пользователям, что будет использовать собранные данные для поведенческой рекламы.
Ни геолокация, ни поведенческая онлайн-реклама не нужны для редактирования фотографий и выходят за рамки основного сервиса.
Поскольку пользователи не могут использовать приложение без Согласия, оно не считается предоставленным добровольно.
3.1.1. Дисбаланс
В пункте 43 ясно говорится, что государственные органы вряд ли смогут полагаться на Согласие, поскольку, когда контролером данных является правительство, часто существует явный дисбаланс в отношениях между ним и субъектом данных.Более того, в большинстве случаев очевидно, что у субъекта данных нет реальной альтернативы принятию условий такого контролера.
WP29 полагает, что существуют иные правовые основания, в принципе более подходящие для деятельности органов государственной власти.
Однако использование Согласия в качестве законного основания для обработки данных государственными органами не является исключением в GDPR. Следующие примеры показывают, что Согласие может быть уместным в определенных обстоятельствах.
Пример 2 Муниципалитет планирует провести ремонтные работы на дороге.Дисбалансы также проявляются в контексте занятости.Поскольку дорожные работы могут нарушить движение транспорта на длительный период времени, муниципалитет предлагает жителям возможность подписаться на рассылку новостей по электронной почте, чтобы получать обновления о ходе работ и ожидаемых заторах.
Муниципалитет разъясняет, что подписка не является обязательной, и запрашивает согласие на исключительное использование адресов электронной почты для этой цели.
Резиденты, не давшие Согласие, не потеряют доступ к другим сервисам и не будут ущемлены в своих правах, а значит, имеют возможность добровольно решать, давать или нет Согласие на такое использование их данных.
Вся информация о дорожных работах также будет доступна на сайте муниципалитета.
Пример 3 Человеку, владеющему землей, необходимо разрешение как от своего муниципалитета, так и от правительства провинции, которому подчиняется муниципалитет. Оба правительственных учреждения требуют одну и ту же информацию для выдачи разрешений, но не имеют доступа к базам данных друг друга.
Таким образом, обе стороны запрашивают одну и ту же информацию, а землевладелец отправляет свои данные в оба органа.
Руководство муниципалитета и провинции запрашивает согласие на объединение дел во избежание дублирования процедур и переписки.
Оба правительственных учреждения гарантируют, что согласие является необязательным и что запросы на согласие по-прежнему обрабатываются отдельно, если человек решает не давать согласие на объединение данных.
Помещик может добровольно дать согласие властям на объединение дел или отказаться.
Пример 4 Университет запрашивает у студентов согласие на использование их фотографий в студенческом журнале.
Согласие считается добровольным, если учащимся не будет отказано в образовании или других услугах без ущерба, если они решат не предоставлять их.
Учитывая отношения между работодателем и работником, маловероятно, что субъект данных сможет отказать своему работодателю в согласии на обработку персональных данных, не опасаясь и не рискуя негативными последствиями в результате отказа.
Маловероятно, что сотрудник сможет добровольно согласиться, например, активировать системы мониторинга, такие как камеры наблюдения на рабочем месте, или заполнить формы оценки, не испытывая при этом какого-либо давления.
Таким образом, WP29 считает проблематичным для работодателей обработку персональных данных работников на основании Согласия, поскольку вряд ли их можно считать предоставленными добровольно.
Для большинства видов обработки промышленных данных согласие сотрудника (статья 6(1)(a) GDPR) не может быть правовой основой из-за характера отношений.
Однако это не означает, что работодатели не могут полагаться на Согласие как на законное основание для обработки персональных данных.
Могут возникнуть ситуации, когда работодатель может продемонстрировать, что Согласие на самом деле дано добровольно.
Учитывая дисбаланс между работодателем и его работниками, работники могут давать Согласие добровольно только в тех случаях, когда это не будет иметь каких-либо негативных последствий, независимо от того, дают они Согласие или нет.
Пример 5 Съемочная группа будет снимать в определенной части офиса.Дисбаланс не ограничивается государственными учреждениями и работодателями; оно может возникнуть и в других ситуациях.Работодатель просит всех сотрудников, работающих в данной сфере, дать согласие на съемку, так как они могут появиться на заднем плане видеоролика.
Тех, кто не желает снимать, никак не наказывают, а вместо этого предоставляют эквивалентную работу в другой части офиса на время съемок.
В WP29 подчеркивается, что Согласие действительно только в том случае, если субъект данных может осуществить подлинный выбор без риска обмана, запугивания, принуждения или негативных последствий.
Согласие не будет добровольным, если присутствует какой-либо элемент принуждения, давления или невозможности проявить свободу воли.
3.1.2. Необязательный
Для оценки того, является ли согласие добровольным, важную роль играет статья 7(4) GDPR. Там указано, в частности, что «привязка» Согласия к принятию условий оказания услуг или «привязка» оказания услуги к запросу Согласия на обработку персональных данных, не необходимых для исполнения договора, является крайне нежелательно.Согласие, данное в такой ситуации, не считается добровольным (пункт 43).
Статья 7(4) направлена на то, чтобы цель обработки персональных данных не была замаскирована и не связана с договором, для которого данные не необходимы.
GDPR гласит, что обработка персональных данных, для которой запрашивается Согласие, не может прямо или косвенно стать встречным иском.
Два основания законной обработки персональных данных — согласие и оказание услуги — не могут быть объединены и размыты.
Принуждение к согласию на использование персональных данных сверх необходимого ограничивает выбор субъекта данных и препятствует осуществлению свободы воли.
Поскольку закон направлен на защиту основных прав, контроль над данными имеет важное значение.
Утверждается, что согласие на использование персональных данных сверх необходимого не может быть обязательным предположением в обмен на выполнение договора или оказание услуг.
Всякий раз, когда Согласие связано с выполнением договора, субъект данных, который не желает предоставлять персональные данные, рискует получить отказ в обслуживании.
Чтобы оценить, существует ли «привязка» или «обязательность», важно определить объем договора и данные, необходимые для его исполнения.
Согласно Заключению 06/2014 WP29, термин «необходимый для исполнения договора» следует толковать узко.
Обработка должна быть необходима для выполнения договора с каждым отдельным субъектом данных.
Например, в контексте интернет-магазина это может быть адрес доставки товара или данные кредитной карты.
В контексте трудоустройства это может включать информацию о зарплате и данные банковского счета.
Между данными и целью, для которой они используются в договоре, должна существовать прямая и объективная связь.
Если контролер желает обрабатывать персональные данные, которые действительно необходимы для выполнения договора, согласие не является обязательным основанием.
Статья 7(4) применяется только в тех случаях, когда запрошенные данные не необходимы для выполнения договора и исполнение обусловливается получением этих данных посредством Согласия.
И наоборот, если данные необходимы для исполнения договора, статья 7(4) не применяется.
Пример 6 Банк запрашивает у клиентов согласие разрешить третьим лицам использовать их данные для прямого маркетинга.Акцент на факультативности как презумпции отсутствия свободы согласия показывает, что условия ее возникновения должны быть тщательно проверены.Данная деятельность не является необходимой для исполнения договора и оказания обычных услуг.
Если отказ клиента от предоставления Согласия приводит к отказу от предоставления банковских услуг, закрытию счета или увеличению комиссии, то такое Согласие не считается добровольным.
Термин «проявлять максимальную осторожность» в статье 7(4) означает, что контролер должен проявлять особую осторожность, когда в договоре содержится запрос на согласие на обработку персональных данных.
Поскольку формулировка статьи 7(4) не является абсолютной, могут быть случаи, когда факультативность не делает Согласие незаконным.
Однако слово «подозреваемый» в пункте 43 указывает на то, что такие случаи будут крайне редки.
В любом случае бремя доказывания, предусмотренное статьей 7(4), лежит на контролере.
Это правило отражает общий принцип подотчетности, который применяется во всем GDPR. Однако если будет применена статья 7(4), контролеру будет сложнее доказать, что субъект данных дал свое согласие добровольно.
Контролер может утверждать, что организация предлагает субъектам данных реальный выбор, если они могут выбирать между услугой, требующей согласия на использование персональных данных для дополнительных целей, и идентичной услугой, не требующей такого согласия.
Если исполнение договора возможно без получения Согласия на использование дополнительных данных, это не считается необязательным.
В этом случае обе услуги должны быть практически идентичными.
WP29 считает, что Согласие не считается добровольным, если контролер утверждает, что существует выбор между услугой, требующей согласия на использование персональных данных для дополнительных целей, и идентичной услугой от другого контролера, не требующей такого согласия.
В таком случае свобода выбора будет зависеть от того, считает ли субъект данных услуги по существу идентичными.
Кроме того, контролеру будет необходимо следить за рынком, чтобы обеспечить дальнейшее действие такого Согласия, поскольку конкурент может позже изменить услугу.
Следовательно, такой аргумент означает, что Согласие не соответствует требованиям GDPR.
3.1.3. Детализация
Услуга может включать в себя несколько операций обработки данных для более чем одной цели.В таких случаях субъекты данных должны иметь возможность индивидуально выбирать, с какой целью они предоставляют Согласие.
В соответствии с GDPR для начала предоставления услуги может быть запрошено несколько Согласий.
В пункте 43 разъясняется, что Согласие не считается добровольным, если процесс получения не позволяет субъектам данных давать Согласие на определенные транзакции.
Статья 32 гласит: «Согласие должно распространяться на всю обработку персональных данных, осуществляемую для достижения той же цели.
Если обработка персональных данных преследует несколько целей, необходимо получить согласие для каждой из них».
Если контролер объединяет несколько целей обработки и не пытается получить отдельное Согласие для каждой из них, это означает отсутствие свободы.
Спецификация тесно связана с необходимостью указания Согласия, которое описано в разделе 3.2. ниже.
Если обработка данных осуществляется для нескольких целей, условием действительного Согласия является разделение этих целей и получение Согласия для каждой.
Пример 7 С помощью одного запроса на согласие розничный торговец запрашивает у своих клиентов разрешение на использование данных для отправки им маркетинговых электронных писем, а также на обмен данными с другими партнерами группы.Такое Согласие не детализировано, поскольку для этих двух целей не существует отдельных вариантов, и поэтому оно не считается законным.
Вы должны получить согласие на отправку данных партнерам группы.
Такое Согласие будет считаться действительным для каждого партнера (см.
также раздел 3.3.1), указанного в Согласии, в той степени, в которой оно соответствует заявленной цели.
3.1.4. Повреждать
Контроллер обязан продемонстрировать субъекту данных, что он может отозвать Согласие без ущерба (пункт 42).Например, контролеру необходимо продемонстрировать, что отзыв Согласия не влечет за собой расходы для субъекта данных и не создает для него явных неудобств.
Другие примеры вреда включают обман, запугивание, принуждение или серьезные неблагоприятные последствия, если субъект данных не дает согласия.
Контролер обязан продемонстрировать, что субъект данных имеет свободный выбор в отношении того, давать ли Согласие, и что он может отозвать его без ущерба.
Если контролер покажет, что услуга включает возможность отозвать Согласие без негативных последствий, таких как снижение качества, это может служить доказательством добровольного Согласия.
GDPR не включает все стимулы, но бремя доказывания того, что данное согласие является добровольным, во всех случаях лежит на контролере.
Пример 8 Когда вы загружаете мобильное приложение для образа жизни, оно запрашивает доступ к акселерометру телефона.Акселерометр не требуется для работы приложения, но он полезен для диспетчеров, которые хотят знать больше о движениях и действиях своих пользователей.
Когда пользователь отзывает Согласие, он узнает, что приложение теперь работает только в ограниченном режиме.
Это пример ущерба, упомянутого в пункте 42, означающего, что Согласие не было получено законным образом (и, следовательно, контролер обязан удалить все персональные данные о перемещениях пользователя, собранные таким образом).
Пример 9 Субъект данных подписывается на информационный бюллетень дисконтного ритейлера модной одежды.
Ритейлер запрашивает Согласие на сбор дополнительных данных о предпочтениях для адаптации предложений на основе истории покупок или анкеты, которую покупатель добровольно заполняет. Когда субъект данных отзывает свое Согласие, он снова получает неперсонализированные скидки.
Это не является ущербом, поскольку был потерян только действительный стимул.
Пример 10 Модный журнал предлагает читателям возможность приобрести новую косметику до ее официального релиза.
Эти продукты скоро поступят в продажу, но читателям предлагается эксклюзивный предварительный просмотр этих продуктов.
Чтобы воспользоваться этим преимуществом, они должны указать свой почтовый адрес и согласиться получать рассылки.
Для доставки требуется почтовый адрес, а список рассылки используется для отправки коммерческих предложений на такие товары, как косметика или футболки, круглый год. Компания поясняет, что данные из списка рассылки будут использоваться только для рассылки продуктов и бумажной рекламы самим журналом и не будут переданы третьим лицам.
Если читатель не желает раскрывать свой адрес для этой цели, никакого ущерба не возникнет, поскольку продукты в любом случае будут ему доступны.
3.2. Специфический
Статья 6(1)(a) подтверждает, что Согласие должно быть дано в отношении «одной или нескольких конкретных» целей и что субъект данных имеет выбор в отношении каждой из них.Требование о том, чтобы Согласие было конкретным, призвано обеспечить пользовательский контроль и прозрачность для субъекта данных.
GDPR не изменил это требование, и оно по-прежнему тесно связано с требованием информированного согласия.
При этом его необходимо интерпретировать в соответствии с требованием детализации для получения добровольного Согласия.
В целом, если быть более конкретным, контролер должен:
- указать цель как защитную меру от ее расширения,
- подробно описать запрос на согласие и,
- четко отделять информацию, связанную с получением Согласия, от любой другой информации.
Необходимость конкретного согласия в сочетании с концепцией ограничения цели в статье 5(1)(b) служит защитой от постепенного расширения цели сбора данных после того, как субъект дал Согласие.
Это явление, также известное как функциональная ползучесть, представляет риск для субъектов данных, поскольку может привести к неожиданному использованию персональных данных контролером или третьими лицами, а также к потере контроля.
Если контролер ссылается на статью 6(1)(a), субъекты данных всегда должны давать Согласие на конкретную цель обработки.
В соответствии с концепцией ограничения цели, статьей 5(1)(b) и параграфом 32, Согласие может распространяться на разные сделки, если они служат одной и той же цели.
Конечно, конкретное Согласие можно получить только в том случае, если субъекты данных точно проинформированы о предполагаемых целях обработки.
Несмотря на возможность объединения целей, Согласие должно быть конкретным для каждой.
Субъекты данных должны согласиться с пониманием того, что они контролируют ситуацию, и их данные будут обрабатываться только для заявленных целей.
Если контролер законно обрабатывает данные для одной цели и желает обработать их также для другой, контролер также должен запросить дополнительное согласие для этой цели, если только не существует другого законного основания, которое лучше отражает ситуацию.
Пример 11 Сеть кабельного телевидения собирает личную информацию абонентов с их согласия, чтобы делать персонализированные предложения новых фильмов с учетом их привычек.Дополнение к 2. Механизмы согласия должны быть не только детализированы, чтобы отвечать требованию «добровольности», но также отвечать элементу «конкретности».Через некоторое время телевизионная сеть решает, что она хотела бы разрешить третьим лицам отправлять (или отображать) таргетированную рекламу, основанную на привычках абонента.
Для этой новой цели необходимо новое Согласие.
Это означает, что контролер, который запрашивает Согласие для различных целей, должен предоставить выбор для каждой из них, чтобы позволить пользователям давать Согласие для конкретной цели обработки.
Дополнение к 3. Наконец, контролеры обязаны предоставлять конкретную информацию в каждом отдельном запросе на согласие для каждой цели, чтобы субъекты данных были осведомлены о влиянии различных вариантов.
Это дает субъектам данных возможность дать конкретное Согласие.
Этот пункт связан с обязанностью предоставлять четкую информацию в пункте 3.3. ниже.
3.3. Информированный
GDPR вводит требование о предоставлении согласия.Согласно статье 5 GDPR, требование прозрачности является одним из основополагающих принципов, тесно связанных с принципами справедливости и законности.
Предоставление информации субъектам данных до получения их Согласия важно для того, чтобы они могли принять обоснованное решение, понять, на что именно они соглашаются, и, например, понять право на отзыв своего Согласия.
Если контролер не предоставляет информацию, субъект данных не получает эффективного контроля, и такое Согласие считается незаконным основанием для обработки.
Последствием несоблюдения требования об информированном согласии является то, что это незаконно, и контролер может нарушить статью 6 GDPR.
3.3.1. Минимальные требования к контенту для получения «информированного» согласия
Чтобы согласие было информированным, необходимо предоставить субъекту данных несколько элементов, которые имеют решающее значение для его решения.Поэтому WP29 придерживается мнения, что для получения действительного Согласия необходима как минимум следующая информация:
- имя контроллера,
- цели обработки, для которых предназначены персональные данные,
- типы данных, которые будут собираться и использоваться,
- наличие права на отзыв Согласия,
- информацию об автоматической обработке данных в соответствии со статьей 22(2)(c), где это применимо, и
- информация о возможных рисках передачи данных из-за отсутствия адекватного решения и мер защиты, описанных в статье 46.
Обработчики данных не могут быть идентифицированы, однако для соблюдения статей 13 и 14 GDPR контролеры обязаны предоставить полный список получателей данных или категорий получателей данных, включая обработчиков.
Наконец, в WP29 отмечается, что в зависимости от обстоятельств субъекту данных может потребоваться дополнительная информация, чтобы обеспечить четкое понимание операций по обработке данных.
3.3.2. Как предоставить информацию
GDPR не описывает форму или способ предоставления информации для удовлетворения требования информированного согласия.Это означает, что оно может быть представлено различными способами, например, в виде письменных или устных заявлений, аудио- или видеосообщений.
Однако в GDPR есть несколько требований к информированному согласию, в основном в статье 7(2) и параграфе 32. Это повышает ясность и доступность.
При запросе согласия контролер всегда должен использовать ясный и простой язык.
Это означает, что сообщение должно быть легко понято обычному человеку, а не только юристу.
Контролёры не должны использовать длинные и трудные для понимания политики конфиденциальности или юридический жаргон.
Согласие должно быть четким, отличаться от других вопросов и предоставляться в понятной и легкодоступной форме.
Это требование означает, что информация, необходимая для принятия обоснованного решения о согласии или несогласии, не может быть скрыта в общих условиях обслуживания.
Контролер обязан гарантировать, что Согласие получено на основе информации, которая позволяет субъекту данных легко распознать, кто является контролером и на что именно он соглашается.
Контролер должен четко описать цель обработки, для которой запрашивается Согласие.
Другие конкретные рекомендации по доступности включены в условия прозрачности WP29. Если Согласие предоставляется в электронном виде, запрос на него должен быть ясным и кратким.
Для двусторонних обязательств больше подходит полная и подробная информация — точная и полная с одной стороны, и понятная с другой.
Контролер обязан оценить целевую аудиторию, передающую персональные данные.
Например, если речь идет о несовершеннолетних, контролер должен убедиться, что информация понятна и им.
После такой оценки контролер обязан определить, какую информацию и каким образом следует предоставлять субъектам данных.
Статья 7(2) касается заранее подготовленных письменных заявлений о согласии, которые также охватывают другие вопросы.
Когда Согласие запрашивается в рамках (бумажного) контракта, запрос должен быть четко отделен от других вопросов.
Если в бумажном договоре присутствуют аспекты, не связанные с Согласием, то этот вопрос следует решить так, чтобы он был четко выделен или предложен в виде отдельного документа.
Аналогичным образом, если Согласие запрашивается в электронном виде, запрос должен быть отдельным и не может быть просто параграфом условий обслуживания в соответствии с параграфом 32. При размещении на небольших экранах или в ограниченном пространстве может оказаться целесообразным комплексный способ предоставления информации.
во избежание чрезмерного взаимодействия с пользователем или нарушения конструкции продукта.
Контролер, ссылающийся на Согласие, также обязан Теги: #ИТ-стандарты #GDPR #согласие
-
Более 60 Инструментов Мониторинга Windows
19 Oct, 24 -
Две Идеи Для Подкаста
19 Oct, 24 -
Google Now На Всех Версиях Android
19 Oct, 24
