Paul Lambert, eBSI-Fachberater, führt uns durch einige wichtige Punkte, um sicherzustellen, dass die Datenschutzrichtlinie unserer Website den gesetzlichen Vorschriften entspricht.
Exporteure weltweit sollten mit künftigen Datenschutzgesetzen in ihren Ländern rechnen, da immer mehr Regierungen gegen die unsachgemäße Verwendung personenbezogener Daten von Internetnutzern vorgehen.
In diesem Artikel werde ich mich auf die irische Perspektive und Gesetzgebung konzentrieren, aber viele dieser Grundsätze sind auch für andere Länder relevant, da die irische Gesetzgebung das widerspiegelt, was im Bereich des Datenschutzes als Best Practice gilt.
Erstens: Was ist Datenschutz?
Das Datenschutzregime dient dem Schutz der Rechte von Einzelpersonen, wenn ihre personenbezogenen Daten von Organisationen erhoben und verarbeitet werden. Alle Organisationen müssen, unabhängig davon, ob sie selbst über personenbezogene Daten verfügen oder Daten im Auftrag Dritter verarbeiten, die Verpflichtungen einhalten, die durch den Data Protection Act 1988 in der jüngst geänderten und erweiterten Fassung durch den Data Protection (Amendment) Act 2003 (zusammenfassend als „DPA“ bezeichnet) auferlegt werden.
Alle Organisationen müssen sich ihrer Verpflichtungen und Verantwortlichkeiten im Rahmen des neuen Datenschutzregimes bewusst sein und diese einhalten. Um diesen Punkt zu unterstreichen, beabsichtigt der Data Protection Commissioner, Compliance-Audits in verschiedenen Wirtschaftsbereichen durchzuführen. Er hat kürzlich auch damit begonnen, rechtliche Schritte gegen nicht konforme Organisationen einzuleiten, und wird dies auch weiterhin tun.
Die Richtlinien
Die Richtlinien unterscheiden zwischen Datenschutzerklärungen auf Websites und Datenschutzrichtlinien und stellen klar, dass eine Datenschutzerklärung keine Datenschutzrichtlinie ist. Eine Datenschutzrichtlinie dokumentiert die Einhaltung der Datenschutzgrundsätze durch die gesamte Organisation. Sie gilt für alle personenbezogenen Daten, die von der Organisation verarbeitet werden, einschließlich Kundendaten, Daten Dritter und Mitarbeiterdaten. Eine Datenschutzrichtlinie kann ein sehr komplexes Dokument sein, das häufig eine spezialisierte Rechtsberatung erfordert.
Organisationen müssen außerdem die 8 Datenschutzgrundsätze einhalten, nämlich:-
* Daten fair erheben und verarbeiten;
* Sie nur für einen oder mehrere festgelegte, eindeutige und rechtmäßige Zwecke aufbewahren;
* Sie nur auf eine mit diesen Zwecken vereinbare Weise verwenden und offenlegen;
* Sie sicher aufbewahren;
* Sie genau, vollständig und auf dem neuesten Stand halten;
* Sicherstellen, dass sie angemessen, relevant und nicht übermäßig sind;
* Sie nicht länger als für den jeweiligen Zweck erforderlich aufbewahren;
* Individuellen Auskunftsersuchen nachkommen.
Eine Datenschutzrichtlinie ist ein internes Organisationsdokument. Daher kann sie interne Verfahren detaillieren, individuelle/abteilungsspezifische Verantwortlichkeiten zuweisen usw.
Datenschutzerklärungen hingegen sind öffentlich zugängliche Dokumente, die erklären, wie die Organisation im Hinblick auf die auf ihrer Website verarbeiteten Daten das Datenschutzregime einhält. Sie sind daher ein viel stärker fokussiertes Dokument.
Websites benötigen Datenschutzerklärungen
Dies ist eine gesetzliche Anforderung gemäß sowohl dem DPA als auch den European Communities (Electronic Communications Networks and Services)(Data Protection and Privacy) Regulations 2003 (SI No. 535 of 2003) (die „Verordnung“). Abschnitt 2(l)(a) DPA schreibt vor, dass „Daten oder, je nach Fall, die Informationen, die die Daten bilden, erhoben worden sein müssen, und die Daten müssen fair verarbeitet werden.“ Dieses Prinzip der fairen Erhebung erfordert im Allgemeinen, dass eine Person, deren Daten verarbeitet werden, zumindest über Folgendes informiert ist:-
* Die Identität der Person, die die Daten verarbeitet;
* Der Zweck oder die Zwecke, für die die Daten verarbeitet werden;
* Jeder Dritte, an den die Daten offengelegt werden können;
* Die Existenz eines Auskunftsrechts und eines Berichtigungsrechts.
Verordnung 5 schreibt bestimmte Verpflichtungen in Bezug auf die Internetaktivität vor:-
„(1) Keine Person darf ein elektronisches Kommunikationsnetzwerk verwenden, um Informationen zu speichern oder auf Informationen zuzugreifen, die in der Endausrüstung eines Abonnenten oder Benutzers gespeichert sind, es sei denn,
(a) dem betreffenden Abonnenten oder Benutzer werden gemäß dem DPA klare und umfassende Informationen bereitgestellt, die deutlich sichtbar und leicht zugänglich sind und die unter anderem den Zweck der Verarbeitung beinhalten
(b) dem Abonnenten oder Benutzer das Recht angeboten wird, einer solchen Verarbeitung durch den Verantwortlichen für die Datenverarbeitung zu widersprechen.
„(2) Absatz 1 verhindert nicht die technische Speicherung oder den Zugriff auf Informationen zum alleinigen Zweck der Durchführung oder Erleichterung der Übertragung einer Kommunikation über ein elektronisches Kommunikationsnetzwerk oder, wenn dies zwingend erforderlich ist, um einen ausdrücklich vom Abonnenten oder Benutzer angeforderten Informationsgesellschaftsdienst bereitzustellen.“
Diese Verordnung bezieht sich auf die Verwendung von Cookies, Web-Beacons, die Erfassung von IP-Adressen und andere technische Angelegenheiten.
Fehlen einer Datenschutzerklärung
In Irland kann ein Verstoß gegen den DPA, wie das Fehlen einer Datenschutzerklärung auf einer Website, zu Ermittlungen und Durchsetzungsmaßnahmen durch den Data Protection Commissioner führen. Der Commissioner kann eine Durchsetzungsanordnung erlassen, die eine Datenschutzerklärung oder die Einstellung der Datenverarbeitung vorschreibt. Eine Strafverfolgung kann auch zu einer Geldstrafe von bis zu 100.000 € und/oder einer Anordnung zur Löschung von Daten führen. Abschnitt 7 DPA gibt Einzelpersonen außerdem ein zivilrechtliches Klageverbot, wenn sie einen Schaden durch die Art und Weise erleiden, wie ihre Daten verarbeitet werden.
Wann eine Datenschutzerklärung erforderlich ist
Eine Datenschutzerklärung ist erforderlich, wenn eine Website eine der folgenden Tätigkeiten ausführt, nämlich:-
* Sie erhebt personenbezogene Daten (Besucher, die Webformulare, Feedbackformulare usw. ausfüllen);
* Sie verwendet Cookies oder Web-Beacons;
* Sie heimlich personenbezogene Daten erhebt (IP-Adressen, E-Mail-Adressen).
Welche Informationen Datenschutzerklärungen enthalten müssen
Die Informationen sollten sich spezifisch auf die Verarbeitung personenbezogener Daten auf der Website beziehen. Solche Informationen sollten detailliert genug sein, damit der Besucher der Website entscheiden kann, ob er fortfahren möchte. Aussagen wie „alle auf dieser Website erfassten Daten werden in Übereinstimmung mit dem DPA verarbeitet“ reichen laut dem Data Protection Commissioner nicht mehr aus (allein). Sie müssen durch eine Erklärung ergänzt/ersetzt werden, wie die Website ihre Verpflichtungen in der Praxis erfüllt.
Die Informationen sollten Folgendes beinhalten:-
* Identität
Die Details der Organisation müssen klar identifizierbar sein. Der Name einer Organisation allein ist nicht ausreichend. Die Identifizierung sollte vollständige und nützliche Kontaktdaten beinhalten. Nützliche Details wären eine E-Mail-Adresse und eine Postadresse, die ein Besucher verwenden kann, wenn er Angelegenheiten im Zusammenhang mit der Verarbeitung personenbezogener Daten auf der Website besprechen möchte.
* Zweck
Es kann viele offensichtliche Zwecke geben, für die Besucher zu Recht erwarten können, dass ihre Daten verwendet werden. Dazu können Daten gehören, die im Zusammenhang mit einer Transaktion erforderlich sind. Es ist jedoch möglich, dass Daten für nicht offensichtliche Zwecke wie Profilbildung oder zukünftiges Marketing verarbeitet werden. Alle diese Zwecke müssen in der Datenschutzerklärung klar genannt werden. Daten, die unter dieser Voraussetzung freiwillig bereitgestellt werden, sind fair erhoben. Wenn ein Zweck nicht offensichtlich ist und nicht genannt wird, wird es für die Organisation schwierig sein, die Daten für diesen Zweck rechtmäßig zu verarbeiten.
Wenn eine Organisation plant, personenbezogene Daten an einen Dritten (außer an eine Person, die als Vertreter der Organisation handelt) weiterzugeben, handelt es sich um eine Offenlegung, die in der Datenschutzerklärung genannt werden muss. Eine allgemeine Ausnahme von dieser Regel ist, wenn die Offenlegung gesetzlich vorgeschrieben ist.
* Auskunftsrecht
Gemäß Abschnitt 4 DPA hat eine Person das Recht, eine Kopie ihrer personenbezogenen Daten zu erhalten. Wenn eine Organisation personenbezogene Daten aufbewahrt, sollte sie in der Datenschutzerklärung auf dieses Auskunftsrecht verweisen. Die Organisation sollte auch auf die einzuhaltenden Verfahren verweisen. Gemäß dem DPA sollte ein Auskunftsersuchen schriftlich erfolgen, Organisationen dürfen eine Gebühr von höchstens 6,35 € berechnen und müssen innerhalb von 40 Kalendertagen antworten. Organisationen sollten angeben, an wen ein solches Ersuchen gerichtet werden sollte.
* Recht auf Berichtigung oder Löschung
Gemäß Abschnitt 6 DPA hat eine Person das Recht, ihre personenbezogenen Daten korrigieren zu lassen, wenn sie ungenau sind, oder löschen zu lassen, wenn Sie keinen berechtigten Grund für die Aufbewahrung der Daten haben. Organisationen dürfen für die Erfüllung eines solchen Ersuchens keine Gebühren verlangen und müssen innerhalb von 40 Kalendertagen nach Erhalt eines solchen Ersuchens nachkommen. Die Datenschutzerklärung einer Organisation sollte darauf verweisen, wenn sie personenbezogene Daten aufbewahrt, und die Verfahren detaillieren, die eine Person befolgen sollte, wenn sie ein solches Ersuchen stellt.
* Umfang der verarbeiteten Daten
Wenn unterschiedliche Daten für unterschiedliche Zwecke verwendet werden, sollte dies in der Datenschutzerklärung klar genannt werden, anstatt dass eine Person davon ausgeht, dass alle Daten für alle Zwecke verwendet werden. Dies ist in Bezug auf die verdeckte Verarbeitung von Daten, wie die Erfassung von IP-Adressen oder die Verwendung von Cookies oder Web-Beacons, noch wichtiger.
* Recht, Cookies abzulehnen
Wenn es im Zusammenhang mit einer Transaktion nicht erforderlich ist, Cookies zu verwenden, sollte der Benutzer darüber informiert werden und die Möglichkeit erhalten, die Platzierung von Cookies auf seinem Computer abzulehnen. Die Verwendung von Cookies kann dem Benutzer auch erklärt werden.
Weitere empfohlene Informationen
Oben sind die Informationen aufgeführt, die in einer Datenschutzerklärung enthalten sein müssen. Wenn eine Organisation ihre Datenschutzerklärung jedoch als umfassende Beschreibung ihrer Online-Datenverarbeitung beabsichtigt, kann sie auch die folgenden Informationen enthalten:-
* Sicherheit
Obwohl eine Organisation verpflichtet ist, angemessene Sicherheitsmaßnahmen zu ergreifen, um den unbefugten Zugriff auf personenbezogene Daten in ihrem Besitz oder deren Änderung oder Zerstörung zu verhindern, wäre jeder detaillierte Verweis auf solche Maßnahmen in einer öffentlich zugänglichen Datenschutzerklärung unklug. Vielmehr sollte sie sich darauf beschränken, dass sie ihre Sicherheitsverantwortung ernst nimmt, die am besten geeigneten physischen und technischen Maßnahmen einsetzt, einschließlich Mitarbeiterschulung und -sensibilisierung, und dass Sie diese Maßnahmen regelmäßig überprüfen.
* Genau, vollständig und auf dem neuesten Stand
Dies ist weitgehend eine reaktive Richtlinie, da Probleme oft erst bei der Bearbeitung der betroffenen Person entdeckt werden. Eine Organisation kann jedoch auf die Notwendigkeit verweisen, nur genaue, vollständige und aktuelle Daten aufzubewahren, und Möglichkeiten aufzeigen, mit denen betroffene Personen ihre Daten aktualisieren können oder Maßnahmen, die die Organisation ergreifen kann, um die Genauigkeit sicherzustellen, wie z. B. die Kontaktaufnahme mit Kunden per E-Mail.
* Angemessen, relevant, nicht übermäßig
Organisationen sind verpflichtet, nicht mehr Daten aufzubewahren, als für den Zweck erforderlich sind, für den sie sie erheben. Alle Daten, die über diese Anforderung hinausgehen, sollten entweder nicht angefordert oder, wenn sie freiwillig bereitgestellt wurden, gelöscht werden. In einer Datenschutzerklärung können Organisationen auf eine Richtlinie verweisen, alle bereitgestellten/erhobenen Daten zu überprüfen und diejenigen zu löschen, die nicht erforderlich sind oder nicht mehr erforderlich sind.
* Aufbewahrung
Daten sollten nicht länger aufbewahrt werden, als für den Zweck erforderlich ist, für den sie erhoben wurden. Die Datenschutzerklärung könnte auf eine Richtlinie verweisen, Kreditkartendetails nach Abschluss einer Transaktion zu löschen, es sei denn, die Organisation erhält die Zustimmung der Kunden, die Details zur Erleichterung weiterer Transaktionen aufzubewahren. Wenn eine Organisation unterschiedliche Arten von Daten für unterschiedliche Zeiträume aufbewahrt, kann dies ebenfalls in der Datenschutzerklärung genannt werden.
* Beschwerdemanagement
Der Data Protection Commissioner empfiehlt einige Mittel zur Bearbeitung von Beschwerden, die von den Benutzern der Website über die Datenverarbeitung eingehen.
Platzierung der Datenschutzerklärung
Eine Datenschutzerklärung sollte an einer gut sichtbaren Stelle platziert werden und nicht in einem anderen Dokument enthalten sein. Mindestens sollte eine Datenschutzerklärung in der oberen Hälfte der Einstiegsseite einer Website platziert werden. Da einige Webbrowser nur einen Teil einer Seite anzeigen, bedeutet die Anforderung an die obere Seite, dass ein Besucher nicht nach unten scrollen muss, um die Datenschutzerklärung zu finden.
Die Platzierung einer Erklärung nur auf der Startseite ist möglicherweise nicht ausreichend, da Links von anderen Websites oder über Suchmaschinen einen Besucher über eine andere Seite als die Startseite auf die Website führen können. Eine Lösung besteht darin, auf jeder Seite einen Link zur Datenschutzerklärung zu platzieren. Alternativ könnte ein Link auf jeder Seite platziert werden, auf der Daten erfasst werden, obwohl dies bei der Verwendung von Cookies auf der Website praktisch alle Seiten bedeuten könnte.
Datenschutzerklärung und „Allgemeine Geschäftsbedingungen“
Eine Datenschutzerklärung ist eine gesetzliche Anforderung und unterscheidet sich von Allgemeinen Geschäftsbedingungen, Urheberrechtshinweisen oder Haftungsausschlüssen. Sie sollte eigenständig stehen und klar identifizierbar sein. Damit eine Datenschutzerklärung von Wert ist, muss sie für den Benutzer leicht zugänglich, schnell lesbar und leicht verständlich sein. Wenn sie in einem langen Dokument vergraben ist, das eine Vielzahl von Rechtsfragen abdeckt, wird es für die Organisation schwierig sein, nachzuweisen, dass sie ihre Verpflichtungen aus dem DPA und der Verordnung erfüllt hat.
Überprüfung der Datenschutzerklärung
Es sollte nur erforderlich sein, eine Überprüfung durchzuführen, wenn es eine Änderung an den Online-Prozessen gibt. Es sollte jedoch ein Mechanismus vorhanden sein, der den zuständigen Mitarbeiter benachrichtigt, um eine Überprüfung einzuleiten, wenn:-
* Die Datenverarbeitung auf der Website geändert wird;
* Eine geplante/tatsächliche Neuentwicklung der Website stattfindet;
* Es eine neue Webhosting-Vereinbarung gibt;
* Vorschläge/Anfragen von Benutzern der Website eingehen.
In jedem Fall sollte die Datenschutzerklärung im Rahmen eines internen Auditverfahrens überprüft werden, das auch die organisatorische Datenschutzrichtlinie mindestens einmal jährlich überprüfen sollte.
Weitere Themen
Jede Person, die einen externen Datenverarbeiter zur Bereitstellung einer Website verwendet, sollte sich einiger Probleme bewusst sein. Alle Datenverarbeiter, die personenbezogene Daten verarbeiten, sind verpflichtet, einen aktuellen Eintrag im vom Data Protection Commissioner geführten Register zu haben. Daten zu verarbeiten, ohne einen solchen Eintrag zu haben, ist eine Straftat.
Wenn der Webhosting-Dienst Ihre Website auf einem Server außerhalb des EWR hostet, ist er verpflichtet, mindestens eine der in Abschnitt 11 DPA festgelegten Bedingungen zu erfüllen. Die Organisation ist letztendlich verantwortlich, sollte das Webhosting-Unternehmen Daten rechtswidrig verarbeiten. Abschnitt 2C DPA verpflichtet Organisationen, einen schriftlichen Vertrag (oder gleichwertigen) mit dem Datenverarbeiter abzuschließen, der Folgendes festlegt:-
* Was der Datenverarbeiter im Namen der Organisation mit den Daten tun darf;
* Welche Sicherheitsmaßnahmen der Datenverarbeiter bereitstellen muss.
Organisationen müssen außerdem angemessene Schritte unternehmen, um sicherzustellen, dass der Datenverarbeiter diese Anweisungen einhält.
Paul Lambert
paul.lambert@merrionlegal.com
MERRION LEGAL
Anwälte & Markenanwälte für den Gemeinschaftsmarkenbereich
Clifton House
Lower Fitzwilliam Street
Dublin 2
Irland
T: + 353-1-6690523
E: info@merrionlegal.com
0 Kommentare