Персональные базы данных - купить / продать

1. суммирование
2. ссылки

В настоящее время предпринимателям не всегда выгодно создавать персональные базы данных. Поэтому они часто используют предложения на рынке по продаже персональных баз данных. Конечно, в этом месте вы должны спросить себя, является ли продажа личных баз данных законной и допустимой в Польше вообще. Вопреки видимости, ответ на поставленный выше вопрос вовсе не однозначен. Это зависит от того, согласились ли лица, данные которых находятся в базе данных, на их обработку, согласились ли они продать их и т. Д.

Но давайте начнем с самого начала. Вся личная информация об идентифицированном или идентифицируемом физическом лице считается персональной информацией (статья 6 Закона о защите персональных данных1). Благодаря сети Интернет все чаще и чаще обсуждается новая форма личных данных. цифровые данные. Хотя это не четко определено, GIODO учитывает личные данные, например адреса электронной почты. Однако я бы воздержался от признания того, что каждый адрес электронной почты является персональными данными в значении Закона. Чем более общий адрес, тем менее вероятно, что он будет считаться персональными данными. Примером может быть [email protected] , Здесь сложно указать личность человека, скрывающегося по заданному адресу. Таким образом, если база данных, которую мы собираемся купить, будет состоять из адресов электронной почты, которые не будут - даже косвенно - указывать на личность людей, тогда мы не можем говорить о персональной базе данных в этом случае.

Однако в большинстве случаев базы данных содержат как технические, так и организационные данные (например, адрес компании, телефон и т. Д.), А также контактные данные физических лиц (например, представитель компании, имя и фамилию, адрес электронной почты, также состоящий из имя и фамилия, номер телефона, место нахождения и т. д.). Тогда мы действительно можем сказать, что личная информация находится в этой базе данных.

Каковы последствия? Прежде всего, администратор такой базы данных (субъект, у которого мы хотим ее купить) должен выполнить хотя бы одно из условий, позволяющих обрабатывать данные этого типа. Эти помещения перечислены в ст. 23 пар. 1 Закона о защите персональных данных. Давайте свергнем мифы - согласие человека, чьи данные обрабатываются, не всегда необходимо для обработки персональных данных. Персональные данные также могут обрабатываться без согласия заинтересованного лица, если:

• необходимо реализовать право или выполнить обязательства, вытекающие из закона;
• необходимо выполнить договор - субъект данных является его участником или необходимо принять меры до заключения договора по требованию субъекта данных;
• необходимо выполнять задачи, определенные для общественного блага;
• это необходимо для достижения юридически обоснованных целей, реализованных контролерами данных или получателями данных, и обработка не нарушает права и свободы субъекта данных.

Следовательно, организация, желающая продать данные, должна либо получить согласие любого заинтересованного лица, либо показать, что обработка является приемлемой, как в вышеупомянутых случаях.

Предположим, что лицо, продающее базу данных, имеет согласие или может показать одну из вышеупомянутых предпосылок. Можем ли мы приобрести такую ​​базу персональных данных?

Простое приобретение личных баз данных не является незаконным, но стоит помнить о нескольких аспектах, которые сопровождают это действие.

Покупка личной базы данных будет рассматриваться как обработка личных данных. В законе понятие обработки данных очень широко определено, и в судебных решениях мы можем найти заявления: «приобретение по контракту также является способом получения или выпуска данных, что приводит к заключению, что покупка базы данных аналогична процессу сбора и приобретения их». «2.

Внимание! Приобретение базы персональных данных - это не то же самое, что аутсорсинговые услуги (т.е. передача нашей персональной базы данных в бухгалтерию, которая рассчитывает нас и наших сотрудников или подрядчиков). Такая передача персональных данных другому лицу, которое должно предоставлять нам услуги, на их основе называется в акте «поручение обработки данных». Стороны заключают договор, на основании которого происходит такая обработка внешних данных. Однако это не продажа базы данных.

Вернемся к торговле с базами данных. С точки зрения закона, самая простая и понятная ситуация - ситуация, когда организация, продающая персональные данные, соглашается как на обработку этих данных, так и на их продажу. Такое согласие может принимать форму декларации о воле, в которой заинтересованное лицо соглашается на обработку и продажу своих персональных данных другим организациям или третьим лицам. Если эти объекты не указаны по имени, предполагается, что согласие на продажу персональных данных зависит от того, будут ли эти данные обрабатываться для той же цели, в которой они были собраны.

Также возможно сделать заявление, содержащее имена объектов, которым данные могут быть (или будут) переданы. Тогда передача данных лицам, отличным от указанных в отчете, будет означать выход за пределы полученного согласия заинтересованного лица (т.е. лица, чьи данные были собраны).

Если у вас есть согласие на продажу персональных данных, у лица, продающего базу данных, нет необходимости связываться с лицами, заинтересованными в повторном согласии. Несмотря на то, что прошло время с момента предоставления согласия, нет необходимости получать его снова. Согласие может быть отменено в любое время.

Здесь стоит отметить, что покупатель базы персональных данных должен выполнить определенные информационные обязательства. Согласно ст. 25 параграф 1 Закона, в случае сбора персональных данных не от субъекта данных (то есть в случае приобретения персональной базы данных), контроллер данных обязан немедленно уведомить это лицо после объединения собранных данных о:

1. адрес его зарегистрированного офиса и его полное наименование, а в случае, если администратором данных является физическое лицо - о его месте жительства, имени и фамилии;
2. цель и объем сбора данных, в частности, о получателях или категориях получателей данных;
3. источник данных;
4. право проверять свои данные и исправлять их;
5. право требовать прекращения обработки персональных данных в связи с особой ситуацией или правом на возражение.

С другой стороны, ситуация может быть проблематичной, если организация, продающая базу данных, не имеет согласия на продажу. Итак, будут ли такие продажи законными? Эта проблема не была явно решена в доктрине.

Представьте, что компания X собирает личные данные в маркетинговых целях. Сбор таких данных с целью прямого маркетинга собственных продуктов или услуг является законным в соответствии со ст. 23 пар. 1 пункт 5 закона. Но законно ли продолжать продавать эти личные данные?

По мнению некоторых экспертов, предоставление ст. 26 Закона о защите персональных данных запрещает продажу базы данных без согласия субъектов данных. В соответствии с этим положением обрабатывающий их контроллер данных должен с особой тщательностью защищать интересы субъектов данных. В частности, необходимо обеспечить, чтобы такие данные собирались для определенных, законных целей и не подвергались дальнейшей обработке, несовместимой с этими целями. Поэтому можно считать, что этот принцип должен быть выведен из запрета на обработку этих данных для той же цели, но другим администратором3.

Однако представляется, что возможен и другой аргумент, то есть признание того, что разрешено продавать персональную базу данных без согласия субъектов данных, но только для того, чтобы информировать их позже о продаже их персональных данных (что является выполнением обязательства в отношении информации, указанного в Статья 25 (1) Закона о защите персональных данных).

Представьте, что наша компания X собирает персональные данные для целей прямого маркетинга. В соответствии с Законом о защите персональных данных X, как администратор, должен информировать заинтересованное лицо о своем адресе, назначении и сфере обработки персональных данных и т. Д. Администратор персональных данных информирует лицо, чьи персональные данные обрабатываются, и в этом случае лицо имеет право чтобы:

1. письменный мотивированный запрос о прекращении обработки своих данных в связи с его особой ситуацией (статья 32 (1) (7));
2. возражать против обработки своих данных в случаях, указанных в ст. 23 пар. 1 пункт 4 и 5 Закона, когда контроллер данных намеревается обработать их в маркетинговых целях или передать свои персональные данные другому контроллеру данных (статья 32 (1) (8)).

Таким образом, кажется, что формулировка ст. 32 параграф Согласно пункту 8 Закона, администратор данных (компания X) может передать персональную базу данных другому администратору (компания Y), если выполнены следующие условия:

1. заинтересованное лицо получает всю информацию, указанную в ст. 25 параграф 1 Закона о защите персональных данных;
2. заинтересованное лицо не выступает против передачи данных;
3. Цель обработки персональных данных не будет изменена.

Следует подчеркнуть, что, по мнению GIODO, маркетинговая компания, купившая базу данных у другой организации, должна уведомлять каждого человека о том, что она обрабатывает ее данные4. GIODO также признал, что для продажи личных данных необходимо явное согласие заинтересованного лица5.

суммирование

Вопросы, связанные с покупкой и продажей баз данных, четко не регламентированы. Приобретение баз данных (включая персональные базы данных) не запрещено в Польше и все чаще встречается в процессе торговли.

Нерешенной проблемой является возможность продажи персональной базы данных (и ее приобретения) в ситуации, когда продавец (или даже покупатель) не имеет согласия заинтересованного лица на обработку его / ее личных данных. Однако, похоже, что если соответствующие условия соблюдены - как собирать данные в соответствии с законом (условие легализации), информировать заинтересованные стороны об адресе, целях, получателях и т. Д., И обрабатывать их для той же цели, что и продавец - продавец не должен будет согласие заинтересованного лица на продажу его личных данных. Однако эта точка зрения может показаться противоречивой.

Наиболее выгодной - с точки зрения закона - ситуации является наличие согласия не только на обработку персональных данных, но и на их продажу.

Моника Бжозовская
адвокат

Автор является партнером PDB LEGAL Pasieka, Derlikowski, Brzozowska and Partners, специалистом в области защиты личных прав и персональных данных, авторских и правовых аспектов функционирования киберпространства. Он также является экспертом в Институте Собеского.

Безопасность 1/2013

ссылки

1. Закон от 29 августа 1997 года о защите персональных данных, Dz. U. № 133, пункт +883.
2. Решение Высшего административного суда от 13 июля 2004 года, ОСК 507/04, CBOSA.
3. J. Barta, P. Fajgielski, R. Markiewicz, "Защита персональных данных, комментарий", LEX № 106662.
4. Ответ на вопрос «Должна ли маркетинговая компания, которая купила базу персональных данных у другой организации, уведомить кого-либо о том, что она обрабатывает данные?», http://www.giodo.gov.pl/318/id_art/3355/j/pl/ [Онлайн].
5. Отчет о деятельности Генерального инспектора по защите персональных данных в 2007 г., стр. 45.

Похожие

Комментарии