個人データの共有は、収集と処理への同意を公に意味しますか？

Aug 19 2020

EU市民が、名前や連絡先の詳細などの個人情報を、たとえばソーシャルメディアでオンラインで公開するとします。

私が専門的な立場で彼らに電子メールで連絡したい場合、私は彼らに暗黙の同意を得るでしょうか？

私の理解では、何かが彼らに届く前に、私は彼らの個人データを使って多くの行動をとらなければなりません：

サードパーティ（ソーシャルメディアプラットフォーム）から個人的にデータを収集します。
電子メールを書く目的でそれを処理します。
それを私の電子メールプロバイダーと共有します。その後、私がアクセスを維持している間、無期限に保存します。
その間ずっと、彼らのデータは多くの国境を越えて実行可能です。

これは合法的な使用を構成しますか？

これらの行動が起こった場合、私は彼らに通知する義務がありますか？

私とのコミュニケーションを選択する機会を彼らに知らせる必要がありますか？

この質問の文脈では、自動化された「pray＆spray」スパムマーケティング攻撃の一部としてではなく、特に個人的に彼らの電子メールを使用しています。

回答

2 amon Aug 19 2020 at 15:38

GDPRは、非公開データとほぼ同じように公開個人データを保護します。つまり、明確な目的と法的根拠がある場合にのみデータを処理できます。同意（オプトイン）や正当な利益（オプトアウト）など、信頼できるGDPR Art6の法的根拠を決定するのが目的です。

概要：

連絡先情報が公開された状況や連絡の目的に応じて、連絡できる場合とできない場合があります。
同意には注意が必要ですが、ある程度は暗示される可能性があります
正当な利益に依存するには、バランステストが必要になります
はい、データ主体に通知する必要があります
はい、異議を唱えるか同意を撤回する機会を与える必要があります
- いつでも異議を唱え、データを削除する準備をする必要があります。

データ主体から直接連絡先の詳細を取得しなかった場合、「同意」を取得したと主張することは困難です。同意は、「同意する」などのステートメントである必要はありませんが、「明確な肯定的な行動」を通じて行うこともできます。データ主体の希望が明確であることが重要です。

したがって、たとえば、求職に関するソーシャルメディアの投稿があり、データ主体が自分の電子メールアドレスで公にコメントしている場合、求人でデータ主体に連絡することはおそらく問題ありません。そのコンテキストで連絡先の詳細を投稿することは、データ主体の希望を示すかなり明確なアクションです。ただし、同意には目的があります。このメールアドレスを家の塗装の申し出とともに使用しても、法的根拠として同意を使用して飛行することはありませんが、正当な利益がある可能性がありますか？

正当な利益を得るには、この利益を表明し、データ主体の権利と自由とのバランスを取る必要があります。さらに重要なことは、このメッセージを送信できること、またはデータ主体が邪魔されていないことです。データ主体は彼らのデータのこの使用を期待しますか？これはあなたの側の判断の呼びかけです。法律で義務付けられている以上のセキュリティ対策を追加すると、バランステストが有利にシフトする可能性がありますが、これを行うのは困難です。正当な利益の使用は、Art 21 GDPRに異議を唱える権利（オプトアウト）を生じさせます。

未承諾の電子通信を送信する場合は、GPDRに加えてePrivacyディレクティブを考慮することが重要です。 ePD Art 13は、受信者の同意がない限り、大量の電子メールなどの自動化されたダイレクトマーケティングを禁止しています。しかし、私はその記事を、人間が送信するメッセージ、または「ダイレクトマーケティング」ではないメッセージを許可するものとして読みました。ただし、いずれの場合も、受信者が同意を取り消す/さらなる処理に反対するのを簡単にする必要があります。

データが公開ソースまたは非公開ソースのどちらから取得されたかに関係なく、このデータの処理はGDPRに準拠している必要があります。サードパーティのサービスを使用する場合、それらはGDPR第28条に従って契約を必要とするデータ処理者として機能する必要があります。ビジネス目的で電子メールプロバイダーまたはCRMを使用する場合は、それらをデータ処理者にする必要があります。 EU以外の国にデータをエクスポートする場合は、GDPR第5章に従って、データインポーターとの標準契約条項を通じて、この国際転送を保護する必要があります。

一般的なコンプライアンス義務に加えて、GDPR第14条を考慮する必要があります。この記事では、データ主体から直接データを取得しなかった場合に、処理についてデータ主体に提供する必要がある情報について説明します。基本的に、これはあなたが彼らにプライバシーポリシーを与えなければならないことを意味します。第14条（2）（f）に従い、連絡先の詳細を見つけたソーシャルメディアネットワークなど、データのソースを示す必要があります。このデータを他の人に開示するとき、最初にデータ主体と通信するとき、またはデータを取得してから妥当な期間内に、遅くとも1か月以内にこの情報を提供する必要があります。