개인 데이터를 공개적으로 공유하는 것은 수집 및 처리에 대한 동의를 의미합니까?
예를 들어, EU 시민이 이름 및 연락처 정보와 같은 개인 정보를 소셜 미디어에 온라인으로 게시한다고 가정합니다.
이메일을 통해 전문가 자격으로 그들에게 연락하려면 묵시적 동의를 받아야합니까?
내 이해에 따르면, 나는 무언가가 그들에게 도달하기 전에 그들의 개인 데이터로 여러 가지 작업을 수행해야합니다.
- 제 3 자 (소셜 미디어 플랫폼)로부터 개인 데이터를 수집합니다.
- 이메일 작성 목적으로 처리합니다.
- 내 이메일 제공 업체와 공유하면 내가 액세스 권한을 유지하면서 무기한 저장을 진행합니다.
- 그 동안 그들의 데이터는 여러 국경을 넘을 수 있습니다.
이것이 합법적 인 사용에 해당합니까?
이러한 조치가 발생하는 경우 연락시이를 알릴 의무가 있습니까?
나와 소통 할 수있는 기회를 그들에게 알려야합니까?
이 질문의 맥락에서 저는 자동화 된 "pray & spray"스팸 마케팅 공격의 일부가 아니라 개인적으로 이메일을 사용하고 있습니다.
답변
GDPR은 비공개 데이터와 거의 동일하게 공개 개인 데이터를 보호합니다. 즉, 명확한 목적과 법적 근거가있는 경우에만 데이터를 처리 할 수 있습니다. 동의 (옵트 인) 또는 합법적 이익 (옵트 아웃)과 같이 신뢰할 수있는 GDPR Art 6 법적 근거를 결정하는 것은 목적입니다.
요약:
- 연락처 정보가 게시 된 상황과 연락 목적에 따라 연락 할 수 있거나 연락하지 못할 수 있습니다.
- 동의는 까다 롭지 만 어느 정도 암시 될 수 있습니다.
- 정당한 이익에 의존하려면 균형 테스트가 필요합니다.
- 예, 데이터 주체에게 알려야합니다
- 예, 동의를 거부하거나 철회 할 기회를 주어야합니다.
- 언제든지 이의를 제기 한 다음 데이터를 제거 할 준비가되어 있어야합니다.
데이터 주체로부터 직접 연락처 정보를 얻지 못한 경우 "동의"를 받았다고 주장하기 어렵습니다. 동의는 "동의합니다"와 같은 진술 일 필요는 없지만 "명확한 긍정적 조치"를 통해 제공 될 수도 있습니다. 데이터 주체의 바램이 모호하지 않다는 것이 중요한 것입니다.
예를 들어 구직에 대한 소셜 미디어 게시물이 있고 데이터 주체가 자신의 이메일 주소로 공개적으로 댓글을다는 경우 정보 주체에게 구직 제안을하는 것이 좋습니다. 해당 컨텍스트에서 연락처 세부 정보를 게시하는 것은 데이터 주체의 희망을 나타내는 매우 명확한 조치입니다. 그러나 동의는 목적에 제한이 있습니다. 집에 페인트 칠을 제안 할 때이 이메일 주소를 사용하는 것은 법적 근거로 동의를 사용하여 비행하지 않을 것입니다.하지만 합법적 인 관심이 있으신가요?
정당한 이익을 위해서는이 이익을 표현한 다음 데이터 주체의 권리 및 자유와 균형을 이루도록해야합니다. 더 중요한 것은이 메시지를 보낼 수 있는지 아니면 데이터 주체가 방해받지 않는 것입니까? 데이터 주체가 이러한 데이터 사용을 기대합니까? 이것은 귀하의 판단 요청입니다. 법에서 요구하는 것 이상의 보안 조치를 추가하면 균형 테스트가 유리하게 전환 될 수 있지만 그렇게하기는 어렵습니다. 정당한 이익의 사용은 Art 21 GDPR 이의 제기 (옵트 아웃) 권리를 발생시킵니다.
원치 않는 전자 통신을 보낼 때 GPDR 외에도 ePrivacy 지침을 고려하는 것이 중요합니다. ePD Art 13은 수신자가 동의하지 않는 한 대량 이메일과 같은 자동화 된 직접 마케팅을 금지합니다. 그러나 나는 그 기사를 인간이 보낸 메시지 나“직접 마케팅”이 아닌 메시지를 허용하는 것으로 읽었습니다. 그러나 어떠한 경우에도 수신자가 동의를 철회하거나 추가 처리에 이의를 제기 할 수 있도록해야합니다.
데이터가 공개 또는 비공개 소스에서 획득되었는지 여부에 관계없이이 데이터 처리는 GDPR을 준수해야합니다. 제 3 자 서비스 를 사용하는 경우 GDPR Art 28에 따라 계약이 필요한 데이터 처리자 역할을해야 합니다. 비즈니스 목적으로 이메일 제공 업체 또는 CRM을 사용하는 경우 해당 서비스를 데이터 처리자로 만들어야합니다. 비 EU 국가로 데이터를 내보낼 때 GDPR 5 장에 따라 이러한 국제 전송을 보호해야합니다 (예 : 데이터 수입 업체와의 표준 계약 조항을 통해).
일반적인 준수 의무 외에도 GDPR 14 조를 고려해야합니다.이 문서에서는 데이터 주체로부터 직접 데이터를 얻지 못한 경우 처리에 대해 데이터 주체에게 제공해야하는 정보를 설명합니다. 본질적으로 이는 귀하가 그들에게 개인 정보 보호 정책을 제공해야 함을 의미합니다. Art 14 (2) (f)에 따라 데이터 소스 (예 : 연락처 세부 정보를 찾은 소셜 미디어 네트워크)를 표시해야합니다. 이 데이터를 다른 사람에게 공개 할 때, 데이터 주체와 처음으로 통신 할 때 또는 데이터를 획득 한 후 합리적인 기간 내에 늦어도 1 개월 이내에이 정보를 제공해야합니다.