Kişisel verilerin kamuya açık olarak paylaşılması, toplama ve işleme için onay anlamına gelir mi?
Bir AB vatandaşının isim ve iletişim bilgileri gibi kişisel bilgilerini çevrimiçi olarak, örneğin sosyal medyada yayınladığını varsayalım.
Onlarla e-posta yoluyla profesyonel kapasitem dahilinde iletişim kurmak isteseydim, bunu yapmak için onların üstü kapalı rızasını alır mıydım?
Anladığım kadarıyla, kişisel verileriyle onlara herhangi bir şey ulaşmadan çok sayıda eylem gerçekleştirmem gerekiyor:
- verilerini kişisel olarak üçüncü taraftan toplamak (sosyal medya platformu);
- bir e-posta yazmak amacıyla işlemek;
- e-posta sağlayıcımla paylaşırım, o da ben ona erişimimi korurken onu süresiz olarak saklamaya devam eder;
- bu arada, verileri uygun bir şekilde bir dizi uluslararası sınırı geçebilir.
Bu meşru kullanım teşkil ediyor mu?
Gerçekleşen bu eylemler ile ilgili olarak onları bilgilendirmek zorunda mıyım?
Benimle iletişim kurmayı tercih etme fırsatı konusunda onları bilgilendirmem gerekiyor mu?
Bu soru bağlamında, e-postalarını otomatik bir "dua et ve püskürt" spam pazarlama saldırısının bir parçası olarak değil, özellikle kişisel olarak kullanıyorum.
Yanıtlar
GDPR, herkese açık kişisel verileri, halka açık olmayan verilerle hemen hemen aynı şekilde korur, yani verileri yalnızca açık bir amacınız ve yasal dayanağınız varsa işleyebilirsiniz. İzin (dahil olma) veya meşru menfaat (vazgeçme) gibi hangi GDPR Madde 6 yasal dayanağına güvenebileceğinizi belirleyen amaçtır.
Özet:
- iletişim bilgilerinin yayınlandığı bağlama ve onlarla iletişim kurma amacınıza bağlı olarak onlarla iletişim kurabilir veya edemeyebilirsiniz.
- onay aldatıcıdır, ancak bir dereceye kadar ima edilebilir
- meşru menfaatlere güvenmek bir dengeleme testi gerektirir
- evet, veri konusunu bilgilendirmelisiniz
- evet, itiraz etme veya rızanızı geri çekme fırsatı vermelisiniz
- Hatta herhangi bir zamanda itiraz almaya ve ardından verileri kaldırmaya hazırlıklı olmalısınız.
İletişim bilgilerini doğrudan veri sahibinden almadıysanız, "izin" aldığınızı iddia etmek zor olacaktır. Onay, "onaylıyorum" gibi bir ifade olmak zorunda değildir, ancak "açık olumlu ayrımcılık" yoluyla da verilebilir. Veri sahibinin isteklerinin açık olması önemlidir.
Örneğin, iş aramakla ilgili bir sosyal medya gönderisi varsa ve veri sahibi e-posta adresiyle herkese açık bir şekilde yorum yapıyorsa, veri sahibiyle bir iş teklifiyle iletişime geçmek büyük olasılıkla iyidir. İletişim bilgilerini bu bağlamda yayınlamak, veri konusunun isteklerini belirten oldukça açık bir eylemdir. Ancak rıza amaç sınırlıdır. Bu e-posta adresini evlerini boyamak için bir teklifle kullanmak, yasal dayanak olarak rıza kullanarak uçmaz - ancak meşru bir çıkarınız olabilir mi?
Meşru menfaat, bu menfaati ifade etmenizi ve ardından veri konusunun hak ve özgürlükleriyle dengelemenizi gerektirir. Hangisi daha önemli: bu mesajı gönderebilmeniz mi yoksa veri konusunun rahatsız olmaması mı? Veri sahibi, verilerinin bu şekilde kullanılmasını bekler mi? Bu, sizin açınızdan bir yargı çağrısıdır. Yasaların gerektirdiklerinin ötesinde güvenlik önlemleri eklemek, dengeleme testini sizin lehinize çevirebilir, ancak bunu yapmak zordur. Meşru menfaatin kullanılması, Art 21 GDPR'ye itiraz etme hakkını (vazgeçme) doğurur.
İstenmeyen elektronik iletişim gönderirken, GPDR'ye ek olarak ePrivacy direktifini de dikkate almak önemlidir. EPD Art 13, alıcı izin vermedikçe toplu e-postalar gibi otomatik doğrudan pazarlamayı yasaklamaktadır. Ancak, bu makaleyi insanlar tarafından gönderilen mesajlara veya “doğrudan pazarlama” olmayan mesajlara izin verdiğini okudum. Ancak her durumda, alıcının onayını geri çekmesini / daha fazla işleme itiraz etmesini kolaylaştırmalısınız.
Verilerin herkese açık kaynaklardan mı yoksa kamuya açık olmayan kaynaklardan mı elde edildiğine bakılmaksızın, bu verileri işlemeniz büyük olasılıkla GDPR uyumlu olacaktır. Üçüncü şahıs hizmetlerini kullandığınızda, GDPR Madde 28'e göre bir sözleşme gerektiren veri işlemciniz olarak hareket etmelidirler . İş amaçlı bir e-posta sağlayıcısı veya CRM kullanıyorsanız, bunlar veri işlemciniz yapılmalıdır. Verileri AB dışı bir ülkeye aktardığınızda, bu uluslararası transferi GDPR Bölüm 5'e göre korumanız gerekir, örn. Verileri içe aktaranla Standart Sözleşme Maddeleri aracılığıyla.
Genel uyum yükümlülüklerine ek olarak, GDPR Madde 14'ü de göz önünde bulundurmalısınız. Bu makale, verileri doğrudan veri sahibinden almadığınızda veri sahibine işlemeniz hakkında vermeniz gereken bilgileri açıklamaktadır. Esasen bu, onlara bir gizlilik politikası vermeniz gerektiği anlamına gelir. Madde 14 (2) (f) uyarınca, verilerinin kaynağını belirtmelisiniz, örneğin iletişim bilgilerini bulduğunuz sosyal medya ağı. Bu bilgileri bir başkasına ifşa ettiğinizde, veri sahibiyle ilk iletişim kurduğunuzda veya verileri aldıktan sonra makul bir süre içinde en geç bir ay içinde vermelisiniz.