የውሂብ መጋራት የዘመናዊ ንግድ የሕይወት መስመር ነው። አዲስ የደመና አቅራቢን እያስገቡ፣ ከግብይት ኤጀንሲ ጋር በመተባበር ወይም የሶስተኛ ወገን የሰው ኃይል ስርዓትን እያዋሃዱ፣ የግል መረጃ በድርጅቶች መካከል ያለማቋረጥ ይፈስሳል። ግን የማይመችው እውነት ይኸውና፡ አብዛኛዎቹ ንግዶች የውሂብ መጋራት በአጠቃላይ የውሂብ ጥበቃ ደንብ (GDPR) ስር የሚወክለውን ህጋዊ የማዕድን መስክ ዝቅ አድርገው ይመለከቱታል።
አደጋው እውነተኛ ነው። ቅጣቶች 20 ሚሊዮን ዩሮ ወይም 4% የዓለም አቀፍ ዓመታዊ ገቢን ሊደርሱ ይችላሉ - የትኛውም ቢሆን ከፍ ያለ። ከገንዘብ ቅጣቶች በተጨማሪ፣ ከተጎዱ ግለሰቦች የዝና ጉዳት፣ የቁጥጥር ምርመራ እና የሲቪል ተጠያቂነት የይገባኛል ጥያቄዎች ሊነሱ ይችላሉ። የደች የውሂብ ጥበቃ ባለስልጣን (Autoriteit Persoonsgegevens፣ ወይም AP) ግልጽ አድርገውታል፡- አለማወቅ መከላከያ አይደለም።
ይህ ጽሑፍ የግል መረጃዎችን ሲያጋሩ የሚከሰቱ ሰባት ወሳኝ የGDPR አደጋዎችን ያሳየዎታል። እያንዳንዱ አደጋ በተወሰኑ የGDPR ድንጋጌዎች ላይ የተመሰረተ ሲሆን ከእውነተኛ ዓለም ውጤቶች ጋር የተሳሰረ ሲሆን ተገዢ ሆነው እንዲቀጥሉ ከሚያግዙ ተግባራዊ መመሪያዎች ጋር ተጣምሮ ይሰራል። የንግድ ባለቤት፣ የተገዢነት ኃላፊ ወይም በኔዘርላንድስ ውስጥ የሚሰሩ የህግ ባለሙያ ይሁኑ፣ እነዚህን ወጥመዶች መረዳት አስፈላጊ ነው።
1. ያለ ህጋዊ መሰረት መረጃን ማጋራት (አንቀጽ 6 GDPR)
አደጋው ፡ የግል መረጃ ምቹ ወይም ጠቃሚ ስለሆነ ብቻ ማጋራት አይችሉም። የውሂብ መጋራት እያንዳንዱ አጋጣሚ በአንቀጽ 6 GDPR መሠረት ትክክለኛ ህጋዊ መሠረት ይፈልጋል።
ኩባንያዎች ለምን እንደተሳሳቱ ፡ ብዙ ድርጅቶች መረጃን ለማጋራት የንግድ ምክንያት መኖሩ በቂ እንደሆነ ያስባሉ። አይደለም። የጂዲፒአር (GDPR) ለማስኬድ ስድስት ህጋዊ መሠረቶችን ይሰጣል፡ ስምምነት፣ የውል አስፈላጊነት፣ ህጋዊ ግዴታ፣ ወሳኝ ፍላጎቶች፣ የህዝብ ተግባር እና ህጋዊ ፍላጎቶች። እያንዳንዳቸው የተወሰኑ መስፈርቶች እና ገደቦች አሏቸው።
ለምሳሌ፣ “ሕጋዊ ፍላጎቶች” ብዙውን ጊዜ ከአጋሮች ወይም ከአገልግሎት አቅራቢዎች ጋር የመረጃ መጋራትን ለማጽደቅ ይጠቅማሉ። ነገር ግን ይህ መሠረት ጥንቃቄ የተሞላበት የማመጣጠን ፈተና ይጠይቃል፡ ፍላጎቶችዎ መረጃቸውን እያስኬዱላቸው ያሉትን ግለሰቦች መብቶች እና ነፃነቶች መሻር የለባቸውም። እናም ይህንን ግምገማ መመዝገብ አለብዎት።
የሕግ መሠረት ፡ አንቀጽ 6 GDPR የሕጋዊ መሠረትዎችን ዝርዝር ያስቀምጣል። አንቀጽ 5(1)(ሀ) GDPR ሁሉም ሂደቶች ሕጋዊ፣ ፍትሃዊ እና ግልጽ እንዲሆኑ ያዛል።
እውነተኛ ውጤት፡- AP የደንበኞችን መረጃ ለግብይት ዓላማ ከሶስተኛ ወገኖች ጋር ለሚያጋሩ ድርጅቶች ተገቢውን ህጋዊ መሰረት ሳይኖራቸው ቅጣት አውጥቷል። መረጃው ስም-አልባ ወይም የተዋሃደ ቢሆንም እንኳ እንደገና መለየት የሚቻል ከሆነ የግል መረጃ ሆኖ ይቀራል እና ህጋዊ መሰረት ያስፈልገዋል።
ተግባራዊ መፍትሔ፡- ማንኛውንም የግል መረጃ ከማጋራትዎ በፊት፣ የትኛውን ህጋዊ መሰረት እንደሚመለከት ይለዩ እና ይመዝግቡ። በሕጋዊ ፍላጎቶች ላይ የሚመሰረቱ ከሆነ፣ ህጋዊ የጥቅም ግምገማ (LIA) ያካሂዱ እና ይመዝግቡ። ፈቃድ የሚጠቀሙ ከሆነ፣ በነፃ የተሰጠ፣ የተወሰነ፣ መረጃ ያለው እና ግልጽ ያልሆነ መሆኑን ያረጋግጡ።
2. ሚናዎች ላይ ግራ መጋባት፡ ተቆጣጣሪ ከፕሮሰሰር ጋር (አንቀጽ 4(7)–(8) GDPR)
አደጋው ፡ GDPR (GDPR) ተቆጣጣሪዎችን (የማቀነባበሪያ ዓላማዎችን እና መንገዶችን የሚወስኑ) እና በተቆጣጣሪ ስም ውሂብን የሚያቀነባብሩ (በተቆጣጣሪ ስም ውሂብን የሚያቀነባብሩ) መካከል ይለያል። የእርስዎን ሚና - ወይም የአጋርዎን ሚና - በትክክል አለመለየት ከባድ የተገዢነት ክፍተቶችን ይፈጥራል።
ኩባንያዎች ለምን እንደተሳሳቱ ፡ በተግባር፣ ሚናዎች አሻሚ ሊሆኑ ይችላሉ። ከ SaaS አቅራቢ ጋር መረጃ ካጋሩ፣ እነሱ ተቆጣጣሪ ወይም ፕሮሰሰር ናቸው? ስልተ ቀመሮቻቸውን ለማሻሻል ውሂብዎን ቢጠቀሙስ? ብዙ ንግዶች ግንኙነቱን በአግባቡ ሳይመረምሩ እያንዳንዱን ሻጭ “ፕሮሰሰር” ብለው ይጠሩታል።
የተሳሳተ ምደባ አስፈላጊ ነው ምክንያቱም ተቆጣጣሪዎች እና ፕሮሰሰሮች የተለያዩ ግዴታዎች ስላሏቸው። ተቆጣጣሪዎች ፕሮሰሰሮች በቂ የተገዢነት ዋስትናዎችን ማቅረባቸውን ማረጋገጥ አለባቸው (አንቀጽ 28 GDPR)። የጋራ ተቆጣጣሪዎች በየራሳቸው ኃላፊነቶች ላይ መስማማት አለባቸው (አንቀጽ 26 GDPR)። ተሳስተው፣ እና እየተከሰቱ እንደሆነ እንኳን የማያውቁትን ጥሰቶች ተጠያቂ ሊሆኑ ይችላሉ።
የሕግ መሠረት ፡ አንቀጽ 4(7) እና (8) GDPR “ተቆጣጣሪ” እና “ፕሮሰሰር” ይገልፃሉ። አንቀጽ 24 GDPR የተቆጣጣሪውን የተጠያቂነት ግዴታዎች ይዘረዝራል።
እውነተኛው ዓለም ውጤት ፡ የአውሮፓ የፍትህ ፍርድ ቤት በፋሽን አይዲ (C-40/17) መሠረት የዓላማዎች ከፊል ውሳኔ እንኳን የጋራ ተቆጣጣሪ ሊያደርጋችሁ እንደሚችል ወስኗል። ይህ ማለት ሌላ ወገን ቢፈጽማቸውም እንኳ ለጂዲፒአር ጥሰቶች በጋራ ተጠያቂ ሊሆኑ ይችላሉ ማለት ነው።
ተግባራዊ መፍትሔ፡- የውሂብ ፍሰቶችን ካርታ ያውጡ እና መረጃው ለምን እና እንዴት እንደሚካሄድ የሚወስነው ማን እንደሆነ ይወስኑ። ይህንን በጽሑፍ ይመዝግቡ እና እያንዳንዱ ወገን ሚናውን እና ግዴታዎቹን መረዳቱን ያረጋግጡ።
3. የጠፋ ወይም በቂ ያልሆነ የውሂብ ማቀነባበሪያ ስምምነት (አንቀጽ 28 GDPR)
አደጋው፡- የግል መረጃዎችን በእርስዎ ምትክ እንዲያስተናግድ ፕሮሰሰርን ከቀጠሩ፣ በህግ የተጻፈ የውሂብ ማቀነባበሪያ ስምምነት (DPA) እንዲኖርዎት ይጠበቅብዎታል። ምንም አይነት ልዩነት የለም።
ኩባንያዎች ለምን እንደተሳሳቱ፡- በተለይም ከታመኑ ወይም ከረጅም ጊዜ በፊት ከነበሩ አጋሮች ጋር የወረቀት ስራውን ችላ ማለት ፈታኝ ነው። ነገር ግን ተገዢ የሆነ DPA ከሌለዎት ከመጀመሪያው ቀን ጀምሮ የአንቀጽ 28 GDPRን ጥሰዋል - ምንም እንኳን እውነተኛ ጉዳት ባይከሰትም።
ትክክለኛ የዲፒኤ የተወሰኑ የግዴታ አንቀጾችን ማካተት አለበት፡- የሂደቱ ርዕሰ ጉዳይ እና የሂደቱ ቆይታ፣ የሂደቱ ተፈጥሮ እና ዓላማ፣ የግል መረጃ አይነት፣ የውሂብ ተገዢዎች ምድቦች እና የተቆጣጣሪው ግዴታዎች እና መብቶች። እንዲሁም ንዑስ ሂደትን፣ የውሂብ ደህንነትን እና የጥሰት ማስታወቂያን መፍታት አለበት።
ሕጋዊ መሠረት ፡ አንቀጽ 28(3) GDPR የDPAን አስገዳጅ ይዘት ይዘረዝራል። አንቀጽ 28(4) GDPR ለንዑስ ፕሮሰሰሮች ግልጽ የሆነ ፈቃድ ይፈልጋል።
እውነተኛ ውጤት፡- ኤፒ በቂ DPAዎች የሌላቸውን ፕሮሰሰሮችን በማሳተፍ ድርጅቶችን ማዕቀብ ጥሏል። ፕሮሰሰሩ ራሱ ተገዢ ቢሆንም እንኳ ተቆጣጣሪው ተገቢውን ስምምነት ባለማድረግ አሁንም ሊቀጣ ይችላል።
ተግባራዊ መፍትሔ ፡ ሁሉንም የአንቀጽ 28(3) መስፈርቶች የሚሸፍን ደረጃውን የጠበቀ የዲፒኤ አብነት ይጠቀሙ። ነባር ስምምነቶች ከጂዲፒአር ጋር የሚጣጣሙ መሆናቸውን ለማረጋገጥ ይገምግሙ። የተፈረመ ዲፒኤ ከሌለ አዲስ ፕሮሰሰር አያስገቡ።
4. ከኢኢኤ ውጪ ወደ ሶስተኛው ሀገራት ህገወጥ ዝውውር (አንቀጽ 44-49 GDPR እና Schrems II)
አደጋው፡- የግል መረጃዎችን ከአውሮፓ የኢኮኖሚ ክልል (EEA) ውጭ ማስተላለፍ በእጅጉ የተገደበ ነው። ይህን ማድረግ የሚችሉት የመድረሻው ሀገር በቂ የሆነ የጥበቃ ደረጃ ካቀረበ ብቻ ነው - ወይም ተገቢ የሆኑ መከላከያዎችን ተግባራዊ ካደረጉ።
ኩባንያዎች ለምን እንደተሳሳቱ፦ ብዙ ንግዶች በዓለም አቀፍ ደረጃ የዝውውር ደንቦችን እያስነሱ እንደሆነ ሳይገነዘቡ በዩኤስ ወይም በእስያ የሚገኙ የደመና አገልግሎቶችን፣ የክፍያ ማቀነባበሪያዎችን ወይም የትንታኔ መሳሪያዎችን ይጠቀማሉ። ውልዎ ከአውሮፓ ህብረት አካል ጋር ቢሆንም እንኳ፣ መረጃው ከኢኢኤ ውጭ ከተከማቸ ወይም ከተደረሰበት የዝውውር ደንቦች ተፈጻሚ ይሆናሉ።
የሽሬምስ II ፍርድ (ጉዳይ C-311/18) የአውሮፓ ህብረት-አሜሪካ የግላዊነት ጋሻን ውድቅ አድርጎታል እንዲሁም መደበኛ የውል አንቀጾች (SCCs) ብቻ በቂ እንዳልሆኑ አጠናክሯል። እንዲሁም የመድረሻ ሀገር ህጎች በSCCs የተረጋገጠውን ጥበቃ ያዳክሙ እንደሆነ ለመገምገም የዝውውር ተጽዕኖ ግምገማ (TIA) ማካሄድ አለብዎት።
ሕጋዊ መሠረት፡- አንቀጽ 44–49 GDPR ዓለም አቀፍ ዝውውሮችን ያስተዳድራል። ምዕራፍ V GDPR በቂ ውሳኔዎችን (አንቀጽ 45) ወይም እንደ SCCs ያሉ ተገቢ መከላከያዎችን (አንቀጽ 46) ይፈልጋል።
እውነተኛ ውጤት፡- በቂ ጥበቃዎች ካልተሟሉ የኤፒ ኤጀንሲ ወደ ሶስተኛ አገሮች የውሂብ ዝውውርን እንዲያግዱ ወይም እንዲከለክሉ ሊያዝዝዎት ይችላል። ኩባንያዎች ከሽሬምስ II በኋላ የTIA ምርመራ ሳያደርጉ ወደ አሜሪካ ውሂብ በማስተላለፍ የማስፈጸሚያ እርምጃ እና የዝና ጉዳት ደርሶባቸዋል ።
ተግባራዊ መፍትሔ፡- በውሂብ ፍሰቶችዎ ውስጥ ያሉትን ሁሉንም የሶስተኛ ሀገር ዝውውሮች ይለዩ። በቂ ውሳኔ መኖሩን ያረጋግጡ። ካልሆነ፣ SCCዎችን ይተግብሩ እና TIA ያካሂዱ። አስፈላጊ ከሆነ ተጨማሪ እርምጃዎችን ይመዝግቡ (ለምሳሌ፣ ምስጠራ፣ የውሸት ስም ማውጣት)።
5. የውሂብ ጥበቃ ተጽዕኖ ግምገማ ማካሄድ አለመቻል (አንቀጽ 35 GDPR)
አደጋው ፡ የውሂብ መጋራት ለግለሰቦች መብቶች እና ነጻነቶች ከፍተኛ አደጋ ሊያስከትል በሚችልበት ጊዜ የውሂብ ጥበቃ ተጽዕኖ ግምገማ (DPIA) ግዴታ ነው። ይህም ልዩ የውሂብ ምድቦችን በስፋት ማቀነባበርን፣ ስልታዊ ክትትልን ወይም አዳዲስ ቴክኖሎጂዎችን መጠቀምን ያካትታል።
ኩባንያዎች ለምን እንደተሳሳቱ ፡ ብዙ ድርጅቶች DPIAዎችን እንደ አማራጭ ወይም ለ"ትላልቅ" ፕሮጀክቶች ብቻ ተገቢ አድርገው ይመለከቷቸዋል። እንደ እውነቱ ከሆነ፣ የጤና መረጃን ከሶስተኛ ወገን የትንታኔ መድረክ ጋር መጋራት፣ በAI የሚመሩ የመገለጫ መሳሪያዎችን ማሰማራት ወይም ከብዙ ምንጮች የተገኙ የውሂብ ስብስቦችን ማዋሃድ ሁሉም የዲፒአይኤ መስፈርትን ሊያስነሳ ይችላል።
የዲፒአይኤ (DPIA) የፈተና ሙከራ ብቻ አይደለም። አደጋዎችን ለመለየት፣ ክብደታቸውን ለመገምገም እና እነሱን ለመቀነስ የሚወሰዱ እርምጃዎችን ለመወሰን የተዋቀረ ሂደት ነው። የቀሩ አደጋዎች ከፍተኛ ሆነው ከቀጠሉ፣ ከመቀጠልዎ በፊት የኤፒ (AP) ማማከር አለብዎት።
የህግ መሰረት ፡ አንቀጽ 35 GDPR DPIAዎችን ለከፍተኛ አደጋ ሂደት ያዛል። AP DPIA መቼ እንደሚያስፈልግ መመሪያዎችን አውጥቷል።
እውነተኛው ዓለም ውጤት ፡ አስፈላጊ በሚሆንበት ጊዜ የዲፒአይ (DPIA) አለማድረግ ራሱ የጂዲፒአር ጥሰት ነው። ምንም እንኳን ትክክለኛ የውሂብ ጥሰት ባይከሰትም እንኳ ዲፒአይ (DPIA) ሳያጠናቅቁ ከፍተኛ አደጋ ያለው የውሂብ መጋራትን በመቀጠላቸው ድርጅቶችን ቀጥሯል።
ተግባራዊ መፍትሔ፡- ለDPIA ቀስቅሴዎች ሁሉንም የውሂብ መጋራት እንቅስቃሴዎችን ያጣሩ። ጥርጣሬ ሲኖርዎት አንዱን ያካሂዱ። የውሂብ ጥበቃ ኦፊሰርዎን (DPO) ያሳትፉ እና የግምገማ ሂደቱን በጥልቀት ይመዝግቡ።
6. ለመረጃ ጉዳዮች በቂ ያልሆነ መረጃ (አንቀጽ 13 እና 14 GDPR)
አደጋው ፡ ግልጽነት የጂዲፒአር (GDPR) ዋና መሠረት ነው። የግል መረጃዎችን በሚሰበስቡበት ወይም በሚያጋሩበት ጊዜ ሁሉ፣ መረጃቸውን የሚቀበሉት እነማን እንደሆኑ፣ ለምን ዓላማ እና በየትኛው ህጋዊ መሠረት እንደሆነ ለመረጃ ተገዢዎች ማሳወቅ አለብዎት።
ኩባንያዎች ለምን እንደተሳሳቱ፦ የግላዊነት ማስታወቂያዎች ብዙውን ጊዜ ግልጽ ያልሆኑ ወይም ጊዜ ያለፈባቸው ናቸው። እንደ “መረጃዎን ከታመኑ አጋሮች ጋር ልናጋራ እንችላለን” ያሉ ሐረጎች አያሳጥሩትም። የተቀባዮችን ምድቦች (ለምሳሌ፣ “የደመና ማስተናገጃ አቅራቢዎች”፣ “የግብይት ኤጀንሲዎች”) መግለጽ እና አስፈላጊ ከሆነም መሰየም አለብዎት።
መረጃ በተዘዋዋሪ ሲገኝ - ለምሳሌ፣ ከውሂብ ደላላ ወይም ከሌላ ተቆጣጣሪ - አንቀጽ 14 GDPR የውሂብ ምንጭን ጨምሮ ተጨማሪ የመረጃ ግዴታዎችን ያስገድዳል።
የሕግ መሠረት፡- አንቀጾች 13 እና 14 GDPR ለመረጃ ተገዢዎች መቅረብ ያለባቸውን መረጃዎች ይዘረዝራሉ። አንቀጽ 5(1)(ሀ) GDPR በሁሉም የሂደት እንቅስቃሴዎች ግልጽነትን ይጠይቃል።
እውነተኛ ውጤት፡- የኤፒ ኩባንያዎች መረጃዎቻቸው ለሶስተኛ ወገኖች እየተጋሩ መሆኑን ለግለሰቦች ባለማሳወቃቸው ምክንያት ማዕቀብ ጥሏል። መጋራቱ ራሱ ህጋዊ ቢሆንም እንኳ በቂ ያልሆነ ግልጽነት ራሱን የቻለ ጥሰት ነው።
ተግባራዊ መፍትሔ ፡ የውሂብ መጋራት ልምዶችን በግልጽ ለመግለጽ የግላዊነት ማስታወቂያዎችዎን ይገምግሙ እና ያዘምኑ። ማስታወቂያዎች በቀላሉ ተደራሽ እና በቀላል ቋንቋ የተጻፉ መሆናቸውን ያረጋግጡ። መረጃን ከአዳዲስ አጋሮች ጋር ሲያጋሩ፣ ማጋራቱ ከመጀመሩ በፊት ማስታወቂያዎችዎን ያዘምኑ።
7. የሐሰት የደህንነት ስሜትን እንደ ስም ማጥፋት
አደጋው ፡ የውሸት ስም ማጥፋት - ቀጥተኛ መለያዎችን በኮዶች ወይም በቶከኖች መተካት - በGDPR መሠረት እንደ የደህንነት እርምጃ ይበረታታል። ነገር ግን ውሂብን ስም-አልባ አያደርገውም። መረጃው አሁንም ከአንድ ግለሰብ ጋር ሊገናኝ የሚችል ከሆነ፣ የግል መረጃ ሆኖ ይቆያል እና ለGDPR ሙሉ ወሰን ተገዢ ነው።
ኩባንያዎች ለምን እንደተሳሳቱ፡- ንግዶች ብዙውን ጊዜ በሐሰት የተቀረጸ መረጃ ያለ ገደብ ለማጋራት “ደህንነቱ የተጠበቀ” ነው ብለው ያስባሉ። በተግባር፣ በሐሰት የተቀረጸ መረጃ አደጋን ብቻ ይቀንሳል፤ አያስወግደውም። ቁልፉን ወይም እንደገና ለይቶ ማወቅን የሚያነቃቁ ሌሎች የውሂብ ስብስቦችን ማግኘት ለሚችል አጋር የሐሰት የተቀረጸ መረጃ ካጋሩ፣ አሁንም የግል መረጃዎችን እያስኬዱ ነው።
የህግ መሰረት ፡ አንቀጽ 4(5) GDPR የስም ማጥፋትን ይገልፃል። ድግምት 26 GDPR የስም ማጥፋትን የተላበሰ መረጃ በእውነት ስም-አልባ ካልሆነ በስተቀር የግል መረጃ ሆኖ እንደሚቆይ ያብራራል (ማለትም፣ ዳግም መለየት በማንኛውም ምክንያታዊ መንገድ የማይቻል ነው)።
እውነተኛው ዓለም ውጤት፡- AP በመመሪያው መሠረት ስም ማጥፋት “ከእስር ቤት ነፃ መውጣት” ካርድ እንዳልሆነ ግልጽ አድርጓል። እንደገና መለየት የሚቻል ከሆነ፣ ሁሉም የጂዲፒአር ግዴታዎች ተፈጻሚ ይሆናሉ፣ ይህም ሕጋዊ መሠረት መኖርን፣ የዲፒአይኤዎችን ማካሄድን እና በቂ ደህንነትን ማረጋገጥን ያካትታል።
ተግባራዊ መፍትሔ፡- በባለሙያዎች የተረጋገጠ ጥብቅ የማንነት ማጉደል ሂደት ካላለፉ በስተቀር በስም-አልባነት የተቀረጸውን መረጃ እንደ የግል መረጃ ይቁጠሩት። እንደገና ማንነቱን ለመከላከል የሚያስችሉ ቴክኒካዊ እና ድርጅታዊ እርምጃዎችን ይመዝግቡ።
ተደጋግሞ የሚነሱ ጥያቄዎች
በGDPR ስር የውሂብ መጋራት የሚፈቀደው መቼ ነው?
የውሂብ መጋራት ህጋዊ የሚሆነው በአንቀጽ 6 GDPR መሠረት ትክክለኛ ህጋዊ መሰረት ካለዎት ብቻ ነው። ስድስቱ ህጋዊ መሰረቶች፡ ስምምነት፣ የውል አስፈላጊነት፣ የህግ ግዴታ፣ ወሳኝ ፍላጎቶች፣ የህዝብ ተግባር እና ህጋዊ ፍላጎቶች ናቸው። እንዲሁም የህግ፣ የፍትሃዊነት፣ ግልጽነት፣ የዓላማ ገደብ፣ የውሂብ መቀነስ፣ ትክክለኛነት፣ የማከማቻ ገደብ፣ ታማኝነት እና ሚስጥራዊነት መርሆዎችን ማክበር አለብዎት (አንቀጽ 5 GDPR)። በተግባር፣ ይህ ማለት ለምን ውሂብ እያጋሩ እንደሆነ በግልጽ መመዝገብ፣ ዓላማው መጀመሪያ ከሰበሰቡበት ምክንያት ጋር እንዲጣጣም ማረጋገጥ እና ስለ መጋራቱ የውሂብ ጉዳዮች ማሳወቅ ማለት ነው።
በመቆጣጠሪያ እና በፕሮሰሰር መካከል ያለው ልዩነት ምንድነው?
ተቆጣጣሪ የግል መረጃዎችን የማስኬድ ዓላማዎችን እና መንገዶችን ይወስናል። አንድ ፕሮሰሰር በተወሰኑ መመሪያዎች መሠረት በተቆጣጣሪው ስም ውሂብን ያካሂዳል። ይህ ልዩነት አስፈላጊ ነው ምክንያቱም ተቆጣጣሪዎች በዋናነት ለጂዲፒአር ተገዢነት ኃላፊነት የሚወስዱ ሲሆኑ፣ ፕሮሰሰሮች ደግሞ የበለጠ የተገደቡ ግዴታዎች አሏቸው (በዋነኝነት ደህንነትን እና ሚስጥራዊነትን ማረጋገጥ)። በመመሪያዎችዎ ላይ ከሚያስኬደው አቅራቢ ጋር ውሂብ እያጋሩ ከሆነ - ለምሳሌ የደመወዝ አቅራቢ ወይም የደመና ማከማቻ አገልግሎት - በተለምዶ ፕሮሰሰር ናቸው። እንዲሁም መረጃውን ለራሳቸው ዓላማ እንዴት እንደሚጠቀሙበት ከወሰኑ፣ (የጋራ) ተቆጣጣሪ ሊሆኑ ይችላሉ። የተሳሳተ መለያ መስጠት ሚናዎችን በተጠያቂነት እና ለጥሰቶች የጋራ ተጠያቂነት ክፍተቶችን ሊያስከትል ይችላል።
የውሂብ ማቀነባበሪያ ስምምነት (DPA) መቼ ግዴታ ነው?
የግል መረጃዎችን በእርስዎ ምትክ እንዲያስተናግድ ፕሮሰሰርን ሲያስገቡ DPA ግዴታ ነው (አንቀጽ 28 GDPR)። ይህ የድርጅትዎ መጠን ወይም የተሳተፈው የውሂብ መጠን ምንም ይሁን ምን ተፈጻሚ ይሆናል። DPA በጽሑፍ መሆን አለበት እና እንደ ርዕሰ ጉዳይ እና የሂደቱ ቆይታ፣ ተፈጥሮ እና ዓላማ፣ የውሂብ ዓይነቶች እና የውሂብ ተገዢዎች ምድቦች፣ እና የሁለቱም ወገኖች ደህንነት፣ የጥሰት ማሳወቂያ እና ንዑስ ሂደትን በተመለከተ ያሉ የተወሰኑ የግዴታ አንቀጾችን ማካተት አለበት። ተገዢ DPA ከሌለ፣ ፕሮሰሰሩ መስራት ከጀመረበት ጊዜ ጀምሮ ምንም ጉዳት ባይደርስብዎትም እንኳ ጥሰት ይደርስብዎታል።
የደንበኛ መረጃን ከአውሮፓ ህብረት ውጭ ላለ ወገን ማጋራት እችላለሁን?
አዎ፣ ግን ጥብቅ ሁኔታዎች ከተሟሉ ብቻ ነው። በአንቀጽ 44–49 GDPR መሠረት፣ የሚከተሉትን ካደረጉ ውሂብን ወደ ሶስተኛ ሀገር ማስተላለፍ ይችላሉ፦ (ሀ) የአውሮፓ ኮሚሽን ለዚያች ሀገር በቂ ውሳኔ ካወጣ፣ ወይም (ለ) እንደ መደበኛ የውል አንቀጾች (SCCs) ያሉ ተገቢ መከላከያዎችን ካስቀመጡ። የሽሬምስ II ፍርድን ተከትሎ፣ የመድረሻ ሀገር ህጎች (ለምሳሌ የመንግስት ክትትል) በSCCዎች የተረጋገጡትን ጥበቃ እያዳከሙ መሆኑን ለመገምገም የዝውውር ተጽዕኖ ግምገማ (TIA) ማካሄድ አለብዎት። አደጋዎች ከቀጠሉ፣ እንደ ምስጠራ ወይም የውሂብ መቀነስ ያሉ ተጨማሪ እርምጃዎችን መተግበር አለብዎት። በቂ መከላከያዎች ሳይኖሩ ማስተላለፎች በAP የዝውውር እገዳን ጨምሮ የማስፈጸሚያ እርምጃ ሊያስከትሉ ይችላሉ።
ለውሂብ መጋራት DPIA መቼ ያስፈልጋል?
በአንቀጽ 35 GDPR መሠረት DPIA ግዴታ ነው፣ ሂደቱ ለግለሰቦች መብቶች እና ነጻነቶች ከፍተኛ አደጋ ሊያስከትል ይችላል። ይህም የሚከተሉትን ያካትታል፡- ልዩ የውሂብ ምድቦችን (ለምሳሌ ጤና፣ ባዮሜትሪክ፣ የጄኔቲክ መረጃ) በስፋት ማቀነባበር፣ በሕዝብ ተደራሽ የሆኑ ቦታዎችን ስልታዊ ክትትል ማድረግ፣ በሕጋዊ ወይም በተመሳሳይ ጉልህ ተጽዕኖዎች አውቶማቲክ የውሳኔ አሰጣጥ እና አዳዲስ ቴክኖሎጂዎችን መጠቀም። ውሂብን ሲያጋሩ፣ የውሂብ ስብስቦችን እያጣመሩ፣ ሚስጥራዊ መረጃዎችን የሚያጋሩ ወይም መረጃውን ለመገለጫ ወይም በAI-ተኮር ትንታኔዎች የሚጠቀሙ ከሆነ DPIA ያስፈልጋል። AP DPIA የሚያስፈልጋቸው የሂደት ስራዎችን ዝርዝር አሳትሟል። ጥርጣሬ ካለዎት አንዱን ያካሂዱ - ከመጸጸት ይልቅ ደህንነትን መጠበቅ የተሻለ ነው።
ኩባንያዎች የ GDPR ጥሰት ሲፈጽሙ ምን ዓይነት ቅጣቶች ሊያጋጥሟቸው ይችላሉ?
የጂዲፒአር (GDPR) ሁለት የቅጣት ደረጃዎችን ይደነግጋል። ዝቅተኛው ደረጃ - እስከ 10 ሚሊዮን ዩሮ ወይም 2% የሚሆነው ዓለም አቀፍ ዓመታዊ የዝውውር መጠን - እንደ ተገቢ የደህንነት እርምጃዎችን አለመተግበር ወይም አስፈላጊ በሚሆንበት ጊዜ የዲፒአይ (DPIA) አለማካሄድ ባሉ ጥሰቶች ላይ ተፈጻሚ ይሆናል። ከፍተኛ ደረጃ - እስከ 20 ሚሊዮን ዩሮ ወይም 4% የሚሆነው ዓለም አቀፍ ዓመታዊ የዝውውር መጠን - ለበለጠ ከባድ ጥሰቶች ተፈጻሚ ይሆናል፣ ይህም ለሂደት ህጋዊ መሠረት አለመኖር፣ ሕገ-ወጥ ዓለም አቀፍ ዝውውሮችን ወይም የውሂብ ተገዢዎችን መብቶች መጣስን ጨምሮ። የኤፒ (AP) የቅጣቱን መጠን የሚወስነው የጥሰቱን ተፈጥሮ እና ክብደት፣ ሆን ተብሎም ይሁን በቸልተኝነት፣ የተጎዱ ግለሰቦችን ቁጥር እና የተወሰዱ ማናቸውንም የማቅጠኛ እርምጃዎችን ጨምሮ ባሉ ምክንያቶች ላይ በመመስረት ነው። የቅርብ ጊዜ አፈፃፀም እንደሚያሳየው ኤኤፒ በተለይም ለስርዓት ወይም ሆን ተብሎ ለሚፈጸሙ ጥሰቶች ከፍተኛ ቅጣቶችን ለመጣል ፈቃደኛ ነው።
በስም-አልባነት የተቀረጸ መረጃ ሁልጊዜ ማጋራት ደህንነቱ የተጠበቀ ነው?
አይ። የውሸት ስም ማጥፋት አደጋን ይቀንሳል ነገር ግን አያስወግደውም። በአንቀጽ 4(5) GDPR መሠረት፣ የውሸት ስም ማጥፋት ማለት ቀጥተኛ መለያዎችን (እንደ ስሞች ያሉ) በኮዶች ወይም በሐሰተኛ ስሞች መተካት ማለት ነው። ሆኖም፣ መረጃው አሁንም ከአንድ ግለሰብ ጋር ሊገናኝ የሚችል ከሆነ - ለምሳሌ፣ በእርስዎ ወይም በተቀባዩ የተያዘ ተጨማሪ መረጃ በመጠቀም - የግል መረጃ ሆኖ ይቆያል እና ሙሉ በሙሉ ለGDPR ተገዢ ነው። ይህ ማለት አሁንም ህጋዊ መሰረት ያስፈልግዎታል፣ የውሂብ ተገዢዎችን ማሳወቅ አለብዎት እና በቂ ደህንነት ማረጋገጥ አለብዎት ማለት ነው። እውነተኛ ማንነትን መደበቅ ብቻ - ዳግም መለየት በማንኛውም ምክንያታዊ መንገድ የማይቻል ከሆነ - ውሂብን ከGDPR ወሰን ያስወግዳል። በተግባር፣ እውነተኛ ማንነትን መደበቅ አስቸጋሪ እና የባለሙያ ማረጋገጫ ይፈልጋል።
ንግዴ ሕገ-ወጥ የውሂብ መጋራት ምክንያት የውሂብ ጥሰት ቢፈጽም ምን ማድረግ አለብኝ?
የግል መረጃ ጥሰት ካገኙ - ሕገ-ወጥ በሆነ የውሂብ መጋራት ምክንያት የተፈጠረን ጨምሮ - በአንቀጽ 33 GDPR መሠረት APን ለማሳወቅ 72 ሰዓታት አለዎት (ጥሰቱ የግለሰቦችን መብቶች እና ነፃነቶች አደጋ ላይ የሚጥል ካልሆነ በስተቀር)። ጥሰቱ ለእነሱ ከፍተኛ አደጋ ሊያስከትል የሚችል ከሆነም ያለአግባብ መዘግየት ለተጎዱ ግለሰቦች ማሳወቅ አለብዎት (አንቀጽ 34 GDPR)። አፋጣኝ እርምጃዎች የሚከተሉትን ያካትታሉ፡ ጥሰቱን መያዝ፣ ወሰን እና ተፅእኖውን መገምገም፣ ምን እንደተፈጠረ እና ስለሱ ምን እያደረጉ እንደሆነ መመዝገብ እና APን በመስመር ላይ ፖርታላቸው በኩል ማሳወቅ። ማሳወቅ አለመቻል የተለየ ቅጣት ሊያስከትል ይችላል። AP የጥሰቱን ክብደት እና ምላሽዎን መሰረት በማድረግ የማስፈጸሚያ እርምጃ አስፈላጊ መሆኑን ይገመግማል።
ንግድዎን ይጠብቁ—የባለሙያ የህግ መመሪያ ያግኙ
የውሂብ መጋራት የማይቀር ነው፣ ነገር ግን የጂዲፒአር ጥሰቶች መሆን የለባቸውም። ከላይ የተዘረዘሩት ሰባት አደጋዎች ቲዎሪቲካል አይደሉም - ከእውነተኛ የማስፈጸሚያ ጉዳዮች፣ ከፍርድ ቤት ፍርዶች እና ከቁጥጥር መመሪያዎች የተወሰዱ ናቸው። እያንዳንዳቸው ቅጣት፣ የተጠያቂነት ጥያቄዎች እና የዝና ጉዳት ሊያስከትሉ ይችላሉ።
መልካም ዜናው? በትክክለኛው የሕግ ማዕቀፍ፣ ግልጽ ሰነዶች እና ቅድመ-ጥንቃቄ የተገዢነት መለኪያዎች፣ ውሂብን በልበ ሙሉነት እና በሕጋዊ መንገድ ማጋራት ይችላሉ። ነገር ግን በትክክል ማግኘት ከአጠቃላይ ምክር የበለጠ ይጠይቃል - ንግድዎን፣ የውሂብ ፍሰቶችዎን እና የሚያጋጥሙዎትን የተወሰኑ አደጋዎች የሚረዳ ብጁ የሕግ ድጋፍ ይፈልጋል።
የኤፒ (AP) አገልግሎት እስኪመጣ ድረስ አትጠብቁ። የውሂብ መጋራት ልምዶችዎ ከጂዲፒአር (GDPR) ጋር የሚጣጣሙ መሆናቸውን እርግጠኛ ካልሆኑ ወይም የዲፒኤዎችን (DPAs) በማዘጋጀት፣ ዲፒአይዎችን በማካሄድ ወይም ዓለም አቀፍ ዝውውሮችን በማስተዳደር ላይ እገዛ የሚያስፈልግዎ ከሆነ፣ ልዩ የግላዊነት ጠበቃ ያነጋግሩ። ንግድዎ - እና ደንበኞችዎ - ከዚህ ያነሰ ዋጋ አይኖራቸውም።
