Krajowa Komisja ds. Informatyki oraz Wolności (CNIL), czyli francuski organ nadzorczy w rozumieniu przepisów RODO, umieścił jakis czas temu na swojej stronie internetowej wskazówki dotyczące dopuszczalności przekazywania przez spółkę danych osobowych swoim partnerom biznesowym.
Treść dokumentu w języku francuskim, którego tłumaczenie przedstawiono poniżej jest dostępna tutaj: https://www.cnil.fr/fr/transmission-des-donnees-des-partenaires-commerciaux-ou-des-courtiers-de-donnees-quels-sont-les.
Przekazywanie danych partnerom biznesowym lub podmiotom handlującym danymi
– jakich reguł należy przestrzegać?
Wiele spółek zbierających dane bezpośrednio od osób, czy to za pomocą formularzy elektronicznych czy papierowych, przekazuje te informacje „partnerom biznesowym”, lub ujmując rzecz bardziej ogólnie, innym podmiotom. Takie przekazanie musi spełniać szereg warunków, głownie stawianych przez RODO, aby było zgodne z prawem oraz pozwalało osobom, których dane dotyczą zachować kontrolę nad ich danymi osobowymi.
Poszanowanie niżej wymienionych zasad może odbywać się w różnej formie, tak aby dostosować sposób zebrania zgody oraz udzielenia informacji do interfejsów oraz sposobów komunikacji wykorzystywanych przez każdą spółkę.
Tak więc :
- Osoba musi wyrazić swoją zgodę przed jakimkolwiek przekazaniem danych partnerom.
- Osoba musi być w stanie zidentyfikować partnerów – odbiorców danych – od momentu wypełnienia formularza za pomocą, którego zbierane są dane.
Można w szczególności zastosować następujące sposoby:
- enumeratywna, regularnie uaktualniana lista jest widoczna bezpośrednio na formularzu;
- w przypadku gdy lista jest zbyt długa można umieścić link do listy, jak również do polityk prywatności partnerów.
- Osoba musi być poinformowana o zmianach listy partnerów oraz w szczególności o pojawieniu się nowych partnerów.
Informacje te mogą być na przykład przekazane na dwóch poziomach, pozwalających na bardziej dokładne śledzenie cyklu życia danych oraz na bardziej skuteczne korzystanie z praw:
- każdy list lub wiadomość reklamowa otrzymana od spółki, która zebrała dane pozwala na uzyskanie dostępu do aktualnej listy jej partnerów;
- każdy nowy partner uzyskujący dane musi, podczas pierwszej komunikacji z osobą, do której wysyła wiadomość reklamową lub najpóźniej w terminie jednego miesiąca, poinformować ją o przetwarzaniu przez niego jej danych.
Informacja ta musi w szczególności zawierać: nazwę spółki, która przekazała dane partnerowi (spółka będąca źródłem danych lub która je zebrała), prawa osób, których dane dotyczą, w tym w szczególności prawo do wyrażenia sprzeciwu wobec przesyłania informacji reklamowych w imieniu nowego partnera.
- Zgoda zebrana przez spółkę zbierającą dane w imieniu swoich partnerów jest ważna jedynie w odniesieniu do tych partnerów.
Tak więc partnerzy nie mogą przesyłać uzyskanych informacji swoim własnym partnerom, bez uzyskania nowej zgody osób, która to zgoda jest świadoma, w szczególności w odniesieniu do tożsamości nowych podmiotów, które staną się odbiorcami danych (w szczególności adresy poczty elektronicznej). „Przekazanie” zgody nie jest możliwe.
- Partnerzy którzy zwracają się do osób, których dane dotyczą muszą przy pierwszym kontakcie wskazać możliwy sposób wykonania praw, w szczególności prawa do wyrażenia sprzeciwu, jak również poinformować o źródle lub pochodzeniu wykorzystywanych danych.
W jaki sposób skorzystać z prawa do sprzeciwu?
- bezpośrednio wobec nowego partnera;
- wobec spółki, która pierwotnie zebrała dane, która musi przekazać ten sprzeciw bezpośrednio swoim partnerom, którzy są odbiorcami danych.
Polecamy także:
