Datenschutz News

GROSSBRITANNIEN: ICO veröffentlicht Stellungnahme zum Gesetzentwurf über Datenschutz und digitale Informationen

Das Information Commissioner's Office (ICO) gab am 31. Mai 2023 über Linkedin bekannt, dass es seine schriftliche Stellungnahme zum Gesetzentwurf über Datenschutz und digitale Informationen (Nr. 2) veröffentlicht hat, nachdem der Informationsbeauftragte Anfang Mai 2023 im Unterhaus eine Stellungnahme zur Prüfung des Gesetzentwurfs abgegeben hatte. In der Stellungnahme werden insbesondere die mit dem Gesetzentwurf eingeführten Bestimmungen begrüßt und der konstruktive Dialog des ICO mit der Regierung im Hinblick auf die Fertigstellung des Gesetzentwurfs festgestellt. In diesem Zusammenhang enthält die Stellungnahme eine Zusammenfassung der Punkte, in denen der Gesetzesentwurf ihrer Meinung nach durch die Formulierung mehr Klarheit schaffen könnte oder in denen die bestehende Formulierung die politische Absicht nicht widerspiegelt (siehe Anhang 1).

Konkret werden in der Stellungnahme u.a. Änderungen an folgenden Punkten empfohlen

die Definition des Begriffs "personenbezogene Daten" in Paragraf 1 und insbesondere die Prüfung, wann eine Person durch einen Dritten identifizierbar ist, wobei darauf hingewiesen wird, dass die geänderte Definition des Begriffs "personenbezogene Daten" ein theoretisches Risiko für den Schutz der Privatsphäre darstellt;

die Bedingungen für die Einwilligung in die Verarbeitung zum Zwecke der wissenschaftlichen Forschung in Klausel 3;

der Wortlaut der Erläuterung in Bezug auf die Notwendigkeit, dass die für die Verarbeitung Verantwortlichen eine Rechtsgrundlage für die Weiterverarbeitung im Zusammenhang mit dem neu eingeführten Artikel 8A vorweisen müssen

die Formulierung im Zusammenhang mit schikanösen oder übermäßigen Anträgen von betroffenen Personen;

die Formulierung der Informationspflichten, wenn Organisationen Daten direkt bei den betroffenen Personen erhoben haben;

Klärung des Begriffs "automatisierte Entscheidungsfindung" in Klausel 11;

Klärung des Begriffs "Verarbeitung mit hohem Risiko" in Bezug auf die Aufbewahrungspflichten in Klausel 15;

Klärung der Unterscheidung zwischen der Entscheidung darüber, für welche Länder Angemessenheitsbestimmungen erlassen werden sollen, und der Entscheidung darüber, ob der Datenschutztest für ein solches Land gemäß den Datenübertragungsbestimmungen in Klausel 21 erfüllt ist; und

Klärung der Bestimmungen zum Direktmarketing für die Zwecke des demokratischen Engagements, insbesondere im Hinblick auf das Recht der betroffenen Person, dem Direktmarketing zu widersprechen.

GB, 31.05.2023

China: CAC veröffentlicht Richtlinien zur Aufzeichnung von Standardverträgen für den Export von personenbezogenen Daten

Am 30. Mai 2023 veröffentlichte die Cyberspace Administration of China (CAC) die Richtlinien für die Aufzeichnung von Standardverträgen für den Export personenbezogener Daten. In den Richtlinien wird klargestellt, dass Verarbeiter personenbezogener Daten durch Unterzeichnung eines Standardvertrags personenbezogene Daten ins Ausland liefern können, wenn sie die folgenden Anforderungen erfüllen:

Sie sind Betreiber einer nicht kritischen Informationsinfrastruktur (KII);

sie verarbeiten die personenbezogenen Daten von weniger als einer Million Personen;

seit dem 1. Januar des Vorjahres hat die kumulative Menge der im Ausland bereitgestellten personenbezogenen Daten 100.000 Personen nicht erreicht; und

seit dem 1. Januar des Vorjahres weniger als 10.000 sensible personenbezogene Daten ins Ausland übermittelt wurden.

Aufzeichnung des Standardvertrags

Die Richtlinien sehen vor, dass die Verarbeiter personenbezogener Daten bei der Einreichung des Standardvertrags folgende Unterlagen einreichen müssen:

eine Fotokopie der Bescheinigung über den einheitlichen Sozialkodex;

eine Fotokopie des Personalausweises des gesetzlichen Vertreters;

die unterzeichnete Vorlage einer Vollmacht;

das Verpflichtungsschreiben;

den Standardvertrag; und

eine ausgefüllte Folgenabschätzung zum Schutz personenbezogener Daten (PIPIA).

Die Leitlinien enthalten eine Vorlage für jedes der oben genannten Dokumente, einschließlich des erforderlichen Inhalts des PIPIA.

Erneutes Einreichen oder Ergänzen

In den Leitlinien wird darauf hingewiesen, dass das CAC-Büro der Provinz die Prüfung der eingereichten Unterlagen innerhalb von 15 Arbeitstagen abschließen wird. Sollte die Einreichung jedoch scheitern, kann von den Verarbeitern personenbezogener Daten verlangt werden, dass sie innerhalb von 10 Arbeitstagen zusätzliche Unterlagen einreichen.

Es kann auch Fälle geben, in denen ein Verarbeiter personenbezogener Daten die Auswirkungen auf den Schutz personenbezogener Daten neu bewerten und die entsprechenden Anmeldeverfahren des PIPIA durchführen oder den Standardvertrag neu abschließen muss. Dieses Szenario kann eintreten, wenn:

der Zweck, der Umfang, die Kategorie, der Grad der Sensibilität, die Methode, der Speicherort der im Ausland bereitgestellten personenbezogenen Daten oder der Zweck und die Methode der Verarbeitung personenbezogener Daten durch Empfänger im Ausland sich geändert haben oder der Zeitraum für die Speicherung personenbezogener Daten im Ausland verlängert wurde;

Änderungen der Richtlinien und Vorschriften zum Schutz personenbezogener Daten in dem Land oder der Region, in dem/der sich der Empfänger im Ausland befindet, können die Rechte und Interessen der betroffenen Personen beeinträchtigen; oder

andere Umstände, die sich auf die Rechte und Interessen der betroffenen Personen auswirken können.

Insbesondere sehen die Leitlinien vor, dass der Verarbeiter personenbezogener Daten, wenn er den Standardvertrag innerhalb seiner Gültigkeitsdauer ergänzt, die ergänzenden Unterlagen bei dem CAC-Büro in der Provinz, in der er ansässig ist, einreichen muss, und dass er den Standardvertrag erneut abschließen muss.

Schließlich treten die Richtlinien am 1. Juni 2023 in Kraft.

China, 30.05.2023

Südkorea: PIPC gründet Forschungsgruppe zur Nutzung biometrischer Daten

Am 31. Mai 2023 kündigte die Personal Information Protection Commission (PIPC) die Einrichtung einer neuen Forschungsgruppe mit Experten aus Wissenschaft und Industrie an, die sich mit biometrischen Daten und den Auswirkungen ihrer Nutzung auf die Menschenrechte befassen soll. Die PIPC merkte an, dass sie plant, die Echtzeit-Gesichtserkennungstechnologie auf der Grundlage der Ergebnisse der Arbeit der Forschungsgruppe zu regulieren und generell ein regulatorisches Umfeld zu schaffen, das die Grundrechte des Einzelnen vor der technologischen Entwicklung schützen kann, indem sie Maßnahmen zur Verbesserung der Gesetze zu diesem Zweck vorbereitet und sicherstellt, dass die Rechte der Betroffenen bei der Verwendung ihrer biometrischen Daten gewahrt werden.

Südkorea, 31.05.2023