Hvad betyder at samle data i forhold til DSGVO? En af de vigtigste begreber inden for datalogistik

Behandlingen af data begynder allerede med at indsamle persondata. Dataindsamlingen er den tidligste mulige behandlingsaktivitet. Derved kan der allerede opstå en ansvarlighed efter DS-bekendtgørelsen samt mange pligter. Kun den, som indsamlere data, kan være ansvarlig. Men hvad betyder det at indsamle data?

Hvorfor er dataindsamlingen en vigtig begreb?

At hente data er det samme som at behandle data. Kun den, der behandler personlige oplysninger eller pådriver en anden til at gøre det, kan være ansvarlig (og ofte også hvis formål og middel bestemmes).

Den som er ansvarlig i forhold til DSGVO, skal følge de regler, der er fastlagt i DSGVO. Derfor er det meget vigtigt at vide, hvad Erheben von Daten betyder. Lovteksten til dataskyddsforskriften definerer her intet.

Følgende begreber bliver introduceret af mig til at forklare hvad der menes med indsamling af data:

• Adresse
• Indholdsfælde (i forhold til brevkasse eller puffer)
• Samle
• Afskedsannoncement

Sikker nu forbløder I over nogle af disse begreber i sammenhængen med dataindsamling. Især begrebet om Container, som jeg her introducerer, vil være nyttigt i dataskyddsområdet, hvis man undgår at tale om dokumentvernichting. De andre begreber kommer ikke (eller kun meget begrænset) til udtryk i lovgivningen af DSGVO. Måske er begrebet Kurtektaske bedre forståeligt, selvom det er for konkret og derfor uskarpt.

Denne artikel søger efter informationer, der er blevet bragt frem af en ansvarlig og ikke selvindsamlet af en ansvarlig person.

Afgrænsning.

Der forskel mellem Datenerhebung og Verantwortlichkeit følger herunder. Datenerhebung i sig selv er endnu ikke et kritisk Datenschutzproblem, men det bliver nok først, når en Verantwortung opstår. En Verantwortung igen kan kun være til stede, hvis der var en Datenerhebung. For ingen Datenerhebung at være ansvarlig er lig med ingen Verantworting.

Indledning

I Artikel 4, stk. 2 i DSGVO er datafremstilling defineret ved

[…] det Hæve, at opfange, organisere, ordne, gemme, tilpasse eller ændre, læse ud, spørge efter, bruge, offentliggøre ved overdragelse, udbredelse eller en anden form for tilgængelighed, sammenligne eller knytte sammen, begrænse, slette eller ødelægge

Begrebsdefinition af datalogi ifølge artikel 4, nr. 2 i GDPR.

I det engelske lovtexst vil ordet Samling (fra to collect) bruges til at samle.

I lovgrenslen finder man ingen definition af begrebet at hæve. Derfor måtte jeg skrive denne artikel for at give klarhed.

I dette indlæg skal kun opmålinger af persondata i den ikke-private sektor betragtes, der enten automatisk eller delvist automatisk foregår eller er lagret på en filsystem eller skal være lagret. Dette svarer til det område, som er reguleret af artikel 2 i DSGVO, udelukkende med undtagelse af de nævnte undtagelser i afsnit 2.

Dataindsamling er den første behandlingsaktivitet

Det falder op, at de aktiviteter, som indebærer en behandling, er nævnt i en ordnet rækkefølge. Ordenen består i, at den første nævnte aktivitet, hævdningen, er den tidligste mulige aktivitet vedrørende behandlingen og alle efterfølgende behandlingsprocesser indebærer.

De tre i loven nævnte aktiviteter, begrænsning, sletning og udskiftning, udelader jeg herunder, fordi det drejer sig om destruktive aktiviteter, der er mere positivt at vurdere fra dataskyddssynspunkt, da de reducerer eller fjerner ansvarlighed.

Aktiviteterne, som en databehandling indebærer, er efter Art. 4 Nr. 2 i tidsmæssig stigende rækkefølge, nemlig i den i loven nævnte rækkefølge:

1. Hæve, derefter først kan det
2. Følge efter, derefter følger det
3. Organisation muligt, lige så meget som det
4. Ordne, derefter (eller også uden organisation eller ordning) er det
5. Lagring muligt, derefter (eller i stedet for før lagringen) de
6. ændring, men først efter lagring af det
7. Aflede eller det
8. Spørge. Med eller uden lagring følger muligheden for
9. Brug eller den
10. Afsløring ved overdragelse, udbredelse eller en anden form for tilgængelighed, lige så meget som
11. Ligning eller sammenkobling.

Denne rækkefølge er derfor ikke tilfældig og kan heller ikke være tilfældig, da der er 11! (11 fakultet) muligheder for at opstille denne liste. 11! = 11 * 10 * 9 * 8 * 7 * 6 * 5 * 4 * 3 * 2 * 1 = 39.916.800, altså knap 40 millioner. Selv hvis man ser to af de elleve begrebspar som ligeværdige, er antallet af muligheder over 300.000. Sannelysheden for at listen kom til ved tilfælde ville være på 1/362.880 = 0,0000028.

Artikel 29 Arbejdsgruppen, Mening 3/2013 har også understreget, at indsamlingen af data er den første datalogiske aktivitet.

Lovgiveren har således helt tydeligt og uden nogen tvivl sat dato for en databehandling til at være begyndelsen på denne. Dette gøres også tydelig ved titlen på Artikel 13 i DSGVO: "Informationspligt ved høring af personlige oplysninger hos den berørte person".

Der høster data, behandler data. Dataindsamlingen er den tidligste mulige databehandling!

Konklusion ifølge artikel 4, nr. 2 i dataskutz-ordningen.

Indsamlingen af data finder sted før indsamlingen af data, som loven siger. Indsamle betyder ifølge Duden at samle sammen eller indsamle, hvilket også kan følges ud fra det engelske lovtekst (to collect).

Det tyske ord zusammentragen lyder først af alt lidt mærkeligt. Jeg har efter en del overvejelse lykkes med at forstå og bekræfte begrebet.

At hente data kræver en modtageradresse.

Min erkendelse til definitionen af begrebet dataindsamling.

En dataindsamling kan kun finde sted, hvis en adresse er nævnt, hvor en person kan sende en besked til. Fra adresse kan overraskende nok begrebet af at indsamle blive trukket frem! Som vist viser det ikke engang behøver adresse være den af en rigtig modtager, men kan være den af hvem som helst.

Indsamlingen af data sker således efter modtagelsen og før optagelsen (recording).

En adresse implikere en Samlebæger. Dette synes endnu mere beundrende. Jeg føler, at denne erkendelse giver mig en vis tilfredsstillelse, da denne slags afledning ikke kan findes andre steder.

En beholder bliver i engelsk, men også i informatikken, kaldet Kontainer eller Collection. Den programmeringssprog Java kender begrebet af Collection og Containers også.

Eksempler på adresser med oplysning om tilhørende beholder er:

• Postadresse: Postboks
• E-mail adresse: Indgangsportal (præcist: indgangsportalen-server)
• IP-adresse ved besøg af en hjemmeside: Serverens hukommelse
• Personlig underholdning: Hovedet af tilhøreren (Hukommelsen)
• Telefonnummer/Telefonat: dito
• Telefonnummer/Aftenboks: "Bånd"-optagelse (nu mest digital)

En adresse er en beholder, der kan nås via en unik identifikation, hvor indholdet kan åbnes for modtageren.

Min definition af adresse i forhold til GDPR.

En død brevpost, der (hvorfor også helst) objektivt ikke kan ledes ud af nogen, er ingen adresse i denne forstand. Muligheden for at få kendskab til beskeder eksisterer her ikke. Der findes i informatikken det Tomme apparat som "virtuelt udgivningsapparat", "der alt, hvad der skrives til den, glemmer" (Kilde: Wikipedia, hvis udtalelse jeg som datalog kan bekræfte). Nullgerät kaldes også for NUL-mål og er ingen adresse i forstand af DSGVO, da det næsten umuligt er at få kendskab til modtagne beskeder.

En særlig situation er en adresse med en container, der kun kan modtage én besked ad gangen. Hvis den ikke bliver tom i tide, går beskeder tabt. Dette er også muligt ved enhver container med højere beskedskapacitet. Fra praksis er det sikkert kendt problemet med en fuld e-mail-postboks, der ikke kan modtage flere beskeder indtil den bliver tom. At modtage flere beskeder er således ikke muligt, fordi blot at modtage var umuligt.

Der Sammelbegreb (i beholderen) betyder først og fremmest blot en midlertidig opbevaring, ikke lagring eller fastholdende opbevaring. At en fastholdende opbevaring er mulig ved nogle beholdere, står dette ikke imod (eksempel: e-mail-postkasse).

Dataindsamling er muligheden for en modtager at få kendskab til en meddelelse, der er sendt til en adresse.

Min definition af begrebet dataindsamling skal gælde. Artikel 2, stk. 1 i dataskutzloven (DSGVO) skal være på udsigt.

En datinsamling betyder således mulig kendelse af en meddelelse, der er sendt til en adresse. Den faktiske kendelse kan også automatisk ske (det står også i Artikel 4 § 2 DSGVO), f.eks. ved hjælp af en server, der tilbyder en hjemmeside. Kendelsen sker gennem en modtager. Databehandling skal således efter Artikel 2 § 1 DSGVO finde sted.

Muligvis kendskab til data bliver i DSGVO registreret med begrebet Modtager, der i Art. 4 Nr. 9 defineres. En Empfänger er således en naturlig eller juridisk person, hvis persondata offentliggøres.

Forskellighed til at modtage data

Indsamlingen af data er en senere proces end modtagelsen af data. Et synonym for modtage er modtage (få). Afsendelsen i postens betydning er sket, når en besked korrekt er ankommet til en rigtig adresse, altså dedikeret modtaget blev.

En Briefkasse modtager således beskeder. Disse regnes i øjeblikket som modtaget eller modtaget og i øjeblikket af at blive taget ud af briefkassen som hævet. Hvis briefkassen er fuld, ville både modtagelsen og hævelsen af beskeden være umulige (uden forladt, at en postbod kunne overrække brevet personligt o.s.v.). Hvis et brev kommer til en forkert adresse, f.eks. på grund af en fejl fra postbudets side, har ejeren af briefkassen modtaget beskeden, men ikke hævet den.

En postboks, hvis indhold kun håndteres manuelt og ikke er gemt i et filsystem eller skal være det, falder uden for betragtning. Se art. 2 § 1 DSGVO. Nogle virksomheder bruger dog især scannere til at automatisk behandle alle post. I så fald ville indholdet af postboksen i disse virksomheder være omfattet af DSGVO. Det samme gælder også, hvis man bruger data i en e-mail eller sender data ved hjælp af en e-mail, hvilket svarer til at automatisk gemme data i et filsystem.

Et Indleveringsbevis bekræfter modtagelsen eller opkrævlingen, også rettensgivende, hvis brevet er sendt til den rigtige adresse og i en ordentlig stand, og mottageren faktisk kunne have fået kendskab til beskeden. Dato for levering af posten er det dato, som Posten har fastsat for at brevet blev lagt i mottagers postboks (eller delvis overgivet til mottageren personligt, hvilket ville være et skridt videre). Hvis en ordentlig indleveret Einschreiben direkte efter og påvist uden skyld af modtageren er stjålet fra postkassen af en tyv, så ligger der i sidste ende ingen opkrævling ved modtageren, fordi han ikke kunne have fået kendskab til beskeden.

Med hensyn til indleveringsbeviset bliver det pligt tydeligt, der en intentionel modtager har. En sådan modtager er faktisk forpliget til at lede sin brevkasse regelmæssigt (såfremt dette er tilladt, ville jeg sige). Hvis nogen modtager en advarsel, kan de påpege, at de ikke har ledt deres brevkasse i syv dage, fordi vejrforholdene var dårlige. Denne pligt følger dog ikke af GDPR, men muligvis af andre lovgivning, som jeg dog endnu ikke har fundet ud af og som det tyder på, at der heller ikke eksisterer. Retssagernes afgørelser og juristers udtalelser lader dog til at føre til denne pligt.

Meddelelse af en besked

Først, når en besked er taget ud af postkassen, kommer den til kendskab. Ved tomme postkasser fra modtageren bliver det straks tydeligt. Ved beholdere som Hovedet finder denne proces implicit sted.

En beholder tjener til at samle objekter sammen.

Min definition af begrebet "behåndlere" i forhold til dataskydd er data som objekter

Til beholdere (teknisk: Container) som hovedmindehuset på en Server til en hjemmeside finder processen med at blive opmærksom på en besked for den almindelige bruger implicit, men ud fra teknisk synspunkt eksplizit sted (serveren var blevet programmeret til det). En server med kun én indgående netværkstilførsel kan kun behandle et signal samtidigt. Behandlingen tager normalt længere tid end overbringen. Sådan at ingen signaler (= beskeder eller anmodninger) går tabt, puffrer en server indgående signaler, til den kan afhandle dem. En puffer er en beholdere.

Hvis en server er overlastet og må afvise en forespørgsel, var det faktisk ikke muligt at opfatte dette. Dette omfatter dog også, at forespørgslen kunne være blevet afvist på grund af tekniske årsager, nemlig på grund af begrænsningerne i hardwaren og ikke først på grund af softwaremæssige blokeringer.

Hvem er ansvarlig ifølge DSGVO?

Den blotte opsamling af data gør endnu ikke noget. Du skal også være ansvarlig for at samle data, så der kan opstå pligter ud fra det.

Ansvarlig i forhold til GDPR (Art. 4 Nr. 7) er, hvem "sammen eller alene bestemmer over formål og midler for behandling af personlige oplysninger". Hvem også personlige oplysninger indsamler til et givet formål og med fastsatte midler, er især ansvarlig i henhold til GDPR og skal ifølge Art. 13 GDPR give den pårørte person informationer.

Den begreb Zweck kunne man også definere med det begreb Afskedsannoncement. Begrebet Angebot skal forstås i videst mulige forstand og er her valgt af mig, fordi Zweck er et ret abstrakt begreb. Et tilbud kan være en informations-tilbud, en service og lignende.

En ansvarlighed opstår først på grund af et tilbud.

Min konklusion (til en virkelig ansvarlighed skal flere betingelser indtræde)

Ohne tilbud finder ingen ansvarlighed sted. Sender nogen uinvited deres sygejournal, som lander i dine hænder, finder der (sandsynligvis) en dataindsamling sted, men du er ikke ansvarlig for det.

Er du læge og beder en patient om at sende dig hans klinikrapporter, indsamler din praksis data, så snart din praksis modtager patientens klinikrapporter og disse kan nå en person i din praksis.

Hvis en ansvarlighed også uden tilbud var mulig, kunne hverken en anden gøre nogen til ansvarlig imod deres vilje.

Ansvar for opførte, men ikke tilkendte data

Har nogen oprettet en database og har endnu ikke fået indsigt i dataene, står der spørgsmålet om faktisk ansvarlighed. Har nogen således på grund af sin tilbudt modtaget en besked i sin postboks og er kommet denne breve uden at have oprettet indsigt i indholdet af brevet, til tredje part, er han derfor ansvarlig? Det kommer an på. Jeg gætter, at her spiller Sorgfaldspflicht og andre juridiske forpliktelser en rolle. Hvis nogen ikke lukker sin postboks, er han ifølge min mening dataskyddsforskriftens ansvarlig, hvis tredje part uden tilladelse tager indholdet af postkassen til sig selv.

Data, der ikke er nået til ansvarligens og andre, men blev samlet af ansvarligens uden at være i besiddelse af, opstår først ingen problemer, men forpliklinger. En dataejer kan dog kræve slettning, hvilket således skal gennemføres, at ansvarligens må få kendsgerning om de samlede data, for derefter at kunne slette dem ordentligt uden at skade andre data.

Lignende forhold gælder også for data, der gemmes på en varig måde, men ikke behandles eller videregives til andre. Dette skaber ingen problematik, men en pligt, f.eks. en sorgfaldspligt. Et ønske om at slette ville være muligt med en forkortet proces, da den første kendsgerning allerede var sket.

Den der tredje beskikker selv samlede men ikke tilgåede data videre at give, er også ansvarlig for det.

Kan ikke automatisk og ikke i et filsystem indsamlede data kun være kendskab, opstår spørgsmålet, om en kendskab faktisk var mulig og om derefter en automatisk behandling eller en lagring i et filsystem var planlagt. Hvis dette var planlagt, siger jeg, at en dataindsamling også uden kendskabsbesvarelse forekommer.

Eksempel på dataindsamling: hjemmeside

En hjemmeside er et tilbud, der bestemmer formålet gennem indholdet. Det bliver leveret ved hjælp af internettets og andre tekniske forudsætninger (HTML o.s.v.). I Artikel 8 § 1 DSGVO nævnes tilbudsbegrebet overhovedet også (og det første gang) med henblik på leveringen af elektroniske tjenester, hvilket også gælder hjemmesider.

Som hjemmeside forstås her en offentligt tilgængelig internetpræsenz. En præsenz med adgangskode er et andet tilfælde. Adgangskodesikringen skal dog ske direkte på server-niveau, så det ikke er det samme som en offentligt tilgængelig hjemmeside. Dette kan gøres ved hjælp af en direktiv i den såkaldte .htaccess -fil.

Den IP-adresse er et personrelateret data. Ved hver gang en hjemmeside bliver tilkaldt, bliver IP-adressen af tilkalderen overført til serveren, der leverer hjemmesiden, på grund af internets standard TCP (Transmission Control Protocol). Dermed gælder DSGVO for hver offentlig tilgængelige hjemmeside.

Der følger en ansvarlighed fremgår ifølge Art. 4 Nr. 7 DSGVO, fordi

1. En dataindsamling finder sted (se ovenover)
2. Personlige data indsamles (nemlig mindst IP-adresser)
3. Formålet givess til (tilbud over indholdet på hjemmesiden)
4. Middelene bestemmes (Internettet m.v.)

Hver offentlig tilgængelige hjemmeside, der har en bestemt formål, skal have en persondatapolitik

Grund: For sådanne websteder findes en ansvarlighed ifølge artikel 4, nr. 7 i dataskyddsforskriften (DSGVO)

Derfor skal hver offentlige tilgængelige hjemmeside vise en Persondatapolitik. Den eneste mulige undtagelse kunne være en hjemmeside, der ikke udgør et tilbud, altså en hjemmeside, der for eksempel er tom og uden indhold. Men selv en Landings-side af en tilgængelig webadresse, som ofte i få ord fortæller besøgende hjemmesiden til salg, udgør et tydeligt tilbud. En Web-Visitenkarte er også et tilbud. Hvis det ikke var, hvorfor er den så der? Slet ikke en tom hjemmeside med Impressum regnes som et tilbud, bortset fra hvis Impressum blev vist på grund af en overtrofasthed. Enten er Impressum vist efter § 5 TMG, hvilket indebærer, at der ligger et erhvervsmæssigt tilbud for. Eller Impressum er vist efter §18 MStV, hvilket indebærer, at der ligger et informationsangebod for. Eller begge (det er den mest almindelige situation).

Eksempel på dataindsamling: e-mail kommunikation

Der er flere tilfælde at skelne mellem, fx:

1. E-mail-adgang i imprint på en hjemmeside: I tilbyder at man kan skrive til jer (i dette tilfælde, fordi I er efter § 5 TMG eller § 18 MStV tvunget til det). Nogen bruger dette til en almindelig anmodning via e-mail, og ikke ud fra juridiske årsager
2. Almindeligt kontaktformular: I tilfælde af, at du har et sådant på din hjemmeside, bliver en person, der bruger det til en almindelig anmodning, sendt en e-mail i baggrunden
3. E-mail-adgang som kontaktmulighed ved behov for rådgivning: De tilbyder at man skriver til dem. Nogen bruger dette, fordi han ønsker at tage imod deres rådgivningsbudskab
4. Kontaktformulær ved behov for rådgivning: De tilbyder et sådant på deres hjemmeside. Nogen bruger dette, fordi han vil være bevidst om dit rådgivningsbud. Baggrundsendt en e-mail til dem
5. Nogen har ringet til jer. De beder ham om at sende noget til den mailadresse, der står på jeres hjemmeside, f.eks. hans kontaktinformationer, så I kan sende en offerter via e-mail

I alle tilfælde ligger en dataindsamling for. Faldene 1 og 2 præsenterer dog ikke (tydeligt) et tilbud, da ingen bestemt formål føres (ved retlige sammenstød, der er opstået via en kontakt i imprint, må dette være anderledes). Faldene 3 til 5 præsenterer imidlertid et tilbud med et bestemt formål.

Fra blot en dataindsamling følger der ikke nogen forpligtelse!

Forpligtelsen opstår først, når yderligere forudsætninger er til stede

Fra en dataindsamling følger der sig selv ingen forpligtelse. I stedet skal du være ansvarlig for dataindsamlingen, så at forpligtelser for dig efter DSGVO opstår.

I forhold til ovennævnte e-mail-kommunikationsfald betyder dette konkrete:

• Efteråret 1, at angive en e-mail-adresse til almindelig kontakt, har ingen bestemt formål. Fra en herom modtaget mail uden forudgående opfordring følger ingen ansvarlighed. Det ville være ligesom hvis nogen tog dine e-mail adresse (eller din postadresse) fra et register eller telefonbog og kontaktede dig
• Efteråret 2, det almindelige kontaktformulær (uden valg eller forudbestemmelse af en sag), har ingen bestemt formål. Fra en herom modtaget uopfordret besked (per e-mail eller på anden måde) opstår ikke nogen ansvarlighed
• Høsten 3, at angive en e-mail-adresse til formål af at tilbyde rådgivning (rådgiftningsbud), betyder det opstår en ansvarlighed
• At tilbyde rådgivning ved hjælp af et kontaktformulær i efteråret 4 betyder at opstå med en ansvarlighed
• Efteråret 5, at bede om, at nogen sender dig en personlig information, betyder det opstår af en ansvarlighed. Her giver du tilbudet af at tage sig af noget.

I tilfælde 1 og 2 skal du bestemme midlerne, men ikke formålet. I tilfælde 3-5 skal du bestemme både midlerne og formålet, og er derfor ansvarlig derved. Til kontaktformularen kræves regelmæssigt en enkeltstående vurdering for at afgøre, om der i virkeligheden findes et tilbud eller en tilsvarende til angivelse af en e-mail-adresse til almindelig kontakt (bedst uden fremme af handelsinteresser). Det er dog ikke en spørgsmål vedr. persondata, men andet.

Hvis man uden at blive spurgt modtager personlige oplysninger, bør man slette disse oplysninger for at udelukke en mulig ansvarlighed. Eksempelvis kunne en datafejl ellers føre til yderligere problemer (om dette er tilfældet, må det vurderes i hverkædne situation).

En ansvarlig person er eller har været modtager

Kun den, der modtager af data er eller har været eller har pålagt en tredje part at modtage data, kan blive ansvarlig. I Erwägungsgründe 31, 61, 68 DSGVO samt i Art. 14 Abs. 3 c DSGVO finder man for disse beviser selv logiske konsekvenser.

Kun hvem der har været eller er modtager af data eller (senere) har igangsættet modtagelse hos andre, kan blive ansvarlig.

Logisk slutning fra lovgivende tekst i GDPR

Det faktum, at der modtagerrolle findes hos den ansvarlige eller på initiativ af den ansvarlige, kan også begrundes i, at det kun er muligt at samle data (to collect), hvis der allerede er data til at samle. Disse data falder ikke fra himlen og bliver heller ikke opnået ved at kombinere andre data, som den liste i Art. 4 Nr. 2 DSGVO omkring databehandling klart udtrykker. Også de udtalelser i DSGVO om overdragelse af persondata til tredjeland uden tilstrækkelig niveau for dataskydd viser, at en overdragelse er nødvendig, så et databehandlingsforløb kan begynde og ansvarlighed kan opstå. En overdragelse kræver dog en modtager.

Den europæiske Domstol har i afgørelsen af 16. juli 2020 (sag C-311/18, §83) klart gjort, at "overførslen af persondata fra et medlemsland til et tredje land er som sådan en behandling af persondata ifølge artikel 4, stk. 2 i dataskutzordningen".

Indbyrdes afholdelse af en reception ved en ansvarlig person

Din huslege beder dig om at sende dine røntgenbilleder, som du har fået i klinikken. Han giver dig en forkert adresse. Du sender dine data til denne forkerte adresse. Din læge er ikke modtager af dataene, men har arrangeret, at andre modtager dem. Han er ansvarlig for opsamlingen af data (hos andre).

Uden at have kontakt til den pårørte person kan også en ansvarlighed opstå: En annoncerer sine tjenester på et plakat, hvor han opfordrer til at sende data. Mottagernes adresse er angivet forkert, men det drejer sig om en adresse til en tredje part. Den ansvarlige for plakaten bliver ansvarlig for de data, der er indsamlet hos en anden modtager uden først at have haft kontakt med den pårørte person. Ansvarlige vedkender ikke engang dataene fra den pårørte person og vil måske aldrig komme til at kende dem.

I dette artikel bliver tilfælde som disse i hovedsagen udelukket af enkelhedens skyld. Derfor taler man kun om modtageren af data. Ved eksterne links gør det dog forskel, hvilken grund derfor senere vil beskrives mere detaljeret.

Fælles ansvar

Modtager nogen data, fordi en anden har sendt dem disse, kan en fælles ansvarlighed opstå. Dette fremgår af EuGH-aflønningen fra 29.07.2019 – C-40/17 ("Fashion ID"). EuGH-aflønningen behandler Facebook-pluginget. At indsætte et plugin på en hjemmeside betyder teknisk, at både hjemmesidens ejer og Facebook modtager samme data fra brugere (kan). Kun når en bruger klikker på en af pluginet tilførte link eller knap, der fører til Facebook, kan Facebook hente flere data, som er i årsagssammenhæng med den oprindelige dataindsamling.

Hvad det at vide af en ansvarlig person om datafremstilling ved en tredje part, der modtager data fra den ansvarlige, har for udløsning blevet diskuteret i Fashion-ID-dommen (se nedenfor, RN. 77). Dette mente sikkert: Indlæser nogen et plugin på sin hjemmeside og ved, at besøgende-data (mindst IP-adressen) fra plugin-ejer udvurderes, er han ansvarlig for dette. Det er især til at antage, hvis data-mottageren er en internetvirksomhed, der har sit erhvervsgrundlag i at udvinde data.

Som modtager skal der således muligvis forstås en Gruppe af aktører, hvis en ansvarlig person overdrager data til en anden ansvarlig person.

Inden for dette tidspunkt kan Facebook dog sammenligne data, som Facebook har fået fra brugeren før, med de nye data. Denne sammenligning sker ifølge EU-domstolens afgørelse kun i Facebooks ansvar (da Facebook selv modtager en del af de sammenlignede data). Den måde at behandle data på, som kun foregår i Facebook og uden direkte instruks fra hjemmesiden ejer, har også kun Facebook til ansvar, som EU-domstolen klart fastslog (f.eks. Rn. 85 af dommen). Men det er muligvis kun rigtigt, hvis hjemmesiden ejer ikke wissentlich af denne sammenligning har profit.

Der må have været modtaget data, før en ansvarlighed kan opstå. Hvis flere selskaber er nævnt på en hjemmeside som fælles ansvarlige, er det nok, hvis én af disse ansvarlige har modtaget data, så de andre, der er nævnt som fælles ansvarlige, også er med til at være ansvarlige. Her kan der ikke være tale om en rigtig, men en logisk modtagelse af data. I hvert fald har en Gruppe fælles ansvarlige (fælles) modtaget data. En modtagelse gennem én i gruppen betyder samtidigt quasi en modtagelse gennem alle i gruppen ved opklaring af spørgsmålet om ansvarlighed i det ydre forhold.

Gruppen af fælles ansvarlige er udenfor en enhed, hvor man kan vælge at trække sig tilbage med én eller alle sammen. Det gælder i hvert fald for advarselsskriverier, så vidt jeg ved. I Indvortesforhold mag det være relevant til at afgøre en skuldspørgsmål mellem medlemmerne af gruppen, hvem (som den eneste) i gruppen af ansvarlige har modtaget eller indsamlet dataene, således at en intern skuldregning kan finde sted, der ikke må interessere en person udenfor gruppen.

Opstår en ansvarlighed ved at indflette eksterne billeder?

Tilfører en hjemmeside et billede fra en tredje adresse, overføres personlige data af besøgende på hjemmesiden til den tredje, på initiativ af hjemmesidens ejer.

Webstedets ejer (eller den ansvarlige for websiden, der ofte er samme person) er således ansvarlig for at integrere det eksterne billede. Her drejer det sig kun om helt almindelige, statiske billeder fra en tredje part, ikke om Zählpixel o.lign. Den tredje part ved i dette eksempel heller ikke noget om sit held og tilbyder heller ikke nogen service, når billedet integreres.

Ansvarlig for at integrere et ekstern billede skal enten vise en AVV overfor den tredje part eller være ansvarlig efter Artikel 5 §1 c DSGVO (princippet om dataminimale). Der er ingen retfærdiggørelse for at integrere et statisk billede eksternt, da lokale integration ikke er mulig eller ikke kan accepteres.

Billederne skal derfor altid lokalt være integreret. I hvert fald skal man iagttage urheberretten.

Opstår en ansvarlighed ved at sætte eksterne links?

Er en linkgiver, altså nogen, der på sin hjemmeside sætter en link til en tredjeparts hjemmeside, for denne link dataskyddsforskriftligt ansvarlig?

I første omgang skal det fastslås, at en dataoverførsel fra linkgiver til linkmål ikke finder sted på teknisk plan. Den finder sted i brugerens browser og sker på eget initiativ af brugeren, fordi denne selv har klikket på linken. Faldet, hvor et link skal klikkes "på kommando", f.eks. som en del af en bestillingsproces, skal her udelukkes i interesse af enkelthed.

Linkgiveren modtager i hvert fald ikke samme data, når han åbner sin postkasse (skab). Han opsamler derfor ingen data på grund af klik på en link. Udelukket herfra er tilfældet, hvor linkgiveren meget vel kunne følge klik på links ved hjælp af Google Analytics eller egne JavaScript-logikker. Dette tilfælde ville rejse andre spørgsmål, der mindre har med eksterne links at gøre og mere med at følge brugere (vgl. Art. 5 Abs. 1 c DSGVO eller § 15 Abs. 3 TMG).

Linkgiveren bestemmer formålet og midlerne for den eksterne link. Linkgiveren arrangerer modtagelsen af persondata ved linkmålet. Derfor er linkgiveren ansvarlig.

Linkmålet modtager udelukkende teknisk nødvendige data ved klik på linket, som linkgiveren tilbyder gennem en person. Antages der er, at linkgiveren står ikke i nogen erhvervs- eller anden kontraktsmæssig forbindelse til linkmålet og heller ikke kender den ansvarlige bagved linkmålet.

Målsætningen er selv ansvarlig for dataindsamling vedrørende sig selv, og der følger ikke en fælles ansvarlighed med. Dette har også EU-domstolen fastlagt i o.g. afgørelsen Fashion ID.

Kilden er derfor ansvarlig, men i sidste ende for ingenting. Null gange med ansvarlighed giver null. I den højeste grad eksisterer der (i de aller flest tilfæle) en teoretisk, men ikke en faktisk ansvarlighed hos linkgiveren.

Og Anders mag det godt se ud på Links til adresser, der indebærer en dataoverførsel til et usikkert tredjeland. Her spiller Art. 44 DSGVO en rolle, som især efter Privacy Shield afgørelsen ("Schrems II") er relevant blevet. Jeg går ud fra, at brugeren ved klik på en synlig ekstern link har givet sin samtykke til eventuelle eksisterende risici, hvis han først fik mulighed for at blive informeret om det. Uden dette informationsbudskab fra den ansvarlige ville der være tale om en yderligere ansvarlighed, som jeg her ikke kan diskutere videre.

Spørgsmålet om hvordan det ser ud, når linkgiveren står i forbindelse med linkmålet, f.eks. gennem en aftale, skal her ikke videregås. Denne situation er desuden også meget sjælden, sammenlignet med den overordnede del af eksterne links, hvor der ikke findes nogen aftalsmæssig o.lign. forbindelse mellem linkgiver og linkmål.

At sætte links til ulovlige indhold eller til indhold, der kunne føre til problemer ved indrejse i USA, er snarere et indholdsmæssigt problem (§ 7 TMG?).

Når opstår en gensidig ansvarlighed?

Begrebet om gensidig ansvar er indført af mig og kun til hjælp. Gensidig ansvar skal her betyde, at to personer kommunikerer med hinanden og hver især sender en besked som svar på den foregående besked fra den anden.

Spørgsmålet om den fælles ansvarighed er egentlig allerede besvaret eller kan være det ved ovenstående, men skal blot til forklaringen illustreres med et eksempel.

Nogen sender en mail til dig i din rolle som privatperson uden at du er blevet bedt om det. Du svarer. I dit svar indeholder din private adresse, selvom du ikke var blevet bedt om det (i stedet er din private adresse en automatisk indføjet signatur, der er en del af hver mail).

I første omgang er du ikke ansvarlig i henhold til GDPR for den uopfordrede e-mail, du har modtaget. Du har kun indsamlet data, men har ikke budt om at du ville modtage beskeden. Du følger heller ikke en formål med dette, så nogen sender dig en uopfordret besked.

Modtageren af jeres svar opbevarer dine data. Han er ansvarlig for de personlige data, som han har bedt om at få. Han er ikke først og fremmest ansvarlig for de data, du uden invitation og uden sammenhæng til hans anmodning sender ham. Om dele af en svar kunne være i sammenhæng med en anmodning, selvom man ikke er blevet spurgt om det, skal hver gang vurderes. Eksempelvis kan en e-mail-signatur være pålagt (f.eks. ved erhvervsaktivitet), hvilket kunne gøre modtageren ansvarlig.

Er det tilladt at videregive data, der er modtaget uden opfordring?

Ja, hvis der er en retlig grundlag for dette. Eksempelvis må straffemyndigheder informeres om, at du har modtaget indhold, som du mener er ulovligt eller truer dig selv. Nyligt var der et tilfælde af en køber af en harddisk på eBay. Køberen opdagede, at harddisken indeholdt data fra den tidligere ejer af harddisken, som var forskellig fra sælgeren. Køberen kontaktede den tidligere ejer som dataejerskab og overdrog så data til denne tilbage. Hvis en dataejerskab "tilbagefår" sine egne data fra nogen, der havde modtaget dem uden ønske, opstår normalt ikke nogle problemer. Problemet kunne opstå, hvis f.eks. senderen valgte en grob fahrløs overdragelsesmetode. Selv den gratis og ud af godhed foretagne nabohjælp medfører (på grund af andre årsager end dataskydd) betydelige pligter for hjælperen!

Retningsbaserne for DSGVO til databehandling er defineret i Artikel 6 DSGVO. I det nævnte eksempel med strafferetten kan det være, at retsbasisser fra andre love spiller en rolle, da ved en trussel handler det ikke om persondatabeskyttelse. DSGVO siger også, at "myndigheder, der i henhold til en bestemt undersøgelsesaftale efter EU-retten eller medlemsstaternes ret kan modtage persondata", ikke skal regnes som modtagere. Så længe dataoverdragelse til en myndighed er legitim, opstår der ikke ansvar for DSGVO vedrørende myndigheden, da uden modtager finder ingen dataindsamling sted. Jeg håber, det er korrekt og i henhold til Artikel 2 DSGVO antager jeg, at (derfor) eksisterer der egne love for myndigheder, som regulerer deres ansvar.

Må data beholdes uden begrænsning i tid?

Med data menes her persondata, som en ansvarlig har indsamlet. Såfremt en person opnår slettelse efter artikel 17 i DSGVO, skal data slettes i overensstemmelse med dette.

Andre love uden for GDPR kan muligvis kræve en længere opbevaringstid, f.eks. i skatteanliggender.

Data må kun anvendes til bestemte formål og kun i overensstemmelse med lovgivningen fra Artikel 6 DSGVO. En viderebehandling til andre formål er ifølge Artikel 5 § 1 b DSGVO ikke tilladt. En opbevaring er dog ikke en viderebehandling, hvorpå denne lovgivning ikke gælder.

Så længe opbevarede data ikke bliver viderebehandlet, er en uendelig pålagt opbevaring ifølge min vurdering tilladt, så længe ejeren af datan ikke protesterer mod dette. Naturligvis også fra en pålagt opbevaringspligt udgående. Jeg har ikke undersøgt dette nærmere og glæder mig over tilbagekald.

Konklusion

Definitionen af begrebet Hæve synes jegens mig at være plausibel og logisk udledelige. Klart er, at datalogning repræsenterer den tidligste mulige databehandlingstilgang. Der er ingen opbevaring eller vurdering nødvendig for at have erhobet data allerede. Klart er også, at der til datalogning skal være en adresse, hvor en besked sendes, fra hvilken en modtager kan få kendsgerning. En faktisk kendsgerning er ikke nødvendig. Den mulighed for kendsgerning er tilstrækkelig.

Men det ser ud til, at en ren teoretisk mulighed for at vide noget er ikke nok til, at der kan være tale om en dataindsamling. I stedet skal der være en tatsächliche mulighed for at vide noget. Se eksemplet med den fulde e-mail-boks eller den brevsætte, som brændte op lige efter at have været bragt til postkontoret.

Den, som selv har valgt midler til at indsamle persondata til egne formål, er ansvarlig og derfor forpligtet til at behandle persondataene kun efter de regler, der følger af EU's dataskutzon.

Den eksplisite angivelse, at en Ansvarlig skal være modtager eller have arrangeret modtagelsen hos tredje part, mangler i lovgivningen til DSGVO uden at jeg ved hvorfor (hvis jeg er fejlgående, beder jeg om tilbagekald). Min antagelse er, at dette skyldes den kompleksitet af DSGVO eller at det blev antaget, at der fra udtrykket Overdragelse ville blive en tydelig modtagerrolle. Uden først at have modtaget data, kan andre ikke være til stede.

Ansvarlig bliver nogen også kun, hvis han tilbyder et Anbud, hvilket i DSGVO kaldes formålet.

Jeg finder det for fremragende, at definere indsamlingen af data eller samlingen (Collection) af data i DSGVO som den første mulige behandling af persondata og overhovedet at tage konceptet omkring samlingen til føde. Knappen ville nogen komme på ideen, at (altid) en datamasse er blevet opbygget, efter at data er blevet modtaget for en adresse og offentliggjort for modtageren.