Приватность и персональные данные
Работа с данными
Германия как член Евросоюза обязана соблюдать (GDPR) Общий регламент защиты персональных данных Европейского союза.
Среди основных положений GDPR:
- обработка персональных данных возможна только с согласия субъекта персональных данных, с некоторыми исключениями;
- персональные данные должны использоваться только для реализации поставленных целей;
- специальные условия обработки "специальных" категорий персональных данных, таких, как биометрия;
- право субъекта знать, какие данные и как обрабатываются;
- право на удаление, право на исправление неточных данных;
- соблюдение принципа прозрачности;
- обеспечение безопасности хранения, и прочее.
Обработку персональных данных здесь регулирует Федеральный закон о защите данных (Bundesdatenschutzgesetz — BDSG). Этот закон включает в себя дополнительные правила для конкретных секторов, таких как здравоохранение и трудоустройство, выходящие за общие рамки GDPR.
Немецкий закон о защите данных в сфере телекоммуникаций и телемедиа (German Telecommunications-Telemedia Data Protection Act (TTDSG), переименован в Telecommunications-Digital Services Data Protection Act (TDDDG) регулирует конфиденциальность электронных коммуникаций и приватности, что включает использование файлов куки и хранение информации.
14 декабря 2023 года Бундестаг Германии принял два цифровых закона о здравоохранении — Закон о цифровых технологиях (DigiG) и Закон об использовании медицинских данных (GDNG). С 2025 года все застрахованные в компаниях обязательного медицинского страхования будут автоматически получать электронную карту пациента (ePA).
«Право на забвение»
Вы имеете право требовать требовать удаления своих персональных данных, которыми поделились ранее (например, отозвать согласие на обработку, если данные были обработаны незаконно или они больше не нужны для достижения поставленных целей. Такое право гарантирует статья 17 GDPR.
Немецкое законодательство (BDSG) конкретизирует это право, добавляя защиту в контексте обработки данных работодателями (§ 26 BDSG), обязывая их удалять данные сотрудников по запросу, если нет оснований для их хранения, и уведомлять других контролеров о необходимости удаления.
При этом право на забвение может быть ограничено, если данные нужны для реализации права на свободу выражения мнения и слова, выполнения юридических обязательств, защиты общественных интересов, для архивов, исторических исследований или защиты правовых требований.
Трансграничная передача данных
Если передача данных происходит внутри Европейского союза, то не требуется специальных разрешений или дополнительных условий. Тем не менее, обработка данных внутри ЕС должна соответствовать общим требованиям GDPR, включая:
- получение согласия субъекта данных;
- соблюдение целей обработки
- минимизацию данных;
- прозрачность и безопасность и другие.
Передача данных вне ЕС возможна при соблюдении следующих условий:
- Есть решение о соответствии (adequacy decision): европейская комиссия приняла решение, что в этой стране обеспечивается адекватный уровень защиты данных.
- Надлежащие гарантии: передача возможна, если обеспечены адекватные гарантии, такие как обязательные корпоративные правила (BCRs), стандартные договорные положения (SCCs), или кодексы поведения и сертификация, одобренные Федеральным уполномоченным по защите данных и свободе информации (BfDI) или другим национальным органом защиты данных (полный список здесь).
Также при трансграничной передаче данных имеют место быть исключительные случаи, то есть разовые и несистематические. Это возможно только при соблюдении всех требований GDPR, главные среди которых:
- явное согласие субъекта данных;
- необходимость для выполнения договора;
- общественные интересы;
- защита жизненных интересов субъекта данных;
- передача необходима для установления, осуществления или защиты правовых требований (Статья 49 GDPR).
Безопасность веб-сайтов и мобильных приложений
В Германии существуют обязательные требования по информационной безопасности для веб-ресурсов и мобильных приложений. Среди этих требований - защита персональных данных, защита от киберугроз, обеспечение конфиденциальности и целостности информации. Необходимо ещё на этапе разработки приложений принимать соответствующие меры для защиты данных, такие как шифрование, управление доступом, аутентификация и регулярные обновления безопасности. Разработкой стандартов и рекомендаций по обеспечению информационной безопасности в Германии Федеральное управление по информационной безопасности (BSI).
Правила и сроки хранения данных
В GDPR говорится, что персональные данные должны храниться в такой форме, которая позволяет идентифицировать субъектов данных только до тех пор, пока это нужно для целей обработки. Дольше, чем этот срок, такие данные храняться только тогда, когда используются:
- в архивных целях
- в общественных интересах
- в целях научных и исторических исследований.
И даже в этих случаях это возможно только тогда, когда организованы правильные технические и организационные меры хранения.
Торговый кодекс Германии (Handelsgesetzbuch, HGB) и Налоговый кодекс Германии (Abgabenordnung, AO) предписывают сроки хранения данных, связанные с трудовыми отношениями, таких как контракты, расчеты заработной платы и другие документы.
Срок хранения обычно составляют от 2 до 10 лет после завершения трудовых отношений (например, налоговые документы – 10 лет, другие документы, связанные с контрактом – 6 лет).
Раскрытие персональных данных по запросам госорганов
В процессе расследования преступлений прокуратура и следственные органы могут обратиться к компаниям с запросом на передачу данных. Компании могут передать эти данные, если соблюдаются принципы обработки данных по GDPR, в частности, чётко обозначена законная цель этой передачи.
При этом компаниям необходимо самим удостовериться в легитимности запроса со стороны правоохранительных органов, запросив правовую основу и цель обработки.
Запрос на передачу данных может быть отклонён, если нет законного основания согласно статье 24 BDSG (обработка допустима для предотвращения угроз государственной или общественной безопасности,преследования уголовных преступлений, осуществления или защиты гражданско-правовых требований, при условии, что интересы субъекта данных не перевешивают интересы обработки) или статье 6(1)(c) GDPR.
Кроме этого, компании должны уведомить субъекта данных о передаче его данных, если это не препятствует расследованию (в соответствии со статьёй 13(3) GDPR). Нарушение этого правила или передача данных без соответствующего правового основания может наказываться штрафами по статье 83(5)(a) GDPR.
Передача персональных данных по телефону запрещена.
Раскрытие персональных данных по запросам частных лиц
Процедура раскрытия персональных данных по запросу частного лица регулируется всё теми же законами - GDPR и BDSG.
Частные лица, адвокаты, нотариусы и журналисты могут направить запрос на доступ к персональным данным, которые обрабатываются информационным посредником.
Такой запрос должен быть направлен письменно или в электронной форме информационному посреднику, указывая специфические данные или информацию, к которой требуется доступ.
Информационный посредник обязан проверить легитимность запроса и удостовериться в подлинности запрашивающего лица. Это может включать запрос на предоставление документов, подтверждающих личность или полномочия (например, нотариальное удостоверение для адвокатов и нотариусов).
Посредник должен уведомить субъекта данных, что их данные обрабатываются и кто их обрабатывает, а также уведомить о запросах.
Ответственность за нарушение закона о персональных данных
В Германии правоприменение осуществляется как федеральным уполномоченным по защите данных (BfDI), так и земельными уполномоченными (Landesdatenschutzbeauftragte).
Согласно GDPR, штрафы за нарушение законодательства о персональных данных могут достигать 20 миллионов евро или 4% от годового мирового оборота компании, в зависимости от того, что больше (статья 83 GDPR).
Менее серьезные нарушения могут привести к штрафам до 10 миллионов евро или 2% от оборота. Закон BDSG (статьи 41 и 42) уточняет применение штрафов, предусмотренных GDPR, в рамках немецкого законодательства.
Органы защиты данных в Германии более активно используют санкции, чем в других странах ЕС. Они могут наложить дополнительные административные меры, такие как предупреждения, запреты на обработку данных, обязательные предписания для улучшения мер безопасности и внутренние аудиты, а также применять более целевые меры в зависимости от характера нарушения.
Видеонаблюдение
Видеонаблюдение в стране не запрещено, но должно быть обосновано конкретными законными целями, такими как безопасность, предотвращение преступлений или защита собственности.
Видеонаблюдение в общедоступных местах регулируется разделом 4 Федерального закона о защите данных (BDSG). Наблюдение допустимо только в том случае, если оно необходимо для выполнения задач государственных органов, осуществления прав на жилище или других законных, конкретно определенных интересов, и нет никаких признаков того, что интересы затрагиваемых лиц, заслуживающих защиты, перевешивают их.
В местах установки камер на улицах должны быть размещены уведомления о видеонаблюдении, информирующие людей о том, что они могут быть записаны.
Шпионское ПО
Согласно Уголовному кодексу, в Германии запрещено подслушивать разговоры (раздел 201 StGB), фотографировать без разрешения (раздел 201a StGB) или шпионить за данными (раздел 202a StGB). Статья 202 уточняет, что “Любое лицо подлежит наказанию в виде тюремного заключения на срок не более двух лет или штрафа… если снимает или передает изображение другого лица, находящегося в доме или помещении, специально защищенном от посторонних глаз, без разрешения и тем самым нарушает личную сферу жизни изображенного лица”.