了解愛爾蘭的數據保護法:公民全面指南

國內的數據保護法則是什麼?

數據保護法是規劃個人資料如何收集、存储、處理和共享的法律框架。它們的核心目標是讓個人控制自己的信息,同时要求組織负责任地處理。在愛爾蘭,主要立法是2018年5月生效的[ GDPR, 由的《2018年數據保護法》[加以补充。 这些法律共同规定了包括愛爾蘭在内的歐洲每個處理人個人資料的组织具有约束力的規定。

個人資料是任何與身份證或可辨識的活人相關的資訊。這包括像姓名和電子郵件地址等明顯的识别信息,以及IP地址、位置資料和線上识别信息等不太明顯的识别信息。 GDPR既适用于私人公司和公體,也适用于跨国技術公司和本地慈善机构。 它具有治外法權,指任何向愛爾蘭居民提供商品或服務的單位必須遵守,即使其基地在歐盟以外。

愛爾蘭 Data 保護委員會是負責實施這些法律的獨立機構。 它調查控告、發明指導,可以处以高达2,000万欧元的罚款,或全球年交易额的4%,而其中的比這要大得多。 自2018年起,DPC對大科技公司施以重刑,表明愛爾蘭對數據保護很嚴格。

愛爾蘭數據保護法的核心原理

GDPR 的每個規則都來自七項關鍵原理。 理解這些原理會幫助您知道持有您資料的組織期望什麼。 這些原理不是可選的; 它們具有法律约束力, 且組織必須展示遵守性 。

合法性、公平性和透明度

資料必須總是以合法方式處理, 如同意、 合同履行、 法律义务或合法权益。 公平性 指組織不能以你無法合理期望的方式使用您的資料。 透明度要求清晰的告知誰收集資料、 原因和時間。 例如, 當你簽署通訊時, 公司必須告訴你如何使用您的電子郵件地址, 並讓您有直接的方法去取消訂閱 。

目的

一個原因收集的資料, 未经您的允許, 不能重新使用於不相關的用途。 如果零售商要求您的地址交付購物, 之後他們就不能在沒有额外同意的情况下使用它來銷售。 這個原理可以防止「功能蠕動」 , 並且讓組織在原始交易之外不利用您的信息 。

數據最小化

工作申請表不应要求您有婚姻状况或宗教, 除非它與角色直接有關。 法律限制收集, 減少了在違法事件發生時不必要暴露的風險 。

精确度

個人資料必須准确, 必要时要更新。 您有權改正錯誤, 組織必須采取合理措施, 確保記錄可靠。 例如, 銀行在通知後要迅速更新您的地址, 醫療也必須保持正確的病史。

儲存限制

資料保存時間不能超出原始目的。 合同到期或合法保留期到期後, 個人資料必須安全刪除或匿名。 许多組織都公布保留政策, 规定它們持有不同類別的資料需要多久 。

廉正和保密

組織必須采取相當的技術和组织措施,保護資料不被擅自存取、篡改或損失。 其中包括加密、存取控制、員工訓練和事件反應計劃。 如果公司不能保護你的資料, 以及違章行為的發生, 它們會面临嚴重的罚款和名譽損失。

问责制

最後的原理要求各組織對其數據處理活動負責。它們必須保持紀錄,對高风险專案進行隱私性影響評估,并在需要的時候任命Data Protection Officer(DPO)[。 責任感將證明錯誤的負擔從你轉至證明它符合的組織。

愛爾蘭數據保護法下的權利

GDPR 授予個人八種不同權力。 這些權力使您能夠控制您的資訊, 并讓組織負責。 以下是對每項權利的详细解釋, 以及現實世界的範例 。

使用權

您可以要求一份一個組織持有的所有個人資料的副本。 這通常叫做主存取要求。 組織必須在一個月內回覆( 對於複雜的要求可能會再延长兩個月) , 以常用的电子格式提供資料。 例如, 您可以向您的網路提供商索取一份他們登入的關於您的用法和收費歷史的所有資料的清單 。

更正

如果你們的个人資料不准确或不完整, 您可以要求加以更正。 例如, 如果信用參考机构地址錯誤或錯誤的缺省, 您可以要求加以修正。 組織必須不無故延遲地處理更正, 並通知任何接收不正確資料的第三方 。

被遺忘的權利(Erasure)

在某些情况下, 您可以要求刪除您的資料。 這種要求适用于: 資料不再為其原始目的所需要, 或您撤回同意且沒有其他合法理由, 或是您的資料被非法處理。 然而, 該權限不是絕對的, 它與其他權益如言论自由或法律义务是平衡的。 例如, 論壇可以拒絕刪除文章, 如果這樣做會抹去公開辯論的話 。

限制處理權

您可以要求一個組織在對其精確性或合法性提出质疑時暫時停止使用您的資料。 在限制期, 組織可以儲存資料, 但未经您的同意無法處理。 如果您在爭論債務, 並且想阻止公司在事情解決之前采取行动, 這將是有用的 。

資料可移植性權限

您有權以有條理的、常用的、機器可讀格式接收您的資料, 并在技术上可行的情况下直接轉至另一組織。 此權限只應當於您提供基于同意或合同的資料, 以及處理自動時。 例如, 您可以要求您的社交媒體照片與文章作为下載方式移動到新平台 。

物件權

以合法利益為基礎的處理,包括直接銷售和剖析。除非有令人信服的合法理由來推翻您的利益,否则組織必須停止處理。例如,如果零售商利用你的買賣歷史發送有目標的廣告,你可以反對并要求他們停止此剖析。

与自動决策和剖析相關的權利

您有權不只受於以產生法律或類似的重要效果的自動處理而做出決定, 例如完全由算法做出信用評分決定。 您可以要求人權介入、 表示自己的看法、 以及質疑決定。 該權益在AI 的年齡中尤其重要 。

申诉权

任何組織若侵犯您的數據保護權限, 您可以向數據保護委員會提出控告。 DPC會調查並發佈執行行動。 您也有权要求司法补救及要求損失的補償。

組織如何保護您的資料

法律除了尊重你的權利外, 也對處理個人資料的單位加了一系列肯定的責任。

取得有效同意

同意必須是自由的、具体的、知情的和毫不含糊的。 它不能被長期地掩埋; 它必須被提出為明确的平權動作, 如勾選一個不受控制的盒子或簽署一個宣言。 沉默或事先訂下的盒子是無效的。 您可以在任何时候撤回同意, 撤回必須像給它一樣容易。

進行數據保護影響性評估

在啟動可能會使個人冒很大風險的新技术或處理操作之前,例如大规模監控公共區域或有系統的剖面分析等,組織必須先做一次DPIA。這個評估找出了風險,并勾勒了減輕風險的措施。如果風險仍然很大,必須征求DPC。

資料傳輸通知

組織必須在知道這項事件後72小時內向DPC報告個人資料的侵犯,除非這項侵犯不太可能危及個人的权利和自由。 如果侵犯事件對你造成很大風險, 組織也必須直接通知你, 并建議如何保護自己。 例如,如果醫院漏掉了病人的記錄,他們必須迅速通知受影响的病人,以便監控身份盜竊事件。

指定一位數據保護官

公共權力與組織處理大量敏感資料或進行系統監控, 必須指定一個DPO。 此人确保遵守、建議資料保護义务, 以及充当DPC與資料主題的聯絡人。 必須公布其聯絡人細節 。

國際資料傳輸

GDPR限制向歐洲經濟區外的國家移交個人資料,而這些國家沒有提供足够程度的保护。 組織必須使用一個經批准的轉移机制,如歐洲-美國資料隱私框架、标准的合同条款或具有约束力的公司規則。 里程碑式的Schrems II 歐盟法院的裁決使隱私盾牌失效,并更強化了強固保障的需要。

公民保護其資料的实际步骤

法律提供了強大的保護, 但你們在保護個人資訊方面也扮演了重要的角色。

• 使用「 數據」 的資料, 以及它保存多久、是否與第三方分享。 如果政策模糊, 請考慮選擇不同的服務。
• 每個網路帳號都使用強大的、獨一的密碼[。 密碼管理員可以產生和儲存複雜的密碼, 這樣您就不需要在網站上重用一個密碼 。
• 可以在任何可能的地方, 特别是在電子郵件、銀行和社交媒體帳號上, 建立兩個要素的認證( 2FA) [[FLT: 1]。 這會增加你密碼之外的额外安全層 。
• 在社交媒體、瀏覽器和應用程式上檢視和更新私密設定 [[FLT: 1]。 限制誰可以看到您的帖子, 誰可以寄送朋友的要求, 以及從您的裝置中可以存取的資料應用程式 。
• 對於不請自來的要求要小心。 不要以電子郵件、手機或文字分享個人信息,除非你確定接收者的身份。 捕捉攻擊的技巧越來越精密。
• 要求您定期從您使用的公司中存取您的資料。 這可以幫助您確認它們持有精確的記錄, 並且無法以您未經授權的方式使用您的資料 。
• 監控愛爾蘭信用局或类似機構的信用報告。
• 向資料保護委員會報告疑似違反 的 www.dataprotection.ie 。如果一個組織忽略了您的權利,您也可以提出控告。