如何执行符合愛爾蘭法律的私隐通知

告知使用者他們的權利, 包括: 使用 : [[FLT: 0]] 存取 [[FLT: 1] 、 [[FLT: 2]] 修正 [ 、 取消 、 限制處理 、 限制資料可移植性 [ 、 反對 , 以及与自动决策和剖析相關的權利。 解釋個人如何行使這些權利 包括一個與您的專用資料主題表或應用電子地址的連結。 DPC 提供了處理這些要求的指南, 您可以在他們的 權概述 中讀到 。 [NT: 。

4. 数据分享和第三方

披露個人資料是否與支付處理器、云服務商或銷售平台等第三方共享。列出接收者類型和共享目的。 如果資料被轉移到歐洲經濟區(EEA)以外,您必須說明已有的保障措施 — — 如标准合同条款(SCC)或足夠的決定 — — 并提供有关如何取得這些保障文件的信息。

5. 保留期

指定您要保留每類個人資料多久, 或者至少要保留決定這段時間的標準。 例如, “ 我們保留7年的訂單資料以遵守稅法 ” 比“ 只要有必要 ” 更清晰。 定期的資料保留審查對確保您保存的資料不長于合法合法時間至关重要 。

6. 控制官和數據保護官的聯絡方式

提供數據控制器( 您的組織或決定處理目的與方法的法律單位) 的身份與聯絡方式。 如果您需要任命數據保護官( 公共機關必須如此) , 參與大規模系統監控或大規模處理特殊類型數據的組織包括他們的聯絡方式。 也包括您的組織的注册地址和數據保護電子郵件地址 。

7. 向民事司申诉的权利

明确告知使用者,如果他們相信自己的資料被處理的資料是违反GDPR的,他們有權向資料保護委員會提出控告。提供與DPC的控告入口的連結。 根据DPC的指導,這項信息必須清晰地和一般的聯絡方式分开。

執行您的私密通知的步骤

依據這些措施建立符合愛爾蘭法律標準的隱私通知。

第一步: 進行數據映射

在寫入您的私密通知前, 您需要完整地描述您處理的个人資料。 映射每個資料流: 收集的資料、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 資料的來源、 目的、 以及分享給誰。 此審查將构成您通知的事實依据, 有助于找出任何合法依据或安全性上的漏洞。 必要时, 記錄數據保護效果评估( DPIA) 。

第2步: 草稿使用普通語言

用你目標觀眾能理解的清晰、簡單的語言寫下您的私密通知。 避免使用法律的語言、 被动的聲音和長句。 使用標題、 彈頭點和短段落來提高可讀性。 DPC 建議采取分層的方法: 在資料收集點做一個短概要, 以及详细信息通知的全功能。 例如, 您的網站上寫著「 我們用餅乾來改善你的經驗 。 讀讀我們的完整私密政策[link] 」 。

第3步: 必要时取得同意

如果你們的合法基礎是同意,您必須通過明确的平權行動取得它 — — 預定的對話框或通过卷動表示的同意在GDPR下是無效的。 使用一個不加控制的對話框、同意切換或按下正按鍵(例如“我同意接受市場電子郵件 ” ) 。 保留取得同意的時間和方式,包括當時提交的私密通知的版本。 根据2018年愛爾蘭數據保護法案,數位同意的年齡是16歲,所以如果你處理孩子的數據,你必須取得16岁以下者的父母同意。

第4步:显著的布告

依據GDPR, 您的隱私通知必須「容易获取」。

• 連結到您的網站的每一頁, 一般在頁面上 。
• 顯示在資料收集的地點, 或是在簽名表旁,
• 加入您的手機應用程式設定選單與電子郵件腳印中。
• 使用於下線資料收集( 如紙面表格),

通知不应埋在條件與條件文件內。 它必須獨立, 並且可以立即取用, 而不需要使用者尋找它 。

第5步: 建立同意管理平台(CMP)

對於網站同意管理 — — 特别是cookie和追蹤 — — 部署一個CMP,它會記錄使用者的喜好,讓使用者可以隨時改變選擇,并提供粒狀選入/選出選擇。CMP必須封鎖非基本曲奇,直到得到同意。 根据ePrivacy指令(按照愛爾蘭法律),在设置任何曲奇之前,必須取得曲奇同意,但那些完全是網站功能所必需的曲奇。 確保您的隱私通知清楚描述使用的曲奇的類型(基本、功能、分析、銷售)和目的。

步骤6:保持一份處理工作記錄

GDPR 第30條要求有250名或更多員工的組織(或那些處理與刑事定罪相關的特殊數據或資料的組織)保持一份處理活動的书面記錄。 即使你沒有被法律要求,保持ROPA是最佳做法,也将有助于你保持隱私的准确性。ROPA应包括控制者的姓名和聯絡方式、處理目的、數據主題和个人資料的类别、接收者类别、保留期以及技术和組織安全措施的描述。

第7步:定期审查和更新

您的私密通知是一份活的文件。 设定定期審查表 — 至少每年, 或是當處理活動有變更、法律有變更或DPC 的新指導。 每次您更新通知、 記錄改變的內容及原因, 如果改變实质性地影響資料處理( 如新目的) , 必要时取得新的同意。 通知您通信通道( email、 網站標籤或應用程式通知) 中已存在的重大更新資料。

保持遵约的最佳做法

某些最佳的行為可以提升你的遵守姿勢,

使用層次通知

分解的通告首先會提出一個簡短的、可消化的概要, 并連結更深層的細節。 這種方式得到了DPC和29條工作黨(現在的歐洲數據保護委員會)的確認。 例如, 在登記表上, 您可以加入一句: 「我們會用您的電子郵件發送您的訂單, 以及經您的允許, 傳送市場供應。 」 詳情請見我們的個人隱私政策。 這符合「 簡體化」和「 不可理解的」 要求, 而不會在數據收集時被使用者所佔上風。

采用普通語言與視覺辅助工具

試試您的隱私通知, 以讓觀眾了解它。 使用圖示、 圖像和表格來解釋像數據保留排程或國際傳輸等複雜的議題。 DPC 已公布了 [[FLT: 0] 隱私通知指南[[[FLT: 1] ] , 以強調清晰度。 避免像「 我們可以與信任的合作伙伴分享資料 」 的惡言, 改而說出合伙人的名字或至少描述類別( 如「 斯大利 和 PayPal 等付款處理器 ” )。

提供使用者的外觀控制

超越簡單的「 選擇加入」 選項。 允許使用者選擇他們同意的處理類型, 例如分析曲奇、 銷售電子郵件、 第三方資料分享等。 讓它像它所要的那樣容易地撤回同意。 該「 撤回同意」 机制應該和最初的同意要求一樣突出, 私密通知應該解釋如何完成。

由設計整合隱私

每個新專案或行程的開始都考慮隱私。 做一個 DPIA 的 高風險處理( 如大規模剖面、 系統監控、 處理特殊類型的資料) 。 您的隱私通知應該列出 DPIA 的結果, 以及為減低這些風險而需采取的措施 。 DPC 提供 [[FLT: 0]] DPIA 樣本和指標 [[[FLT: 1]] 。

繼續更新 DPC 導引與執行

DPC 定期發佈決定、罚款和建议, 以形成遵守的期待。 例如, 最近的执行行動突出了不使用事先訂閱的盒子表示同意的重要性, 以及餅乾旗號需要清晰的語言。 订阅DPC 的簡訊, 并檢視他們的 實施動作頁面 以保持知情。 您應該監控歐洲數據保護委員會(EDPB) 的指南, 它們對DPC 具有约束力 。

處理特定情形

同意与合法利息

很多組織不同意所有處理,但這會造成同意疲劳,而且具有諷刺意味的是,同意的有效性降低。 在可能的情况下,用“合法利益”來處理那些不完全必要但對你的生意仍然重要的處理(例如,假冒假冒,如果關係存在的話,直接銷售 ) 。 然而,合法利益并不能免除你的透明度 — — 您的私密通知仍必須描述合法利益和所完成的平衡測試。 記錄您的LIA并在私密通知中加入摘要。

儿童資料

如果16岁以下的孩子有可能使用您的服務, 您必須取得父母的同意。 私密通知應該以方便儿童的方式寫作( 使用簡單的語言、 視覺甚至卡通 )。 DPC 的 [[FLT: 0] 儿童數據頁[[[FLT: 1] 提供了資源, 包括「 儿童數據保護指南 」 。 您還必須確保您收集的數據最小化的操作是強大 , 而不是從儿童那里收集到比提供數據更必要的數據 。

餐廳同意與私密

愛爾蘭的執行需要取得餅乾與相似的追蹤科技的許可。 您的隱私通知應該清楚解釋使用哪種餅乾及其目的。 使用一個可以讓人控制颗粒的餅乾標籤,而不依靠「餅乾牆」(强制取得內容的同意 ) 。 DPC已經发布了餅乾指南, 您也應該參考EDPB的Cookie Banner TorkForce報告, 以了解主要做法。

國際資料傳輸

向 外 的 EEA 轉移 私人 資料 、 私人 通知 、 必須 披露 轉移 和 所 依賴 的 保衛 , 例如 標準合同条款(SCCs )、 具有约束力的公司規則(BCRs ) 、 或 適當的決定( 例如 英國、加拿大、日本 ) 。 在 Schrems II 決定 之後, 轉往 第三国 需要 附加 轉移 影響 评估(TIAs ) 。 在私人 通知中, 以非律師能理解的方式描述這些 。 例如 , “ 我們將您的資料轉往美國, 由我們與服務商簽署的標準合同条款所保護 。 ” 您可以通過聯合國 , 聯合國 。

結 论

實施符合愛爾蘭法律的私密通知是需要注意法律要求、使用者經驗和管理期望的一個持续过程。 遵循上面概述的步骤 — — 從數據映射和分层起草到定期審查,以及適應DPC的指南 — — 你可以建立一份私密通知,它不仅符合法律的文字,而且表明對數據保護的真正承諾。透明度不是一次性的檢查框,而是與使用者的一次接連的對話。從此開始,先按這篇文章的關鍵元素來審查你目前的通知,然后有規劃地解決任何漏洞。 在有疑問的時候,可以参考DPC的广泛指引,或尋求符合你特定處理活動的獨立法律建議。