PDPL vs IKÜM: 7 erinevust, mis muudavad kopeeritud privaatsuspoliitika kasutuskõlbmatuks

PDPL laenab suure osa oma sõnavarast ELi isikuandmete kaitse üldmääruselt, mistõttu Euroopa privaatsuspoliitika taaskasutamine tundub otseteena. See on otsetee dokumendini, mis esitab Teie õigusliku olukorra valesti. Need on kõige olulisemad erinevused.

1. „Õigustatud huvi“ alust ei ole

IKÜMi alusel on õigustatud huvi lepingu järel enim kasutatav õiguslik alus. PDPL-is vastet ei ole. Töötlemiseks on vaja nõusolekut või mõnda artiklis 4 loetletud erandit, näiteks lepingu täitmine, juriidilise kohustuse täitmine, töösuhtest tulenevad kohustused või õigusnõuete koostamine. Poliitika, mis ütleb „töötleme Teie andmeid oma õigustatud huvi alusel“, viitab alusele, mida AÜE õiguses ei ole.

2. Teine järelevalveasutus

Kaebused esitatakse AÜE Andmebüroole, mitte ELi järelevalveasutusele. Kopeeritud poliitikas on tavaliselt nimetatud vale asutus või ei ole asutust nimetatud üldse.

3. Edastamine toimib teisiti

Andmete edastamine väljapoole AÜE-d on lubatud piisava kaitsetasemega riikidesse (artikkel 22) või, kui see puudub, konkreetsetel juhtudel, näiteks PDPL-i nõudeid kehtestava lepingu alusel või üksikisiku sõnaselgel nõusolekul (artikkel 23). ELi tüüptingimused ja kaitse piisavuse otsused ei täida AÜE õiguse nõudeid automaatselt.

4. Andmekaitseametniku kriteeriumid on kitsamad ja teistsugused

Andmekaitseametnik on nõutav, kui töötlemine kujutab endast suurt riski uue tehnoloogia või mahu tõttu, hõlmab tundlike andmete süstemaatilist hindamist, sealhulgas profileerimist, või hõlmab suures mahus tundlikke andmeid (artikkel 10). Andmekaitseametnik võib olla töötaja või väline teenusepakkuja ega pea asuma AÜE-s.

5. Rikkumisest teavitamisel pole veel kindlat tähtaega

IKÜM näeb ette 72 tundi. PDPL nõuab Andmebüroo teavitamist, kui saadakse teada rikkumisest, mis kahjustaks privaatsust, konfidentsiaalsust või turvalisust (artikkel 9), ning jätab korra rakendusmääruste hooleks. Kuni neid pole, on ohutu tõlgendus: niipea, kui olete rikkumist hinnanud.

6. Sektoripõhised erandid

Terviseandmed ning pangandus- või krediidiandmed, mida reguleerivad eraldi õigusaktid, jäävad PDPL-i kohaldamisalast välja. Näiteks kliiniku patsiendiandmetele kehtib ka föderaalseadus nr 2/2019, mis piirab terviseandmete hoidmist ja töötlemist väljaspool AÜE-d.

7. Vabatsoonid võivad kohaldamisalast täielikult välja jääda

DIFC ja ADGM üksustele kehtivad nende endi andmekaitseseadused. Seal tegevusluba omav ettevõte ei peaks üldse kasutama PDPL-i poliitikat, rääkimata IKÜMi omast.

Mida teha

Kui teenindate ka ELi elanikke, peate võib-olla täitma mõlema korra nõudeid ja lihtsaim viis on teade, mis käsitleb kumbagi eraldi. Kui teenindate ainult AÜE-d, asendage IKÜMi tekst PDPL-i teatega. Meie komplekt koostab selle Teie vastuste põhjal, Teie tegelike eesmärkide, teenusepakkujate ja õiguslike alustega.