身份盗窃和根据艺术提供的信息请求。 15 GDPR

fabiha01

在巴伐利亚州数据保护监督局（BayLDA）最近发布的活动报告中，数据保护机构还探讨了在发生身份盗窃的情况下，数据主体是否可以行使 GDPR 第 15 条规定的数据主体权利的问题。这里讨论的问题是，这些数据实际上可以归属于谁，以及窃贼的数据是否也必须发布给受害者。法律问题通常基于以下事实：

某人的身份被用来在网上零售商处创建客户账户，或者某人的现有客户账户被用来自费订购商品。货物将被发送到他们的地址或他们可能不知道的其他地址。身份所有者在意识到这些犯罪活动后，现在根据《第 30 条》要求在线邮购公司提供信息。 15 GDPR 关于与该帐户和相关订单有关的所有数据，包括数据窃贼作为购买者提供的数据（例如电子邮件地址或其他送货地址）。该在线零售商拒绝提供信息，理由是执法部门正在调查。

那么信息权又如何呢？
继汉堡数据保护和信息自由专员办公室 (HmbBfDI) 在其 2022 年活动报告 (我们报道过) 中已经表明立场之后，欧洲数据保护委员会也在 2023 年初的指南中对此主题发表了评论(EDPD 数据主体权利指南，第 42 页)。

核心问题是，如果数据保护负责人知道身份被盗，是否必须向请求者（即受害者）披露第三方（窃贼）的数据。电子邮件或不同的送货地址对于受害者识别肇事者并避免进一步的损害非常重要。

根据艺术。 15，数据主体可以“...请求确认是否正在处理与其有关的个人数据...”（GDPR 第 15（1）条）。

首先，措辞并没有明确提到源自数据主体的数据，而是“涉及”他或她。因此，需要对有关人员进行最低限度的提及，瑞士商业传真列表 但无需进一步定义或指定。 GDPR 第 63 条无法对此案提供任何进一步的澄清。其中还提到：

“数据主体应有权访问与其有关的个人数据[… ] ” ，并且“因此，每个数据主体都应有权了解并被告知个人数据处理的目的，并在可能的情况下，告知个人数据的存储期限、个人数据的接收者、任何个人数据自动处理背后的逻辑以及此类处理可能造成的后果，至少在基于分析的处理的情况下。”

鉴于所涉数据的这种非常广泛的描述，显然窃贼的数据也必须发布给有关人员，因为盗窃也是他的责任。

根据艺术获取信息的权利。 GDPR 第 15 条始终指个人数据，根据第 15 条规定。 4.1 GDPR 涉及所有可识别自然人的信息。如果数据涉及身份持有者（即他们的姓名、地址或银行详细信息等），这不是问题。然而，如果所涉及的数据属于数据窃贼（例如电子邮件地址或不同的送货地址），则可以说这是第三方的数据，而不是身份持有者的数据。

萨尔州独立数据保护中心的评估
萨尔州2020年活动报告得出结论，窃贼留下的数据可以归属于数据主体，因为“数据窃贼添加这些信息的目的是将这些数据归属于身份持有者，从而与身份持有者建立个人联系。因此，这些数据至少也是属于身份持有者的数据，因此也必须披露。”（萨尔活动报告，2020 年，第 112 页及后续页）。

在这方面，如果窃贼想要将数据归咎于相关人员以获取优势，那么源自窃贼领域或表明其身份的数据可能会被发布给相关人员。

对 BayLDA 的更多差异化看法
巴伐利亚州数据保护监督局在其活动报告中得出了更加差异化的结论。原则上，在这些情况下，所涉及的数据符合艺术。 4 (1) GDPR，与数据主体有关，因此也属于根据第 4 条要求提供信息的范围。 15 GDPR。但是，第 14 条规定除外。 GDPR 第 15 (4) 条也适用，根据该条规定，如果其他人的权利和自由受到影响，则无需提供信息。活动报告在这里再次明确指出：“所涉及的个人数据（也）涉及其他人的个人数据这一事实本身并不意味着不应提供信息。”  （巴伐利亚州数据保护监督局第 13 份年度报告，2023 年，第 27 页）

然而，鉴于这种初始情况，由于窃贼的权利和自由，提供信息而损害受害者利益的情况几乎是不可能的，因此“……这种平衡通常是有利于受害者的……”。

然而，也存在将数据传递给受害者可能会有问题的情况，例如如果有多名受害者或者行动是错误的。在这种情况下，必须考虑到他们的权利，并且如有必要，必须以无法识别第三方信息的方式设计信息。