Fragebogen für für die Datenverarbeitung Verantwortliche über die Anwendung der Datenschutzrichtlinie (95/46/EG)

Transkript

1 Fragebogen für für die Datenverarbeitung Verantwortliche über die Anwendung der Datenschutzrichtlinie (95/46/EG) Entscheiden Sie in Ihrem Unternehmen, welche personenbezogenen Daten erhoben und wie sie verarbeitet und genutzt werden? Sind Sie der/die für die Verarbeitung Verantwortliche? Wenn ja, möchte die Europäische Kommission Ihnen die Möglichkeit zur Teilnahme an diesem offenen Meinungsaustausch über die Anwendung der Datenschutzrichtlinie (95/46/EG) geben. Die auf diesem Weg erhobenen Informationen dienen als Input für die Diskussion auf der Datenschutzkonferenz, die die Kommission am 30. September und 1. Oktober veranstaltet. Noch in diesem hr wird die Kommission dann ihren ersten Bericht über die Anwendung der Richtlinie ausarbeiten, der möglicherweise auch Vorschläge für deren Verbesserung enthalten wird. Die Antworten in dieser Sondierung sind vollkommen anonym, bitte beantworten Sie die Fragen also ganz unbefangen. Beantworten können diesen Fragebogen für die Verarbeitung Verantwortliche, die in der Europäischen Union oder im Europäischen Wirtschaftsraum ansässig sind, sowie Verantwortliche, die zwar nicht auf dem Gebiet der Gemeinschaft ansässig sind, aber in der EU belegenen Mittel nutzen, um personenbezogene Daten zu verarbeiten. Die Vertreter von Unternehmens- oder Wirtschaftsverbänden oder anderen Vereinigungen, die die Interessen von für die Verarbeitung Verantwortlichen vertreten, werden gebeten, nicht diesen Fragebogen zu beantworten, sondern ihre Positionspapiere zur Anwendung der Richtlinie an die Europäische Kommission zu senden, entweder an folgende -Adresse: oder per Post an die: Europäische Kommission GD Binnenmarkt C-100 6/14 B-1049 Brüssel Bitte kreuzen Sie bei jeder Frage, wenn nichts anderes angegeben ist, nur eine Antwort an. Commission européenne, B-1049 Bruxelles - Belgien. Telefon: (32-2) Büro: C100 6/014. Telefon: Durchwahl (32-2) Fax: (32-2) Leonardo.Cervera-navas@cec.eu.int

2 In welchem Land haben Sie Ihren Sitz: AT-Österreich BE-Belgien DE-Deutschland DK-Dänemark EL-Griechenland ES-Spanien FI-Finnland FR-Frankreich IE-Irland IT-Italien LU-Luxemburg NL-Niederlande PT-Portugal SV-Schweden UK-Vereinigtes Königreich NO-Norwegen IS-Island LI-Liechtenstein Andere [Don t translate: If the controller is established in a third country, this would trigger the following question to be inserted somewhere in the middle of this questionnaire] Haben Sie einen in der Gemeinschaft ansässigen Vertreter benannt? [Hilfetext: Nach Artikel 4 Absatz 2 der Richtlinie muss ein für die Verarbeitung Verantwortlicher, der nicht auf dem Gebiet der Gemeinschaft niedergelassen ist und zum Zwecke der Verarbeitung personenbezogener Daten auf automatisierte oder nicht automatisierte Mittel zurückgreift, die im Hoheitsgebiet eines Mitgliedstaats belegen sind und nicht nur zum Zweck der Durchfuhr durch das Gebiet der Europäischen Gemeinschaft verwendet werden, einen im Hoheitsgebiet des betreffenden Mitgliedstaats ansässigen Vertreter benennen, unbeschadet der Möglichkeit eines Vorgehens gegen den für die Verarbeitung Verantwortlichen selbst.], und dies wird in den Mitteilungen an die von der Verarbeitung betroffenen Personen angegeben., und die zuständige Datenschutzbehörde ist informiert worden. Was ist Ihr Haupttätigkeitsbereich? E-Business Direktmarketing Finanzdienstleistungen Computer und Computerdienstleistungen Freie Berufe Personalwesen Transport/Tourismus Andere (kein E-Business) Organisation ohne Erwerbszweck Öffentlicher Sektor Wie viele Arbeitnehmer beschäftigt Ihre Organisation? 2

3 Nicht zutreffend Ein-Personen-Unternehmen 1-9 Arbeitnehmer oder mehr Verarbeiten Sie anonymisierte oder codierte Daten? Wann wären Sie der Meinung, dass die von Ihnen verarbeiteten Daten nicht mehr als personenbezogene Daten behandelt werden müssen? (Mehrere Antworten möglich) Wenn die Identifizierung der Person nicht mehr möglich ist Wenn die Identifizierung der Person möglich wäre, aber nur mit unverhältnismäßigem Aufwand Wenn die Identifizierung der Person mit den mir verfügbaren Daten nicht mehr möglich wäre, sondern nur noch bei Mitarbeit von Dritten, die vollständig außerhalb meiner Organisationen stehen Welches wäre für Sie aus geschäftlicher Sicht der beste Weg, um (falls erforderlich) die Einwilligung der Personen einzuholen, deren Daten Sie verarbeiten wollen? Mündlich Schriftlich Über ein anderes eindeutiges Verfahren (z. B. Anklicken einer klaren Option auf einem Computerbildschirm) Implizit, d. h. anhand des Verhaltens der betroffenen Person (z. B. Unterstellung der Einwilligung, wenn die betroffene Person sich nicht anders äußert) Andere (bitte angeben). Erheben Sie personenbezogene Daten natürlicher Personen über das Internet? [Don t translate: An affirmative response would trigger the following question] Welche der folgenden Informationen sind auf Ihrer Website leicht zugänglich? (Mehrere Antworten möglich) Angaben zur Person des für die Verarbeitung Verantwortlichen oder (gegebenenfalls) seines Vertreters Elektronische Identität des für die Verarbeitung Verantwortlichen oder (gegebenenfalls) seines Vertreters Zwecke, für die die Daten erhoben und verwendet werden Dritte, an die die Daten weitergegeben werden, oder die Versicherung, dass die Daten nicht weitergegeben werden Die Information, ob die Beantwortung von Fragen nach persönlichen Daten obligatorisch oder freiwillig ist, sowie mögliche Folgen einer Nichtbeantwortung 3

4 Das Recht der betroffenen Person auf Auskunft über die sie betreffenden Daten und auf Berichtigung von Fehlern Die physische oder elektronische Adresse einer Person in der Organisation, die unmittelbar für Datenschutzfragen zuständig ist Haben Sie die Erfahrung gemacht, dass es Ihrer Organisation großen Aufwand verursacht, Ersuchen von Betroffenen um Auskunft über die sie betreffenden Daten, die Sie gespeichert haben, nachzukommen? [An affirmative response would trigger the following question] Bitte geben Sie die Zahl solcher Auskunftsersuchen im hr 2001 an. Keine Zahlen vorhanden Weniger als über 500 Hat Ihre Organisation Beschwerden von Person erhalten, deren Daten Sie im hr 2001 verarbeitet haben? (Auskunftsersuchen von Betroffenen sind hier nicht zu berücksichtigen, da sie in der vorhergehenden Frage behandelt werden) [Don t translate: An affirmative answer would trigger the following questions]: Was trifft am ehesten auf Ihre Erfahrungen mit diesen Beschwerden zu? In fast allen Fällen wurde der Bitte der betroffenen Person entsprochen und die Verarbeitung geändert/eingestellt, und/oder es wurden personenbezogene Daten berichtigt oder gelöscht. In einigen Fällen wie oben, aber bei einigen dieser Beschwerden war die Datenschutzbehörde eingeschaltet. In einigen Fällen wie oben, aber bei einigen Beschwerden waren Gerichte oder andere Verwaltungsbehörden eingeschaltet. Ich weiß, dass es Beschwerden gegeben hat, für die nicht unmittelbar eine Regelung gefunden wurde, mir liegen aber keine näheren Angaben dazu vor. Haben Sie Ihre Verarbeitungen der zuständigen Datenschutzbehörde gemeldet?, ich bin von der Meldepflicht befreit. Glauben Sie, dass die geltenden Rechtsvorschriften die Gesetze der einzelnen Mitgliedstaaten so weit harmonisieren, dass ein freier Verkehr personenbezogener Daten innerhalb der EU/des EWR möglich ist?, aber eine weitere Harmonisierung der Rechtsvorschriften der Mitgliedstaaten wäre wünschenswert. 4

5 , die Unterschiede zwischen den Rechtsvorschriften der Mitgliedstaaten sind zu groß, als dass man von freiem Datenverkehr innerhalb der Gemeinschaft/des EWR sprechen könnte. [Second or third reply would trigger additional question] Wenn Sie mehr Harmonisierung für wünschenswert halten, geben Sie bitte an, worauf diese sich in erster Linie beziehen sollte. [Freitextantwort] Wie würden Sie das Schutzniveau definieren, das die Datenschutzrichtlinie bietet? Hohes Schutzniveau Gutes Schutzniveau Mindestschutzniveau Wie schätzen Sie in dem Land, in dem Sie ansässig sind, den Informationsstand der Bürger über den Datenschutz ein? Sehr gut Gut Ausreichend Unzureichend Schlecht Sehr schlecht Kann ich nicht sagen. Was halten Sie aus der Sicht Ihres Unternehmens und allgemein von den geltenden Datenschutzanforderungen? Es sind notwendige Anforderungen auf einem Markt mit einem traditionell hohen Verbraucherschutzniveau und einem stark ausgeprägten Grundrechtsbewusstsein. Sie sind notwendig, aber in einigen Punkten unnötig streng. Sie sind unnötig, außer für bestimmte Tätigkeiten in einzelnen Sektoren. Sie sind absolut unnötig und sollten abgeschafft werden. [Don t translate: Second reply would trigger additional question] Bitte erläutern Sie, warum sie unnötig streng sind. [Freitext] [Don t translate: Third reply would trigger additional question] Bitte erläutern Sie, warum sie unnötig sind. [Freitext] Würden Sie die Einführung eines EU-Datenschutzsiegels für europäische Websites befürworten (ein Logo, das Websites sich mit vorbildlicher Datenschutzpraxis verdienen könnten)?, solche Initiativen sollten weiterhin im privaten Bereich verbleiben, ohne Eingreifen der EU. Was halten Sie von den geltenden Vorschriften über die Verarbeitung sensibler Daten?[Hilfetext: sensible Daten = Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie Daten über Gesundheit oder Sexualleben] 5

6 Sie sind notwendig angesichts der Bedrohung der Privatsphäre des Einzelnen. Die Entscheidung darüber, wann aufgrund der Sensibilität der Daten ein höherer Schutz erforderlich ist, sollte nicht auf einer abschließenden Liste basieren, sondern auf der tatsächlichen Bedrohung der Privatsphäre der Betroffenen durch die Verarbeitung. Die geltenden Vorschriften über die Verarbeitung sensibler Daten sind alles andere als gerechtfertigt. Sie sind notwendig, aber ihre praktische Anwendung ist manchmal sehr schwierig (bitte erläutern) Glauben Sie, dass eine weitere Klärung für die Abwägung zwischen dem Recht auf Schutz der Privatsphäre und der Meinungsfreiheit/Informationsfreiheit hilfreich wären?, bestimmt, so weit dies als gesellschaftlich notwendig empfunden wird, es sollten andere Prioritäten gesetzt werden. Wo läge Ihre Präferenz bei der Flexibilisierung der bestehenden Mechanismen der Richtlinie für die Übermittlung von Daten aus der EU in Drittländer? Mehr Flexibilität für Übermittlungen innerhalb von Unternehmensgruppen, wenn ein für die Verarbeitung Verantwortlicher in der Gemeinschaft ansässig ist (z. B. durch Anerkennung unternehmensinterner Verhaltensregeln) Mehr Flexibilität im Hinblick auf mögliche Ausnahmen vom Verbot der Übermittlung gemäß Artikel 26 Absatz 1 der Richtlinie (z. B. keine Beschränkungen für Datenübermittlungen, die offensichtlich keine ernsthafte Gefährdung der Privatsphäre natürlicher Personen mit sich bringt) Förderung internationaler Vereinbarungen mit Drittländern auf der Grundlage der Erfordernisse des internationalen Handels Glauben Sie, dass Unternehmen und Datenschutzbehörden die Möglichkeiten des Artikels 27 der Richtlinie (Verhaltensregeln) auf nationaler und europäischer Ebene angemessen genutzt haben? Glauben Sie, dass die Datenschutzbehörden in der Gemeinschaft genug Mittel für die Beratung von Unternehmen einsetzen?, angesichts der begrenzten Ressourcen, die ihnen gegenwärtig zur Verfügung stehen, sie haben offenbar andere Prioritäten. Haben Sie weitere Anmerkungen zur Anwendung der Datenschutzrichtlinie? [Freitextantwort] Vielen Dank für Ihre Mitarbeit. Weitere Informationen über den Datenschutz in der Europäischen Union finden Sie auf den Websites der Datenschutzbehörden der Mitgliedstaaten und auf der Website der Europäischen Union unter: 6