この記事はセッションでの議論の結果です。情報提供者の保護に関する 2 月 2023 日の法律 20/XNUMX における労働およびデータ保護の問題e　

規制違反と汚職との闘いについて報告する人々の保護を規定する5月2日の法律2023/20の第XNUMX条には、次のように記載されている。 行政機関または統治機関 内部情報システムの実装に責任を負うことに加えて、法律で義務付けられている各組織または団体の責任 個人データの処理責任者の地位を有することになります 個人情報保護規定の規定に従います。 したがって、それは帰属を想定します 元レジェム データコントローラーのステータス。

この数値は一般データ保護規則によって非常に正確な等高線で定義されていることを覚えておくのは無駄ではありません。 「治療の責任者」または「管理者」: 単独または他者と共同で、治療の目的と手段を決定する自然人または法人、公的機関、機関、またはその他の団体。 連合または加盟国の法律が処理の目的および手段を決定する場合、管理者またはその任命の特定の基準は連合または加盟国の法律によって確立される場合があります。

一方で、物質的な性質の役割の帰属は、 重要な意思決定能力を持つ実体または主体の識別。 一方で、法律がこれらの決定を下す場合、特定の主題に起因する可能性もあります。 責任者の条件。 これは物議を醸す問題ではありません。 議論の余地があるのは、議員の選択が正しいかどうかだ。 私たちは学界から与えられた自由を利用して、研究室の解決策を何度も批判してきました。 これは間違いなく、さまざまな理由で非効率になったり、問題が発生したりする可能性があるためです。

最初の最も基本的なものは、物質的なアプローチに戻ります。 法律は目的と手段を定義するだけでなく、 一定の経営モデル。 その第 8 条では、内部情報システムの責任者の指名と職務を規定する際に、独立法に基づいて通常の経営上の意思決定を行う人物または合議体を特定しています。 この法令は、影響を受けるどころか、データ管理者の地位に帰することでより充実したものとなるでしょう。 そしてこれにはさまざまな理由があります。

以来初めて システムの透明性と信頼性、およびアクセシビリティ。 彼の決定の重要性を考慮すると、通常は次のようになります。 申立人はプライバシーポリシーを含む法的情報を注意深く確認します: 治療の責任者が「取締役会」であり、それに関してあらゆる種類のコミュニケーションが行われると読むと、何を理解できますか? 電話をかけてきた男性は AEPD からプライバシー認証を取得しておらず、自分の身元を保護する「情報システム」が非難しようとしている人物によって指示されていることを理解できました。 もしそうなら、正気の人間なら誰も苦情を申し立てないだろう。 そして、「常識」には法的または合理的な価値がほとんどないことは断言されますが、それが規制されるときは、これらの独断的な珍味に気づかない人々の立場に身を置く価値があります。

さらに不条理なのは、情報システムの補償を保証するためにさまざまなコンプライアンス対策を設計する必要があることです。 データ管理者のステータスが属する団体が情報システムへのアクセスを拒否できることを示すデータ保護規則は XNUMX つもありません。 そしてこれが この法的解釈の主な結果。 取締役会のメンバーやチームのメンバーが情報システムにアクセスできるようにしてはなりません。 そしてこれにより、 逆説 LOPDGDD 第 36.4 条に従って、データ保護を委任された者が、この情報システムにおける侵害の可能性を「担当者の管理および管理機関」に通知する場合。 DPD は決定を下すことはなく、監督するだけであり、担当者は問題を調査して修正する必要があります。 このアクションには、情報システムとその情報へのアクセスが含まれる場合があります。 この法律に組み込まれている技術的決定により、特定の条件下で情報へのアクセスを禁止すべき機関にデータ処理を決定する権限が与えられます。

La データ保護は設計上およびデフォルトで、法的な検査機関の任務だけではありません。 管理プロセスを知るか、少なくともエミュレートする必要がありますが、それが設計モデルにあったとしても機能しません。 プロセスマップが明確なスキームで構成されていれば、そのような責任を統治機関に帰することは困難でしょう。 そのようなタスクのための自然なスペースは、当然のことながら、 コンプライアンス機関。

これにより、データ保護の代理人は少なくとも XNUMX つのポリシーを考慮する必要があります。 まず、次のことを確認してください 治療に関する情報は、透明性、アクセシビリティに求められる機能を果たします。 わかりやすさの次元で。 コミュニケーターは、たとえ治療に責任がある場合でも、「報告」された場合、「評議会」は情報にアクセスしないことを理解する必要があります。 XNUMX つ目は、GDPR に準拠するために、内部方法論を設計し、情報システムの設計を形作ることです。 私たちは影響を与えません ～する義務fide性 2 年 2023 月の法律。

リカード・マルティネス・マルティネス

バレンシア大学憲法教授、Microsoft-Universitat de Valencia 理事、プライバシーおよびデジタルトランスフォーメーション担当委員長、および学術顧問 FIDE