GDPR چه مواردی را پوشش می‌دهد؟

مقررات عمومی حفاظت از داده (GDPR) تعریف گسترده و دقیقی از داده‌های شخصی را در بر می‌گیرد که بسیار فراتر از شناسه‌های اولیه است. بر اساس ماده ۴ (۱) GDPR، داده‌های شخصی به «هرگونه اطلاعات مربوط به یک شخص حقیقی شناسایی‌شده یا قابل شناسایی («صاحب داده»)» اشاره دارد [1]. این شامل موارد زیر است، اما به آنها محدود نمی‌شود:

• نام‌ها
• شماره‌های شناسایی
• داده‌های مکانی
• شناسه‌های آنلاین (مانند آدرس‌های IP)
• آدرس‌های ایمیل، شماره‌های تلفن و آدرس‌های فیزیکی

GDPR با دسته‌بندی داده‌های خاصی به عنوان دسته‌بندی‌های ویژه داده‌های شخصی، دامنه را گسترش می‌دهد. این داده‌ها به دلیل ماهیت حساس خود، تحت حفاظت بیشتری قرار دارند. ماده ۹ (۱) این دسته‌بندی‌ها را فهرست می‌کند، از جمله:

• منشأ نژادی یا قومی
• نظرات سیاسی
• باورهای دینی یا فلسفی
• عضویت در اتحادیه‌های کارگری
• داده‌های ژنتیکی
• داده‌های بیومتریک (در مواردی که برای شناسایی استفاده می‌شود)
• داده‌های مربوط به سلامت
• داده‌های مربوط به زندگی جنسی یا گرایش جنسی یک شخص

این مقررات پردازش چنین دسته‌بندی‌های ویژه‌ای را صراحتاً ممنوع می‌کند، مگر اینکه شرایط خاصی مانند رضایت صریح یا منافع عمومی قابل توجه برآورده شود [2].

قابلیت اجرا
GDPR به صورت فرامرزی اعمال می‌شود. ماده ۳ مشخص می‌کند که هر سازمانی، صرف نظر از موقعیت فیزیکی خود، در صورتی که موارد زیر را انجام دهد باید از آن تبعیت کند:

• کالا یا خدماتی را به افراد در اتحادیه اروپا/منطقه اقتصادی اروپا (EU/EEA) ارائه دهد
• رفتار افراد را در داخل اتحادیه اروپا/منطقه اقتصادی اروپا (EU/EEA) نظارت کند

تحلیل‌های تجربی نشان می‌دهد که سازمان‌های غیر اتحادیه اروپا هنگام جمع‌آوری یا پردازش داده‌های ساکنان اتحادیه اروپا، به ویژه در سناریوهای تجارت دیجیتال و تحلیل وب، اغلب مشمول تعهدات GDPR می‌شوند [3].

نتایج کلیدی

• تعریف داده‌های شخصی تحت GDPR عمداً گسترده است تا پوشش اشکال سنتی و نوظهور شناسایی (مانند کوکی‌ها، شناسه‌های دستگاه) را تضمین کند.
• داده‌های شخصی حساس، همانطور که توسط GDPR تعریف شده، نیازمند استانداردهای پردازش سختگیرانه‌تر و مبانی قانونی صریح است.
• گستره GDPR جهانی است: نهادهای خارج از اتحادیه اروپا/منطقه اقتصادی اروپا (EU/EEA) باید فعالیت‌های پردازش داده خود را برای پوشش احتمالی ارزیابی کنند.
• تفسیر این مقررات توسط مقامات نظارتی و دادگاه‌ها به طور مداوم به نفع حفاظت جامع بوده و بر هدف مقررات یعنی حفاظت از حقوق صاحبان داده تأکید دارد [4].

منابع:
[1] مقررات (EU) 2016/679 (مقررات عمومی حفاظت از داده)، ماده ۴ (۱). روزنامه رسمی اتحادیه اروپا
[2] مقررات (EU) 2016/679، ماده ۹ (۱).
[3] Kuner, C., Bygrave, L. A., & Docksey, C. (2020). مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR): یک تفسیر. Oxford University Press. مرجع OUP
[4] Voigt, P., & Von dem Bussche, A. (2017). مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR): راهنمای عملی. Springer. مرجع Springer