GDPR：TOM 上也有信息吗？

fabiha01

根据艺术获取信息的权利。 15 GDPR 在数据保护法中发挥着重要作用，近年来越来越受欢迎。尽管，或者可能正是因为广泛的判例法，数据主体的这一权利的范围仍然存在不确定性。数据主体可以向控制者索取有关 GDPR 第 15(1) 条所述信息的信息，或者根据 GDPR 第 15(3) 条，索取作为处理对象的个人数据的副本。联邦法院和欧洲法院也对“复制”的概念作出了评论。

信息范围
但数据主体是否也有权要求提供有关第 20 条规定所采取的技术和组织措施 (TOM) 的信息？ 32 GDPR？那么她能否提供相关文件，例如B. 关于系统的技术安全措施，公司的备份概念或培训概念？有关人员是否可以检查 TOM，即在现场查看其最小细节？

首先，数据主体很可能在该知情权范围内获得有关他或她的数据处理的广泛知识，其中可能还间接包括有关数据处理安全性的信息。毕竟，知情权也涉及有关数据存储期限或来源的信息。如果将其数据传输到第三国，则必须告知数据主体适当的传输保障措施（例如，通过指定控制者和接收者之间达成的数据保护协议）。当主张复制权时，数据主体甚至可以收到附带信息以帮助他们理解数据——也许这也意味着对 CRM 如何工作的解释，以便了解如何在系统中处理数据。

限制
然而，仔细研究该规定就可以清楚地看出，TOM​​ 中的信息符合第 14 条的规定。 GDPR 第 32 条中没有明确提及。 15（1）GDPR，但也没有提及它。这也与第 14 条中关于 TOM 的规定一致。 32 GDPR 追求不同的目的。 TOM 必须由控制者和处理者达成一致，并且由双方记录和审查，例如通过订单处理合同（AV 合同），以解决数据保护责任并能够遵守第 6 条规定的问责义务。 GDPR 第 5（2）条。因此，根据 AV 合同（或 GDPR 第 28 条第 3 款第 2 项 c 和 h 项），控制者可以向处理者请求此信息，从而监控这些措施，这是数据保护法规定的责任所要求的。

此外，控制者很有可能能够成功地依赖这样的论点：GDPR 第 32 条提供的信息提供了对公司的相对深入的洞察，美国商业传真列表 因此也可能受到商业秘密的保护。因此，不需要间接投降。

最后，GDPR 第 15（4）条中的信息权包含一个经常被忽视的例外，根据主流观点，该例外也应（类似地）适用于 GDPR 第 15（1）条中的信息目录：“根据第 3 款获得副本的权利不得对他人的权利和自由产生不利影响。”（GDPR 第 15（4）条）——在这种情况下，如果其他人的权利和自由（包括控制者的权利和自由）受到影响，则可以拒绝提供此类信息。有关内部安全概念的敏感信息或员工培训证据等也可能属于此类别。责任人将面临过大的攻击目标，例如如果他们必须将此类敏感信息传输给几乎每一个数据主体，例如，根据信息请求，这些数据主体只向公司发送了一封电子邮件，或者在受监控的建筑物的门厅短暂停留，那么他们就会面临来自黑客等的威胁。

此外，除了《第 31 条》规定的有关数据处理的一般信息义务之外，甚至没有提供具体 TOM 的深远义务。 13 和艺术。 14 GDPR。这是因为《条例》的规定非常详细。 13 和艺术。 14 GDPR不提供艺术意义内的TOM 链接。 32 GDPR。

结论
也不可以通过艺术获得信息的权利。 15 GDPR 或通过数据处理的强制性一般信息（GDPR 第 13 条和第 14 条），数据主体无权要求有关所采用的 TOM 的具体信息。此类信息主要只能由缔约方通过订单处理或联合控制来检索或审查，这实现了查询和审查信息的另一个目的。信息权已经深远地嵌入数据主体的权利之中，它为数据主体提供了足够的工具来控制与其相关的数据处理。