IANAL.

(1) Le RGPD est certainement pertinent.

(2) Il s'agit certainement de "données personnelles" selon la définition de l'article 4 du RGPD.

(3) La conservation de ces données est probablement légale en vertu de l'article 6, section 1 (a) (consentement) - à condition que les conditions générales du site indiquent clairement que l'utilisateur en s'inscrivant consent à ce que ces informations soient conservées

(3) L'article 14 est certainement tenu de divulguer que les informations existent et de dire comment elles sont utilisées.

(4) L'article 15 stipule que les personnes concernées ont le droit de voir les informations et savoir quels destinataires ou catégories de destinataires ont accès aux informations (je ne sais pas s'il suffit de dire simplement "modérateurs", ou si les modérateurs doivent être identifiés).

(5) Je ne vois aucune raison pour laquelle les obligations en vertu des articles 16, 17 et 18 concernant la rectification, l'effacement et la restriction du traitement ne sont pas pertinentes.

C'est exactement le type de situation que le RGPD est conçu t o adresse. Si vous limitez le service disponible à certains utilisateurs en fonction d'un enregistrement de leur comportement ou des jugements des modérateurs, ils ont absolument le droit de savoir et un droit de recours.

Ces annotations de compte sont clairement des données personnelles, et devraient être divulguées dans le cadre d'une demande d'accès à une personne concernée.

Les données personnelles sont toute information relative à une personne concernée identifiée ou identifiable (cf. 4 (1)). Cela signifie que les données personnelles ne couvrent pas seulement les PII telles que les noms ou les coordonnées, mais également toute information liée à ces informations. Les annotations de compte sont clairement liées à ce compte et font donc partie des données personnelles du titulaire du compte.

Le droit d'accès Art 15 n'est pas conditionnel . Le responsable du traitement doit fournir toutes les données personnelles et n'a aucune base pour retenir des données personnelles. Le RGPD annule toute politique de confidentialité que le responsable du traitement pourrait autrement utiliser.

Le RGPD connaît les limitations suivantes au droit d'accès:

• Conformément à l'article 15 (4), accès aux données personnelles «ne porte pas atteinte aux droits et libertés d'autrui».
• Conformément à l'article 12 (5), un responsable du traitement peut refuser de donner suite à des demandes «manifestement infondées ou excessives».
• L'identité de la personne concernée doit être raisonnablement vérifiée pour une demande. Lorsque l'identité ne peut pas être vérifiée, une demande peut être refusée.

La vérification que la personne qui fait la demande est la personne concernée pour ce compte ne sera pas un problème. Affirmer qu'une telle demande serait excessive est également très douteux.

Mais les droits et libertés d'autrui offrent un argument possible. Par exemple, cette base a été utilisée dans un cas pour refuser l'accès à des enregistrements de vidéosurveillance à partir d'un système de métro, au motif que la divulgation de l'emplacement des caméras menacerait la sécurité et donc la liberté des autres utilisateurs du métro. Mais cet intérêt de sécurité publique devrait être mis en balance avec l'intérêt de la personne concernée à accéder, qui dépendrait de la raison pour laquelle la personne concernée demande l'accès. La mesure dans laquelle ces arguments sont acceptables dépend principalement des autorités de contrôle compétentes.

Ici, il peut être possible d'exclure les notes de compte lorsque ces notes impliquent également d'autres personnes concernées. Mais cela devrait être décidé au cas par cas. Ni l'inclusion complète ni l'exclusion générale des notes ne semblent légales. La décision reviendrait au délégué à la protection des données du responsable du traitement.

Des arguments similaires s'appliquent à l'effacement ou à la rectification des données, mais ces droits sont plus limités que le droit d'accès. L'existence d'un droit à l'effacement dépend également de la base juridique sur laquelle les données personnelles ont été collectées. En cas d'intérêt légitime, il peut y avoir un intérêt légitime supérieur à conserver ces données et à refuser la demande d'effacement de la personne concernée.

Clause de non-responsabilité obligatoire: ce n'est ni un avocat, ni un expert en droit et réglementation du RGPD.

J'ai été curieux à ce sujet et j'ai creusé. Il existe certaines exemptions au droit d'accès dans certains États membres. Pour l'argumentation ici, j'ai utilisé le Royaume-Uni comme État membre pertinent car c'est là que se trouve la liaison de SE avec l'UE.

L'analyse citée ici provient du Bureau du commissaire à l'information.

Pas d'exemption générale pour les secrets commerciaux.

En règle générale, il n'y a pas d'exemptions pour l'article 15 du RGPD "Droit d'accès". Cela signifie qu'en l'absence d'autres exemptions spécifiques dans le droit national, chaque bit de données à caractère personnel (c'est-à-dire les données liées au compte) devrait être divulgué, même si la divulgation de ces données porterait préjudice ou révélerait les secrets commerciaux du responsable du traitement. La directive européenne sur les secrets commerciaux (2016/943 / UE) ne permet pas spécifiquement de l'utiliser pour porter atteinte aux demandes d'accès aux données.

Les annotations contenant les PI d'autres utilisateurs

Au cas par cas, la loi sur la protection des données de 2018 prévoit une exemption spécifique pour les données personnelles contenant des données personnelles ou l'identité d'une autre personne concernée.

Dans ce cas, cela s'appliquerait probablement aux annotations faisant référence à un autre utilisateur, telles que "Magisch a conspiré avec TotallyNotMagisch pour promouvoir le service MagischWeb à travers leurs réponses".

Pour de telles annotations, la divulgation pourrait probablement être refusée au cas par cas sur la base du droit à la vie privée de l'autre personne.

S'agit-il même d'un PI?

Ceci est intéressant, car d'après une lecture simple de la loi, il est évident que les annotations concernant spécifiquement un utilisateur équivaudraient à des informations personnelles sur cet utilisateur. Cependant, une décision récente de la CJCE a rendu cette distinction moins claire. Récemment, dans YS, M, and S v Minister for Immigratie, Integratie en Asiel , le tribunal a jugé que les résultats du traitement des données d'une personne par un agent (un formulaire contenant des recommandations et une analyse juridique concernant la demande de résidence d'une personne aux Pays-Bas) ne constituaient pas à proprement parler des données personnelles et ne devaient pas être divulguées dans le cadre d'une demande de droit d'accès.

Je ne prétends pas comprendre le contexte complet et la décision préliminaire ici, mais il me semble que la question de savoir quelle part des résultats du traitement PI est elle-même PI n'est toujours pas tranchée de manière exhaustive dans les litiges et donc pas gravé dans la pierre. Je ne serais pas surpris si d'autres exemptions étaient supprimées de la définition pour des situations similaires.

Langage large et violation des droits d'autrui

L'article 15 4) stipule:

Le droit d'obtenir une copie visé au paragraphe 3 ne doit pas porter atteinte aux droits et libertés d'autrui.

Je n'ai aucune idée de la façon dont cela affecte ce que je écrit ci-dessus, et je n'ai trouvé aucune décision judiciaire ou contestation sous cet angle, mais j'en déduire que dans des situations spécifiques où une demande est faite de toute évidence de mauvaise foi dans l'intention de nuire ou de harceler les modérateurs qui font l'annotation ou les modérateurs en général , cela pourrait être invoqué pour refuser au cas par cas des parties spécifiques ou des annotations entières.

De plus, il serait probablement possible de faire valoir que la révélation d'annotations spécifiques pourrait avoir un impact négatif et endommager la gouvernance de l'échange de piles et le travail bénévole de ses modérateurs.

Je ne sais pas jusqu'où cela va et encore une fois je n'ai trouvé aucune analyse juridique à ce sujet, mais cela semble être quelque chose à considérer à la fin.

Eh bien ... je vais essayer de faire de la mienne une question simple, car dans ce cas précis (à mon humble avis), une longue réponse avec une mention détaillée des articles du RGPD ne fera que semer la confusion dans la confusion. des données personnelles (collecte; stockage; accès; traitement; partage) se déroule dans le cadre d'un «objectif» et d'une «portée» donnés qui doivent être respectés par une base légale documentée applicable et défendable.

Par conséquent, si et où Les «annotations» (internes ou externes) contiennent des données personnelles, la personne concernée doit en être informée.

Si ces annotations sont vitales pour le service rendu et que la personne concernée peut s'y opposer (ce qui peut même pas être le cas), alors le sujet DAta doit être informé que le retrait / l'opposition à l'annotation rendra le service non livrable.

En termes de DSAR, il n'est pas obligatoire d'informer les données Sujet de ce que les annotations lisent ... juste le type de données personnelles enregistrées sur celles-ci et que si elles ne sont pas enregistrées quelque part el se ...

Pourtant, je comprends que les annotations peuvent contenir de nouvelles données personnelles qui découlent du traitement (par exemple ce type n'aime pas XXXXXX) ... dans ce cas, vous n'avez pas besoin de partager ce qui est écrit avec la personne concernée, vous pouvez simplement informer que ce sont les données qui caractérisent les préférences sur le sujet XXXXX car elles sont pertinentes afin de concentrer les informations à transmettre dans le cadre des Services.

Ce n'est pas un sujet compliqué ...

Maintenant, la base légale peut vraisemblablement être un intérêt légitime mais cela dépend (comme toujours du contexte , signifiant "but" et "portée")