并行使用云数据——订单处理及其他

fabiha01

云服务提供商的胜利是毋庸置疑的。虽然购买软件并将其安装在自己的公司服务器（本地）上曾经是一种常见的做法，但仅在有限时间内租用软件并在提供商的计算机上运行的服务正变得越来越流行。关键词：软件即服务（SaaS）。一方面，这看起来很高效，因为它节省了IT部门的人力资源；另一方面，它是可计算的，因为软件的使用与特定时间段内的固定付款金额挂钩。

数据是（不那么）新的石油
这一发展的必然结果是，针对此类 IT 服务签订的订单处理合同越来越多。但与此同时，软件提供商越来越热衷于访问存储在其场所的宝贵数据，以满足他们自己的目的。因此，他们放弃了数据处理者的角色，但同时又想承担责任。他们正越来越多地尝试通过起草相应的数据处理协议来执行这一点。

在实践中，进一步用于测试和开发目的尤其重要，但也应允许机器学习（所谓的“人工智能”）等“大数据”应用访问数据。这可以吗？

允许改变用途
如果软件提供商对数据的使用可以被视为第 6 条规定意义内的目的的单纯改变，则情况就是这样。 GDPR 第 6（4）条。只要目的的改变违反了《条例》规定的目的限制要求，则目的的改变就是特权。 5 (1) (b) GDPR：因此，在特殊情况下，数据可能会被处理用于收集目的以外的其他目的。必须考虑五个方面（兼容性测试）：

收集个人数据的目的与进一步处理的目的之间的联系，
收集个人数据的背景，
个人数据的性质，
预期的进一步处理对数据主体可能造成的后果以及
存在适当的保护措施，例如加密或假名化。
然而，通过兼容性测试后，根据艺术的常规法律基础。 6（1） 数据处理仍然需要遵守 GDPR。在没有同意的情况下，印度商务传真列表 通常必须为了软件提供商的合法利益而寻求同意（GDPR 第 6（1）（f）条）。应该明确的是，由于一方面所用软件的多样性，另一方面涉及的潜在非常敏感的数据，因此在这方面不可能有通用的答案。

首先要注意的是，对数据处理目的变更的可接受性的评估必须从数据主体的角度进行。他必须在多大程度上期待进一步的处理？ “后续处理”似乎是下一个合乎逻辑的步骤吗？数据的进一步使用是否会严重干扰数据主体的信息自决权，例如健康数据的情况？只有在有关人员明确同意的情况下才有可能。如果进一步处理会给他带来不利后果，则同样适用。然而，如果数据主体无法察觉到进一步的处理，则更有可能表明目的发生了可允许的改变。

软件开发相当不加批判
随着软件的不断发展，至少可以说进一步处理和订单处理之间存在密切的联系。受影响方作为最终用户，受益于软件本身的改进和进一步发展。数据不会传递给第三方这一事实也表明干预程度较低。进一步处理发生的地点也可能发挥作用：在一个没有足够数据保护水平的国家，利益平衡必须更有利于受影响的人。

无论如何，必须透明地呈现进一步的处理，并且软件提供商必须能够展示适当的技术和组织措施。 GDPR 第 6（4）条明确列出了加密和假名化——但当然，匿名化数据也是一种合适且始终可取的措施。软件提供商作为第二控制者，也负责履行数据主体的权利。在此背景下，软件提供商和公司根据第 14 条不承担任何共同责任。 26 GDPR 也必须接受审查。

然而，处理第 14 条规定意义上的特殊个人数据。从一开始就排除基于合法利益的 GDPR 第 9 (1) 条（GDPR 第 6 (1) (f) 条）。

反例：AI模块的训练数据存在问题，原因有几个
例如，在没有足够数据保护水平的第三国，使用从员工访问控制期间收集的生物特征数据来培训人工智能模块肯定不属于允许的目的变更的范畴。除了 GDPR 第 9（1）条特别保护的数据外，在就业环境中也需要谨慎，因为由于假定的依赖关系以及由此导致的自愿性不足，获得有效同意往往失败。