市政委员会框架内的电子邮件沟通——更新

fabiha01

巴登-符腾堡州数据保护和信息自由专员公署 (LfDI BaWü)和石勒苏益格-荷尔斯泰因州监管机构 （石勒苏益格-荷尔斯泰因州独立数据保护中心，简称 ULD）已在其 2023 年活动报告中对地方政府代表使用私人电子邮件地址和终端设备的情况发表了评论（我们在此处报告）。

谁该负责？
根据评估，处理私人电子邮件账户中的个人数据的责任被分配给市政当局/公社（根据 LfDI BaWü）或民选代表（根据 ULD），然后他们将面临数据保护法规定的后果：当通过私人电子邮件账户处理官方数据时，公共机构将失去对其负责的个人数据的控制。此外，安全措施很难在自己的系统和应用程序之外实施和执行。如有疑问，如果任务负责人没有（或不能）与其电子邮件提供商签订数据处理协议，或者提供商没有采取并保证适当的保护措施，则任务负责人将非法处理个人数据。此外，他们还必须独立遵守GDPR 规定的其他义务，例如：B. 提供信息的义务或根据数据主体的要求提供信息。

梅克伦堡-前波美拉尼亚州数据保护和信息自由专员公署 (LfDI MV)现已将此主题纳入其2022 年和 2023 年数据保护活动报告中，并指出：

“对这些质询的答复是，使用私人或专业电子邮件账户来行使市政代表机构成员的职责不符合数据保护要求。”

如果民选官员处理个人数据，例如来自市政议会会议闭门部分或非公开会议记录的行政人员、公民和市政议会成员的数据，则须遵守《条例》规定的完整性和保密性原则。必须遵守 GDPR 第 5（1）（f）条，并确保适当的安全措施，特别是根据第 6 条对敏感数据采取安全措施。 9 GDPR。LfDI MV特别强调，当使用私人或专业电子邮件账户时（如果民选代表除了从事其活动外还从事其他职业，例如在私营部门），不能保证第三方可以未经授权访问民选代表的数据。例如，这可能例如，迪拜商业传真列表 如果家庭成员或雇主可以访问电子邮件帐户，则可能出现这种情况。

LfDI MV 如何定位自己？
鉴于 LfDI BaWü 和 ULD 的不同观点，现在出现的问题是，谁会受到这种关键数据处理以及（如有疑问）不充分的安全措施的影响——市政当局还是民选代表？

LfDI MV解释道：

在市政委员会的背景下，其成员通常不会代表自己（通常也不是单独）就其市政当局内的数据处理做出决定。相反，市政委员会成员参与市政委员会的决策，而市政委员会又充当市政当局的一个机构。该机构的行动随后归属于市政当局，因此，相应的市政当局作为地区当局（由市长代表），随后被视为《GDPR》第4条第7款所定义的市政委员会或其成员处理个人数据的控制者。 （作者强调）

因此，根据 LfDI MV，市政府作为数据控制者必须监控、执行并证明遵守适用的数据保护法规和安全措施——然而，如果私人电子邮件账户位于市政府的访问范围之外，这几乎是不可行的。此外，LfDI MV 指出了向欧盟/欧洲经济区以外第三国的电子邮件提供商传输数据可能存在的问题，以及需要与提供商签订数据处理协议。

LfDI MV 主张严格区分市议会成员的职权范围和市政代表的私人和专业范围。然而，符合数据保护要求的替代方案是提供市政/官方电子邮件地址，以便市政当局可以保证数据保护要求。

结论
根据这三人的投票结果，当市政当局在民选代表的私人电子邮件账户上处理个人数据时，赞成接受市政当局责任的投票比例为2:1。如果受影响的社区尚未采取行动，他们应该从中认识到采取行动的必要性。我们很高兴作为数据保护官为您提供支持。

如果私人电子邮件账户（和私人设备）中的市政数据尚未被归类为不可接受的数据，那么故意或容忍处理这些数据会带来重大的数据保护风险。此外，如果发生数据保护事件，人们是否可以凭良心将责任转移给公民并将其交给另一方？因此，我们的结论仍然是：即使使用私人电子邮件地址（和设备）看起来实用且成本较低，特别是对于较小的社区和市政当局而言，官方沟通渠道和设备的规范应始终优先考虑，并且管理部门应提供适当的资源。