我不存储任何数据的联系表上的GDPR

Question

我对如何处理GDPR感到非常困惑。我最近为客户创建了一个网站，该页面只是一个包含一些信息和联系表格的页面。此联系表只是向用户发送一封包含用户名，电子邮件，主题和消息的电子邮件。网站内没有存储任何内容。如果我不存储任何内容，是否需要包含与GDPR相关的任何内容，或者是否将发送到我的收件箱的电子邮件视为存储数据？

Answer 1

要具体说明TermsFeed的答案，您要询问的是article 6 of GDPR；在这种情况下，您可以合理地认为该处理是必要的，“对于履行数据主体所签订的合同是必要的，或者为了在数据主体订立合同之前根据数据主体的要求采取步骤”。在提交时，数据主体完全控制他们是否选择向您提供信息。但是，最好以这样的形式说：它们提供的信息不会被用于任何其他目的（理想情况下将被保留多长时间以及在何处等等），因为任何严格超出此目的的东西都不会被使用。查询确实需要征得同意。

同意通常用于可选内容，例如在购买商品时选择加入营销电子邮件，而对于数据收集的主要目的而言，不需要额外的处理。不应不必要地使用同意，因为与其他处理基础不同，数据主体可以在任何时候单方面撤回同意。

另一个因素是您充当数据处理器。您的客户是数据控制者，他们已要求您代表他们处理此数据。在这种情况下，您需要遵守适用于处理器的数据保护法规（TLS，物理位置等，并且您应该与客户签订数据处理协议以明确这一点），但是数据基本上不是您的。数据主体与控制器有关系，而不是与您有关系，因此，您的客户确实需要谨慎对待其条款和行为。最好不要在服务器上保留任何数据。您不会失去对您没有数据的控制。

如果您正在处理的数据完全敏感，则应该进行数据保护影响评估（DPIA）和/或隐私影响评估（PIA；本质上相同，但还要更高层次），听起来有些不祥和官僚主义，但实际上却很简单，通常也很有趣-CNIL（法国数据保护办公室）提供了an excellent PIA app，可引导您完成该过程。

Answer 2

这更多地取决于您如何使用该信息，而不是如何存储它们。同意只是您依据GDPR收集个人数据的法律依据之一。