车牌登记的数据保护责任

fabiha01

几年前的新奇事物今天已不会让任何人感到惊讶。我们正在讨论作为停车位管理的一部分自动记录车牌的系统（我们报道过）。使用这种方法后，运营商可以采取有效措施，例如追究停车时间过长的人的责任。除了合法性和透明度问题之外，数据保护法下的责任问题也始终存在。根据 GDPR 第 4 条第 7 款，控制者是

“自然人或法人、公共当局、机构或其他机构单独或与他人联合决定处理个人数据的目的和方式。”

这里经常出现的问题是，除了停车位管理服务提供商之外，使用此类技术监控停车场的超市或其他零售公司的运营商是否也参与了监控。根据设计，通常可以假定服务提供商对此负责，这意味着贸易公司的运营商不受任何数据保护义务的约束。

萨尔州数据保护和信息自由专员的观点
萨尔州数据保护和信息自由专员办公室 (LfDI)在其第 32 份年度报告(第 9.3 节，第 143 页) 中讨论了这个问题。 LfDI 检查了几个属于商业公司的停车场，这些停车场根据停车位管理合同由专门从事车牌识别的服务提供商进行监控。如果超出最长停车时间，服务提供商将进行车主检查，并以自己的名义索取合同罚款。在评估中，LfDI 得出（临时）结论：服务提供商和贸易公司共同负责在第 14 条第 2 款规定的联合控制框架内处理车牌登记范围内的事务。 GDPR 第 26（1）（s） 1 条。共同控制权存在的决定性因素是至少两个控制者确定数据处理的目的和方式。处理的目的应被视为预期的结果或指导计划的行动，即“为什么”和“以什么目的”进行处理（另请参阅EDPB，关于“控制者”和“处理者”概念的指南 07/2020）。无法实际访问已处理的数据并不排除（共同）责任（另见欧洲法院，2018 年 6 月 5 日判决 - C-210/16，第 38 段）。

据 LfDI 介绍，存在这一目的的原因特别是零售公司旨在防止停车位被未经授权的第三方或长期停车者占用，新加坡商业传真列表 从而能够为自己的顾客维持足够数量的停车位。因此，主管部门假定，经营者在委托服务提供商时，是根据《条例》第 14 条的规定为特定目的做出决定的。 GDPR第4条第7款定期伴随个人数据的处理。同样，服务提供商追求的目的，即在超过最长停车期限的情况下以自己的名义主张合同罚款，需要处理这些个人数据。有人认为，共同责任并不要求有关各方追求的目的必须相同。只要目的相互补充，或者追求一个目的能够促进另一个目的的实现就足够了（参见欧洲法院，2019 年 7 月 29 日判决 - C-40/17，第 80 段及以下段落）。提供足够的停车位与以自己的名义主张合同罚款这两个经济利益乍一看似乎有所不同，但实际上却紧密相连，因为持续执行超过最长停车时间的合同罚款有助于零售公司实现其目标，即通过阻止第三方或长期停车者进入停车场。贸易公司还通过停车位管理合同及其补充协议对处理方式具有影响力。尤其如此，因为在所检查的案例中，零售公司能够影响最长停车时间或授予与时间无关的使用权（白名单）。此外，该机构还指出，对于个别处理操作，例如与服务提供商主张合同罚款有关的操作，不能承担连带责任，因为在本案中贸易公司没有施加影响。不过，根据LfDI的规定，必须满足车牌临时存放和与白名单比对的条件，才能在这方面承担共同责任。

结果
对于贸易公司的经营者来说，这意味着如果满足上述要求，则必须根据第 14 条签订连带责任合同。 GDPR 第 26（1）（s） 1 条。这规范了各个相关方如何履行数据保护义务。特别是，必须考虑受影响者的权利的履行（GDPR 第 15 条及以下条款）和信息义务的处理（GDPR 第 13 条）。因此，必须透明地告知停车场使用者，特别是有关所追求的目的和责任。

结论
我们认为，萨尔州监管机构提出的观点总体上是可以理解且有效的，但具体情况还取决于个案的设计。贸易公司对车牌登记的目的和方式的影响程度应始终根据具体情况进行讨论和审查。在这里，如果设计得当，停车位管理员承担全部责任仍然是合理的。其他监管机构和数据保护会议（由所有数据保护监管机构和联邦数据保护专员组成）将如何就此问题表明立场，还有待观察。