О чём эта статья
Статья 11 освобождает контролёра от обязанности специально устанавливать личность субъекта данных, если цели обработки этого не требуют.
11(1) — Не нужно собирать лишнее ради соблюдения GDPR
Если цели, для которых контролёр обрабатывает персональные данные, не требуют или более не требуют идентификации субъекта данных контролёром — контролёр не обязан хранить, приобретать или обрабатывать дополнительную информацию для того, чтобы идентифицировать субъекта данных исключительно с целью соблюдения настоящего Регламента.
11(2) — Что это значит для прав субъекта
Если контролёр способен продемонстрировать, что он не в состоянии идентифицировать субъекта данных, он информирует его об этом, если это возможно. В таких случаях права на доступ, исправление, удаление, ограничение обработки и переносимость (статьи 15–20) не применяются — за исключением случаев, когда субъект данных, чтобы воспользоваться этими правами, сам предоставляет дополнительную информацию, позволяющую его идентифицировать.
Почему это важно
Эта статья — логичное продолжение принципа минимизации данных (Art. 5(1)(c)): GDPR не заставляет контролёра намеренно деанонимизировать свою базу только для того, чтобы формально соблюсти право на доступ. Если сервис изначально анонимный (например, статистика без cookie-идентификаторов) — он не обязан превращаться в систему идентификации только ради бюрократии. Но это работает в обе стороны: если субъект сам докажет, кто он, отказать в правах из статей 15–20 уже нельзя.