Am 24. September 2024 veröffentlichte die CNIL die endgültige Fassung ihrer Empfehlungen, um Fachleuten bei der Entwicklung mobiler Anwendungen zu helfen, die den Datenschutz respektieren. In diesem Artikel geht sie auf die Schlüsselrolle von Berechtigungen in mobilen Anwendungen zurück.
Bei der Nutzung mobiler Anwendungen kommt es sehr häufig zu einer Verarbeitung personenbezogener Daten: Diese Daten werden entweder vom Nutzer bereitgestellt oder direkt von der Anwendung erfasst, wenn diese auf die auf ihrem Smartphone oder Tablet vorhandenen Ressourcen zugreift. Im letzteren Fall fordert die Anwendung die Zustimmung des Benutzers über ein von den Betriebssystemen bereitgestelltes System an : Berechtigungen.
Was ist eine Erlaubnis?
Die im Betriebssystem mobiler Endgeräte implementierten Zugriffsberechtigungen (oder „Autorisierungen“) sind Geräte, die es dem Benutzer ermöglichen, auszuwählen, auf welche Funktionalitäten und Daten jede seiner mobilen Anwendungen zugreifen kann.
Dank dieser Geräte kann der Benutzer entscheiden, ob er Anwendungen den Zugriff auf Sensoren (Beschleunigungsmesser, Standort, Helligkeit, Fotoobjektiv, Mikrofon usw.) oder den Speicher (Speicherung von Dateien, Fotos, Videos, Tönen, Kontaktbuch und verschiedenen Historien) gestatten möchte oder nicht usw.) seines mobilen Endgeräts.
Die überwiegende Mehrheit der Berechtigungen zielt nur darauf ab, den technischen Zugriff auf bestimmte geschützte Ressourcen zu gewähren oder zu blockieren, ohne die Ziele (oder Zwecke) zu berücksichtigen, für die die Anwendungen ihn anfordern. Es handelt sich also um „technische“ Genehmigungen, die nicht die Verwendung regeln, für die die Informationen verarbeitet werden dürfen oder nicht. Die Empfehlungen der CNIL betreffen diese Art von Genehmigungen.
► Siehe die Empfehlung zu mobilen Anwendungen, Teil 8.3.1.
Von der Einholung einer Einwilligung sind Einwilligungen zu unterscheiden
Technische Berechtigungen sind für die Wahrung der Privatsphäre sehr nützlich. Sie ermöglichen es Benutzern, den Zugriff auf bestimmte Daten technisch zu sperren und so die Vertraulichkeit der Informationen zu gewährleisten. Dieser Mechanismus bietet eine einfache und direkte Möglichkeit, ihre Privatsphäre zu wahren (siehe Empfehlung, Teil 8.3.1 ).
Konkret versteht der Benutzer durch das Akzeptieren oder Verweigern von Berechtigungen, welche Daten er mit der Anwendung teilt. Dies ermöglicht es, übermäßige Anfragen zu erkennen , beispielsweise eine Taschenlampe, die Zugriff auf Kontakte anfordert.
Diese „technischen“ Berechtigungen dienen jedoch nicht dazu, die Einwilligung des Nutzers im Sinne der DSGVO und des Datenschutzgesetzes einzuholen:
- Sie zielen lediglich darauf ab, den Zugriff auf die Ressourcen und geschützten Informationen des mobilen Endgeräts zu gewähren oder zu sperren, unabhängig von den vom Herausgeber der Anwendung verfolgten Zwecken. Der Betriebssystemanbieter schlägt lediglich vor, in der Anfrage zu erläutern, warum der Zugriff angefordert wird. Diese Berechtigungen können daher in Situationen erforderlich sein, in denen die Zustimmung des Benutzers nicht gesetzlich vorgeschrieben ist. Beispielsweise ist der Zugriff auf den Standort für den Betrieb einer Navigationsanwendung von der Einwilligung ausgenommen, da diese Daten für den Dienst erforderlich sind. Der Betriebssystemanbieter verlangt jedoch, dass der Herausgeber die Erlaubnis zum Zugriff auf diese Daten einholt.
- Auch wenn eine Einwilligung erforderlich ist, ermöglicht eine einfache Erlaubnisanfrage nicht immer die Einholung einer freien, spezifischen, informierten und eindeutigen Einwilligung gemäß der DSGVO oder dem Datenschutzgesetz (Artikel 82). Dies ist nur in begrenzten Fällen ausreichend, beispielsweise wenn die Erlaubnis eine einzige Verarbeitung, einen einzigen Zweck und einen einzigen Empfänger der Daten betrifft ( siehe Empfehlung, Teil 8.3.2 ). In den meisten Fällen ist zusätzlich zur Berechtigungsanfrage der Einsatz einer Consent-Management-Plattform erforderlich.
Was ist bei den Empfehlungen der CNIL zu Genehmigungen zu beachten?
Best Practices für Betriebssystemanbieter
Die Empfehlung bietet eine Reihe bewährter Vorgehensweisen für Betriebssystemanbieter im Zusammenhang mit der Umsetzung von Berechtigungen hinsichtlich der abzudeckenden Vorgänge , des Umfangs der Berechtigungen oder des Informationsniveaus , das sie zulassen sollten.
Insbesondere werden Betriebssystemanbieter dazu angehalten, ihr Berechtigungssystem so zu gestalten, dass der Herausgeber den Umfang der Berechtigungen so fein wie möglich wählen kann. Somit ermöglicht ein ideales Berechtigungssystem dem Redakteur die Wahl :
- der Grad der Genauigkeit der bereitgestellten Daten je nach verfolgtem Zweck (z. B.: mehr oder weniger genauer Standort);
- der materielle Umfang der Berechtigung (z. B.: Zugriff auf ausgewählte Fotos statt auf die gesamte Mediengalerie);
- die Dauer während der Berechtigung angegeben ist (z. B.: einmalige Aktivierung der Berechtigung oder für eine vorgegebene Dauer).
Der Zweck von Berechtigungen besteht darin, Personen die Kontrolle über ihre Daten zu ermöglichen . Sie dürfen keinesfalls dazu führen, dass vom Betriebssystemanbieter entwickelte Anwendungen bevorzugt werden.
► Siehe Empfehlung, Teil 8.3
Der Herausgeber muss die Berechtigungen zur Implementierung auswählen und die Situationen identifizieren, in denen die Einwilligung eingeholt werden muss
Der Herausgeber muss die Berechtigungen auswählen, die er für den Betrieb seiner Anwendung implementieren möchte. In diesem Sinne leitet die Empfehlung zunächst die Entscheidungen des Anwendungsherausgebers hinsichtlich der Verwendung von Berechtigungen.
Insbesondere muss Folgendes angegeben werden:
- Im Einzelfall ist unter den von der OS zur Verfügung gestellten Genehmigungen zu nennen , dass die angestrebten Ziele unter Wahrung des Minimierungsgrundsatzes erreicht werden können : Wenn die OS die Möglichkeit dazu gibt, empfiehlt die CNIL dem Herausgeber, z Für jede Berechtigung wird die am wenigsten aufdringliche Version verwendet, die ihren Anforderungen entspricht.
- Als Datenverantwortlicher Situationen, in denen die Verordnung zusätzlich zu der vom Betriebssystemanbieter erteilten Erlaubnis eine Einwilligung erfordert. Hierzu muss festgestellt werden, ob es sich bei der mit Berechtigungen verbundenen Verarbeitung um Lese-/Schreibvorgänge handelt , für die die Zustimmung der Nutzer erforderlich ist (Artikel 82 des Datenschutzgesetzes). In diesem Fall kann zusätzlich zur „technischen“ Berechtigungsanfrage die Implementierung einer Einwilligungsverwaltungsplattform („ Consent Management Platform “ oder CMP) erforderlich sein. Die Empfehlung gibt Entwicklern Hinweise zum Einholen von Einwilligungen in diesem Rahmen. In diesem Zusammenhang hält es die CNIL für eine gute Praxis, Einwilligungen kontextbezogen auf der Grundlage der durchgeführten Maßnahmen einzuholen und nicht auf einer einzigen Erstprüfung.
► Siehe die Empfehlung zu mobilen Anwendungen, Teil 5.5 und Teil 6.2.3, S. 52-53
Wie formuliert man die Erlaubnis und die Einholung der Einwilligung?
Wenn dem Benutzer sowohl ein CMP als auch eine Erlaubnisanfrage präsentiert werden, darf ihre Artikulation bei letzterem keine Verwirrung stiften.
Die Einwilligung kann entweder vor oder nach der Beantragung der Erlaubnis eingeholt werden. Die CNIL empfiehlt jedoch, dass der Entwickler in Zusammenarbeit mit dem für die Verarbeitung verantwortlichen Herausgeber dafür sorgt, dass diese Artikulation so erfolgt, dass sie das Verständnis des Benutzers fördert.
Der für die Datenverarbeitung Verantwortliche muss zur Durchführung seiner Datenverarbeitung einerseits technisch auf die Daten zugreifen können (Erlaubnis) und andererseits nachweisen, dass er eine Einwilligung gemäß den Anforderungen der DSGVO (CMP) eingeholt hat ). Wenn eine dieser Berechtigungen nicht erteilt wird, empfiehlt die CNIL, den zweiten Antrag nicht anzuzeigen, um unnötige Werbung für Benutzer zu vermeiden.
► Siehe Empfehlung, Teil 6.2.3