Operator sau persoană împuternicită de operator în temeiul GDPR: cum să știi cine este cine

Un operator decide de ce și cum sunt prelucrate datele cu caracter personal; o persoană împuternicită de operator prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale operatorului (articolul 4 alineatele (7) și (8) din RGPD). Rolul dumneavoastră urmează faptele, nu eticheta din contract, și stabilește cine are nevoie de un temei legal, cine răspunde la solicitările persoanei vizate, cine raportează o încălcare și cine este răspunzător dacă ceva nu merge bine.

Cum distingi un controller de un procesor?

Întrebați cine decide de ce sunt prelucrate datele și, în esență, cum. Un operator stabilește scopul și mijloacele esențiale ale prelucrării; o persoană împuternicită de operator acționează numai pe baza instrucțiunilor documentate ale operatorului și nu utilizează datele în scopuri proprii.

Persoane tipice de procesare a datelor: un furnizor de găzduire, un birou de salarizare care acționează strict pe baza instrucțiunilor, un serviciu de livrare a e-mailurilor. Operatori tipici, chiar dacă sunt angajați de o altă parte: un contabil care efectuează un audit statutar, un avocat care se ocupă de un caz, un serviciu de medicină a muncii (arbodienst) care își exercită propriile atribuții profesionale.

Contractul îți stabilește rolul?

Nu. Faptul că te numești persoană împuternicită de operator în acord nu te face una dintre ele. Dacă un furnizor utilizează datele în scopuri proprii, cum ar fi îmbunătățirea produsului său, crearea de profiluri sau marketingul către persoanele vizate, acesta este un operator pentru prelucrarea respectivă. Articolul 28(10) din RGPD prevede acest lucru în mod expres: o persoană împuternicită de operator care stabilește scopurile și mijloacele este tratată ca un operator.

Ce se întâmplă dacă tu și o altă parte stabiliți de comun acord scopurile?

Prin urmare, sunteți operator comun în temeiul articolului 26 din RGPD. Trebuie să vă stabiliți responsabilitățile într-un acord, în special în ceea ce privește drepturile persoanelor vizate și obligațiile de informare prevăzute la articolele 13 și 14, și să puneți esența acordului respectiv la dispoziția persoanelor vizate.

Controlul comun apare mai des decât se așteaptă organizațiile. În cauza Wirtschaftsakademie (C-210/16, 5 iunie 2018), Curtea de Justiție a UE a tratat administratorul unei pagini de fani de pe Facebook ca fiind un operator asociat împreună cu Facebook. În temeiul articolului 26 alineatul (3) din RGPD, o persoană vizată își poate exercita drepturile împotriva oricăruia dintre operatorii asociați, indiferent de ce ați convenit intern.

Ce trebuie să conțină un acord de prelucrare a datelor?

Dacă angajați o persoană împuternicită de operator, un acord scris este obligatoriu în temeiul articolului 28 alineatele (3) și (9) din RGPD, iar conținutul acestuia este prescris. Acesta trebuie să acopere obiectul și durata prelucrării, natura și scopul acesteia, tipurile de date și categoriile de persoane vizate, precum și instrucțiunile dumneavoastră în calitate de operator.

De asemenea, trebuie să acopere confidențialitatea, măsurile de securitate în temeiul articolului 32, condițiile de angajare a subcontractanților, asistența pentru solicitările persoanelor vizate și notificarea încălcărilor, returnarea sau ștergerea datelor la final și drepturile dumneavoastră de audit.

Unde încep de obicei disputele?

Două clauze cauzează cele mai mari probleme. În ceea ce privește subcontractarea, articolul 28 alineatul (2) din RGPD permite o autorizație scrisă generală, dar persoana împuternicită de operator trebuie să vă informeze despre modificările intenționate și să vă ofere posibilitatea de a obiecta. În ceea ce privește returnarea sau ștergerea, conveniți asupra uneia dintre cele două clauze care se aplică și în ce format, înainte de încheierea relației, mai degrabă decât în ​​timpul unei dispute.

Notificarea încălcării datelor este un al treilea punct de presiune. Persoana împuternicită de operator trebuie să vă informeze fără întârzieri nejustificate (articolul 33 alineatul (2)); aveți apoi la dispoziție 72 de ore pentru a notifica Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens) în temeiul articolului 33 alineatul (1). Stabiliți un termen limită intern scurt pentru persoana împuternicită de operator, de exemplu 24 sau 48 de ore.

Cine este răspunzător dacă prelucrarea merge prost?

În conformitate cu articolul 82 alineatul (2) din RGPD, sunteți răspunzător în calitate de operator pentru daunele cauzate de o prelucrare care încalcă RGPD. O persoană împuternicită de operator este răspunzătoare numai dacă nu a respectat obligațiile pe care RGPD le impune în mod specific persoanelor împuternicite de operator sau a acționat în afara sau contrar instrucțiunilor dumneavoastră legale.

În cazul în care ambii sunteți implicați în aceeași prelucrare și sunteți responsabili pentru daune, fiecare dintre voi poate fi tras la răspundere pentru întregul prejudiciu adus persoanei respective (articolul 82 alineatul (4)). Partea care a plătit poate recupera ulterior partea celeilalte părți (articolul 82 alineatul (5)), motiv pentru care clauza de despăgubire dintr-un acord de prelucrare merită negociată cu atenție.

Ce ar trebui să verifici ca și controlor?

• Dacă fiecare furnizor care gestionează date cu caracter personal pentru dumneavoastră a semnat un acord de prelucrare care respectă articolul 28 alineatul (3).
• Dacă vreun furnizor utilizează datele în scopuri proprii, ceea ce îl face operator.
• Dacă aveți o listă de subcontractanți și o procedură pentru a obiecta la modificări.
• Dacă persoana împuternicită de operator trebuie să vă raporteze încălcările într-un număr fix de ore.
• Indiferent dacă aveți acorduri de operare comună pentru platforme sau campanii comune.

Ce ar trebui să verifici ca procesor?

• Indiferent dacă utilizați datele clienților doar pe baza instrucțiunilor documentate și nu pentru propriul produs sau analiză.
• Dacă subcontractanții dumneavoastră sunt ținuți de aceleași obligații ca și dumneavoastră.
• Dacă puteți returna sau șterge datele în formatul convenit la sfârșitul contractului.
• Dacă plafonul răspunderii și despăgubirea reflectă răspunderea limitată în temeiul articolului 82 alineatul (2).

Ce putem face pentru dumneavoastră cu roluri de controlor și procesator?

Prin intermediul cabinetului nostru de avocați IT, vă putem ajuta, de exemplu:

• Cartografiem rolurile fiecărei părți din lanțul dumneavoastră de date, per activitate de procesare.
• Redactăm și revizuim acorduri de prelucrare și acorduri de operare comună.
• Negociem clauze privind subcontractarea, notificarea încălcărilor și răspunderea.
• Oferim consultanță cu privire la răspunderea și căile de atac între părți după o încălcare a securității datelor.
• Pregătim răspunsul dumneavoastră la întrebările Autoriteit Persoonsgegevens.

Rezumat

• Rolul dumneavoastră urmează faptele, nu eticheta din contract: oricine decide scopul și mijloacele esențiale este operatorul.
• Dacă stabiliți scopurile împreună cu o altă parte, sunteți operatori asociați și trebuie să înregistrați împărțirea responsabilităților (articolul 26 din RGPD).
• Un acord de prelucrare scris, cu conținutul articolului 28 alineatul (3) din GDPR, este obligatoriu ori de câte ori utilizați o persoană împuternicită de operator.
• Persoana împuternicită de operator vă raportează o încălcare fără întârzieri nejustificate; dumneavoastră notificați Autoritatea de Reglementare a Persoanelor în termen de 72 de ore.
• Ambele părți pot fi răspunzătoare pentru întregul prejudiciu adus persoanei respective, așa că negociați clauza de despăgubire înainte de a semna.

Întrebări frecvente