GDPR – Töötlemine

Üldine andmekaitsemäärus (GDPR) pakub ühtset kogu Euroopas kehtivat võimalust nn ‘volitatud andmetöötluseks’, mis on isikuandmete kogumine, töötlemine või kasutamine volitatud töötleja poolt vastutava töötleja juhiste kohaselt lepingu alusel.

Asjakohased määrused volitatud andmetöötluse jaoks kehtivad juba siis, kui töötlemine on seotud tegevusega ELi piires asuvas ettevõttes. See tähendab, et piisab sellest, kui kas kontrollija või volitatud töötleja tegutseb ELis asuvas ettevõttes ja töötlemine toimub seoses tema tegevusega. Tuleb eristada töötlemist ja ühist kontrolli (GDPR artikkel 26), kus mõlemad pooled määravad ühiselt kindlaks andmetöötluse eesmärgid ja vahendid ning on seega ka nende eest ühiselt vastutavad.

Kontrollija-töötleja suhtes on viimasel lubatud töödelda isikuandmeid ainult kontrollija dokumenteeritud juhiste alusel. Töötleja ei saa sõlmida lepingut teise töötlejaga konkreetse lepingu täitmiseks ilma vastava kontrollija eelneva konkreetse või üldise kirjaliku loata. Üldise loa korral peab töötleja teda teavitama töötlemisega seotud olulistest muudatustest.

Enamasti toimub volitatud andmetöötlus lepingu alusel. GDPR artikli 28 lõige 3 sätestab selle miinimumnõuded. Leping peab muu hulgas sisaldama, millist tüüpi isikuandmeid töödeldakse, samuti töötlemise eesmärki ja eesmärki. Lisaks kehtivad töötlejale täiendavad kohustused. Näiteks peab ta pidama ka töötlemistoimingute registrit, mis sisaldab iga vastutava töötleja nimesid ja kontaktandmeid, kelle jaoks ta töötab, samuti nende jaoks teostatavaid töötlemiskategooriaid. Peale selle peab indeks sisaldama, kui kohaldatav, isikuandmete edastamist kolmandatesse riikidesse ja kui võimalik, tehniliste ja organisatsiooniliste meetmete üldkirjeldust. Vastutav töötleja peab töötleja valikut kindlustades tagama, et see on rakendanud piisavad tehnilised ja organisatsioonilised meetmed tagamaks, et töötlemine vastab määruse nõuetele.

Põhimõtteliselt on vastutav töötleja andmesubjekti esimene kontakt ja vastutab selle eest, et andmetöötlus vastaks seaduslikele nõuetele. See ei tähenda siiski, et volitatud töötleja oleks vastutusest priid. Vastavalt GDPR art. 82-le vastutab ta solidaarselt vastutava töötlejaga. Volitatud töötleja vastutus piirdub aga lõike 2 järgi kohustuste rikkumistega, mis on talle spetsiifilised. Mõlemal poolel on võimalus end vabandada. Selleks peavad nad tõendama, et nad ei vastutanud mingil moel sündmuse eest, mis viis kahjustusteni.