GDPR – Feldolgozás

Az általános adatvédelmi rendelet (GDPR) egységes, egész Európára kiterjedő lehetőséget kínál az úgynevezett „megbízási adatkezelésre”, amely a személyes adatok gyűjtését, feldolgozását vagy felhasználását jelenti az adatkezelő utasításai szerint, szerződés alapján.

A megbízott adatfeldolgozásra vonatkozó releváns szabályozások már akkor alkalmazandók, ha az adatfeldolgozás az EU-n belüli létesítmény tevékenységeihez kapcsolódik. Ez azt jelenti, hogy elegendő, ha akár az adatkezelő, akár az adatfeldolgozó működtet létesítményt az EU-ban, és az adatfeldolgozás az ő tevékenységeik kontextusában történik. Meg kell különböztetni az adatfeldolgozást és az együttes adatkezelést (GDPR 26. cikk), ahol mindkét fél közösen határozza meg az adatfeldolgozás céljait és eszközeit, és így közösen felelősek is ezekért.

Egy adatkezelő-adatfeldolgozó kapcsolatban az utóbbi csak az adatkezelő dokumentált utasításai alapján jogosult személyes adatok feldolgozására. Az adatfeldolgozó nem vonhat be másik adatfeldolgozót egy adott szerződés teljesítésének érdekében az érintett adatkezelő előzetes konkrét vagy általános írásbeli felhatalmazása nélkül. Általános felhatalmazás esetén az adatfeldolgozónak tájékoztatnia kell őt a feldolgozással kapcsolatos bármilyen releváns változásról.

A legtöbb esetben a megbízásos adatfeldolgozás szerződés alapján történik. A GDPR 28. cikk (3) bekezdése határozza meg annak minimális követelményeit. A szerződésnek tartalmaznia kell többek között, hogy milyen típusú személyes adatokat fognak feldolgozni, valamint a feldolgozás tárgyát és célját. Ezenkívül a feldolgozónak további kötelezettségei vannak. Például nyilvántartást kell vezetnie a feldolgozási tevékenységekről, amely tartalmazza azon adatkezelők nevét és elérhetőségeit, akiknek dolgozik, valamint az azokra vonatkozó feldolgozási kategóriákat. Ezenkívül az indexnek tartalmaznia kell, ha alkalmazható, a személyes adatok harmadik országokba történő továbbítását, és ha lehetséges, a technikai és szervezési intézkedések általános leírását. Az adatkezelőnek biztosítania kell a feldolgozó kiválasztása során, hogy az elegendő technikai és szervezési intézkedéseket vezetett be annak érdekében, hogy a feldolgozás megfeleljen a Rendelet követelményeinek.

Alapvetően az adatkezelő az adatkezelési folyamat első kapcsolattartója az érintett számára, és felelős azért, hogy az adatkezelés megfeleljen a jogi követelményeknek. Ez azonban nem jelenti azt, hogy az adatfeldolgozó mentesül a felelősség alól. Az GDPR 82. cikke alapján ő az adatkezelővel egyetemlegesen felelős. Azonban az adatfeldolgozó felelőssége a 2. bekezdés szerint azokra a kötelezettségekre korlátozódik, amelyek kifejezetten rá vonatkoznak. Mindkét félnek lehetősége van magát mentesíteni. Ehhez bizonyítaniuk kell, hogy semmilyen módon nem voltak felelősek az eseményért, amely a kárhoz vezetett.