GDPR – Ipproċessar

Ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR) joffri possibilità uniformi, mifruxa fl-Ewropa għall-hekk imsejjaħ ‘proċessar tad-data kummissjonat’, li huwa l-ġbir, l-ipproċessar jew l-użu ta’ data personali minn proċessur skont l-istruzzjonijiet tal-kontrollur ibbażati fuq kuntratt.

Ir-regolamenti relevanti għall-ipproċessar tad-dejta kkummissjonata japplikaw diġà, jekk l-ipproċessar huwa konness mal-attivitajiet ta’ stabbiliment fi ħdan l-UE. Dan ifisser li huwa biżżejjed jekk jew il-kontrollur jew l-ipproċessur joperaw stabbiliment fl-UE, u l-ipproċessar iseħħ fil-kuntest tal-attivitajiet tiegħu. Wieħed irid jiddistingwi bejn ipproċessar u kontroll konġunt (Art. 26 GDPR), fejn iż-żewġ partijiet jiddefinixxu konġuntement l-iskopijiet u l-mezzi għall-ipproċessar tad-dejta u għalhekk huma wkoll konġuntement responsabbli għal dawn.

F’relazzjoni ta’ kontrollur-proċessur, dan ta’ l-aħħar huwa permess biss jipproċessa d-data personali bbażata fuq l-istruzzjonijiet dokumentati mill-kontrollur. Il-proċessur ma jistax jaħtar proċessur ieħor biex jgħin iwettaq kuntratt speċifiku, mingħajr l-awtorizzazzjoni bil-miktub speċifika jew ġenerali minn qabel tal-kontrollur rispettiv. F’każ ta’ awtorizzazzjoni ġenerali, il-proċessur irid jinfurmah dwar kwalunkwe bidliet rilevanti rigward l-ipproċessar.

Fil-maġġoranza tal-każijiet, l-ipproċessar tad-data mħallas isir fuq il-bażi ta’ kuntratt. Art. 28(3) GDPR jistabbilixxi l-ħtiġijiet minimi tiegħu. Il-kuntratt għandu jinkludi, fost affarijiet oħra, x’tip ta’ data personali se tiġi pproċessata, kif ukoll l-oġġett u l-iskop tal-ipproċessar. Barra minn hekk, hemm obbligi oħra għall-proċessur. Pereżempju, huwa wkoll għandu jżomm rekord tal-attivitajiet tal-ipproċessar li jinkludi l-ismijiet u d-data ta’ kuntatt ta’ kull kontrollur li jkun qed jaħdem għalih, kif ukoll il-kategoriji tal-ipproċessar li jsiru għalihom. Barra minn hekk, l-indirizzar għandu jinkludi, jekk applikabbli, it-trasferiment ta’ data personali għal pajjiżi terzi u, jekk possibbli, deskrizzjoni ġenerali ta’ miżuri tekniċi u organizzattivi. Il-kontrollur għandu jiżgura, fl-għażla tal-proċessur, li jkun implimenta miżuri tekniċi u organizzattivi suffiċjenti biex jiżgura li l-ipproċessar jissodisfa r-rekwiżiti tar-Regolament.

Bażikament, il-kontrollur huwa l-ewwel kuntatt għall-suġġett tad-data u huwa responsabbli li l-ipproċessar tad-data jikkonforma mar-rekwiżiti legali. Dan ma jfissirx, madankollu, li l-proċessur huwa ħieles mir-responsabbiltà. Skont l-Art. 82 GDPR, huwa responsabbli flimkien mal-kontrollur. Madankollu, ir-responsabbiltà tal-proċessur hija limitata skont il-paragrafu 2 għal ksur ta’ obbligi li huma speċifiċi għalih. Iż-żewġ partijiet għandhom l-abilità li jeżoneraw lilhom infushom. Biex jagħmlu dan, iridu jippruvaw li ma kinux responsabbli b’xi mod għall-avveniment li wassal għad-danni.