GDPR – Prelucrare

Regulamentul general privind protecția datelor (GDPR) oferă o posibilitate uniformă la nivel european pentru așa-numita „prelucrare de date comisionată”, care este colectarea, prelucrarea sau utilizarea datelor personale de către un procesator în conformitate cu instrucțiunile operatorului pe baza unui contract.

Reglementările relevante pentru prelucrarea datelor mandatate se aplică deja, dacă prelucrarea are legătură cu activitățile unui sediu din UE. Aceasta înseamnă că este suficient dacă fie operatorul, fie persoana împuternicită de operator are un sediu în UE și prelucrarea are loc în contextul activităților sale. Trebuie făcută o diferențiere între prelucrare și controlul comun (art. 26 GDPR), unde ambele părți definesc în comun scopurile și mijloacele de prelucrare a datelor și sunt astfel responsabile în comun pentru acestea.

Într-o relație operator-procesator, cel din urmă are voie să prelucreze date personale doar pe baza instrucțiunilor documentate de la operator. Procesatorul nu poate angaja un alt procesator pentru a ajuta la îndeplinirea unui contract specific, fără autorizarea scrisă prealabilă specifică sau generală din partea operatorului respectiv. În cazul unei autorizări generale, procesatorul trebuie să îl informeze despre orice schimbări relevante privind prelucrarea.

În majoritatea cazurilor, prelucrarea datelor în numele altcuiva se desfășoară pe baza unui contract. Art. 28(3) GDPR stabilește cerințele sale minime. Contractul trebuie să conțină, printre altele, ce tip de date personale vor fi prelucrate, precum și obiectul și scopul prelucrării. În plus, există alte obligații pentru persoana împuternicită. De exemplu, acesta trebuie să mențină și un registru al activităților de prelucrare care include numele și datele de contact ale fiecărui operator pentru care lucrează, precum și categoriile de prelucrare care sunt efectuate pentru aceștia. În plus, registrul trebuie să includă, dacă este cazul, transferul de date personale către țări terțe și, dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice. Operatorul trebuie să se asigure, la selectarea persoanei împuternicite, că aceasta a implementat măsuri tehnice și organizatorice suficiente pentru a asigura că prelucrarea îndeplinește cerințele Regulamentului.

În esență, operatorul este primul contact pentru persoana vizată și este responsabil ca prelucrarea datelor să respecte cerințele legale. Totuși, aceasta nu înseamnă că persoana împuternicită este liberă de răspundere. Conform Art. 82 GDPR, aceasta este răspunzătoare în comun cu operatorul. Cu toate acestea, răspunderea persoanei împuternicite este limitată conform paragrafului 2 la încălcările obligațiilor care îi sunt specifice. Ambele părți au posibilitatea de a se disculpa. Pentru a face acest lucru, trebuie să dovedească faptul că nu au fost responsabile în niciun fel pentru evenimentul care a dus la pagube.