Pengawal atau pemproses di bawah GDPR: cara untuk mengetahui siapa itu siapa

Pengawal memutuskan mengapa dan bagaimana data peribadi diproses; pemproses memproses data peribadi hanya berdasarkan arahan yang didokumenkan oleh pengawal (Perkara 4(7) dan (8) GDPR). Peranan anda mematuhi fakta, bukan label dalam kontrak, dan ia menentukan siapa yang memerlukan asas yang sah, siapa yang menjawab permintaan subjek data, siapa yang melaporkan pelanggaran dan siapa yang bertanggungjawab jika berlaku sesuatu yang tidak kena.

Bagaimanakah anda membezakan pengawal daripada pemproses?

Tanya siapa yang memutuskan mengapa data diproses dan, pada dasarnya, bagaimana. Pengawal menentukan tujuan dan cara penting pemprosesan; pemproses hanya bertindak berdasarkan arahan yang didokumenkan oleh pengawal dan tidak menggunakan data untuk tujuannya sendiri.

Pemproses tipikal: penyedia hosting, biro gaji yang bertindak sepenuhnya mengikut arahan, perkhidmatan penghantaran e-mel. Pengawal tipikal, walaupun diupah oleh pihak lain: akauntan yang menjalankan audit berkanun, peguam yang menjalankan kes, perkhidmatan kesihatan pekerjaan (arbodienst) yang menjalankan tugas profesionalnya sendiri.

Adakah kontrak menentukan peranan anda?

Tidak. Menggelar diri anda sebagai pemproses dalam perjanjian tidak menjadikan anda seorang pemproses. Jika pembekal menggunakan data untuk tujuannya sendiri, seperti menambah baik produknya, membina profil atau pemasaran kepada individu yang berkenaan, ia adalah pengawal untuk pemprosesan tersebut. Perkara 28(10) GDPR menyatakannya dengan jelas: pemproses yang menentukan tujuan dan cara dianggap sebagai pengawal.

Bagaimana jika anda dan pihak lain bersama-sama memutuskan tujuan tersebut?

Anda kemudiannya merupakan pengawal bersama di bawah Perkara 26 GDPR. Anda mesti menetapkan tanggungjawab anda dalam satu pengaturan, khususnya untuk hak subjek data dan tugas maklumat Perkara 13 dan 14, dan menyediakan intipati pengaturan tersebut kepada individu yang berkenaan.

Kawalan bersama timbul lebih kerap daripada yang dijangkakan oleh organisasi. Dalam Wirtschaftsakademie (C-210/16, 5 Jun 2018) Mahkamah Keadilan EU melayan pentadbir halaman peminat Facebook sebagai pengawal bersama dengan Facebook. Di bawah Perkara 26(3) GDPR, subjek data boleh melaksanakan hak mereka terhadap mana-mana pengawal bersama, apa sahaja yang anda persetujui secara dalaman.

Apakah yang mesti terkandung dalam perjanjian pemprosesan?

Jika anda melantik pemproses, perjanjian bertulis adalah wajib di bawah Perkara 28(3) dan (9) GDPR, dan kandungannya ditetapkan. Ia mesti merangkumi perkara dan tempoh pemprosesan, sifat dan tujuannya, jenis data dan kategori subjek data, dan arahan anda sebagai pengawal.

Ia juga mesti merangkumi kerahsiaan, langkah keselamatan di bawah Perkara 32, syarat untuk melibatkan sub-pemproses, bantuan dengan permintaan subjek data dan pemberitahuan pelanggaran, pemulangan atau pemadaman data pada akhirnya, dan hak audit anda.

Di manakah pertikaian biasanya bermula?

Dua klausa menyebabkan masalah yang paling banyak. Mengenai sub-pemprosesan, Perkara 28(2) GDPR membenarkan kebenaran bertulis umum, tetapi pemproses mesti memaklumkan anda tentang perubahan yang dimaksudkan dan memberi anda peluang untuk membantah. Semasa pemulangan atau pemadaman, persetujui yang mana satu antara kedua-duanya terpakai, dan dalam format apa, sebelum hubungan berakhir dan bukannya semasa pertikaian.

Pemberitahuan pelanggaran merupakan titik tekanan ketiga. Pemproses mesti memaklumkan anda tanpa berlengah (Perkara 33(2)); kemudian anda mempunyai 72 jam untuk memaklumkan Pihak Berkuasa Perlindungan Data Belanda (Autoriteit Persoonsgegevens) di bawah Perkara 33(1). Setujui tarikh akhir dalaman yang singkat untuk pemproses, contohnya 24 atau 48 jam.

Siapakah yang bertanggungjawab jika pemprosesan berlaku dengan tidak betul?

Di bawah Perkara 82(2) GDPR, anda bertanggungjawab sebagai pengawal atas kerosakan yang disebabkan oleh pemprosesan yang melanggar GDPR. Pemproses hanya bertanggungjawab jika ia tidak mematuhi obligasi yang ditetapkan oleh GDPR secara khusus ke atas pemproses, atau telah bertindak di luar atau bertentangan dengan arahan sah anda.

Jika anda berdua terlibat dalam pemprosesan yang sama dan bertanggungjawab atas kerosakan tersebut, setiap seorang boleh dipertanggungjawabkan atas keseluruhan kerosakan terhadap individu tersebut (Perkara 82(4)). Pihak yang membayar boleh mendapatkan semula bahagian pihak yang satu lagi selepas itu (Perkara 82(5)), itulah sebabnya klausa indemniti dalam perjanjian pemprosesan patut dirundingkan dengan teliti.

Apa yang perlu anda semak sebagai pengawal?

• Sama ada setiap pembekal yang mengendalikan data peribadi untuk anda telah menandatangani perjanjian pemprosesan yang memenuhi Perkara 28(3).
• Sama ada mana-mana pembekal menggunakan data untuk tujuannya sendiri, menjadikannya pengawal.
• Sama ada anda mempunyai senarai subpemproses dan prosedur untuk membantah perubahan.
• Sama ada pemproses mesti melaporkan pelanggaran kepada anda dalam tempoh jam yang ditetapkan.
• Sama ada anda mempunyai pengaturan pengawal bersama untuk platform atau kempen yang dikongsi.

Apa yang perlu anda semak sebagai pemproses?

• Sama ada anda menggunakan data pelanggan hanya pada arahan yang didokumenkan dan bukan untuk produk atau analitik anda sendiri.
• Sama ada sub-pemproses anda terikat dengan kewajipan yang sama seperti anda.
• Sama ada anda boleh mengembalikan atau memadam data dalam format yang dipersetujui pada akhir kontrak.
• Sama ada had liabiliti dan indemniti anda mencerminkan liabiliti terhad di bawah Perkara 82(2).

Apa yang boleh kami bantu anda dengan peranan pengawal dan pemproses?

Melalui amalan peguam IT kami , kami boleh membantu anda, contohnya:

• Kami memetakan peranan setiap pihak dalam rantaian data anda, setiap aktiviti pemprosesan.
• Kami mendraf dan menyemak perjanjian pemprosesan dan pengaturan pengawal bersama.
• Kami merundingkan sub-pemprosesan, pemberitahuan pelanggaran dan klausa liabiliti.
• Kami menasihati tentang liabiliti dan tindakan balas antara pihak-pihak selepas berlakunya pelanggaran data.
• Kami menyediakan jawapan anda kepada soalan daripada Autoriteit Personsgegevens.

Ringkasan

• Peranan anda mengikut fakta, bukan label dalam kontrak anda: sesiapa yang menentukan tujuan dan cara penting adalah pengawal.
• Jika anda bersama-sama memutuskan tujuan dengan pihak lain, anda adalah pengawal bersama dan mesti merekodkan pembahagian tanggungjawab anda (Perkara 26 GDPR).
• Perjanjian pemprosesan bertulis dengan kandungan Perkara 28(3) GDPR adalah wajib apabila anda menggunakan pemproses.
• Pemproses melaporkan pelanggaran kepada anda tanpa berlengah; anda akan memaklumkan Autoriteit Persoonsgegevens dalam tempoh 72 jam.
• Kedua-dua pihak boleh bertanggungjawab atas keseluruhan kerosakan terhadap individu tersebut, jadi rundingkan klausa indemniti sebelum anda menandatangani.

Soalan lazim