Katrs GDPR pienākums ir saistīts ar lomu. Pārzinis nosaka apstrādes mērķus un līdzekļus; apstrādātājs apstrādā personas datus pārziņa vārdā un pēc tā norādījumiem. Puses ieņemamās lomas noteikšana ir pirmais solis jebkurā datu aizsardzības novērtējumā, jo tā izlemj, kam ir jābūt likumīgam pamatam, kas atbild uz datu subjekta pieprasījumiem, kas ziņo par pārkāpumu un kas ir atbildīgs.
Pārbaude ir faktiska, nevis līgumiska
Tas, ka līgumā puse tiek nosaukta par apstrādātāju, to par tādu nepadara. Svarīgi ir tas, kurš faktiski izlemj, kāpēc dati tiek apstrādāti un būtībā kā. Piegādātājs, kas izmanto datus saviem mērķiem – lai uzlabotu savu produktu, veidotu profilu, reklamētu attiecīgās personas –, ir šīs apstrādes pārzinis neatkarīgi no līgumā noteiktā.
Tipiski apstrādātāji: mitināšanas pakalpojumu sniedzējs, algu aprēķināšanas birojs, kas rīkojas stingri saskaņā ar norādījumiem, e-pasta piegādes pakalpojums. Tipiski pārziņi, pat ja tos nolīgst cita puse: grāmatvedis, kas veic obligāto revīziju, advokāts, kas vēršas ar lietu, arodslimību dienests, kas pilda savus profesionālos pienākumus.
Kopīgie pārziņi
Ja divas puses kopīgi nosaka nolūkus un līdzekļus, tās ir kopīgi pārziņi un tām savstarpējā vienošanās ietvaros jānosaka savi attiecīgie pienākumi, jo īpaši attiecībā uz datu subjekta tiesībām un informācijas sniegšanas pienākumiem. Šīs vienošanās būtība ir jāpadara pieejama attiecīgajām personām.
Kopīga kontrole rodas biežāk, nekā organizācijas sagaida: koplietotas platformas, kopīgas kampaņas un sociālo mediju lapas ir uzskatītas par kopīgu kontroli. Datu subjekts var īstenot savas tiesības pret jebkuru kopīgu pārzini neatkarīgi no iekšējā sadalījuma.
Apstrādes līgums
Ja tiek piesaistīts apstrādātājs, rakstiska vienošanās ir obligāta, un tās saturs ir noteikts: priekšmets un ilgums, raksturs un mērķis, datu veidi un datu subjektu kategorijas, pārziņa norādījumi, konfidencialitāte, drošības pasākumi, nosacījumi apakšapstrādātāju piesaistīšanai, palīdzība ar datu subjektu pieprasījumiem un pārkāpumu paziņošanu, kas notiek ar datiem beigās un revīzijas tiesības.
Praksē vislielākās problēmas rada divas klauzulas. Apakšapstrāde: ir atļauta vispārēja rakstiska atļauja, taču apstrādātājam ir jāinformē pārzinis par paredzētajām izmaiņām un jādod tam iespēja iebilst. Un atgriešana vai dzēšana beigās: jāvienojas par to, kuru un kādā formātā, pirms attiecību beigām, nevis strīda laikā.
Atbildība
Pārzinis ir atbildīgs par kaitējumu, kas radies apstrādes rezultātā, pārkāpjot Regulu. Apstrādātājs ir atbildīgs tikai tad, ja tas nav izpildījis pienākumus, kas īpaši vērsti pret apstrādātājiem, vai ir rīkojies ārpus vai pretēji likumīgiem norādījumiem. Ja abi ir iesaistīti vienā un tajā pašā apstrādē, katru var saukt pie atbildības par visu kaitējumu personai, un pēc tam viņi var vērsties pēc regresa prasības savā starpā – tāpēc ir vērts pienācīgi apspriest apstrādes līgumā iekļautos atlīdzības noteikumus.
Padoms
Mēs izvērtējam lomas datu ķēdē, izstrādājam un pārskatām apstrādes līgumus un kopīgu pārziņu vienošanās, kā arī konsultējam par atbildību pēc incidenta. Lūdzu, sazinieties ar mums Law & More.
