Pārzinis izlemj, kāpēc un kā personas dati tiek apstrādāti; apstrādātājs apstrādā personas datus tikai pēc pārziņa norādījumiem. Pareizi to izdarīt ir svarīgi, jo jūsu loma nosaka, kam ir nepieciešams likumīgs pamats, kam ir jāatbild uz datu subjekta pieprasījumiem, kam jāziņo par pārkāpumu un kurš ir atbildīgs, ja kaut kas noiet greizi.
Kā atšķirt kontrolieri no procesora?
Jūs jautājat, kurš izlemj, kāpēc dati tiek apstrādāti un būtībā kā. Pārzinis nosaka apstrādes mērķi un būtiskos līdzekļus. Apstrādātājs rīkojas stingri saskaņā ar pārziņa dokumentētajiem norādījumiem un neizmanto datus saviem mērķiem.
Vai līgums nosaka jūsu lomu?
Nē. Tas, ka līgumā sevi nosauc par apstrādātāju, jūs par tādu nepadara. Ja piegādātājs izmanto datus saviem mērķiem — lai uzlabotu savu produktu, izveidotu profilu, reklamētu attiecīgo personu datus —, tas ir šīs apstrādes pārzinis neatkarīgi no līgumā noteiktā.
Tipiski apstrādātāji: mitināšanas pakalpojumu sniedzējs, algu aprēķināšanas birojs, kas darbojas stingri saskaņā ar norādījumiem, e-pasta piegādes pakalpojums. Tipiski pārziņi, pat ja tos nolīgst cita puse: grāmatvedis, kas veic obligāto revīziju, advokāts, kas administrē lietu, arodslimību veselības dienests, kas pilda savus profesionālos pienākumus.
Ko darīt, ja jūs un cita puse kopīgi nolemjat par mērķiem?
Tad jūs esat kopīgi pārziņi, un jums ir jānosaka savi attiecīgie pienākumi savstarpējā vienošanās, jo īpaši attiecībā uz datu subjekta tiesībām un informācijas sniegšanas pienākumiem. Šīs vienošanās būtība ir jāpadara pieejama attiecīgajām personām.
Kopīga kontrole rodas biežāk, nekā organizācijas sagaida: koplietotas platformas, kopīgas kampaņas un sociālo mediju lapas ir uzskatītas par kopīgu kontroli. Datu subjekts var īstenot savas tiesības pret jebkuru no kopīgajiem pārziņiem neatkarīgi no tā, kā esat sadalījis atbildību savā starpā iekšēji.
Kas jāiekļauj apstrādes līgumā?
Ja jūs nolīgstat apstrādātāju, rakstiska vienošanās ir obligāta, un tās saturs ir noteikts: apstrādes priekšmets un ilgums, tās raksturs un mērķis, datu veidi un datu subjektu kategorijas, jūsu norādījumi kā pārzinim, konfidencialitāte, drošības pasākumi, nosacījumi apakšapstrādātāju iesaistīšanai, palīdzība ar datu subjektu pieprasījumiem un pārkāpumu paziņošanu, kas notiek ar datiem līguma beigās un jūsu revīzijas tiesības.
Kur parasti sākas strīdi?
Praksē lielāko daļu problēmu rada divi punkti. Apakšapstrāde: ir atļauta vispārēja rakstiska atļauja, taču apstrādātājam ir jāinformē jūs par visām paredzētajām izmaiņām un jādod jums iespēja iebilst. Un atgriešana vai dzēšana attiecību beigās: vienojieties par to, kurš no abiem ir piemērojams un kādā formātā, pirms attiecību beigām, nevis strīda laikā.
Kas ir atbildīgs, ja apstrāde notiek nepareizi?
Jūs kā pārzinis esat atbildīgs par kaitējumu, kas radies apstrādes rezultātā, kura pārkāpj GDPR. Apstrādātājs ir atbildīgs tikai tad, ja tas nav ievērojis pienākumus, ko GDPR īpaši uzliek apstrādātājiem, vai ir rīkojies ārpus vai pretēji jūsu likumīgajiem norādījumiem. Ja jūs abi esat iesaistīti vienā un tajā pašā apstrādē, katrs no jums var tikt saukts pie atbildības par visu kaitējumu personai, un pēc tam jums ir tiesības uz regresa prasību starp jums – tāpēc ir vērts rūpīgi apspriest apstrādes līgumā iekļautos atlīdzības noteikumus.
Rezumējot
- Jūsu loma ir atkarīga no faktiem, nevis no līguma apzīmējuma: tas, kurš nosaka mērķi un būtiskos līdzekļus, ir pārzinis.
- Ja jūs kopīgi ar citu pusi nolemjat par datu apstrādes mērķiem, jūs esat kopīgi pārziņi un jums ir jāreģistrē sava atbildības sadale.
- Apstrādes līgumam jāietver priekšmets, ilgums, raksturs, mērķis, datu veidi, jūsu norādījumi, drošība, apakšapstrāde, palīdzība, atgriešana vai dzēšana, kā arī audita tiesības.
- Apstrādātājs var slēgt apakšlīgumus tikai ar jūsu atļauju un tam ir jāļauj jums iebilst pret jebkādu apakšapstrādātāja maiņu.
- Atbildība par vienu un to pašu kaitējumu var ietilpt abās pusēs, tāpēc pirms parakstīšanas vienojieties par atlīdzināšanas klauzulu.
Biežāk uzdotie jautājumi
Vai viena puse var būt pārzinis attiecībā uz daļu apstrādes un apstrādātājs attiecībā uz citu daļu?
Jā. Novērtējums tiek veikts katrai apstrādes darbībai, nevis katrai attiecībai, tāpēc viena un tā pati puse var ieņemt abas lomas dažādām datu plūsmām.
Vai jums ir nepieciešams apstrādes līgums, ja datus ar piegādātāju kopīgojat tikai reizēm?
Jā, ja piegādātājs apstrādā personas datus pēc jūsu norādījumiem, vienošanās ir obligāta neatkarīgi no tā, cik bieži notiek apstrāde.
Mēs izvērtējam lomas datu ķēdē, izstrādājam un pārskatām apstrādes līgumus un kopīgu pārziņu vienošanās, kā arī konsultējam par atbildību pēc incidenta.
Neesat pārliecināts par savu situāciju? Pastāstiet mums par savu situāciju. Mēs jūs informēsim par jūsu iespējām vienas darba dienas laikā.
Cik Law & More var jums palīdzēt, ir paskaidrots mūsu IT jurists lappuse.
