Vastutav töötleja otsustab, miks ja kuidas isikuandmeid töödeldakse; volitatud töötleja töötleb isikuandmeid ainult vastutava töötleja juhiste kohaselt. Selle õigesti tegemine on oluline, sest teie roll määrab, kellel on vaja õiguslikku alust, kes peab vastama andmesubjekti taotlustele, kes teatab rikkumisest ja kes vastutab, kui midagi valesti läheb.
Kuidas eristada kontrollerit protsessorist?
Te küsite, kes otsustab, miks andmeid töödeldakse ja sisuliselt kuidas. Vastutav töötleja määrab töötlemise eesmärgi ja peamised vahendid. Volitatud töötleja tegutseb rangelt vastutava töötleja dokumenteeritud juhiste järgi ega kasuta andmeid oma eesmärkidel.
Kas leping määrab teie rolli?
Ei. See, et nimetate end lepingus volitatud töötlejaks, ei tee teist seda. Kui tarnija kasutab andmeid oma eesmärkidel – oma toote täiustamiseks, profiili loomiseks, asjaomastele isikutele turundamiseks –, on ta selle töötlemise puhul vastutav töötleja, olenemata lepingu sätetest.
Tüüpilised volitatud töötlejad: majutusteenuse pakkuja, rangelt juhiste järgi tegutsev palgaarvestusbüroo, e-posti kättetoimetamise teenus. Tüüpilised vastutavad töötlejad, isegi kui nad on kaasatud teise osapoole poolt: raamatupidaja, kes teeb seadusjärgset auditit, kohtuasja menetlev jurist, töötervishoiu teenistus, kes täidab oma ametialaseid ülesandeid.
Mis siis, kui teie ja teine osapool otsustate eesmärgid ühiselt?
Sellisel juhul olete te kaasvastutavad töötlejad ja peate omavahelises kokkuleppes sätestama oma vastavad kohustused, eelkõige andmesubjekti õiguste ja teabekohustuste osas. Selle kokkuleppe sisu tuleb teha asjaomastele isikutele kättesaadavaks.
Ühisvastutus tekib sagedamini, kui organisatsioonid arvavad: jagatud platvorme, ühiseid kampaaniaid ja sotsiaalmeedia lehti on kõiki käsitletud ühise vastutava töötlejana. Andmesubjekt saab oma õigusi teostada mõlema ühise vastutava töötleja vastu, olenemata sellest, kuidas olete vastutuse sisemiselt jaganud.
Mida peab töötlemisleping sisaldama?
Volitatud töötleja kaasamisel on kirjalik leping kohustuslik ja selle sisu on ette nähtud: töötlemise ese ja kestus, selle laad ja eesmärk, andmeliigid ja andmesubjekti kategooriad, teie juhised vastutava töötlejana, konfidentsiaalsus, turvameetmed, alltöötlejate kaasamise tingimused, abi andmesubjekti taotluste ja rikkumisest teatamisega, mis saab andmetest lepingu lõppedes ja teie auditeerimisõigused.
Kust vaidlused tavaliselt alguse saavad?
Praktikas põhjustavad kaks klauslit enim probleeme. Edasijõudnud töötlemine: üldine kirjalik volitus on lubatud, kuid volitatud töötleja peab teid teavitama kõigist kavandatud muudatustest ja andma teile võimaluse vastuväidete esitamiseks. Ja tagastamine või kustutamine suhte lõppedes: leppige kokku, kumb kahest punktist ja millises vormis kehtib, enne suhte lõppu, mitte vaidluse ajal.
Kes vastutab, kui töötlemine läheb valesti?
Vastutava töötlejana vastutate teie kahju eest, mis on tekkinud isikuandmete kaitse üldmäärust rikkuva töötlemise tagajärjel. Volitatud töötleja vastutab ainult juhul, kui ta ei ole täitnud kohustusi, mis on isikuandmete kaitse üldmäärusega volitatud töötlejatele spetsiaalselt ette nähtud, või on tegutsenud väljaspool teie seaduslikke juhiseid või vastupidiselt neile. Kui te mõlemad olete seotud sama töötlemisega, võib kumbki teist vastutada kogu kahju eest isiku ees, kusjuures teil on hiljem õigus nõuda kahju hüvitamist – seepärast tasub töötlemislepingu hüvitamisklausleid hoolikalt läbi rääkida.
Kokkuvõtvalt
- Teie roll lähtub faktidest, mitte lepingu sildist: see, kes otsustab eesmärgi ja olulised vahendid, on vastutav töötleja.
- Kui te otsustate eesmärgid ühiselt teise osapoolega, olete kaasvastutavad töötlejad ja peate oma vastutuse jaotuse registreerima.
- Töötlemisleping peab hõlmama andmete sisu, kestust, olemust, eesmärki, andmetüüpe, teie juhiseid, turvalisust, alamtöötlust, abi, tagastamist või kustutamist ning auditeerimisõigusi.
- Volitatud töötleja võib alltöövõttu sõlmida ainult teie loal ja peab võimaldama teil esitada vastuväiteid alltöövõtja vahetuse kohta.
- Vastutus sama kahju eest võib langeda mõlemale poolele, seega leppige enne allkirjastamist hüvitamisklauslis kokku.
Korduma kippuvad küsimused
Kas üks osapool saab olla osa töötlemisest vastutav töötleja ja osa volitatud töötleja?
Jah. Hindamine tehakse töötlemistegevuse, mitte suhte kaupa, seega võib sama osapool täita mõlemat rolli erinevate andmevoogude puhul.
Kas teil on vaja töötlemislepingut, kui jagate andmeid tarnijaga vaid aeg-ajalt?
Jah, kui tarnija töötleb isikuandmeid teie juhiste kohaselt, on leping kohustuslik olenemata sellest, kui sageli töötlemine toimub.
Hindame rolle andmeahelas, koostame ja vaatame läbi töötlemislepinguid ja kaasvastutavate töötlejate kokkuleppeid ning nõustame vastutuse osas pärast intsidenti.
Pole kindel, milles seisad? Räägi meile oma olukorrast. Anname sulle ühe tööpäeva jooksul teada, millised on sinu võimalused.
Kuidas Law & More saab teid sellega aidata, on selgitatud meie lehel IT-jurist lehel.
