Próiseáil sonraí le soláthraithe: cad a éilíonn Airteagal 28 de GDPR go praiticiúil?

Is próiseálaí é aon duine a phróiseálann sonraí pearsanta thar ceann rialaitheora agus de réir a threoracha (Airteagal 4(8) de GDPR). Cásanna tipiciúla is ea seirbhísí óstála agus ionad sonraí, bogearraí mar sheirbhís, cothabháil TF le rochtain ar shonraí, nó litreacha agus ríomhphoist a sheoladh thar ceann duine eile.

Ní bhíonn próiseáil thar ceann rialaitheora i gceist nuair nach bhfuil aon rochtain ar shonraí pearsanta ag soláthraí seirbhíse nó nuair a chinneann sé féin cuspóirí agus modhanna na próiseála.

Faoi Airteagal 28(3) de GDPR, leagtar amach sa chonradh ábhar agus fad na próiseála, cineál agus cuspóir na próiseála, an cineál sonraí pearsanta, catagóirí na n-ábhar sonraí agus oibleagáidí agus cearta an rialaitheora. Go háirithe, geallann an próiseálaí sonraí a phróiseáil ar threoracha doiciméadaithe amháin (pointe (a)), rúndacht a áirithiú (pointe (b)), na bearta a éilítear faoi Airteagal 32 a dhéanamh (pointe (c)), na rialacha maidir le fo-phróiseálaithe a urramú (pointe (d)), cúnamh a thabhairt maidir le cearta ábhar sonraí (pointe (e)) agus maidir leis na hoibleagáidí faoi Airteagail 32 go 36 (pointe (f)), na sonraí a scriosadh nó a thabhairt ar ais ag deireadh na seirbhíse (pointe (g)) agus an fhaisnéis riachtanach go léir a chur ar fáil agus iniúchtaí a cheadú (pointe (h)).

Ní mór an conradh a bheith i scríbhinn, lena n-áirítear i bhfoirm leictreonach (Airteagal 28(9)). Is féidir clásail chonarthacha chaighdeánacha an Choimisiúin Eorpaigh a úsáid mar bhonn (Cinneadh Cur Chun Feidhme (AE) 2021/915).

Roimh an gconradh, ní mór don chustaiméir a sheiceáil an soláthraíonn an soláthraí ráthaíochtaí leordhóthanacha (Airteagal 28(1)). Áirítear orthu sin bearta teicniúla agus eagraíochtúla doiciméadaithe faoi Airteagal 32 – mar shampla cosaint rochtana, criptiú, cúltacaí agus nósanna imeachta le haghaidh tástála rialta.

Is féidir cloí le cóid iompair fhormheasta nó le deimhnithe faoi GDPR a úsáid mar ghné chun ráthaíochtaí leordhóthanacha a léiriú (Airteagal 28(5)). Ní thagann siad in ionad na seiceála féin.

Ní fhéadfaidh an soláthraí próiseálaithe breise a fhostú ach le húdarú sonrach nó ginearálta i scríbhinn roimh ré (Airteagal 28(2)). Le húdarú ginearálta, cuireann sé an custaiméir ar an eolas faoi gach athrú atá beartaithe, agus is féidir leis an gcustaiméir agóid a dhéanamh.

Ní mór na hoibleagáidí cosanta sonraí céanna a chur ar an bhfo-phróiseálaí; má theipeann air iad a chomhlíonadh, fanann an soláthraí faoi dhliteanas don chustaiméir (Airteagal 28(4)).

Go minic, bíonn an conradh ar iarraidh ar fad, nó síníodh é uair amháin agus níor breathnaíodh air riamh arís. Tá liostaí d'fho-phróiseálaithe atá as dáta chomh coitianta céanna, chomh maith le bearta teicniúla agus eagraíochtúla mar théacs caighdeánach ginearálta nach mbaineann leis an tseirbhís, agus easpa socruithe maidir le scriosadh ag deireadh an chonartha.

Faoi Airteagal 83(4) de GDPR, is féidir fíneálacha suas le €10 milliún nó suas le 2% den láimhdeachas bliantúil domhanda, cibé acu is airde, a ghearradh as sáruithe ar na hoibleagáidí faoi Airteagal 28.

Fiafraíonn catalóg Vendo4u faoi na pointí atá tábhachtach in athbhreithniú faoi Airteagal 28 – an bhfuil comhaontú próiseála sonraí ar fáil, cá bpróiseáiltear na sonraí, cé na fo-phróiseálaithe a úsáidtear – agus uaslódálann soláthraithe na doiciméid ghaolmhara. Feiceann ceannaitheoirí an fhaisnéis seo do gach soláthraí sa struchtúr céanna agus comhdaíonn siad í ina dtaifid féin leis an easpórtáil.