Ipproċessar tad-data mill-fornituri: x'jirrikjedi l-Art. 28 tal-GDPR fil-prattika?

Proċessur huwa kull min jipproċessa data personali f'isem kontrollur u fuq l-istruzzjonijiet tiegħu (l-Art. 4(8) tal-GDPR). Każijiet tipiċi huma l-hosting u s-servizzi taċ-ċentri tad-data, is-software bħala servizz, il-manutenzjoni tal-IT b'aċċess għad-data, jew il-bgħit ta' ittri u emails f'isem ħaddieħor.

M'hemmx ipproċessar f'isem ħaddieħor fejn fornitur tas-servizzi ma għandu l-ebda aċċess għal data personali jew jiddeċiedi hu stess dwar l-għanijiet u l-mezzi tal-ipproċessar.

Skont l-Art. 28(3) tal-GDPR, il-kuntratt jistabbilixxi s-suġġett u t-tul, in-natura u l-għan tal-ipproċessar, it-tip ta' data personali, il-kategoriji ta' suġġetti tad-data u l-obbligi u d-drittijiet tal-kontrollur. B'mod partikolari, il-proċessur jintrabat li jipproċessa d-data biss fuq struzzjonijiet dokumentati (punt (a)), jiżgura l-kunfidenzjalità (punt (b)), jieħu l-miżuri meħtieġa skont l-Art. 32 (punt (c)), jirrispetta r-regoli dwar is-sub-proċessuri (punt (d)), jassisti fir-rigward tad-drittijiet tas-suġġetti tad-data (punt (e)) u tal-obbligi skont l-Artikoli 32 sa 36 (punt (f)), iħassar jew jirritorna d-data fit-tmiem tas-servizz (punt (g)) u jagħmel disponibbli l-informazzjoni kollha meħtieġa u jippermetti l-awditjar (punt (h)).

Il-kuntratt irid ikun bil-miktub, inkluż f'forma elettronika (l-Art. 28(9)). Il-klawżoli kuntrattwali standard tal-Kummissjoni Ewropea jistgħu jservu ta' bażi (Deċiżjoni ta' Implimentazzjoni (UE) 2021/915).

Qabel il-kuntratt, il-klijent irid jivverifika jekk il-fornitur jipprovdix garanziji suffiċjenti (l-Art. 28(1)). Dawn jinkludu miżuri tekniċi u organizzattivi dokumentati skont l-Art. 32 – pereżempju l-protezzjoni tal-aċċess, il-kriptaġġ, il-backups u proċeduri għall-ittestjar regolari.

L-aderenza ma' kodiċijiet ta' kondotta approvati jew ma' ċertifikazzjonijiet skont il-GDPR tista' tintuża bħala element biex jintwerew garanziji suffiċjenti (l-Art. 28(5)). Dawn ma jissostitwixxux il-verifika nnifisha.

Il-fornitur jista' jingaġġa proċessuri oħra biss b'awtorizzazzjoni bil-miktub speċifika jew ġenerali minn qabel (l-Art. 28(2)). B'awtorizzazzjoni ġenerali, jinforma lill-klijent b'kull bidla maħsuba, u l-klijent jista' joġġezzjona.

Is-sub-proċessur irid ikun marbut bl-istess obbligi tal-protezzjoni tad-data; jekk jonqos milli jissodisfahom, il-fornitur jibqa' responsabbli lejn il-klijent (l-Art. 28(4)).

Spiss il-kuntratt ikun nieqes għal kollox, jew ikun ġie ffirmat darba u qatt ma reġa' ġie eżaminat. Daqstant komuni huma listi skaduti ta' sub-proċessuri, miżuri tekniċi u organizzattivi bħala test standard ġeneriku mingħajr rabta mas-servizz, u n-nuqqas ta' arranġament għat-tħassir fit-tmiem tal-kuntratt.

Skont l-Art. 83(4) tal-GDPR, il-ksur tal-obbligi skont l-Art. 28 jista' jiġi penalizzat b'multi sa €10 miljun jew sa 2% tal-fatturat annwali dinji, skont liema minnhom ikun l-ogħla.

Il-katalgu ta' Vendo4u jistaqsi dwar il-punti li jgħoddu f'reviżjoni skont l-Art. 28 – jekk hemmx ftehim dwar l-ipproċessar tad-data disponibbli, fejn tiġi pproċessata d-data, liema sub-proċessuri jintużaw – u l-fornituri jtellgħu d-dokumenti relatati. Ix-xerrejja jaraw din l-informazzjoni għall-fornituri kollha bl-istess struttura u jarkivjawha bl-esportazzjoni fir-rekords tagħhom stess.