Prelucrarea datelor de către furnizori: ce prevede în practică art. 28 din GDPR?

Persoană împuternicită de operator este oricine prelucrează date cu caracter personal în numele și conform instrucțiunilor unui operator (art. 4 pct. 8 din GDPR). Cazurile tipice sunt serviciile de găzduire și de centre de date, software ca serviciu (SaaS), mentenanța IT cu acces la date sau expedierea de scrisori și e-mailuri în numele altcuiva.

Nu există prelucrare în numele operatorului atunci când un prestator de servicii nu are deloc acces la date cu caracter personal sau decide el însuși cu privire la scopurile și mijloacele prelucrării.

Conform art. 28 alin. (3) din GDPR, contractul stabilește obiectul și durata, natura și scopul prelucrării, tipul de date cu caracter personal, categoriile de persoane vizate, precum și obligațiile și drepturile operatorului. În special, persoana împuternicită de operator se angajează să prelucreze datele numai pe baza unor instrucțiuni documentate (lit. a), să asigure confidențialitatea (lit. b), să ia măsurile impuse de art. 32 (lit. c), să respecte regulile privind subprocesatorii (lit. d), să ofere asistență în ceea ce privește drepturile persoanelor vizate (lit. e) și obligațiile prevăzute la art. 32-36 (lit. f), să șteargă sau să returneze datele la încheierea serviciilor (lit. g) și să pună la dispoziție toate informațiile necesare, precum și să permită audituri (lit. h).

Contractul trebuie încheiat în scris, inclusiv în format electronic (art. 28 alin. (9)). Clauzele contractuale standard ale Comisiei Europene pot servi drept bază (Decizia de punere în aplicare (UE) 2021/915).

Încă înainte de încheierea contractului, clientul trebuie să verifice dacă furnizorul oferă garanții suficiente (art. 28 alin. (1)). Acestea includ măsuri tehnice și organizatorice documentate conform art. 32 – de exemplu protecția accesului, criptarea, copiile de siguranță și procedurile de testare periodică.

Aderarea la coduri de conduită aprobate sau la certificări conform GDPR poate fi utilizată ca element pentru a demonstra garanțiile suficiente (art. 28 alin. (5)). Acestea nu înlocuiesc însă verificarea propriu-zisă.

Furnizorul poate recurge la alte persoane împuternicite de operator numai cu autorizarea prealabilă scrisă, specifică sau generală (art. 28 alin. (2)). În cazul unei autorizări generale, el informează clientul cu privire la orice modificare preconizată, iar clientul poate formula obiecții.

Subprocesatorului trebuie să i se impună aceleași obligații privind protecția datelor; dacă acesta nu le îndeplinește, furnizorul rămâne răspunzător față de client (art. 28 alin. (4)).

Adesea contractul lipsește cu totul sau a fost semnat o dată și nu a mai fost consultat niciodată. La fel de frecvente sunt listele învechite de subprocesatori, măsurile tehnice și organizatorice sub formă de texte generice, fără legătură cu serviciul, și lipsa unei reglementări privind ștergerea datelor la încetarea contractului.

Conform art. 83 alin. (4) din GDPR, încălcarea obligațiilor prevăzute la art. 28 poate fi sancționată cu amenzi de până la 10 milioane de euro sau de până la 2 % din cifra de afaceri anuală la nivel mondial, luându-se în calcul valoarea cea mai mare.

Catalogul Vendo4u solicită punctele care contează la o verificare conform art. 28 – dacă există un acord de prelucrare a datelor, unde sunt prelucrate datele, ce subprocesatori sunt utilizați –, iar furnizorii încarcă documentele aferente. Cumpărătorii văd aceste informații pentru toți furnizorii în aceeași structură și le arhivează, prin export, în propriul dosar.