Controller o processor sa ilalim ng GDPR: paano malalaman kung sino ang sino

Ang isang controller ang nagpapasya kung bakit at paano pinoproseso ang personal na datos; ang isang processor ang nagpoproseso lamang ng personal na datos batay sa mga dokumentadong tagubilin ng controller (Artikulo 4(7) at (8) GDPR). Ang iyong tungkulin ay sumusunod sa mga katotohanan, hindi sa etiketa sa kontrata, at ito ang tumutukoy kung sino ang nangangailangan ng legal na batayan, kung sino ang sasagot sa mga kahilingan ng data subject, kung sino ang mag-uulat ng paglabag at kung sino ang mananagot kung may magkamali.

Paano mo malalaman ang pagkakaiba ng controller sa processor?

Itanong kung sino ang nagpapasya kung bakit pinoproseso ang datos at, sa esensya, paano. Tinutukoy ng controller ang layunin at ang mahahalagang paraan ng pagproseso; kumikilos lamang ang processor batay sa mga dokumentadong tagubilin ng controller at hindi ginagamit ang datos para sa sarili nitong mga layunin.

Mga karaniwang processor: isang hosting provider, isang payroll bureau na mahigpit na sumusunod sa mga tagubilin, isang serbisyo sa paghahatid ng email. Mga karaniwang controller, kahit na kinukuha ng ibang partido: isang accountant na nagsasagawa ng statutory audit, isang abogado na nagsasagawa ng kaso, isang occupational health service (arbodienst) na nagsasagawa ng sarili nitong mga propesyonal na tungkulin.

Ang kontrata ba ang nagpapasya sa iyong tungkulin?

Hindi. Ang pagtawag sa iyong sarili bilang isang processor sa kasunduan ay hindi nangangahulugang isa ka nang processor. Kung ginagamit ng isang supplier ang data para sa sarili nitong mga layunin, tulad ng pagpapabuti ng produkto nito, pagbuo ng mga profile o pagmemerkado sa mga indibidwal na kinauukulan, ito ay isang controller para sa pagprosesong iyon. Malinaw na sinasabi ito ng Artikulo 28(10) GDPR: ang isang processor na tumutukoy sa mga layunin at paraan ay itinuturing na isang controller.

Paano kung kayo at ang ibang partido ay magkasamang magdesisyon sa mga layunin?

Kung gayon, kayo ay magiging mga joint controller sa ilalim ng Artikulo 26 GDPR. Dapat ninyong itakda ang inyong mga responsibilidad sa isang kasunduan, partikular para sa mga karapatan ng paksa ng datos at mga tungkulin sa impormasyon ng Artikulo 13 at 14, at ipagbigay-alam ang esensya ng kasunduang iyon sa mga indibidwal na kinauukulan.

Mas madalas na lumilitaw ang magkasanib na kontrol kaysa sa inaasahan ng mga organisasyon. Sa Wirtschaftsakademie (C-210/16, 5 Hunyo 2018) itinuring ng Hukuman ng Hustisya ng EU ang administrador ng isang Facebook fan page bilang isang magkasanib na tagakontrol ng Facebook. Sa ilalim ng Artikulo 26(3) GDPR, maaaring gamitin ng isang data subject ang kanilang mga karapatan laban sa alinmang magkasanib na tagakontrol, anuman ang napagkasunduan ninyo sa loob.

Ano ang dapat na nilalaman ng isang kasunduan sa pagproseso?

Kung kukuha ka ng isang processor, ang isang nakasulat na kasunduan ay sapilitan sa ilalim ng Artikulo 28(3) at (9) GDPR, at ang nilalaman nito ay nakasaad. Dapat nitong saklawin ang paksa at tagal ng pagproseso, ang uri at layunin nito, ang mga uri ng datos at kategorya ng mga paksa ng datos, at ang iyong mga tagubilin bilang controller.

Dapat din nitong saklawin ang pagiging kumpidensyal, mga hakbang sa seguridad sa ilalim ng Artikulo 32, ang mga kondisyon para sa pakikipag-ugnayan sa mga sub-processor, tulong sa mga kahilingan ng paksa ng datos at abiso ng paglabag, pagbabalik o pagbura ng datos sa huli, at ang iyong mga karapatan sa pag-audit.

Saan karaniwang nagsisimula ang mga hindi pagkakaunawaan?

Dalawang sugnay ang nagdudulot ng pinakamalaking problema. Sa sub-processing, pinahihintulutan ng Artikulo 28(2) GDPR ang pangkalahatang nakasulat na pahintulot, ngunit dapat ipaalam sa iyo ng processor ang mga nilalayong pagbabago at bigyan ka ng pagkakataong tumutol. Sa pagbabalik o pagbura, sumang-ayon kung alin sa dalawa ang naaangkop, at sa anong format, bago matapos ang relasyon sa halip na sa panahon ng isang hindi pagkakaunawaan.

Ang abiso ng paglabag ay isang pangatlong punto ng pressure. Dapat ipaalam sa iyo ng processor nang walang labis na pagkaantala (Artikulo 33(2)); pagkatapos ay mayroon kang 72 oras upang ipaalam sa Dutch Data Protection Authority (Autoriteit Persoonsgegevens) sa ilalim ng Artikulo 33(1). Magkasundo sa isang maikling panloob na deadline para sa processor, halimbawa 24 o 48 oras.

Sino ang mananagot kung sakaling magkamali ang pagproseso?

Sa ilalim ng Artikulo 82(2) GDPR, ikaw ay mananagot bilang tagakontrol para sa pinsalang dulot ng pagproseso na lumalabag sa GDPR. Ang isang processor ay mananagot lamang kung hindi nito sinunod ang mga obligasyong partikular na inilalagay ng GDPR sa mga processor, o kumilos nang lampas o taliwas sa iyong mga legal na tagubilin.

Kung pareho kayong sangkot sa iisang pagproseso at responsable sa pinsala, maaaring managot ang bawat isa para sa buong pinsala sa indibidwal (Artikulo 82(4)). Maaaring mabawi ng partidong nagbayad ang bahagi ng kabilang partido pagkatapos (Artikulo 82(5)), kaya naman mahalagang maingat na pag-usapan ang sugnay ng indemnity sa isang kasunduan sa pagproseso.

Ano ang dapat mong suriin bilang isang controller?

• Kung ang bawat supplier na humahawak ng personal na datos para sa iyo ay pumirma na ba ng kasunduan sa pagproseso na nakakatugon sa Artikulo 28(3).
• Kung ginagamit man ng sinumang supplier ang data para sa sarili nitong mga layunin, na ginagawa itong isang controller.
• Kung mayroon kang listahan ng mga sub-processor at isang pamamaraan upang tumutol sa mga pagbabago.
• Kung dapat bang iulat sa iyo ng processor ang mga paglabag sa loob ng isang takdang bilang ng oras.
• Kung mayroon kang mga kaayusan sa magkasanib na controller para sa mga ibinahaging platform o kampanya.

Ano ang dapat mong suriin bilang isang processor?

• Kung gagamitin mo lang ang datos ng kliyente ayon sa mga dokumentadong tagubilin at hindi para sa iyong sariling produkto o analytics.
• Kung ang iyong mga sub-processor ay nakatali sa parehong mga obligasyon gaya mo.
• Kung maaari mong ibalik o burahin ang data sa napagkasunduang format sa katapusan ng kontrata.
• Kung ang iyong limitasyon sa pananagutan at bayad-pinsala ay sumasalamin sa limitadong pananagutan sa ilalim ng Artikulo 82(2).

Ano ang maitutulong namin sa iyo sa mga tungkulin bilang controller at processor?

Sa pamamagitan ng aming pagsasanay bilang abogado sa IT, matutulungan ka namin, halimbawa:

• Inilalahad namin ang mga tungkulin ng bawat partido sa iyong data chain, ayon sa aktibidad sa pagproseso.
• Gumagawa at nagsusuri kami ng mga kasunduan sa pagproseso at mga kaayusan para sa magkasanib na controller.
• Nakikipag-ayos kami para sa sub-processing, abiso ng paglabag, at mga sugnay sa pananagutan.
• Nagpapayo kami tungkol sa pananagutan at pagresolba sa pagitan ng mga partido pagkatapos ng isang paglabag sa datos.
• Inihahanda namin ang iyong tugon sa mga tanong mula sa Autoriteit Personsgegevens.

Buod

• Ang iyong tungkulin ay sumusunod sa mga katotohanan, hindi sa etiketa sa iyong kontrata: kung sino ang magpapasya sa layunin at mahahalagang paraan ang siyang magsusupil.
• Kung magkasama kayong magpapasya sa mga layunin kasama ang ibang partido, kayo ay mga joint controller at dapat ninyong itala ang inyong paghahati ng mga responsibilidad (Artikulo 26 GDPR).
• Ang isang nakasulat na kasunduan sa pagproseso na may nilalaman ng Artikulo 28(3) GDPR ay sapilitan tuwing gagamit ka ng processor.
• Iuulat sa iyo ng processor ang isang paglabag nang walang anumang pagkaantala; aabisuhan mo ang Autoriteit Persoonsgegevens sa loob ng 72 oras.
• Ang parehong partido ay maaaring managot para sa buong pinsala na natamo ng indibidwal, kaya pag-usapan muna ang sugnay ng indemnity bago ka pumirma.

Mga madalas itanong