Ruxandra Sava
La data de 7 octombrie 2024, Comitetul European privind Protecția Datelor (CEPD) a emis o opinie în care explică, în detaliu, ce obligații specifice au operatorii și persoanele împuternicite (sau „împuterniciții”) privind protecția datelor cu caracter personal. Conform art. 28 din GDPR, operatorii care deleagă prelucrarea datelor cu caracter personal către persoane împuternicite (e.g., furnizori de servicii), trebuie să încheie cu aceste persoane împuternicite un contract privind prelucrarea datelor cu caracter personal. Acest contract trebuie să prevadă tipul de date prelucrate, modul în care se vor prelucra datele (durata prelucrării, scopurile prelucrării), categoriile de persoane vizate și alte elemente obligatorii indicate la art. 28 din GDPR.
Te-ar putea interesa și:
Art. 28 alin. (2) din GDPR prevede că persoana împuternicită nu poate delega prelucrarea datelor de la operator către o altă persoană împuternicită, fără a avea autorizația scrisă prealabilă a operatorului. Autorizația poate fi generală sau specifică. Comitetul European exprimă punctul de vedere potrivit căruia o autorizație generală este valabilă doar dacă operatorul cunoaște toate persoanele sub-împuternicite din lanțul de prelucrare a datelor. Comitetul este de părere că operatorul trebuie să cunoască identitatea tuturor persoanelor sub-împuternicite pentru a avea un control mai mare asupra prelucrării și pentru a-și putea îndeplini propria obligația de transparență față de persoanele vizate, adică să poată include în notele de informare către persoanele vizate informații despre categoriile de persoane sub-împuternicite.
CEPD explică faptul că această listă cu persoanele subîmputernicite trebuie să fie inclusă în contract sau într-o anexă la contractul de prelucrare a datelor. Ulterior semnării contractului, dacă persoana împuternicită dorește să lucreze cu un alt sub-împuternicit, va trebui să acorde operatorului un termen rezonabil pentru a putea refuza angajarea acestui nou sub-împuternicit.
Trebuie actualizate contractele cu împuterniciții?
Deși opiniile CEPD sunt instrumente de soft-law fără caracter obligatoriu, acestea sunt deseori luate în considerare de către instanțe și de către autoritățile de supraveghere. Tocmai de aceea, este important ca operatorii și împuterniciții să țină pasul cu recomandările recente ale CEPD și să verifice dacă acordurile de prelucrare a datelor cu caracter personal conțin o listă a persoanelor sub-împuternicite. În cazul în care aceste acorduri nu conțin această listă, operatorii și persoanele împuternicite trebuie să le modifice cât mai curând.
Vrei să afli mai multe despre implementarea GDPR? Atunci înscrie-te la webinarul despre implementarea GDPR!
Dorești să externalizezi implementarea GDPR către un profesionist? Atunci consultă oferta noastră de servicii de implementare GDPR & DPO!
Politica de confidențialitate, Termeni și Condiții, Politica Cookies, Politica de livrare și Politica de retur. Documente scrise de avocat.
