Ndarja e të dhënave personale me palë të treta: cilat 7 rreziqe të GDPR duhet të dini?

Ju mund të ndani të dhëna personale sipas GDPR-së vetëm nëse keni një bazë ligjore sipas Nenit 6, keni vendosur me shkrim nëse marrësi është përpunues apo kontrollues dhe i keni njoftuar personat e interesuar për ndarjen. Këto tre kushte mbulojnë shumicën e rasteve që shkojnë keq. Përjashtimet kryesore janë transferimet jashtë Zonës Ekonomike Evropiane (EEA) dhe përpunimi me rrezik të lartë, të cilat sjellin kërkesa shtesë përveç tyre.

Në Holandë, Autoriteti Holandez i Mbrojtjes së të Dhënave ( Autoriteit Persoonsgegevens , AP) zbaton GDPR-në së bashku me aktin zbatues holandez ( Uitvoeringswet AVG , UAVG). Të dhënat personale kalojnë kufijtë organizativë gjatë gjithë kohës: te një ofrues cloud-i, një zyrë pagash, një agjenci marketingu, një mbledhës borxhesh ose një kompani grupi jashtë vendit. Secila prej këtyre rrjedhave është një operacion i veçantë përpunimi që ka nevojë për justifikimin e vet. Më poshtë përcaktojmë shtatë rreziqe që përsëriten në praktikë, dispozitat që ato aktivizojnë dhe çfarë mund të bëni për secilin para se AP-ja ose një paditës të ngrejë çështjen.

Rreziku 1: A po ndani të dhëna pa një bazë të vlefshme ligjore?

Çdo zbulim i të dhënave personale kërkon një nga gjashtë bazat ligjore në Nenin 6(1) të GDPR-së. Një arsye tregtare nuk është një prej tyre.

Gjashtë bazat janë të plota: pëlqimi, përmbushja e një kontrate, një detyrim ligjor, interesa jetësore, një detyrë publike dhe interesa legjitime. Neni 5(1)(a) shton se përpunimi duhet të jetë gjithmonë i ligjshëm, i drejtë dhe transparent. Një bazë që ekziston në letër, por që nuk i është shpjeguar kurrë askujt, prapëseprapë lë një boshllëk.

Pse interesi legjitim është një kurth?

Interesat legjitime janë baza që përdoret më shpesh për ndarjen me partnerët dhe furnizuesit, dhe ajo që përdoret më shpesh gabimisht. Kërkon një test me tre hapa:

• interesi duhet të jetë legjitim;
• ndarja duhet të jetë e nevojshme për ta shërbyer atë;
• Interesi nuk duhet të mbivlerësohet nga të drejtat dhe liritë e personave të interesuar.

Ju duhet ta kryeni dhe ta regjistroni këtë test balancimi përpara se të fillojë ndarja. Neni 5(2) i GDPR-së ia ngarkon kontrolluesit barrën e të treguarit të përputhshmërisë (llogaridhënia). Një vlerësim i interesave legjitime i shkruar pasi të mbërrijë një ankesë nuk ka shumë vlerë.

Po në lidhje me pëlqimin dhe kufizimin e qëllimit?

Dy kurthe të tjera ia vlen të përmenden. Pëlqimi në një marrëdhënie pune rrallë është i vlefshëm, sepse çekuilibri i pushtetit do të thotë se nuk jepet lirisht. Një punëdhënës që mbështetet në të për ndarjen e të dhënave zakonisht nuk mbështetet në asgjë.

Kufizimi i qëllimit sipas Nenit 5(1)(b) zbatohet për ndarjen po aq sa edhe për mbledhjen origjinale. Të dhënat e mbledhura për të ofruar një shërbim nuk mund t'i kalohen thjesht një partneri për marketing sepse logjika tregtare është tërheqëse. Kur qëllimi i ri nuk është i pajtueshëm me atë origjinal, ju nevojitet një bazë e re.

Çfarë duhet të bëni: përpara se të dhënat personale të largohen nga organizata juaj, identifikoni bazën, shkruajeni atë dhe kontrolloni që njoftimi juaj i privatësisë e përshkruan tashmë ndarjen. Nëse baza janë interesa legjitime, vlerësimi i përket dosjes. Nëse është pëlqim, ai pëlqim duhet të jepet lirisht, specifik, i informuar dhe i qartë, dhe po aq i lehtë për t'u tërhequr sa ishte për t'u dhënë.

Rreziku 2: a i keni gabuar rolet e kontrolluesit dhe procesorit?

Një kontrollues vendos qëllimet dhe mjetet e përpunimit; një përpunues vepron vetëm sipas udhëzimeve të dokumentuara të kontrolluesit (Neni 4(7) dhe (8) i GDPR-së). Ajo që ka rëndësi është se kush vendos në të vërtetë, jo se si i quan kontrata palët.

Klasifikimi i gabuar krijon detyrime që askush nuk i kryen. Gabimi i zakonshëm është etiketimi i çdo furnizuesi si përpunues. Megjithatë, asnjë nga sa vijon nuk vepron thjesht sipas udhëzimeve:

• një ofrues SaaS që përdor të dhënat e klientëve për të përmirësuar produktin e vet;
• një kontabilist i lidhur me rregullat profesionale;
• një bankë që kryen një pagesë;
• një platformë reklamimi që ndërton profilet e veta të audiencës.

Secili është kontrollues në të drejtën e vet për të paktën një pjesë të përpunimit. Kur dy organizata përcaktojnë bashkërisht qëllimet dhe mjetet, ato janë kontrollues të përbashkët sipas Nenit 26 të GDPR-së. Ata duhet të përcaktojnë përgjegjësitë e tyre përkatëse në një marrëveshje dhe thelbi i asaj marrëveshjeje duhet t'u vihet në dispozicion personave të interesuar.

Sa gjerësisht e përcakton Gjykata e Drejtësisë e BE-së kontrollin e përbashkët?

Në përgjithësi. Në çështjen Fashion ID (C-40/17), Gjykata e Drejtësisë vendosi që një operator i faqes së internetit që integronte një plugin social të një pale të tretë ishte një kontrollues i përbashkët për mbledhjen dhe transmetimin e të dhënave të vizitorëve. Kjo ishte kështu edhe pse nuk kishte qasje në të dhëna më pas dhe nuk vendosi se çfarë do të ndodhte më pas. Ndikimi i pjesshëm mbi qëllimet është i mjaftueshëm. Pasoja praktike është përgjegjësia e përbashkët: ju mund të mbaheni përgjegjës për një shkelje që nuk e keni shkaktuar dhe nuk mund ta shihni.

Çfarë duhet bërë: së pari hartëzoni rrjedhat e të dhënave dhe pyetni, për secilën rrjedhë, se kush vendos pse dhe si përpunohen të dhënat. Regjistroni përfundimin, pastaj dokumentojeni saktë. Përdorni një marrëveshje përpunimi sipas Nenit 28 për përpunuesit dhe një marrëveshje kontrolluesi të përbashkët sipas Nenit 26 ku të dyja palët vendosin. Kur dy kontrollues të pavarur shkëmbejnë të dhëna, kushtet e zakonshme të kontratës plus pajtueshmëria e secilës palë do të mjaftojnë.

Rreziku 3: a mungon ose është e dëmtuar marrëveshja juaj për përpunimin e të dhënave?

Nëse një përpunues trajton të dhëna personale për ju, Neni 28(3) i GDPR kërkon një kontratë me shkrim. Pa të, ju jeni në shkelje që nga momenti që fillon përpunimi, edhe nëse asgjë nuk shkon keq.

Nuk është e nevojshme të ketë ndodhur ndonjë dëm dhe të mos jenë rrjedhur të dhëna. Mungesa e marrëveshjes është në vetvete shkelje dhe është një nga mënyrat më të lehta për ta vërtetuar një autoritet mbikëqyrës.

Përmbajtja përcaktohet me ligj, nuk u lihet palëve. Një marrëveshje për përpunimin e të dhënave në përputhje me ligjin duhet të përcaktojë:

• objektin dhe kohëzgjatjen e përpunimit;
• natyrën dhe qëllimin e saj;
• llojet e të dhënave personale dhe kategoritë e personave të përfshirë;
• detyrimet dhe të drejtat e kontrolluesit.

Gjithashtu duhet ta lidhë procesorin me:

• përpunoni vetëm sipas udhëzimeve të dokumentuara;
• të imponojë konfidencialitet mbi stafin e saj;
• të marrë masat e sigurisë të kërkuara nga Neni 32;
• ndihmë me kërkesat nga subjektet e të dhënave dhe me njoftimin për shkelje;
• fshini ose ktheni të dhënat në fund të angazhimit;
• t’i japë kontrolluesit informacionin e nevojshëm për të demonstruar përputhshmërinë dhe të lejojë auditimet.

Pse klauzolat e nën-përpunuesit dështojnë kaq shpesh?

Sipas Nenit 28(2) dhe (4), përpunuesi ka nevojë për autorizimin tuaj paraprak me shkrim specifik ose të përgjithshëm për çdo nën-përpunues. Me një autorizim të përgjithshëm, përpunuesi duhet t'ju informojë për ndryshimet e synuara dhe t'ju japë mundësinë të kundërshtoni.

Një klauzolë që thjesht i lejon përpunuesit të angazhojë këdo që dëshiron nuk e përmbush atë standard. Është pikërisht klauzola që ka rëndësi kur një zinxhir furnizuesish arrin në një vend që askush nuk e ka vlerësuar.

Çfarë duhet bërë: punoni sipas një modeli që ndjek nenin 28(3) nen pas neni dhe rishikoni marrëveshjet që janë tashmë në fuqi, në vend që të supozojmë se kushtet e vetë furnizuesit do të jenë të përshtatshme. Marrëdhëniet afatgjata kanë më shumë gjasa të jenë të padokumentuara, sepse dokumentacioni nuk ka qenë kurrë përparësi kur marrëdhënia ishte e re.

Rreziku 4: A po transferoni të dhëna jashtë EEA-së pa masa mbrojtëse?

Një transferim jashtë EEA-së lejohet vetëm në bazë të një vendimi të mjaftueshmërisë ose masave mbrojtëse të përshtatshme, siç janë klauzolat standarde kontraktuale. Përjashtimet në Nenin 49 janë vetëm për situata të rastit.

Kapitulli V i GDPR-së kufizon transferimet e të dhënave personale në vendet jashtë EEA-së. Një transferim lejohet kur Komisioni Evropian ka miratuar një vendim mjaftueshmërie për destinacionin (Neni 45). Ai lejohet gjithashtu kur ekzistojnë mbrojtje të përshtatshme (Neni 46), zakonisht klauzolat standarde kontraktuale (KKK) të Komisionit ose rregullat detyruese të korporatave. Shmangiet në Nenin 49, të tilla si pëlqimi i qartë ose domosdoshmëria për një kontratë, nuk mund të mbështesin një rrjedhë strukturore të të dhënave.

Bizneset shpesh e harrojnë faktin se një transferim ndodh sa herë që të dhënat bëhen të arritshme nga jashtë EEA-së, jo vetëm kur ato kopjohen atje. Një kontratë me një entitet të BE-së nuk ndihmon nëse stafi mbështetës në një kontinent tjetër mund ta hapë bazën e të dhënave. Administrimi në distancë nga një kompani mëmë jashtë vendit është një transferim, edhe nëse serverët qëndrojnë në Frankfurt.

Çfarë domethënie kanë për ju Schrems II dhe Korniza e Privatësisë së të Dhënave?

Në çështjen Schrems II (C-311/18), Gjykata e Drejtësisë e shpalli të pavlefshme Mburojën e Privatësisë BE-SHBA. Ajo gjithashtu vendosi që klauzolat standarde kontraktuale nuk janë të mjaftueshme më vete. Eksportuesi duhet të vlerësojë nëse ligji i vendit të destinacionit dëmton mbrojtjen që premtojnë klauzolat dhe të shtojë masa plotësuese aty ku e bën. Vlerësimi i ndikimit të transferimit (VNT) është ende i detyrueshëm për çdo transferim bazuar në Nenin 46.

Për Shtetet e Bashkuara, qëndrimi ka ndryshuar në një aspekt. Komisioni miratoi një vendim mjaftueshmërie për Kornizën e Privatësisë së të Dhënave BE-SHBA (DPF) në korrik 2023. Më 3 shtator 2025, Gjykata e Përgjithshme e BE-së rrëzoi një padi për anulimin e saj ( Latombe , T-553/23). Transferimet në një organizatë amerikane që është aktualisht e certifikuar sipas kuadrit, për të dhënat e mbuluara nga certifikimi i saj, mund të mbështeten në mjaftueshmëri. Transferimet në çdo marrës tjetër amerikan nuk munden. Kontrolloni certifikimin në vend që ta supozoni atë.

Çfarë duhet të bëni: listoni transferimet e vendeve të treta të fshehura në zinxhirin tuaj të furnizimit, duke përfshirë nën-përpunuesit dhe marrëveshjet mbështetëse. Për secilën prej tyre, përcaktoni nëse zbatohet përshtatshmëria. Nëse jo, vendosni versionin aktual të klauzolave ​​standarde kontraktuale, kryeni dhe dokumentoni një vlerësim të ndikimit të transferimit dhe regjistroni masat plotësuese në të cilat mbështeteni, siç është enkriptimi i fortë me çelësa të mbajtur në EEA. AP-ja mund të urdhërojë pezullimin e një transferimi, gjë që shpesh është më shqetësuese sesa një gjobë.

Rreziku 5: a po e anashkaloni një vlerësim të ndikimit në mbrojtjen e të dhënave?

Neni 35 i GDPR-së kërkon një vlerësim të ndikimit në mbrojtjen e të dhënave (DPIA) aty ku përpunimi ka të ngjarë të rezultojë në një rrezik të lartë për individët. Ndarja e të dhënave shpesh e kalon këtë prag më shpejt nga sa presin organizatat.

Neni 35(3) përmend shprehimisht tre raste:

• vlerësim sistematik dhe i gjerë i automatizuar i aspekteve personale, mbi të cilin bazohen vendimet me efekte ligjore ose efekte të ngjashme të rëndësishme;
• përpunim në shkallë të gjerë i kategorive të veçanta të të dhënave ose i të dhënave të dënimeve penale;
• monitorim sistematik i një zone të aksesueshme publikisht në shkallë të gjerë.

AP publikon gjithashtu një listë të operacioneve të përpunimit për të cilat kërkohet gjithmonë një DPIA. Kjo listë është vendi i parë që duhet parë përpara se të fillojë një projekt i ri për ndarjen e të dhënave.

Kërkesa shpesh nënvlerësohet sepse organizatat i lidhin DPIA-të me projekte të mëdha. Në praktikë, kombinimi i të dhënave nga burime të ndryshme, ndarja e të dhënave shëndetësore ose biometrike me një ofrues analizash, përdorimi i profilizimit ose vendimmarrjes automatike, ose futja e një mjeti që vëzhgon punonjësit shpesh do ta kalojë pragun më vete.

Çfarë duhet të përmbajë një DPIA?

Një DPIA është një ushtrim i strukturuar, jo një formular. Ai duhet të përshkruajë përpunimin dhe qëllimet e tij, të vlerësojë domosdoshmërinë dhe proporcionalitetin, të identifikojë rreziqet për personat e përfshirë dhe të përcaktojë masat që i adresojnë ato, duke përfshirë masat mbrojtëse dhe masat e sigurisë.

Kur vlerësimi tregon një rrezik të lartë të mbetur që nuk mund ta zvogëloni, Neni 36 kërkon konsultim paraprak me AP-në përpara se të fillojë përpunimi. Moskryerja e një DPIA-je të kërkuar është një shkelje në vetvete, pavarësisht rezultatit që do të kishte qenë përpunimi.

Çfarë duhet bërë: kontrolloni çdo marrëveshje të re për ndarjen e të dhënave sipas kritereve të Nenit 35(3) dhe listës së AP-së. Përfshini zyrtarin e mbrojtjes së të dhënave nëse keni një të tillë. Mbajeni vlerësimin si një dokument të gjallë dhe rishikojeni atë kur përpunimi të ndryshojë. Kur përgjigja është vërtet e paqartë, kryerja e DPIA-s është më e lirë sesa mbrojtja e vendimit për të mos e bërë.

Rreziku 6: A po u tregoni njerëzve shumë pak për ndarjen?

Transparenca është një detyrim më vete. Ju mund ta shkelni atë edhe kur vetë ndarja është plotësisht e ligjshme.

Neni 13 i GDPR-së mbulon të dhënat e mbledhura nga individi; Neni 14 mbulon të dhënat e marra nga një burim tjetër. Të dyja kërkojnë që kontrolluesi të deklarojë qëllimet dhe bazën ligjore të përpunimit dhe marrësit, ose kategoritë e marrësve, të të dhënave personale.

Njoftimet për privatësinë dështojnë në këtë pikë në një mënyrë të parashikueshme. Një fjali që thotë se të dhënat "mund të ndahen me partnerë të besuar" nuk identifikon asgjë. Njoftimi duhet të emërtojë konkretisht kategoritë e marrësve, siç janë ofruesit e strehimit, administratorët e pagave ose agjencitë e referencave të kreditit. Kur ndarja bëhet me një organizatë specifike, zakonisht është më e qartë ta emërtojmë atë. Kur të dhënat transferohen jashtë EEA-së, nenet 13(1)(f) dhe 14(1)(f) kërkojnë që njoftimi ta thotë këtë, të identifikojë mbrojtjen në të cilën mbështetet dhe të shpjegojë se si mund të merret një kopje.

Çfarë shtesë vlen kur nuk i keni mbledhur vetë të dhënat?

Sipas Nenit 14, njoftimi duhet të përcaktojë gjithashtu kategoritë e të dhënave personale dhe burimin e tyre. Ju duhet ta jepni atë brenda një periudhe të arsyeshme dhe jo më vonë se një muaj, ose në komunikimin e parë me personin nëse kjo ndodh më shpejt.

Blerja e një liste marketingu dhe përdorimi i saj pa ua treguar kurrë personave që janë në të është një nga shkeljet më të qarta që ekzistojnë. Udhëzimet tona për hartimin e një politike privatësie në Holandë përcaktojnë plotësisht se çfarë duhet të përmbajë njoftimi.

Çfarë duhet bërë: rishikoni njoftimin sa herë që shtohet një marrës i ri dhe përditësojeni atë para se të fillojë shpërndarja, jo në rishikimin e ardhshëm vjetor. Sipas Nenit 12(1), njoftimet duhet të jenë gjithashtu koncize, të kuptueshme dhe të shkruara në një gjuhë të qartë dhe të thjeshtë. Renditja e çdo marrësi të mundshëm në një dokument që askush nuk mund ta lexojë nuk e zgjidh problemin.

Rreziku 7: A po i trajtoni të dhënat e pseudonimizuara si anonime?

Të dhënat e pseudonimizuara janë ende të dhëna personale. Vetëm anonimizimi i vërtetë i merr të dhënat jashtë GDPR-së.

Neni 4(5) i GDPR-së e përcakton pseudonimizimin si përpunimin e të dhënave personale në mënyrë që ato të mos mund të lidhen më me një person specifik pa informacion shtesë, i cili mbahet veçmas dhe mbrohet. Përkufizimi supozon se lidhja e të dhënave mbetet e mundur. Kjo është ajo që e dallon atë nga anonimizimi. Recitali 26 konfirmon se të dhënat që ende mund t'i atribuohen një personi që përdor informacion shtesë mbeten brenda fushëveprimit të GDPR-së.

Rreziku lind kur pseudonimizimi trajtohet si një licencë për të ndarë lirisht. Zëvendësimi i emrave me numrat e klientëve nuk eliminon nevojën për një bazë ligjore, një marrëveshje përpunimi, një mbrojtje transferimi ose një njoftim privatësie. Ka shumë rëndësi se kush e mban çelësin dhe cilat grupe të tjera të dhënash ka marrësi. Të dhënat e pseudonimizuara të kombinuara me një kod postar, një datë lindjeje dhe një histori transaksionesh shpesh mund të riidentifikohen. Vlerësimi duhet të marrë në konsideratë mjetet që ka gjasa të arsyeshme të përdoren nga marrësi, jo vetëm nga ju.

Anonimizimi i vërtetë, ku riidentifikimi nuk është më i mundur me asnjë mjet që ka gjasa të arsyeshme të përdoret, merr të dhëna jashtë GDPR-së. Është gjithashtu e vështirë për t'u arritur dhe e lehtë për t'u kërkuar. Agregimi i grupeve të vogla, kombinimet unike të atributeve dhe të dhënat e pasura të sjelljes e rrëzojnë atë.

Çfarë duhet bërë: trajtojini të dhënat si të pseudonimizuara dhe, për rrjedhojë, si të dhëna personale, përveç nëse një proces anonimizimi i dokumentuar dhe teknikisht i shëndoshë tregon ndryshe. Regjistroni masat teknike dhe organizative që e mbajnë çelësin të ndarë. Ana pozitive është reale: Neni 32 e rendit pseudonimizimin si një masë të përshtatshme sigurie dhe ai llogaritet në favorin tuaj kur vlerësohet një shkelje. Ai zvogëlon pasojat e një rrjedhjeje informacioni, por jo detyrimet që zbatohen para një rrjedhjeje të tillë.

Si duket zbatimi i ligjit në Holandë?

AP-ja mund të paralajmërojë, të qortojë, të urdhërojë pajtueshmëri, të ndalojë përpunimin, të pezullojë transfertat dhe të vendosë gjoba deri në 20 milionë euro ose 4% të xhiros vjetore në mbarë botën. Individët dhe fondacionet gjithashtu mund të kërkojnë dëmshpërblim.

AP mbikëqyr pajtueshmërinë me GDPR dhe UAVG. Ai mund të hetojë me iniciativën e vet ose pas një ankese. Kompetencat e tij sipas Nenit 58 të GDPR variojnë nga një paralajmërim dhe një qortim, përmes një urdhri për të sjellë përpunimin në përputhje me të dhënat, deri në një ndalim të përkohshëm ose të përhershëm të përpunimit dhe një urdhër që pezullon rrjedhën e të dhënave për një marrës në një vend të tretë. Një gjobë është vetëm një nga mjetet. Për një biznes që varet nga një rrjedhë e caktuar e të dhënave, rrallë është më e dëmshmja.

Sa e lartë mund të jetë një gjobë?

Neni 83 i GDPR-së ka dy nivele të gjobave maksimale. Në secilën shkallë, maksimumi është një shumë fikse ose një përqindje e xhiros totale vjetore në mbarë botën në vitin financiar të mëparshëm, cilado qoftë më e lartë.

• Shtresa e poshtme: deri në 10 milionë euro ose 2% të xhiros, për shkelje të detyrimeve të tilla si ato në nenet 25 deri në 39. Kjo përfshin mungesën e një marrëveshjeje përpunimi ose një DPIA të kërkuar.
• Shkalla më e lartë: deri në 20 milionë euro ose 4% të xhiros, për shkelje të parimeve themelore, bazave ligjore, të drejtave të subjekteve të të dhënave dhe rregullave mbi transferimet ndërkombëtare.

Për një grup kompanish, përqindja dhe jo shuma fikse është zakonisht shifra përkatëse. Neni 83(2) rendit faktorët që përcaktojnë shumën, duke përfshirë natyrën dhe kohëzgjatjen e shkeljes, nëse ka qenë e qëllimshme apo nga pakujdesia, hapat e ndërmarrë për të kufizuar dëmin dhe shkallën e bashkëpunimit me autoritetin.

A mund të kërkojnë individët dëmshpërblim?

Po. Neni 82 i GDPR-së i jep kujtdo që ka pësuar dëme materiale ose jomateriale të drejtën për kompensim nga kontrolluesi ose përpunuesi.

Në Holandë, kërkesa të tilla ngrihen gjithnjë e më shumë kolektivisht nga fondacionet që veprojnë për grupe të mëdha, sipas Aktit mbi zgjidhjen e dëmeve masive në padi kolektive ( Wet afwikkeling massaschade in collectieve actie , WAMCA). Një vendim i publikuar i AP është një pikënisje e përshtatshme për një kërkesë të tillë.

Po sikur ndarja e paligjshme të çojë në një shkelje të të dhënave?

Një shkelje e të dhënave personale ka afatin e vet. Neni 33 i GDPR-së kërkon njoftimin e AP-së pa vonesë të panevojshme dhe, kur është e mundur, brenda 72 orëve nga marrja e dijenisë për të, përveç nëse shkelja nuk ka gjasa të rezultojë në rrezik për individët.

Sipas Nenit 34, ju duhet gjithashtu të informoni personat e prekur pa vonesë të panevojshme nëse shkelja ka të ngjarë të rezultojë në një rrezik të lartë për ta. Të gjitha shkeljet duhet të dokumentohen brenda kompanisë, duke përfshirë ato që ju nuk i njoftoni, dhe arsyetimi për mosnjoftimin është pjesë e atij regjistrimi.

Si e vini në rregull ndarjen e të dhënave tuaja?

Filloni nga të dhënat tuaja të aktiviteteve të përpunimit dhe kontrolloni çdo marrës për rolin, bazën ligjore, kontratën, transferimet dhe njoftimin e privatësisë. Pastaj përfshini këto kontrolle në procesin tuaj të prokurimit.

Shtatë rreziqet e mësipërme kanë të njëjtin shkak. Ndarja organizohet në mënyrë operative, nga ekipi që ka nevojë për transferimin e të dhënave, dhe dokumentohet më pas ose nuk dokumentohet fare. Zgjidhja është po aq praktike:

• Filloni nga rekordi. Regjistri i aktiviteteve të përpunimit sipas Nenit 30 duhet të ekzistojë tashmë, dhe kjo ju detyron të përmendni çdo marrës.
• Kontrolloni çdo marrës. Për secilën prej tyre, përcaktoni rolin, bazën ligjore, kontratën, pozicionin e transferimit dhe atë që thotë njoftimi i privatësisë. Shumica e organizatave gjejnë dy ose tre rrjedha që askush nuk mund t'i japë llogari.
• Përfshijeni atë në prokurim. Sigurohuni që asnjë furnizues të mos mund të pranohet në punë pa një marrëveshje përpunimi, një analizë transferimi dhe një shqyrtim të DPIA-s, dhe jepini dikujt autoritetin për të ndaluar një pranim në punë që dështon.
• Rishikimi mbi ndryshimin. Shikoni përsëri kur shfaqet një nën-përpunues i ri, një qëllim i ri ose një vend i ri, ose kur një blerje sjell rrjedhat e të dhënave të dikujt tjetër në grup.

Neni 5(2) kërkon që ju të jeni në gjendje të demonstroni pajtueshmëri, e cila është një detyrim për të dhënat po aq sa edhe për sjelljen. Për kontratat me furnizuesit e IT-së konkretisht, praktika jonë ligjore e IT-së shpjegon se si kushtet e mbrojtjes së të dhënave bashkëveprojnë me ato komerciale.

Në përmbledhje

• Çdo ndarje e të dhënave personale ka nevojë për një bazë ligjore sipas Nenit 6 të GDPR-së; një arsye tregtare nuk është e mjaftueshme.
• Përcaktoni për secilin marrës nëse është përpunues, kontrollues i përbashkët apo kontrollues i pavarur dhe dokumentojeni këtë në përputhje me rrethanat.
• Një marrëveshje përpunimi sipas Nenit 28 është e detyrueshme për përpunuesit; pa një të tillë ju jeni në shkelje që nga dita e parë.
• Transferimet jashtë EEA-së kërkojnë mjaftueshmëri (siç është një certifikim DPF) ose masa mbrojtëse plus një vlerësim të ndikimit të transferimit.
• Të dhënat e pseudonimizuara janë ende të dhëna personale; njoftimi juaj i privatësisë duhet t'i emërtojë konkretisht marrësit.

Pyetjet më të shpeshta

Si mund të ndihmojmë me ndarjen e të dhënave dhe GDPR-në?

Law & More këshillon bizneset në Holandë mbi anën ligjore të ndarjes së të dhënave. Ne përcaktojmë rolet e kontrolluesit dhe përpunuesit, hartojmë dhe negociojmë marrëveshje përpunimi dhe marrëveshje të kontrolluesit të përbashkët, vlerësojmë transferimet jashtë EEA-së, kryejmë vlerësime të ndikimit në mbrojtjen e të dhënave dhe përditësojmë njoftimet e privatësisë. Ne gjithashtu ndihmojmë organizatat nën hetim nga AP-ja ose që duhet të njoftojnë një shkelje të të dhënave brenda një afati të caktuar.

A nuk jeni i sigurt nëse një rrjedhë e caktuar e të dhënave mund të justifikohet, apo po hyni në një marrëveshje sipas së cilës të dhënat personale do të lëvizin midis organizatave? Ia vlen të shikoni situatën përpara se të fillojë ndarja. Nuk jeni i sigurt se ku ndodheni? Na tregoni për situatën tuaj. Ne do t'ju njoftojmë për opsionet tuaja brenda një dite pune.