REP27 · المعالجات
المادة 27 من اللائحة العامة لحماية البيانات · المعالجات
تغطي المعالجات المادة 27 بنفس الشروط التي تغطي بها الجهات المسيطرة، وقليل منهم يعرف ذلك. الافتراض هو أن تعيين العميل يغطي سلسلة التوريد. لكنه لا يفعل: التعيين يغطي الكيان الذي وقعه، لذا يحتاج مزود الاستضافة، أو مكتب الدعم، أو بائع التحليلات، أو عملية BPO خارج الاتحاد إلى واحد خاص به.
الالتزام هو نفسه؛ ثلاثة أشياء عملية حوله ليست كذلك.
المادة 30(2) بدلاً من 30(1): فئات المعالجة لكل جهة مسيطرة، التحويلات، ووصف عام لتدابير الأمان.
الطلبات التي تصل إليك تُمرر إلى الجهة المسيطرة بموجب عقدك في المادة 28، وليس تُجاب من قبلك.
تظهر في إشعار خصوصية عميلك، وليس في إشعارك الخاص الموجه للمستهلكين — وهذا هو السبب في أن الالتزام سهل التجاهل.
فريق الشراء لدى عميلك، وليس جهة تنظيمية، هو عادةً أول من يطلب التعيين.
| نوع المورد | الدور | الممثل المطلوب |
|---|---|---|
| استضافة سحابية خارج الاتحاد الأوروبي | معالج | نعم |
| دعم العملاء الخارجي | معالج | نعم |
| منصة الرواتب أو الموارد البشرية | معالج البيانات | نعم |
| بائع تحليلات مع معرفات المستخدمين | معالج بيانات، أحيانًا مشترك في التحكم | نعم |
| معالج فرعي مما سبق | معالج البيانات | نعم |
| مورد لا يتعامل مع البيانات الشخصية أبدًا | لا شيء | لا |
لقد قضى المتحكمون الأوروبيون سنوات في رسم خريطة معالجي البيانات لديهم. ما لم يرسمه أحد تقريبًا هو ما إذا كان هؤلاء المعالجون أنفسهم ضمن المادة 3(2) ، وإذا كان الأمر كذلك، ما إذا كان لديهم تعيين خاص بهم.
السلسلة عادةً ما تكون أطول مما يوحي به العقد. يستخدم بائع تجزئة أوروبي منصة تجارة إلكترونية أمريكية، والتي تستخدم بائع بحث كندي، والذي يستخدم مكتب دعم هندي. كل واحد من الثلاثة هو معالج أو معالج فرعي مقيم خارج الاتحاد، كل منهم يعالج البيانات الشخصية للأشخاص في الاتحاد، وكل منهم يحتاج إلى ممثل خاص به. يغطي تعيين بائع التجزئة البائع فقط، ولا شيء آخر.
هذا بدأ يظهر في العناية الواجبة. تتطلب المادة 28(1) من المتحكمين استخدام معالجي بيانات يقدمون ضمانات كافية، والأسئلة الأكثر تطورًا الآن تسأل ليس فقط عن ممثلك ولكن أيضًا عن تأكيد أن معالجي البيانات الفرعيين لديك لديهم واحد. القدرة على الإجابة عن ذلك بسرعة أصبحت تميز بين الموردين الذين يتنافسون على نفس الحساب الأوروبي.
بالنسبة لمعالج فرعي، الحساب بسيط. تكلفة التعيين أقل من الوقت المستغرق في شرح غيابه خلال دورة شراء واحدة.
نعم. تشير المادة 27(1) إلى المتحكمين والمعالجين على حد سواء، وتؤكد إرشادات EDPB 3/2018 ذلك. يجب على معالج البيانات المقيم خارج الاتحاد والذي يعالج البيانات الشخصية للأشخاص في الاتحاد، نيابة عن أي عميل، تعيين ممثل خاص به.
لا. يغطي التعيين الكيان الذي وقعه. كان ممثل عميلك مفوضًا من قبل عميلك، وليس له علاقة بك، ولا يمكنه الإجابة عن معالجة بياناتك. هذا هو الخطأ الأكثر شيوعًا الذي نصححه في ملفات المعالجين.
السجل بموجب المادة 30(2): فئات المعالجة التي تتم نيابة عن كل متحكم، والتحويلات التي تقوم بها، ووصف عام لتدابير الأمان الخاصة بك. وليس السجل الكامل للمتحكم بموجب المادة 30(1).
يتم تسجيل الطلب، وإحالته إليك، وتقوم بتوجيهه إلى المتحكم الذي تتعلق به بياناته بموجب عقدك المادة 28. لا أنت ولا الممثل يقرران النتيجة - المتحكم يجيب على الأسس الموضوعية.
ليس من حيث المبدأ. المعالجون الفرعيون هم معالجون، ويتم تطبيق الاختبار الإقليمي في المادة 3(2) على نشاطك الخاص. في الممارسة العملية، غالبًا ما يكون المعالجون الفرعيون هم آخر من يتم تعيينهم في السلسلة، ولهذا السبب يسأل المشترون المؤسسيون عنهم بشكل صريح الآن.
لا. المادة 27(5) واضحة أن تعيين ممثل لا يؤثر على الإجراءات القانونية ضد المتحكم أو المعالج نفسه. إنه ينشئ نقطة اتصال، وليس نقلًا للمسؤولية.
بشكل متزايد، نعم. يُطلب من المتحكمين الأوروبيين بموجب المادة 28 استخدام معالجات توفر ضمانات كافية، واستبيانات البائعين الخاصة بهم تتضمن الآن اسم الممثل وعنوانه كعنصر في القائمة.
مع سجل المادة 30(2) المحتفظ به داخل الاتحاد، لذا تتوقف استبيانات عملائك عن التوقف.
عيننا