REP27 · Procesadores
Artículo 27 GDPR · Procesadores
Los procesadores están cubiertos por el Artículo 27 en exactamente los mismos términos que los controladores, y casi ninguno de ellos lo sabe. La suposición es que la designación del cliente cubre la cadena de suministro. No es así: una designación cubre a la entidad que la firmó, por lo que un proveedor de alojamiento, un servicio de soporte, un proveedor de análisis o una operación de BPO fuera de la Unión necesita uno propio.
La obligación es idéntica; tres cosas prácticas al respecto no lo son.
Artículo 30(2) en lugar de 30(1): categorías de procesamiento por controlador, transferencias y una descripción general de las medidas de seguridad.
Las solicitudes que te llegan se pasan al controlador bajo tu contrato del Artículo 28, no son respondidas por ti.
Apareces en el aviso de privacidad de tu cliente, no en el tuyo propio dirigido al consumidor, por lo que la obligación es tan fácil de pasar por alto.
El equipo de adquisiciones de tu cliente, no un regulador, suele ser el primero en solicitar la designación.
| Tipo de proveedor | Rol | Representante necesario |
|---|---|---|
| Alojamiento en la nube fuera de la UE | Procesador | Sí |
| Soporte al cliente externalizado | Procesador | Sí |
| Plataforma de nómina o RRHH | Procesador | Sí |
| Proveedor de análisis con identificadores de usuario | Procesador, a veces controlador conjunto | Sí |
| Sub-procesador del anterior | Procesador | Sí |
| Proveedor que nunca toca datos personales | Ni | No |
Los controladores europeos han pasado años mapeando sus procesadores. Lo que casi nadie ha mapeado es si esos procesadores están dentro del Artículo 3(2) y, si es así, si tienen una designación propia.
La cadena suele ser más larga de lo que sugiere el contrato. Un minorista europeo utiliza una plataforma de comercio electrónico de EE. UU., que utiliza un proveedor de búsqueda canadiense, que utiliza un escritorio de soporte indio. Cada uno de los tres es un procesador o subprocesador establecido fuera de la Unión, cada uno procesa datos personales de personas en la Unión, y cada uno necesita su propio representante. La designación del minorista cubre al minorista, y nada más.
Esto está comenzando a surgir en la debida diligencia. El Artículo 28(1) requiere que los controladores utilicen solo procesadores que proporcionen garantías suficientes, y los cuestionarios más sofisticados ahora preguntan no solo por su representante, sino por la confirmación de que sus propios subprocesadores tienen uno. Poder responder eso rápidamente se está convirtiendo en un diferenciador entre los proveedores que compiten por la misma cuenta europea.
Para un subprocesador, el cálculo es simple. La designación cuesta menos que el tiempo gastado explicando su ausencia durante un solo ciclo de adquisición.
Sí. El Artículo 27(1) se refiere tanto a controladores como a procesadores, y las Directrices 3/2018 del EDPB lo confirman. Un procesador establecido fuera de la Unión que procesa datos personales de personas en la Unión, en nombre de cualquier cliente, debe designar un representante propio.
No. Una designación cubre a la entidad que la firmó. El representante de su cliente fue mandatado por su cliente, no tiene relación con usted y no puede responder por su procesamiento. Este es el error más común que corregimos en los archivos de procesadores.
El registro bajo el Artículo 30(2): las categorías de procesamiento realizadas en nombre de cada controlador, las transferencias que realiza y una descripción general de sus medidas de seguridad. No el registro completo del controlador bajo el Artículo 30(1).
La solicitud se registra, se referencia y se reenvía a usted, y usted la dirige al controlador cuyos datos conciernen bajo su contrato del Artículo 28. Ni usted ni el representante deciden el resultado: el controlador responde sobre el fondo.
No en principio. Los subprocesadores son procesadores, y la prueba territorial en el Artículo 3(2) se aplica a su propia actividad. En la práctica, los subprocesadores suelen ser los últimos en la cadena en ser nombrados, por lo que los compradores empresariales ahora preguntan sobre ellos explícitamente.
No. El Artículo 27(5) es explícito en que designar un representante no afecta las acciones legales contra el controlador o el procesador en sí. Crea un punto de contacto, no una transferencia de responsabilidad.
Cada vez más, sí. Los controladores europeos están obligados bajo el Artículo 28 a utilizar solo procesadores que proporcionen garantías suficientes, y sus cuestionarios de proveedores ahora incluyen el nombre y la dirección del representante como un ítem.
Con el registro del Artículo 30(2) mantenido dentro de la Unión, por lo que los cuestionarios de sus clientes dejan de estancarse.
Nomítenos