REP27 · Processori
Articolo 27 GDPR · Processori
I processori sono coperti dall'Articolo 27 alle stesse condizioni dei titolari, e quasi nessuno di loro lo sa. L'assunzione è che la designazione del cliente copra la catena di fornitura. Non è così: una designazione copre l'entità che l'ha firmata, quindi un fornitore di hosting, un servizio di supporto, un fornitore di analisi o un'operazione BPO al di fuori dell'Unione ne ha bisogno di una propria.
L'obbligo è identico; tre aspetti pratici attorno ad esso non lo sono.
Articolo 30(2) piuttosto che 30(1): categorie di trattamento per titolare, trasferimenti e una descrizione generale delle misure di sicurezza.
Le richieste che ti raggiungono vengono passate al titolare ai sensi del tuo contratto ai sensi dell'Articolo 28, non risposte da te.
Appari nell'informativa sulla privacy del tuo cliente, non nella tua informativa rivolta ai consumatori — ed è per questo che l'obbligo è così facile da trascurare.
Il team di approvvigionamento del tuo cliente, non un regolatore, è di solito il primo a chiedere la designazione.
| Tipo di fornitore | Ruolo | Rappresentante necessario |
|---|---|---|
| Hosting cloud al di fuori dell'UE | Processore | Sì |
| Supporto clienti esternalizzato | Processore | Sì |
| Piattaforma di payroll o HR | Processore | Sì |
| Fornitore di analisi con identificatori utente | Processore, a volte titolare congiunto | Sì |
| Sub-processore di quanto sopra | Processore | Sì |
| Fornitore che non tocca mai i dati personali | Né | No |
I controllori europei hanno impiegato anni a mappare i loro processori. Quello che quasi nessuno ha mappato è se quei processori siano essi stessi ai sensi dell'Articolo 3(2) e, in tal caso, se abbiano una designazione propria.
La catena è solitamente più lunga di quanto suggerisca il contratto. Un rivenditore europeo utilizza una piattaforma di e-commerce statunitense, che utilizza un fornitore di ricerca canadese, che utilizza un servizio di supporto indiano. Ognuno dei tre è un processore o sub-processore stabilito al di fuori dell'Unione, ciascuno elabora dati personali di persone nell'Unione e ciascuno ha bisogno di un proprio rappresentante. La designazione del rivenditore copre il rivenditore e nient'altro.
Questo sta iniziando a emergere nella due diligence. L'Articolo 28(1) richiede ai controllori di utilizzare solo processori che forniscano garanzie sufficienti, e i questionari più sofisticati ora chiedono non solo il tuo rappresentante ma anche conferma che i tuoi sub-processori ne abbiano uno. Essere in grado di rispondere rapidamente a questo sta diventando un fattore distintivo tra i fornitori che competono per lo stesso cliente europeo.
Per un sub-processore il calcolo è semplice. La designazione costa meno del tempo speso a spiegare la sua assenza durante un singolo ciclo di approvvigionamento.
Sì. L'Articolo 27(1) si riferisce sia ai controllori che ai processori, e le Linee Guida EDPB 3/2018 lo confermano. Un processore stabilito al di fuori dell'Unione che elabora dati personali di persone nell'Unione, per conto di qualsiasi cliente, deve designare un proprio rappresentante.
No. Una designazione copre l'entità che l'ha firmata. Il rappresentante del tuo cliente è stato mandato dal tuo cliente, non ha alcun rapporto con te e non può rispondere per il tuo trattamento. Questo è l'errore più comune che correggiamo nei file dei processori.
Il registro ai sensi dell'Articolo 30(2): le categorie di trattamento effettuate per conto di ciascun controllore, i trasferimenti che effettui e una descrizione generale delle tue misure di sicurezza. Non il registro completo del controllore ai sensi dell'Articolo 30(1).
La richiesta viene registrata, referenziata e inoltrata a te, e tu la giri al controllore i cui dati riguardano ai sensi del tuo contratto ai sensi dell'Articolo 28. Né tu né il rappresentante decidete l'esito — il controllore risponde nel merito.
Non in linea di principio. I sub-processori sono processori, e il test territoriale nell'Articolo 3(2) si applica alla tua attività. In pratica, i sub-processori sono spesso gli ultimi nella catena a essere nominati, motivo per cui gli acquirenti aziendali ora chiedono esplicitamente di loro.
No. L'Articolo 27(5) è esplicito che la designazione di un rappresentante non influisce sulle azioni legali contro il controllore o il processore stesso. Crea un punto di contatto, non un trasferimento di responsabilità.
Sempre di più, sì. I controllori europei sono tenuti ai sensi dell'Articolo 28 a utilizzare solo processori che forniscano garanzie sufficienti, e i loro questionari per i fornitori ora includono il nome e l'indirizzo del rappresentante come voce separata.
Con il registro dell'Articolo 30(2) detenuto all'interno dell'Unione, così i questionari dei tuoi clienti smettono di bloccarsi.
Nomina noi