REP27 · Processadores
Artigo 27 GDPR · Processadores
Os processadores estão cobertos pelo Artigo 27 nas mesmas condições que os controladores, e quase nenhum deles sabe disso. A suposição é que a designação do cliente cobre a cadeia de fornecimento. Não cobre: uma designação cobre a entidade que a assinou, portanto, um fornecedor de hospedagem, um suporte técnico, um fornecedor de análises ou uma operação de BPO fora da União precisa de uma própria.
A obrigação é idêntica; três coisas práticas em torno disso não são.
Artigo 30(2) em vez de 30(1): categorias de processamento por controlador, transferências e uma descrição geral das medidas de segurança.
Os pedidos que chegam a você são passados para o controlador sob o seu contrato do Artigo 28, não respondidos por você.
Você aparece no aviso de privacidade do seu cliente, não no seu próprio voltado para o consumidor — é por isso que a obrigação é tão fácil de ignorar.
A equipe de compras do seu cliente, não um regulador, é geralmente a primeira a pedir a designação.
| Tipo de fornecedor | Função | Representante necessário |
|---|---|---|
| Hospedagem em nuvem fora da UE | Processador | Sim |
| Suporte ao cliente terceirizado | Processador | Sim |
| Plataforma de folha de pagamento ou RH | Processador | Sim |
| Fornecedor de análises com identificadores de utilizador | Processador, às vezes controlador conjunto | Sim |
| Sub-processador do acima | Processador | Sim |
| Fornecedor que nunca toca em dados pessoais | Nem | Não |
Os controladores europeus passaram anos a mapear os seus processadores. O que quase ninguém mapeou é se esses processadores estão eles próprios dentro do Artigo 3(2) e, se sim, se têm uma designação própria.
A cadeia é geralmente mais longa do que o contrato sugere. Um retalhista europeu utiliza uma plataforma de e-commerce dos EUA, que utiliza um fornecedor de pesquisa canadense, que utiliza um suporte indiano. Cada um dos três é um processador ou sub-processador estabelecido fora da União, cada um processa dados pessoais de pessoas na União, e cada um precisa do seu próprio representante. A designação do retalhista cobre o retalhista, e nada mais.
Isto está a começar a surgir na devida diligência. O Artigo 28(1) exige que os controladores utilizem apenas processadores que forneçam garantias suficientes, e os questionários mais sofisticados agora perguntam não apenas pelo seu representante, mas pela confirmação de que os seus próprios sub-processadores têm um. Ser capaz de responder a isso rapidamente está a tornar-se um diferenciador entre os fornecedores que competem pela mesma conta europeia.
Para um sub-processador, o cálculo é simples. A designação custa menos do que o tempo gasto a explicar a sua ausência durante um único ciclo de aquisição.
Sim. O Artigo 27(1) refere-se a controladores e processadores de igual forma, e as Diretrizes do EDPB 3/2018 confirmam isso. Um processador estabelecido fora da União que processa dados pessoais de pessoas na União, em nome de qualquer cliente, deve designar um representante próprio.
Não. Uma designação cobre a entidade que a assinou. O representante do seu cliente foi mandatado pelo seu cliente, não tem relação consigo e não pode responder pelo seu processamento. Este é o erro mais comum que corrigimos em arquivos de processadores.
O registo sob o Artigo 30(2): as categorias de processamento realizadas em nome de cada controlador, as transferências que você faz e uma descrição geral das suas medidas de segurança. Não o registo completo do controlador sob o Artigo 30(1).
O pedido é registado, referenciado e encaminhado para você, e você o direciona para o controlador cujos dados dizem respeito sob o seu contrato do Artigo 28. Nem você nem o representante decidem o resultado — o controlador responde sobre o mérito.
Não em princípio. Sub-processadores são processadores, e o teste territorial no Artigo 3(2) é aplicado à sua própria atividade. Na prática, os sub-processadores são frequentemente os últimos na cadeia a serem nomeados, razão pela qual os compradores empresariais agora perguntam sobre eles explicitamente.
Não. O Artigo 27(5) é explícito que a designação de um representante não afeta ações legais contra o controlador ou processador em si. Cria um ponto de contacto, não uma transferência de responsabilidade.
Cada vez mais, sim. Os controladores europeus são obrigados sob o Artigo 28 a utilizar apenas processadores que forneçam garantias suficientes, e os seus questionários de fornecedores agora incluem o nome e o endereço do representante como um item.
Com o registo do Artigo 30(2) mantido dentro da União, para que os questionários dos seus clientes deixem de estar parados.
Nomeie-nos