REP27 · İşlemciler
Madde 27 GDPR · İşlemciler
İşlemciler, kontrolörler ile aynı şartlar altında Madde 27'ye tabidir ve bunların çoğu bunu bilmemektedir. Varsayım, müşterinin atamasının tedarik zincirini kapsadığıdır. Kapsamaz: bir atama, onu imzalayan varlığı kapsar, bu nedenle bir barındırma sağlayıcısı, bir destek masası, bir analiz satıcısı veya Birlik dışındaki bir BPO operasyonunun kendi atamasına ihtiyacı vardır.
Yükümlülük aynıdır; etrafındaki üç pratik şey farklıdır.
Madde 30(2) yerine 30(1): kontrolör başına işleme kategorileri, transferler ve güvenlik önlemlerinin genel bir tanımı.
Size ulaşan talepler, sizin Madde 28 sözleşmeniz altında kontrolöre iletilir, siz tarafından yanıtlanmaz.
Müşterinizin gizlilik bildiriminde görünüyorsunuz, kendi tüketiciye yönelik olanınızda değil — bu nedenle yükümlülüğün gözden kaçması bu kadar kolaydır.
Müşterinizin satın alma ekibi, genellikle atama talep eden ilk kişidir, bir düzenleyici değil.
| Tedarikçi türü | Rol | Temsilci gerekli |
|---|---|---|
| AB dışındaki bulut barındırma | İşlemci | Evet |
| Dış kaynaklı müşteri desteği | İşlemci | Evet |
| Maaş veya İK platformu | İşleyici | Evet |
| Kullanıcı tanımlayıcıları ile analiz sağlayıcısı | İşleyici, bazen ortak denetleyici | Evet |
| Yukarıdakilerin alt işleyicisi | İşleyici | Evet |
| Kişisel verilere asla dokunmayan tedarikçi | Ne işin var | Hayır |
Avrupa denetleyicileri yıllardır işleyicilerini haritalandırıyor. Neredeyse hiç kimse, bu işleyicilerin kendilerinin Madde 3(2) kapsamında olup olmadığını ve eğer öyleyse, kendi temsilcilerinin olup olmadığını haritalandırmamıştır.
Zincir genellikle sözleşmenin önerdiğinden daha uzundur. Bir Avrupa perakendecisi, bir ABD e-ticaret platformunu kullanıyor, bu platform bir Kanadalı arama sağlayıcısını, o da bir Hint destek masasını kullanıyor. Üçü de Birlik dışında kurulmuş birer işleyici veya alt işleyicidir, her biri Birlik'teki kişilerin kişisel verilerini işler ve her birinin kendi temsilcisine ihtiyacı vardır. Perakendecinin ataması perakendeciyi kapsar ve başka bir şeyi kapsamaz.
Bu, gerekli özen aşamasında yüzeye çıkmaya başlıyor. Madde 28(1), denetleyicilerin yalnızca yeterli garantiler sunan işleyicileri kullanmasını gerektirir ve daha sofistike anketler artık yalnızca temsilcinizi değil, kendi alt işleyicilerinizin de birine sahip olduğuna dair onay talep ediyor. Buna hızlı bir şekilde yanıt verebilmek, aynı Avrupa hesabı için rekabet eden tedarikçiler arasında bir farklılaştırıcı haline geliyor.
Bir alt işleyici için hesaplama basittir. Atama, tek bir tedarik döngüsü sırasında yokluğunu açıklamak için harcanan zamandan daha az maliyetlidir.
Evet. Madde 27(1), hem denetleyicilere hem de işleyicilere atıfta bulunur ve EDPB Kılavuzları 3/2018 bunu doğrular. Birlik dışında kurulmuş ve Birlik'teki kişilerin kişisel verilerini, herhangi bir müşteri adına işleyen bir işleyici, kendi temsilcisini atamak zorundadır.
Hayır. Bir atama, onu imzalayan varlığı kapsar. Müşterinizin temsilcisi, müşteriniz tarafından yetkilendirilmiştir, sizinle bir ilişkisi yoktur ve sizin işleme faaliyetleriniz için cevap veremez. Bu, işleyici dosyalarında düzelttiğimiz en yaygın hatadır.
Madde 30(2) kapsamındaki kayıt: her denetleyici adına gerçekleştirilen işleme kategorileri, yaptığınız transferler ve güvenlik önlemlerinizin genel bir tanımı. Madde 30(1) kapsamındaki tam denetleyici kaydı değil.
Talep kaydedilir, referans verilir ve size iletilir, siz de bunu Madde 28 sözleşmeniz kapsamında ilgili denetleyiciye yönlendirirsiniz. Ne siz ne de temsilci sonucu belirler — denetleyici esaslar üzerinden yanıt verir.
Prensipte hayır. Alt işleyiciler işleyicidir ve Madde 3(2) kapsamındaki toprak testi, kendi faaliyetlerinize uygulanır. Pratikte alt işleyiciler genellikle atanan zincirin sonuncusudur, bu nedenle kurumsal alıcılar artık bunlar hakkında açıkça soru sormaktadır.
Hayır. Madde 27(5) temsilci atamanın denetleyici veya işleyiciye karşı yasal işlemleri etkilemediğini açıkça belirtmektedir. Bu, bir iletişim noktası oluşturur, sorumluluğun devri değildir.
Artan bir şekilde, evet. Avrupa denetleyicileri, Madde 28 uyarınca yalnızca yeterli garantiler sunan işleyicileri kullanmak zorundadır ve tedarikçi anketleri artık temsilcinin adını ve adresini bir satır öğesi olarak içermektedir.
Birlik içinde tutulan Madde 30(2) kaydı ile, böylece müşterilerinizin anketleri duraksamaz.
Bizi atayın