Kważi kull kumpanija li topera fl-Olanda testernalizza xi ħaġa li tmiss id-dejta personali: il-pagi, il-hosting, is-CRM, il-marketing, ir-reklutaġġ, l-appoġġ. Fejn fornitur jipproċessa dejta personali fuq l-istruzzjonijiet tiegħek, l-Artikolu 28 tal-GDPR jirrikjedi kuntratt bil-miktub, bl-Olandiż verwerkersovereenkomst . Din il-gwida tkopri meta jkun meħtieġ, x'għandu jkun fih, kif l-awtorità superviżorja Olandiża tavviċinah, u kif jiġu nnegozjati l-klawżoli li huma importanti.
Meta jkun meħtieġ ftehim ta' pproċessar, u meta ma jkunx
Huwa meħtieġ f'sitwazzjoni waħda biss: fejn parti waħda tipproċessa dejta personali f'isem oħra. Il-parti li tiddeċiedi għaliex u, essenzjalment, kif tiġi pproċessata d-dejta hija l-kontrollur; il-parti li taġixxi fuq l-istruzzjonijiet tiegħu hija l-proċessur. Id-dmir jimxi 'l isfel fil-katina, għalhekk proċessur li jinvolvi sottoproċessur irid jikkuntratta b'mod ekwivalenti miegħu. L-ebda dmir mhu meħtieġ fejn il-partijiet huma kontrolluri indipendenti li kull wieħed isegwi l-iskopijiet tiegħu stess, fejn huma kontrolluri konġunti, li jirrikjedi arranġament skont l-Artikolu 26 tal-GDPR minflok, jew fejn ma tkun involuta l-ebda dejta personali.
L-iffirmar ta' wieħed ma' parti li fil-fatt hija kontrollur indipendenti mhuwiex ta' ħsara: jiddikjara ħażin min hu responsabbli u joħloq illużjoni ta' istruzzjoni li l-ebda parti ma tista' tonora. L-iżball tal-mera huwa komuni daqs kemm hu, fejn fornitur li jaġixxi f'ismu stess jaċċetta termini ta' istruzzjoni biss li ma jistax jikkonforma magħhom.
Kontrollur jew proċessur: kif id-distinzjoni hija fil-fatt ivvalutata
Il-valutazzjoni hija funzjonali, mhux formali: dak li l-kuntratt isejjaħ il-partijiet hija evidenza, mhux it-tweġiba, u d- differenza bejn kontrollur u proċessur hija l-ewwel ħaġa li awtorità superviżorja tittestja. Il-punt ta' referenza huma l-Linji Gwida 07/2020 tal-EDPB dwar il-kontrollur u l-proċessur, li l-verżjoni finali tagħhom ġiet adottata fis-7 ta' Lulju 2021.
Skopijiet u mezzi essenzjali
Il-kontrollur jiddetermina l-għanijiet u l- mezzi essenzjali : liema kategoriji ta’ dejta jiġu pproċessati, dwar min, għal kemm żmien, u lil min jiġu żvelati. Dawk id-deċiżjonijiet huma marbuta mal-legalità u l-ħtieġa u ma jistgħux jiġu delegati. Mezzi mhux essenzjali , id-dettall tal-implimentazzjoni, jistgħu jitħallew f’idejn il-fornitur: liema softwer iħaddem u kif jiddisinja l-kontrolli tiegħu.
Għalhekk, organizzazzjoni tista' tkun kontrollur għalkemm qatt ma tmiss id-dejta. Fis-sentenza tagħha tal-5 ta' Diċembru 2023 fil-kawża C-683/21 (Nacionalinis visuomenės sveikatos centras), il-Qorti tal-Ġustizzja ddeċidiet li entità li tiddetermina l-għanijiet u l-mezzi tal-ipproċessar imwettaq permezz ta' app li kienet ikkummissjonat kienet kontrollur, u li l-kontroll konġunt jista' jirriżulta minn deċiżjonijiet konverġenti mingħajr ebda arranġament formali. Bil-maqlub, proċessur li jmur lil hinn mill-istruzzjonijiet biex jipproċessa għall-għanijiet tiegħu stess huwa ttrattat mill-Artikolu 28 tal-GDPR bħala kontrollur għal dak l-ipproċessar.
Is-sitwazzjonijiet li jfixklu lill-kumpaniji
- Uffiċċji tal-pagi. Fejn l-uffiċċju jdaħħal id-dejta li tipprovdi u jipproduċi l-pagi, huwa proċessur. Fejn l-impenn jestendi għal pariri indipendenti u kontrolli tal-konformità fil-ġudizzju tad-ditta stess, il-gwida tal-korpi professjonali Olandiżi tal-1 ta' Ottubru 2019 għall-kontabilisti, konsulenti tat-taxxa u professjonisti tal-pagi tittrattah bħala kontrollur.
- Kontabilisti u konsulenti tat-taxxa. L-awditjar statutorju, il-kumpilazzjoni u x-xogħol tar-ritorn tat-taxxa jitwettqu taħt id-dmirijiet professjonali u statutorji tad-ditta stess, b'ġudizzju indipendenti. Dan jindika status ta' kontrollur, u ftehim ta' pproċessar imbagħad ikun id-dokument żbaljat.
- Aġenziji tal-marketing. Aġenzija li tmexxi kampanja kontra l-lista tal-klijenti tiegħek hija proċessur. Waħda li tibni jew tarrikkixxi l-udjenzi, jew tħaddem ad-tech fejn il-pjattaforma tistabbilixxi l-parametri, għandha l-iskopijiet tagħha stess, u l-kontroll konġunt mal-pjattaforma huwa possibbiltà ħajja.
- Fornituri tal-IT, hosting u SaaS. Normalment proċessuri, iżda iċċekkja l-klawżola li tirriżerva d-dritt li tuża dejta "aggregata" jew "tal-użu" għal titjib tas-servizz, valutazzjoni komparattiva jew taħriġ ta' mudelli. Sal-punt li tinvolvi dejta personali, huwa l-iskop tal-fornitur stess u huwa kontrollur għaliha.
- Reklutaturi. Aġenzija li żżomm id-database tal-kandidati tagħha stess hija l-kontrollur tagħha. L-ipproċessar ta' applikanti msemmija għall-vakanza tiegħek ġeneralment ikun taħlita ta' żewġ kontrolluri bi pproċessar limitat fuq struzzjoni bejniethom.
Kontroll konġunt u l-arranġament li jeħtieġ minflok
Fejn żewġ partijiet jiddeterminaw b'mod konġunt l-għanijiet u l-mezzi, kemm jekk b'deċiżjoni komuni jew b'deċiżjonijiet li jikkonverġu u huma marbuta b'mod inseparabbli, l-Artikolu 26 tal-GDPR jirrikjedi arranġament aktar milli ftehim ta' pproċessar. Dan irid jiddetermina b'mod trasparenti min iwieġeb lis-suġġetti tad-dejta u min jimmaniġġja l-informazzjoni ta' trasparenza, is-sigurtà, in-notifika ta' ksur, il-valutazzjonijiet tal-impatt u t-trasferimenti. L-essenza tiegħu trid tkun disponibbli għas-suġġetti tad-dejta, li jistgħu jeżerċitaw drittijiet kontra kwalunkwe parti skont kif il-partijiet ikunu qasmu l-affarijiet, u ma jorbot la lill-Awtorità tal-Persuni u lanqas lil qorti.
Il-kontenut obbligatorju skont l-artikolu 28 tal-GDPR
Il-kuntratt irid ikun bil-miktub, inkluża f'forma elettronika, u vinkolanti għall-proċessur. L-Art. 28 tal-GDPR jistabbilixxi lista fissa, u l-EDPB huwa espliċitu li r-reċitazzjoni tar-regolament lura lejh innifsu mhijiex biżżejjed.
| Element meħtieġ | Dak li għandu jistabbilixxi l-kuntratt |
|---|---|
| Deskrizzjoni tal-ipproċessar | Suġġett, tul ta' żmien, natura u skop, tip ta' dejta, kategoriji ta' suġġetti tad-dejta, u d-drittijiet u l-obbligi tal-kontrollur. Normalment annessi, u ġeneralment ġeneriċi wisq |
| Istruzzjonijiet dokumentati | Ipproċessar biss fuq l-istruzzjonijiet dokumentati tal-kontrollur, inkluż fir-rigward tat-trasferimenti. Oqgħod attent għal "kif permess mod ieħor mill-ftehim", li jinjora r-regola |
| Kunfidenzjalità | Persuni awtorizzati marbuta bil-kunfidenzjalità, kuntrattwalment jew permezz ta' statut; għandha tilħaq ukoll lill-persunal tas-sottoproċessur |
| Sigurtà | Il-miżuri meħtieġa skont l-artikolu 32 tal-GDPR. Referenza inkroċjata hija bla valur: ehmeż il-miżuri |
| Sottoproċessuri | Il-kundizzjonijiet għall-ingaġġ ta' proċessur ieħor, u r-reġim ta' awtorizzazzjoni |
| Drittijiet tas-suġġett tad-dejta | Miżuri xierqa biex jgħinu lill-kontrollur iwieġeb it-talbiet; jiffissa skadenzi u jikkonferma li huwa fil-limiti tat-tariffa |
| Sigurtà, ksur, valutazzjonijiet tal-impatt | Assistenza bis-sigurtà, notifika lill-awtorità u lis-suġġetti tad-dejta, valutazzjonijiet tal-impatt u konsultazzjoni minn qabel |
| Tħassir jew ritorn | Skont l-għażla tal-kontrollur, it-tħassir jew ir-ritorn fi tmiem is-servizzi, u t-tħassir ta' kopji sakemm il-ħażna ma tkunx legalment meħtieġa |
| Informazzjoni u awditi tal-konformità | L-informazzjoni meħtieġa biex tintwera l-konformità, u li tippermetti u tikkontribwixxi għall-awditi |
| Istruzzjonijiet illegali | Il-proċessur jinforma lill-kontrollur jekk istruzzjoni tikser il-liġi dwar il-protezzjoni tad-dejta |
Sottoproċessuri u r-reġim ta' awtorizzazzjoni
Proċessur ma jistax jinvolvi sottoproċessur mingħajr l-awtorizzazzjoni tal-kontrollur. Awtorizzazzjoni speċifika minn qabel tapprova lil kull wieħed individwalment, li taħdem għal katina stabbli żgħira iżda mhux għal servizz kbir tal-cloud. Awtorizzazzjoni ġenerali bil-miktub tippermetti lill-proċessur iżid jew jissostitwixxi sottoproċessuri sakemm tinforma lill-kontrollur dwar il-bidliet maħsuba u tippermettilu joġġezzjona.
Kważi kull ftehim standard mal-fornitur joffri awtorizzazzjoni ġenerali, lista u perjodu ta' avviż, għalhekk in-negozjati huma dwar x'jiswa dak l-avviż: rotta li ma tiddependix fuq il-monitoraġġ tiegħek ta' paġna web, perjodu twil biżżejjed biex taġixxi fuqu, u konsegwenza ddikjarata jekk toġġezzjona, realistikament terminazzjoni mingħajr penali. Jew il-mod, il-proċessur irid jimponi l-istess obbligi wara xulxin u jibqa' responsabbli għas-sottoproċessur. Fl-Opinjoni 22/2024 tad-9 ta' Ottubru 2024, l-EDPB ikkonferma li r-responsabbiltà testendi għall-katina kollha: il-kontrollur għandu jkun jista' jidentifika kull sottoproċessur u jissodisfa lilu nnifsu li s-salvagwardji japplikaw matul il-katina kollha.
L-obbligu tas-sigurtà, magħmul konkret
“Il-proċessur għandu jimplimenta miżuri tekniċi u organizzattivi xierqa skont l-art. 32 GDPR” hija platitudni: ma tgħidlek xejn u ma tipprova xejn. Anness użabbli jiddikjara l-kriptaġġ fi tranżitu u waqt il-mistrieħ u kif jiġu ġestiti ċ-ċwievet; kontroll tal-aċċess, inklużi proċessi joiner-mover-leaver u awtentikazzjoni b'ħafna fatturi; x'inhu rreġistrat u għal kemm żmien; frekwenza tal-backup u restawr ittestjat; perjodi ta' żmien għall-irqajja' u t-testijiet tal-penetrazzjoni; iċ-ċertifikazzjonijiet li fuqhom wieħed jiddependi, bl-ambitu tagħhom; u fejn id-dejta tinħażen u tiġi aċċessata , inkluż il-persunal ta' appoġġ.
Dan huwa importanti b'mod evidenti. Fis-sentenza tagħha tal-14 ta' Diċembru 2023 fil-kawża C-340/21 (Natsionalna agentsia za prihodite), il-Qorti tal-Ġustizzja ddeċidiet li inċident ta' sigurtà ma jistabbilixxix waħdu li l-miżuri ma kinux adegwati, iżda li l-kontrollur għandu l-piż li juri li kienu xierqa. Anness datat huwa dik l-evidenza; referenza inkroċjata mhijiex.
Assistenza bid-drittijiet tas-suġġett tad-dejta u bin-notifika ta' ksur tad-dejta
Iż-żewġ obbligi huma mmexxija minn skadenzi, u l-iskadenzi jappartjenu lill-kontrollur. Fir-rigward tad-drittijiet tas-suġġett tad-dejta, il-kontrollur irid iwieġeb fi żmien xahar, għalhekk "assistenza raġonevoli" mingħajr perjodu ta' żmien tħallik tassorbi d-dewmien. Irranġaha: kwalunkwe talba li jirċievi l-fornitur tintbagħat fi żmien numru ta' jiem ta' xogħol iddikjarat u qatt ma tiġi mwieġba minnu; estratt sħiħ jiġi prodott f'format użabbli fi żmien ħamsa sa għaxart ijiem ta' xogħol; u dan jinsab fit-tariffa minflok ma jiskatta fattura.
Dwar ksur, il-kontrollur irid jinnotifika lill-Autoriteit Persoonsgegevens mingħajr dewmien żejjed u, fejn fattibbli, fi żmien 72 siegħa minn meta jsir jaf, skont l-artikolu 33 tal-GDPR. Agħmel id-dmir tal-proċessur konkret: notifika fi żmien 24 siegħa, lil kuntatt imsemmi b'rotta barra l-ħinijiet tax-xogħol, b'sett minimu ta' kontenut definit anke fejn il-fatti jkunu inkompleti; kooperazzjoni mal-forensika; u projbizzjoni fuq in-notifika tal-awtorità jew tas-suġġetti tad-dejta mingħajr l-approvazzjoni tiegħek. L-organizzazzjonijiet fl-ambitu jirrappurtaw ukoll inċidenti lis-CSIRT tagħhom skont is-Cyberbeveiligingswet Olandiż, li jimplimenta d-Direttiva NIS2 u ilha tapplika mill-15 ta' Awwissu 2026.
Drittijiet ta' awditjar u kif jiġu nnegozjati
L-Art. 28 tal-GDPR jirrikjedi li l-proċessur kemm jagħmel disponibbli l-informazzjoni meħtieġa biex juri l-konformità kif ukoll jippermetti u jikkontribwixxi għal awditi, inklużi spezzjonijiet, mill-kontrollur jew awditur li jagħti mandat għalih. Klawżola li toffri biss "l-aħħar ċertifikazzjoni tagħna" ma tkunx biżżejjed. Il-kompromess li jilħqu l-biċċa l-kbira tan-negozjati Olandiżi: rapport ta' assigurazzjoni annwali bħala dritt, bid-dokument tal-ambitu tiegħu; awditu dokumentat darba fis-sena, flimkien ma' awditu ieħor wara ksur li jaffettwa d-dejta tiegħek jew fuq talba ta' awtorità superviżorja; avviż ta' tletin jum; ambitu limitat għas-servizzi tiegħek; awditur li mhuwiex kompetitur; u spejjeż imġarrba minnek sakemm ma tinstabx nuqqas ta' konformità materjali.
Ritorn jew tħassir fl-aħħar
L-għażla hija tal-kontrollur, u l-kuntratt għandu jgħid hekk minflok ma jirriżervah għall-fornitur. Speċifika l-format tal-esportazzjoni, l-iskadenza, ġeneralment tletin jum mit-terminazzjoni, konferma bil-miktub tat-tħassir, u kif jiġu ttrattati l-backups, li realistikament ifisser li d-dejta tibqa' f'ċiklu dokumentat, protetta u mhux użata, sakemm tinkiteb mill-ġdid. Ftiehem dwar l-assistenza u r-rati tal-ħruġ minn qabel, u eskludi kwalunkwe dritt li żżomm id-dejta fuq tariffi kkontestati.
Responsabbiltà, indennizzi u r-reġim ta' responsabbiltà tal-GDPR stess
L-Art. 82 tal-GDPR jagħti lis-suġġett tad-dejta dritt għal kumpens għal danni materjali u mhux materjali. Kontrollur huwa responsabbli għal danni kkawżati minn ipproċessar li jikser ir-regolament; proċessur huwa responsabbli fejn ma jkunx ikkonforma mal-obbligi diretti speċifikament lejn il-proċessuri, jew ikun aġixxa barra jew kuntrarjament għal istruzzjonijiet legali. Fejn it-tnejn ikunu involuti fl-istess ipproċessar, kull wieħed jista' jinżamm responsabbli għad-dannu kollu, b'rikors wara. Dik l-espożizzjoni ma tistax tiġi kkuntrattata; il-kuntratt jalloka s-sehem intern. Il-multi huma separati: il-ksur tal-Art. 28 tal-GDPR jaqa' fil-kategorija t'isfel fl-Art. 83 tal-GDPR.
- It-termini standard jillimitaw ir-responsabbiltà għal multiplu tat-tariffi u jeskludu "telf indirett u konsegwenzjali". Jekk il-multi regolatorji, l-ispejjeż ta' notifika u forensiċi u l-kumpens lis-suġġetti tad-dejta jaqgħu taħt dik l-esklużjoni, l-indennizz huwa dekorattiv: elenkahom bħala telf dirett li jista' jiġi rkuprat.
- Fittex esklużjoni, jew limitu massimu msaħħaħ, għal ksur tal-ftehim tal-ipproċessar, ksur tal-kunfidenzjalità, u ksur intenzjonat jew traskurat.
- Multa imposta fuqek ma tistax tiġi mgħoddija bħala multa, iżda tista' tiġi rkuprata bħala telf taħt indennizz imfassal kif suppost. Azzjonijiet kollettivi Olandiżi taħt ir-reġim tal-WAMCA jagħmlu t-talbiet aggregati espożizzjoni realistika, li targumenta kontra limitu massimu derisorju.
Trasferimenti internazzjonali u klawżoli standard
Jekk il-proċessur, is-sottoproċessuri tiegħu jew il-persunal ta' appoġġ tiegħu jistgħu jaċċessaw id-dejta minn barra ż-ŻEE, il-Kapitolu V tal-GDPR u r-reġim għat -trasferimenti internazzjonali tad-dejta japplikaw flimkien mal-Artikolu 28. L-aċċess remot jgħodd, u hekk ukoll jgħodd appoġġ desk barra mill-pajjiż.
Fin-nuqqas ta' deċiżjoni ta' adegwatezza skont l-artikolu 45 tal-GDPR, l-għodda tas-soltu hija l-klawżoli kuntrattwali standard adottati bid-Deċiżjoni ta' Implimentazzjoni tal-Kummissjoni (UE) 2021/914 tal-4 ta' Ġunju 2021, skont l-artikolu 46 tal-GDPR. Żewġ punti jiġu regolarment injorati. Il-moduli li jkopru t-trasferimenti minn kontrollur għal proċessur u minn proċessur għal sottoproċessur jissodisfaw ukoll ir-rekwiżiti tal-artikolu 28 tal-GDPR, għalhekk mhux meħtieġ ftehim ta' pproċessar separat għal dik il-parti, għalkemm ħafna kuntratti jgħaqqdu t-tnejn. U wara s-sentenza tal-Qorti tal-Ġustizzja tas-16 ta' Lulju 2020 fil-każ C-311/18 (Schrems II), l-iffirmar mhuwiex it-tmiem: il-partijiet iridu jivvalutaw jekk il-liġi u l-prattika tal-pajjiż tad-destinazzjoni jipprevjenux lill-importatur milli jikkonforma, u jżidu miżuri supplimentari fejn jagħmlu dan. Iddokumenta dik il-valutazzjoni; ir-Rakkomandazzjonijiet tal-EDPB 01/2020, adottati fit-18 ta' Ġunju 2021, xorta jistabbilixxu l-approċċ.
Għall-Istati Uniti, id-deċiżjoni ta' adegwatezza tal-Kummissjoni tal-10 ta' Lulju 2023 għall-Qafas ta' Privatezza tad-Data bejn l-UE u l-Istati Uniti tibqa' fis-seħħ, iżda tgħin biss fejn ir-riċevitur speċifiku jkun awtoċertifikat b'mod attiv għall-kategoriji ta' data rilevanti, għalhekk ivverifika ċ-ċertifikazzjoni. Din irnexxielha tegħleb l-ewwel sfida tagħha: il-Qorti Ġenerali ċaħdet l-azzjoni permezz ta' sentenza tat-3 ta' Settembru 2025 fil-każ T-553/23 (Latombe v il-Kummissjoni). Appell ġie ppreżentat fil-31 ta' Ottubru 2025 bħala l-każ C-703/25 P u l-Qorti tal-Ġustizzja ma kinitx għalqet il-każ sad-data ta' din il-paġna fl-2026; id-deċiżjoni ta' adegwatezza sadanittant la ġiet sospiża u lanqas emendata. Tħallux li ssir punt uniku ta' falliment: żomm il-klawżoli u valutazzjoni dokumentata bħala riżerva, u ttratta l-appell pendenti bħala raġuni biex ikollok wieħed aktar milli raġuni biex tistenna. L-Autoriteit Persoonsgegevens immultat lil Uber €290 miljun b'deċiżjoni tat-22 ta' Lulju 2024 talli ttrasferiet id-dejta tas-sewwieqa lejn l-Istati Uniti mingħajr għodda ta' trasferiment xierqa wara li kienet waqfet tuża l-klawżoli; Uber iddikjarat li kellha l-intenzjoni li toġġezzjona, l-AP ma ppubblikat l-ebda deċiżjoni dwar dik l-oġġezzjoni, u għalhekk il-multa għandha tinqara bħala dikjarazzjoni tal-pożizzjoni tar-regolatur aktar milli preċedent stabbilit.
Għad hemm lakuna waħda miftuħa fis-sett ta' għodod. Il-Kummissjoni qalet li qed tħejji sett ieħor ta' klawżoli kuntrattwali standard għal importaturi barra l-UE li l-ipproċessar tagħhom innifsu huwa direttament soġġett għall-GDPR skont l-artikolu 3 — is-sitwazzjoni fejn il-klawżoli tal-2021 ma joqogħdux sew. Dawk il-klawżoli ma kinux ġew adottati sad-data ta' din il-paġna fl-2026, għalhekk għal dik il-konfigurazzjoni l-valutazzjoni u s-salvagwardji jridu jiġu integrati fil-kuntratt manwalment.
Il-klawżoli tal-Kummissjoni dwar il-kontrollur u l-proċessur huma obbligatorji?
Le. Id-Deċiżjoni ta' Implimentazzjoni tal-Kummissjoni (UE) 2021/915 tal-4 ta' Ġunju 2021 tipprovdi klawżoli kuntrattwali standard bejn il-kontrolluri u l-proċessuri għall-użu fiż-ŻEE, iżda l-użu tagħhom huwa fakultattiv: il-partijiet jistgħu jinnegozjaw il-kuntratt tagħhom stess sakemm ikun fih dak kollu li jirrikjedi l-artikolu 28 tal-GDPR. Il-klawżoli jistgħu jkunu ġewwa kuntratt usa' b'termini addizzjonali u mhux kontradittorji, iżda ma jistgħux jiġu modifikati huma stess, għalhekk il-personalizzazzjoni sseħħ fl-annessi. Ftehimiet imfassla apposta u mudelli settorjali jibqgħu n-norma Olandiża, li hija aċċettabbli sakemm is-sustanza tkun hemm.
Infurzar mill-Autoriteit Persoonsgegevens
L-AP eżaminat dan direttament. Irrevediet il-ftehimiet ta' pproċessar użati minn 31 organizzazzjoni tas-settur privat fil-kummerċ, il-kura tas-saħħa, il-midja, id-divertiment u l-enerġija, u ppubblikat is-sejbiet tagħha fl-2020 taħt it-titlu li "l-" ftehim ta' pproċessar ma jeżistix. Sabet ftehimiet li ma jagħmlu xejn aktar milli jikkwotaw ir-regolament, lingwaġġ ta' sigurtà li jinnota li kienet teżisti politika mingħajr ma tgħid x'kienet teħtieġ, u ftehimiet li għadhom abbozzati taħt l-istatut antik Olandiż dwar il-protezzjoni tad-dejta.
F'investigazzjoni, stenna li l-AP taħdem mir-rekord tiegħek tal-attivitajiet tal-ipproċessar għall-kuntratti mal-fornituri msemmija fih, imbagħad għall-anness tas-sigurtà, il-lista tas-sottoproċessuri u d-dokumentazzjoni tat-trasferiment, u mbagħad għall-evidenza li għamilt xi ħaġa magħhom: rapport ta' assigurazzjoni mhux moqri mhuwiex sorveljanza. Il-ħtija hija importanti wkoll, peress li fil-każ C-683/21 il-Qorti tal-Ġustizzja kkonfermat li multa teħtieġ ksur intenzjonali jew negliġenti. L-enfasi strateġika tal-AP għall-2026 sal-2028 tkopri s-sorveljanza tal-massa, l-intelliġenza artifiċjali u r-reżiljenza diġitali, bl-aħħar tinkludi espressament is-sigurtà tal-katina tal-provvista.
Lista ta' kontroll għar-reviżjoni tal-ftehim standard tal-ipproċessar ta' fornitur
- Ir-rwoli huma tajbin? Jekk il-fornitur huwa kontrollur indipendenti, tiffirmax ftehim ta' pproċessar.
- Id-deskrizzjoni tal-ipproċessar hija kompluta, jew anness vojt, u hemm xi ħaġa li tippermetti l-ipproċessar għat-titjib, l-analitika jew it-taħriġ tal-mudell tal-fornitur stess?
- Il-miżuri ta' sigurtà huma annessi u speċifiċi, b'ċertifikazzjonijiet imsemmija u l-ambitu tagħhom?
- Il-lista tas-sottoproċessuri hija disponibbli, intbagħtet avviż lilek, l-oġġezzjoni għandha konsegwenza, u s-sottoproċessuri huma marbuta dahar ma' dahar?
- In-notifika ta' ksur issir fi żmien qasir fiss, u l-fornitur huwa pprojbit milli jinnotifika lill-awtorità nnifisha?
- L-iskadenzi għat-talbiet tas-suġġett tad-dejta huma fissi u fil-limiti tat-tariffa, u hemm dritt ġenwin ta' awditjar aktar milli biss ċertifikat?
- It-tħassir jew ir-ritorn huma skont l-għażla tiegħek, bil-format, l-iskadenza u t-trattament tal-backup?
- Fejn tinħażen u tiġi aċċessata d-dejta, u hemm l-għodda ta' trasferiment it-tajba fis-seħħ għal kull parti tal-vjaġġ?
- Il-limitu u l-esklużjoni tat-telf indirett iħallu l-indennizz b'kontenut reali, u hemm sid intern u data ta' reviżjoni?
Law & More jabbozza, jirrevedi u jinnegozja ftehimiet ta' pproċessar għal negozji Olandiżi u internazzjonali minn Eindhoven u, Amsterdam, u jagħti pariri dwar ir-rwoli tal-kontrollur u l-proċessur, trasferimenti barra ż-ŻEE u investigazzjonijiet mill-Autoriteit Persoonsgegevens.
Huwa meħtieġ ftehim ta' pproċessar bejn żewġ kumpaniji tal-grupp?
Iva, jekk huma entitajiet legali separati u waħda tipproċessa dejta personali f'isem l-oħra. Li tappartjeni għall-istess grupp ma tagħmel l-ebda differenza. Il-gruppi komunement jużaw qafas wieħed intragrupp li jkopri l-entitajiet kollha, bi skedi għal kull servizz. Fejn l-entitajiet jipproċessaw għall-finijiet tagħhom stess, huma kontrolluri separati u strument differenti huwa xieraq.
Il-ftehim irid ikun bl-Olandiż?
Le. M'hemm l-ebda rekwiżit tal-lingwa, u l-ftehimiet bl-Ingliż huma kompletament normali fil-prattika Olandiża. Jekk it-timijiet operattivi jew kunsill tax-xogħol jaqrawh, verżjoni Olandiża tgħin, u fejn jeżistu t-tnejn għandek tiddikjara liema tipprevali. L-Autoriteit Persoonsgegevens taċċetta l-Ingliż fil-biċċa l-kbira tal-korrispondenza, għalkemm mhux dejjem.
Il-fornitur tagħna jirrifjuta li jinnegozja t-termini standard tiegħu. X'inhuma l-għażliet tagħna?
Inti tibqa' responsabbli irrispettivament. Ivvaluta jekk it-termini fil-fatt jissodisfawx l-artikolu 28 tal-GDPR; ħafna termini ta' fornituri kbar jagħmlu dan, u l-lakuni reali huma dawk kummerċjali bħal-limiti u l-ambitu tal-awditjar. Iddokumenta l-valutazzjoni u r-riskju residwu, fittex konċessjonijiet fuq l-annessi aktar milli fuq il-korp, u rreġistra d-deċiżjoni.
Għandna bżonn ftehim ta' pproċessar separat jekk iffirmajna l-klawżoli kuntrattwali standard?
Normalment mhux għal dik ir-relazzjoni. Il-klawżoli tat-trasferiment adottati fl-2021 għat-trasferimenti minn kontrollur għal proċessur u minn proċessur għal sottoproċessur kienu mfassla biex ikopru wkoll ir-rekwiżiti tal-artikolu 28 tal-GDPR, u t-tqegħid ta' ftehim separat fuqu joħloq termini konfliġġenti. Jekk iżżomm it-tnejn, inkludi ordni ta' preċedenza u ċċekkja li l-annessi huma konsistenti.
X'jiġri jekk ma jkollna l-ebda ftehim ta' pproċessar?
L-assenza nnifisha hija ksur tal-artikolu 28 tal-GDPR miż-żewġ partijiet, punibbli taħt il-medda ta' multa aktar baxxa fl-artikolu 83 tal-GDPR, u fost l-ewwel affarijiet li awtorità superviżorja tivverifika. Tħallik ukoll mingħajr bażi kuntrattwali dwar is-sigurtà, in-notifika ta' ksur, l-awditi u t-tħassir, u mingħajr rimedju jekk il-fornitur jikkawża ħsara li trid tikkumpensa.
