בקר הגנה מחליט מדוע וכיצד מעובדים נתונים אישיים; מעבד הגנה מעבד נתונים אישיים רק על פי הוראות הבקר. ביצוע נכון של פעולה זו חשוב, משום שתפקידך קובע מי זקוק לבסיס חוקי, מי חייב לענות על בקשות של נושאי נתונים, מי מדווח על הפרה ומי אחראי אם משהו משתבש.
איך מבדילים בין בקר למעבד?
אתם שואלים מי מחליט מדוע הנתונים מעובדים, ובעצם, כיצד. גורם המבקר קובע את מטרת העיבוד ואת האמצעים החיוניים. גורם המבקר פועל אך ורק על פי הוראותיו המתועדות של הגורם המבקר ואינו משתמש בנתונים למטרותיו שלו.
האם החוזה קובע את תפקידך?
לא. העובדה שאתה מגדיר את עצמך כמעבד מידע בהסכם אינה הופכת אותך לכזה. אם ספק משתמש בנתונים למטרותיו שלו - לשיפור המוצר שלו, לבניית פרופיל, לשווק לאנשים הרלוונטיים - הוא נחשב לגורם בקרה לעיבוד זה, מה שלא יהיה בחוזה.
מעבדים אופייניים: ספק אירוח, לשכת שכר הפועלת אך ורק על פי הוראות, שירות משלוח דוא"ל. בקרים אופייניים, למרות שהם מועסקים על ידי צד אחר: רואה חשבון המבצע ביקורת סטטוטורית, עורך דין המנהל תיק, שירות בריאות תעסוקתית המבצע את חובותיו המקצועיות.
מה אם אתה וצד אחר מחליטים במשותף על המטרות?
אם כן, אתם בקרי מידע משותפים, ועליכם לקבוע את תחומי האחריות שלכם בהסכם ביניכם, בפרט בנוגע לזכויות נושאי המידע וחובות המידע. מהות ההסכם חייבת להיות זמינה לאנשים הנוגעים בדבר.
שליטה משותפת מתעוררת לעתים קרובות יותר ממה שארגונים מצפים: פלטפורמות משותפות, קמפיינים משותפים ודפי מדיה חברתית טופלו כולם כבעלות משותפת על מידע. נושא מידע יכול לממש את זכויותיו כנגד כל אחד מבעלי המידע המשותפים, ללא קשר לאופן שבו חילקתם את האחריות ביניכם באופן פנימי.
מה חייב להכיל הסכם עיבוד?
כאשר אתם שוכרים מעבד נתונים, הסכם בכתב הוא חובה ותוכנו נקבע מראש: נושא העיבוד ומשכו, אופיו ומטרתו, סוגי הנתונים וקטגוריות נושא הנתונים, הוראותיכם כמבקר, סודיות, אמצעי אבטחה, תנאים להעסקת מעבדי משנה, סיוע בבקשות נושא נתונים ודיווח על הפרות גישה, מה קורה לנתונים בסוף ההסכם וזכויות הביקורת שלכם.
היכן מתחילים בדרך כלל סכסוכים?
שני סעיפים גורמים לרוב הצרות בפועל. עיבוד משנה: אישור כללי בכתב מותר, אך על המעבד להודיע לך על כל שינוי מכוון ולתת לך הזדמנות להתנגד. והחזרה או מחיקה בסוף הקשר: הסכימו איזה מבין השניים חל, ובאיזה פורמט, לפני סיום הקשר ולא במהלך מחלוקת.
מי אחראי אם העיבוד משתבש?
אתה אחראי, כגורם האחראי, לנזק שנגרם מעיבוד המפר את ה-GDPR. מעבד אחראי רק אם לא עמד בחובות שה-GDPR מטיל באופן ספציפי על מעבדים, או פעל מחוץ להוראותיך החוקיות או בניגוד להן. כאשר שניכם מעורבים באותו עיבוד, כל אחד מכם יכול להיות אחראי לכל הנזק שנגרם כלפי האדם, עם זכות חזרה ביניכם לאחר מכן - ולכן הוראות הפיצויים בהסכם עיבוד ראויות לניהול משא ומתן מדוקדק.
לסיכום
- תפקידך עוקב אחר העובדות, לא אחר התווית בחוזה שלך: מי שמחליט על המטרה והאמצעים החיוניים הוא הבקר.
- אם אתם מחליטים במשותף על המטרות עם צד אחר, אתם בקרים משותפים ועליכם לתעד את חלוקת האחריות שלכם.
- הסכם עיבוד נתונים חייב לכסות את הנושא, משך הזמן, אופיו, מטרתו, סוגי הנתונים, הוראותיך, אבטחה, עיבוד משנה, סיוע, החזרה או מחיקה וזכויות ביקורת.
- מעבד רשאי להעסיק קבלני משנה רק בהרשאתך, וחייב להודיע לך להתנגד לכל החלפת מעבד משנה.
- האחריות יכולה ליפול על שני הצדדים בגין אותו נזק, לכן יש לנהל משא ומתן על סעיף השיפוי לפני החתימה.
שאלות נפוצות
האם צד אחד יכול להיות בקר בחלק מהעיבוד ומעבד בחלק אחר?
כן. ההערכה מתבצעת לפי פעילות עיבוד, לא לפי קשר, כך שאותו צד יכול להחזיק בשני התפקידים עבור זרימות נתונים שונות.
האם אתם זקוקים להסכם עיבוד מידע אם אתם משתפים מידע עם ספק רק מדי פעם?
כן, אם הספק מעבד נתונים אישיים לפי הוראותיך, ההסכם הוא מחייב ללא קשר לתדירות העיבוד.
אנו מעריכים תפקידים בשרשרת נתונים, מנסחים ובודקים הסכמי עיבוד והסדרי בקרה משותפים, ומייעצים בנוגע לחבות לאחר תקרית.
לא בטוחים מה מצבכם? ספרו לנו על מצבכם. נודיע לכם על האפשרויות העומדות בפניכם תוך יום עסקים אחד.
איך Law & More יכול לעזור לך עם זה מוסבר אצלנו עורך דין בתחום ה-IT .
