De cele mai multe ori, o firmă nu prelucrează individual datele cu caracter personal de care are nevoie. În practică, multe date ajung la furnizori: contabil, firmă IT, platformă de newsletter, serviciu de hosting, procesator de plăți, agenție de marketing, etc.
Din perspectiva GDPR, este important să se stabilească rolul fiecărui furnizor. Uneori furnizorul este persoană împuternicită de operator, alteori poate fi operator separat.
Când furnizorul este persoană împuternicită
Dacă furnizorul prelucrează date în numele firmei și pe baza instrucțiunilor acesteia, poate avea calitatea de persoană împuternicită.
În această situație, trebuie să existe un contract sau un acord privind prelucrarea datelor. Acesta trebuie să stabilească ce date se prelucrează, în ce scop, pe ce durată, ce măsuri de securitate se aplică și ce se întâmplă cu datele la finalul colaborării.
Externalizarea nu elimină responsabilitatea
O greșeală frecventă ce apare în practică este aceea că dacă datele sunt gestionate de o persoană împuternicită responsabilitatea aparține exclusiv acesteia. În realitate, firma care decide scopul și mijloacele prelucrării rămâne responsabilă pentru alegerea unui furnizor care oferă garanții suficiente.
Antreprenorul trebuie să verifice dacă furnizorul are măsuri de securitate, dacă folosește subcontractori, unde sunt stocate datele și dacă poate ajuta firma în cazul unor cereri venite de la persoane vizate.
Riscul subcontractorilor
Furnizorii folosesc adesea alți furnizori: servere, aplicații, procesatori sau servicii externe. Firma trebuie să știe, cel puțin la nivel relevant, cine poate avea acces la date.
Subcontractarea nu trebuie să fie complet opacă. Dacă datele ajung la mai mulți furnizori, riscul crește și trebuie gestionat contractual.
Concluzie
Furnizorii trebuie verificați nu doar din punct de vedere comercial, ci și din perspectiva protecției datelor. Pentru antreprenori, regula este simplă: cine are acces la date cu caracter personal trebuie să implementeze măsuri tehnice și organizatorice adecvate privind securitatea acestora.
