Անձնական տվյալների փոխանակում երրորդ կողմերի հետ. 7 GDPR-ի կառավարման ռիսկերը

Դուք կարող եք անձնական տվյալներ փոխանակել GDPR-ի համաձայն միայն այն դեպքում, եթե ունեք 6-րդ հոդվածի համաձայն իրավական հիմք, գրավոր համաձայնեցրել եք՝ ստացողը մշակող է, թե վերահսկիչ, և տեղեկացրել եք շահագրգիռ անձանց փոխանցման մասին: Հիմնական բացառությունները Եվրոպական տնտեսական տարածքից (ԵՏՏ) դուրս փոխանցումներն են և բարձր ռիսկի մշակումը, որոնք լրացուցիչ պահանջներ են առաջացնում GDPR-ի V գլխի և 35-րդ հոդվածի համաձայն:

Նիդեռլանդներում Նիդեռլանդների տվյալների պաշտպանության մարմինը ( Autoriteit Persoonsgegevens , AP) GDPR-ը կիրառում է Նիդեռլանդների կիրառող օրենքի ( Uitvoeringswet AVG , UAVG) հետ միասին: Ամպային մատակարարին, աշխատավարձի բյուրոյին, պարտքերի հավաքագրողին կամ արտասահմանյան խմբային ընկերությանը ուղղված յուրաքանչյուր հոսք առանձին մշակման գործողություն է, որը պահանջում է իր սեփական հիմնավորումը: Ստորև մենք ներկայացնում ենք գործնականում կրկնվող յոթ ռիսկեր, դրանց հիմքում ընկած դրույթները և թե ինչ կարող եք անել յուրաքանչյուրի հետ կապված:

Ռիսկ 1. Դուք տվյալներ եք փոխանակում առանց վավեր իրավական հիմքի՞:

Անձնական տվյալների յուրաքանչյուր բացահայտման համար անհրաժեշտ է GDPR-ի 6(1) հոդվածի վեց իրավական հիմքերից մեկը։ Առևտրային պատճառը դրանցից մեկը չէ։

Վեց հիմքերը սպառիչ են՝ համաձայնություն, պայմանագրի կատարում, իրավական պարտավորություն, կենսական շահեր, հանրային խնդիր և օրինական շահեր: Հոդված 5(1)(ա)-ն ավելացնում է, որ մշակումը պետք է լինի օրինական, արդար և թափանցիկ, ուստի հիմքը, որը երբեք ոչ մեկին չի բացատրվել, դեռևս բաց է թողնում:

Ինչո՞ւ է օրինական շահագրգռվածությունը ծուղակ։

Իրավական շահերը գործընկերների հետ կիսվելու համար ամենից հաճախ օգտագործվող և ամենից հաճախ սխալ օգտագործվող հիմքն են։ Այն պահանջում է եռաստիճան ստուգում.

• հետաքրքրությունը պետք է լինի օրինական;
• կիսվելը պետք է անհրաժեշտ լինի դրան ծառայելու համար։
• շահերը չպետք է գերակշռեն շահագրգիռ անձանց իրավունքներն ու ազատությունները։

Դուք պետք է անցկացնեք և գրանցեք այս թեստը նախքան տվյալների փոխանակման մեկնարկը, քանի որ GDPR-ի 5(2) հոդվածը ապացուցման բեռը դնում է վերահսկիչի վրա (հաշվետվողականություն): Բողոքի ստացումից հետո գրված գնահատականը շատ քիչ արժեք ունի:

Իսկ ի՞նչ կասեք համաձայնության և նպատակի սահմանափակման մասին։

Աշխատակիցների համաձայնությունը հազվադեպ է վավեր, քանի որ ուժերի անհավասարակշռությունը նշանակում է, որ այն ազատորեն չի տրվում (Հոդված 7(4) և GDPR 43-րդ պարբերություն): Հոդված 5(1)(բ)-ի համաձայն նպատակի սահմանափակումը վերաբերում է նաև փոխանակմանը. ծառայություն մատուցելու համար հավաքված տվյալները չեն կարող պարզապես փոխանցվել գործընկերոջը մարքեթինգի համար: Եթե նոր նպատակը համատեղելի չէ սկզբնականի հետ, ապա ձեզ անհրաժեշտ է նոր հիմք:

Ինչ անել. որոշեք տվյալների հիմքը, նախքան դրանք ձեր կազմակերպությունից դուրս գալը, գրի առեք այն և ստուգեք, որ ձեր գաղտնիության քաղաքականության մեջ արդեն նկարագրված է տվյալների փոխանակումը: Համաձայնությունը պետք է լինի ազատորեն տրված, կոնկրետ, տեղեկացված, միանշանակ և հնարավորինս հեշտ լինի հետ վերցնել, որքան տալը (GDPR հոդվածներ 4(11) և 7(3)):

Ռիսկ 2. սխալ եք ընտրել վերահսկիչի և պրոցեսորի դերերը։

Վերահսկիչը որոշում է մշակման նպատակներն ու միջոցները. մշակողը գործում է միայն վերահսկիչի փաստաթղթավորված հրահանգների հիման վրա (GDPR հոդված 4(7) և (8): Կարևորը ոչ թե այն է, թե ով է իրականում որոշում, այլև այն, թե ինչպես է պայմանագրում կողմերը կոչվում:

Տարածված սխալը յուրաքանչյուր մատակարարին մշակող անվանելն է։ Սակայն հետևյալներից ոչ մեկը չի գործում միայն հրահանգների հիման վրա.

• SaaS մատակարար, որն օգտագործում է հաճախորդների տվյալները՝ իր սեփական արտադրանքը բարելավելու համար։
• հաշվապահ, որը պարտավորված է պահպանել մասնագիտական ​​կանոնները։
• վճարում կատարող բանկ;
• գովազդային հարթակ, որը կառուցում է իր սեփական լսարանի պրոֆիլները։

Յուրաքանչյուրը վերահսկիչ է մշակման առնվազն մի մասի համար։ Երբ երկու կազմակերպություններ համատեղ որոշում են նպատակներն ու միջոցները, նրանք համատեղ վերահսկիչներ են՝ համաձայն GDPR 26-րդ հոդվածի։ Նրանք պետք է իրենց պարտականությունները սահմանեն համաձայնագրում և դրա էությունը հասանելի դարձնեն շահագրգիռ անձանց։

Որքանո՞վ լայնորեն է ԵՄ Արդարադատության դատարանը սահմանում համատեղ վերահսկողությունը։

Լայն իմաստով։ Fashion ID (C-40/17) գործում Արդարադատության դատարանը որոշեց, որ կայքի օպերատորը, որը ներկառուցում է երրորդ կողմի սոցիալական հավելված, հանդիսանում է այցելուների տվյալների հավաքագրման և փոխանցման համատեղ վերահսկիչ, նույնիսկ եթե հետագայում այն ​​​​տվյալներին մուտք չի ունեցել։ Բավական է միայն մասնակի ազդեցություն ունենալ նպատակների վրա, և արդյունքը համատեղ պատասխանատվություն է այն խախտման համար, որը դուք չեք առաջացրել։

Ինչ անել. քարտեզագրել տվյալների հոսքերը և յուրաքանչյուր հոսքի համար գրանցել, թե ով է որոշում, թե ինչու և ինչպես են մշակվում տվյալները: Մշակողների համար օգտագործեք 28-րդ հոդվածի համաձայն մշակման համաձայնագիրը և 26-րդ հոդվածի համաձայն համատեղ վերահսկիչի համաձայնագիրը, երբ երկու կողմերն էլ որոշում են կայացնում:

Ռիսկ 3. Ձեր տվյալների մշակման համաձայնագիրը բացակայում է կամ թերի է։

Եթե ​​մշակողը մշակում է անձնական տվյալներ ձեզ համար, GDPR-ի 28(3) հոդվածը պահանջում է գրավոր պայմանագիր։ Առանց դրա դուք խախտում եք համարվում մշակման սկսվելու պահից, նույնիսկ եթե տվյալների արտահոսք երբեք չի եղել։

Բովանդակությունը սահմանվում է օրենքով: Համապատասխան տվյալների մշակման համաձայնագիրը սահմանում է մշակման առարկան, տևողությունը, բնույթը և նպատակը, անձնական տվյալների տեսակները և անձանց կատեգորիաները, ինչպես նաև վերահսկողի իրավունքներն ու պարտականությունները: Այն նաև պետք է պարտավորեցնի մշակողին.

• մշակել միայն փաստաթղթավորված հրահանգների համաձայն;
• գաղտնիություն սահմանել իր աշխատակիցների նկատմամբ։
• ձեռնարկել 32-րդ հոդվածով պահանջվող անվտանգության միջոցառումները։
• օգնել տվյալների սուբյեկտի հարցումների և խախտման մասին ծանուցումների հետ կապված։
• ջնջել կամ վերադարձնել տվյալները գործարքի ավարտին։
• տրամադրել համապատասխանությունը ցույց տալու համար անհրաժեշտ տեղեկատվությունը և թույլատրել աուդիտները։

Ինչո՞ւ են ենթամշակողի կետերը այդքան հաճախ ձախողվում։

Հոդված 28(2) և (4)-ի համաձայն՝ մշակողին անհրաժեշտ է Ձեր նախնական հատուկ կամ ընդհանուր գրավոր թույլտվությունը ցանկացած ենթամշակողի համար: Ընդհանուր թույլտվությամբ այն պետք է Ձեզ տեղեկացնի նախատեսված փոփոխությունների մասին և Ձեզ հնարավորություն տա առարկելու. այն կետը, որը թույլ է տալիս նրան ներգրավել ցանկացած մեկին, չի համապատասխանում այդ չափանիշին:

Ինչ անել. աշխատել 28(3) հոդվածի կետ առ կետ հետևող ձևանմուշի վրա և վերանայել առկա համաձայնագրերը՝ մատակարարի սեփական պայմաններին հույսը դնելու փոխարեն: Երկարատև հարաբերությունները, ամենայն հավանականությամբ, փաստաթղթավորված չեն լինի:

Ռիսկ 4. Դուք տվյալներ եք փոխանցում ԵՏՄ-ից դուրս առանց պաշտպանության միջոցների՞:

ԵՏՄ-ից դուրս փոխանցումը թույլատրվում է միայն համարժեքության որոշման (ՏՊՊ-ի 45-րդ հոդված) կամ համապատասխան երաշխիքների (46-րդ հոդված) հիման վրա, որոնք սովորաբար Հանձնաժողովի ստանդարտ պայմանագրային կետերն են (ՊՊԿ) կամ պարտադիր կորպորատիվ կանոնները: 49-րդ հոդվածում նշված բացառությունները, ինչպիսիք են բացահայտ համաձայնությունը, վերաբերում են պարբերական փոխանցումներին և չեն կարող ապահովել կառուցվածքային տվյալների հոսք:

Փոխանցումը տեղի է ունենում ոչ միայն այն դեպքում, երբ տվյալները հասանելի են դառնում ԵՏՄ-ից դուրս գտնվող վայրերից, այլև այնտեղ պատճենահանման դեպքում։ Արտասահմանում գտնվող մայր ընկերության կողմից հեռակառավարումը փոխանցում է, նույնիսկ եթե սերվերները մնում են Ֆրանկֆուրտում։

Ի՞նչ են նշանակում ձեզ համար Schrems II-ը և տվյալների գաղտնիության շրջանակը։

Շրեմս II (C-311/18) գործում Արդարադատության դատարանը անվավեր ճանաչեց ԵՄ-ԱՄՆ գաղտնիության պաշտպանության մասին պայմանագիրը և որոշեց, որ ստանդարտ պայմանագրային կետերն ինքնին բավարար չեն: Արտահանողը պետք է գնահատի, թե արդյոք նպատակակետ երկրի օրենսդրությունը խաթարում է կետերը և ավելացնի լրացուցիչ միջոցառումներ, որտեղ դա անում է. փոխանցման ազդեցության գնահատումը (ՓԳԳ) դեռևս պարտադիր է 46-րդ հոդվածի յուրաքանչյուր փոխանցման համար:

Հանձնաժողովը 2023 թվականի հուլիսին ընդունեց ԵՄ-ԱՄՆ տվյալների գաղտնիության շրջանակի (DPF) համարժեքության որոշում, իսկ 2025 թվականի սեպտեմբերի 3-ին Գլխավոր դատարանը մերժեց դրա չեղարկման հայցը ( Latombe , T-553/23): Շրջանակի համաձայն հավաստագրված ԱՄՆ կազմակերպությանը՝ իր հավաստագրման ընդգրկած տվյալների համար, փոխանցումները կարող են հիմնված լինել համարժեքության վրա. ԱՄՆ այլ ստացողներին փոխանցումները՝ ոչ: Հնարավոր է բողոքարկել Արդարադատության դատարան, ուստի ստուգեք հավաստագրումը և պահպանեք պահեստային տարբերակը:

Ինչ անել. թվարկեք ձեր մատակարարման շղթայում երրորդ երկրների փոխանցումները, ներառյալ ենթակապալառուները և աջակցության կարգավորումները: Եթե համարժեքությունը չի կիրառվում, օգտագործեք գործող SCC-ները, փաստաթղթավորեք TIA-ն և գրանցեք լրացուցիչ միջոցառումներ, ինչպիսիք են կոդավորումը ԵՏՄ-ում պահվող բանալիներով: AP-ն կարող է հրամայել կասեցնել փոխանցումը GDPR-ի 58(2)(j) հոդվածի համաձայն:

Ռիսկ 5. Դուք բաց եք թողնու՞մ տվյալների պաշտպանության ազդեցության գնահատումը։

GDPR-ի 35-րդ հոդվածը պահանջում է տվյալների պաշտպանության ազդեցության գնահատում (DPIA), երբ մշակումը, հավանաբար, կհանգեցնի անհատների համար բարձր ռիսկի: Տվյալների փոխանակումը հաճախ այդ շեմը գերազանցում է կազմակերպությունների սպասածից ավելի շուտ:

Հոդված 35(3)-ը նշում է երեք դեպք՝ համակարգված և լայնածավալ ավտոմատացված գնահատում՝ իրավական կամ նմանատիպ նշանակալի հետևանքներով, հատուկ կատեգորիաների կամ քրեական տվյալների լայնածավալ մշակում և հանրային տարածքի լայնածավալ համակարգված մոնիթորինգ: Գործողությունների պլանը նաև հրապարակում է այն գործողությունների ցանկը, որոնց համար միշտ պահանջվում է DPIA: Տվյալների համադրումը, առողջապահական տվյալների փոխանակումը վերլուծական մատակարարի հետ կամ աշխատակիցների մոնիթորինգը հաճախ ինքնուրույն կհաղթահարի շեմը:

Ի՞նչ պետք է պարունակի DPIA-ն։

Հոդված 35(7)-ի համաձայն՝ տվյալների պաշտպանության և վերլուծության (DPIA) մեջ նկարագրվում է մշակումը և դրա նպատակները, գնահատվում է անհրաժեշտությունը և համաչափությունը, նույնականացվում են շահագրգիռ անձանց համար ռիսկերը և սահմանվում են դրանք շտկելու միջոցառումները: Եթե մնում է բարձր մնացորդային ռիսկ, հոդված 36-ը պահանջում է նախնական խորհրդակցություն AP-ի հետ՝ նախքան մշակման մեկնարկը:

Ի՞նչ անել. ստուգեք տվյալների փոխանակման յուրաքանչյուր նոր պայմանավորվածություն՝ համապատասխանելով 35(3) հոդվածին և AP ցանկին, և ներգրավեք ձեր տվյալների պաշտպանության պատասխանատուին, եթե ունեք մեկը: Վերանայեք DPIA-ն, երբ մշակման գործընթացը փոխվում է. պարտադիր DPIA-ն չկատարելն ինքնին խախտում է:

Ռիսկ 6. արդյո՞ք դուք մարդկանց չափազանց քիչ եք պատմում տարածման մասին։

Թափանցիկությունը առանձին պարտավորություն է, որը դուք կարող եք խախտել նույնիսկ այն դեպքում, երբ տարածումն ինքնին օրինական է: GDPR-ի 13-րդ և 14-րդ հոդվածները պահանջում են, որ դուք նշեք նպատակները, իրավական հիմքը և ստացողներին կամ ստացողների կատեգորիաները:

Այն նախադասությունը, որտեղ ասվում է, որ տվյալները «կարող են փոխանցվել վստահելի գործընկերների հետ», ոչինչ չի նշանակում։ Կոնկրետ անվանեք կատեգորիաները, ինչպիսիք են հոսթինգ մատակարարները, աշխատավարձի կառավարիչները կամ վարկային տեղեկանքների գործակալությունները։ ԵՏՄ-ից դուրս փոխանցումների համար 13(1)(f) և 14(1)(f) հոդվածները պահանջում են, որ ծանուցման մեջ նշված լինի դա և նշվի այն պաշտպանության միջոցը, որին հղում է արվում։

Ի՞նչ լրացուցիչ միջոցներ են կիրառվում, երբ դուք ինքներդ չեք հավաքել տվյալները։

Հոդված 14-ի համաձայն, ծանուցման մեջ պետք է նշվեն նաև տվյալների կատեգորիաները և դրանց աղբյուրը: Դուք պետք է այն տրամադրեք ողջամիտ ժամկետում և ոչ ուշ, քան մեկ ամսվա ընթացքում, կամ անձի հետ առաջին հաղորդակցության ժամանակ, եթե դա ավելի շուտ տեղի ունենա: Նիդեռլանդներում գաղտնիության քաղաքականության վերաբերյալ մեր էջը ներկայացնում է ամբողջական բովանդակությունը:

Ինչ անել. թարմացնել ծանուցումը նախքան նոր ստացողի կողմից տվյալների ստացումը, այլ ոչ թե հաջորդ տարեկան վերանայման ժամանակ: Հոդված 12(1)-ը պահանջում է, որ ծանուցումները լինեն հակիրճ, հասկանալի և գրված լինեն հստակ ու պարզ լեզվով:

Ռիսկ 7. կեղծանունացված տվյալները անանուն համարո՞ւմ եք։

Բանալին պահող կազմակերպության համար կեղծանունացված տվյալները մնում են անձնական տվյալներ: Միայն իրական անանունացումը կարող է տվյալները վերցել GDPR-ից դուրս:

GDPR-ի 4(5) հոդվածը սահմանում է կեղծանունացումը որպես տվյալների մշակում այնպես, որ դրանք այլևս չկարողանան կապվել որևէ անձի հետ առանց առանձին պահվող լրացուցիչ տեղեկատվության: 26-րդ պարբերությունը հաստատում է, որ նման տվյալները մնում են GDPR-ի շրջանակներում՝ նրանց համար, ովքեր կարող են դրանք վերստին նույնականացնել: Հետևաբար, անունները հաճախորդի համարներով փոխարինելը չի ​​վերացնում ձեր կողմից իրավական հիմքի, մշակման համաձայնագրի կամ գաղտնիության մասին ծանուցման անհրաժեշտությունը:

Կարո՞ղ են կեղծանունացված տվյալները անձնական չլինել ստացողի համար։

Հնարավոր է։ EDPS ընդդեմ SRB (C-413/23 P, 4 սեպտեմբերի 2025թ.) գործում Արդարադատության դատարանը որոշեց, որ կեղծանունով տվյալները պարտադիր չէ, որ լինեն անձնական տվյալներ այն ստացողի համար, ով չի կարող ողջամտորեն վերանույնականացնել համապատասխան անձանց։ Դատարանը նաև որոշեց, որ բացահայտող վերահսկիչը պետք է հավաքագրման պահին դեռևս տեղեկացնի այդ անձանց ստացողի մասին։

Ինչ անել. գնահատեք ստացողի կողմից օգտագործվող միջոցները, ներառյալ նրա կողմից պահվող այլ տվյալների հավաքածուները. փոստային ինդեքսը, ծննդյան ամսաթիվը և գործարքների պատմությունը հաճախ թույլ են տալիս վերանույնականացնել տվյալները: Փաստաթղթավորեք, թե ինչպես է բանալին պահվում առանձին: Հոդված 32-ը կեղծանունացումը նշում է որպես անվտանգության միջոց, որը հաշվի է առնվում ձեր օգտին, եթե խախտում է գնահատվում:

Ինչպիսի՞ն է Նիդեռլանդներում իրավապահ մարմինների աշխատանքը։

Համաձայն GDPR 58-րդ հոդվածի, AP-ն կարող է նախազգուշացնել, նկատողություն անել, կարգադրել համապատասխանություն, արգելել մշակումը և կասեցնել փոխանցումները, իսկ 83-րդ հոդվածը թույլ է տալիս տուգանքներ: Տվյալների որոշակի հոսքից կախված բիզնեսի համար արգելքը հաճախ ավելի վնասակար է, քան տուգանքը:

Հոդված 83-ը ունի երկու մակարդակ, որոնցից յուրաքանչյուրն ունի նախորդ ֆինանսական տարվա համաշխարհային տարեկան շրջանառության ֆիքսված առավելագույն կամ տոկոսային հարաբերակցություն, որն ավելի բարձր է.

• Ստորին շերտ. մինչև 10 միլիոն եվրո կամ 2%, օրինակ՝ բացակայող մշակման համաձայնագրի կամ Տվյալների պաշտպանության մասին համաձայնագրի (25-39 հոդվածներ):
• Ավելի բարձր մակարդակ. մինչև 20 միլիոն եվրո կամ 4%՝ սկզբունքների, իրավական հիմքերի, տվյալների սուբյեկտի իրավունքների և փոխանցման կանոնների խախտման համար։

GDPR-ի 82-րդ հոդվածը նյութական կամ ոչ նյութական վնաս կրած յուրաքանչյուր անձի իրավունք է տալիս փոխհատուցում ստանալ վերահսկիչից կամ մշակողից: Նիդեռլանդներում հիմնադրամները ավելի ու ավելի հաճախ են նման հայցեր ներկայացնում կոլեկտիվ կարգով՝ համաձայն «Կոլեկտիվ հայցերով զանգվածային վնասների կարգավորման մասին» օրենքի ( Wet afwikkeling massaschade in collectieve actie , WAMCA, Հոդված 3:305a BW):

Եթե ​​անօրինական փոխանակումը հանգեցնում է տվյալների խախտման, 33-րդ հոդվածը պահանջում է անհապաղ և, որտեղ հնարավոր է, 72 ժամվա ընթացքում տեղեկացնել AP-ին, եթե խախտումը ռիսկի չի հանգեցնի: 34-րդ հոդվածի համաձայն՝ դուք պետք է նաև տեղեկացնեք տուժած անձանց, եթե նրանց համար ռիսկը բարձր է: Ներքին կարգով փաստաթղթավորեք յուրաքանչյուր խախտում, ներառյալ այն խախտումները, որոնց մասին չեք տեղեկացնում:

Ի՞նչ պետք է ստուգեք որպես տվյալներ տրամադրող կազմակերպություն։

Որպես վերահսկիչ, դուք կրում եք հիմնական պատասխանատվությունը և պետք է կարողանաք ապացուցել GDPR-ի 5(2) հոդվածի համապատասխանությունը: Ստուգեք հետևյալ կետերը, նախքան տվյալները ձեր կազմակերպությունից դուրս կգան.

• Հոդված 6-ի համաձայն իրավական հիմքը նույնականացված է, և օրինական շահերի համար հավասարակշռման չափանիշը գործի մեջ է։
• Ստացողի դերը գրանցվում է ձեր մշակման գործունեության գրանցամատյանում՝ համաձայն 30-րդ հոդվածի։
• Կնքվում է 28-րդ հոդվածի համաձայն մշակման համաձայնագիր կամ 26-րդ հոդվածի համաձայն պայմանավորվածություն։
• ԵՏՄ-ից դուրս ցանկացած փոխանցում հիմնված է համարժեքության կամ ՊԿ-ների, գումարած՝ ՏԻԱ-ի վրա։
• DPIA ստուգում է անցկացվել և փաստաթղթավորվել։
• Ձեր գաղտնիության ծանուցումը նշում է ստացողին կամ դրա կատեգորիան։

Որպես տվյալների ստացող՝ ի՞նչ պետք է ստուգեք։

Որպես մշակող կամ ստացող վերահսկիչ, դուք ունեք ձեր սեփական պարտավորությունները և կարող եք ուղղակիորեն տուգանվել GDPR 83-րդ հոդվածի համաձայն: Ստուգեք հետևյալ կետերը, նախքան տվյալները ընդունելը.

• Անկախ նրանից, թե դուք գործում եք միայն հրահանգների համաձայն (մշակող), թե՞ օգտագործում եք տվյալները նաև ձեր սեփական նպատակների համար (վերահսկիչ):
• Արդյո՞ք մշակման համաձայնագրում նշված հրահանգները համապատասխանում են տվյալների հետ ձեր իրական գործողություններին։
• Արդյո՞ք ձեր ենթմշակողները գրավոր լիազորված են 28(2) հոդվածի համաձայն։
• Արդյո՞ք ձեր անվտանգության միջոցառումները համապատասխանում են 32-րդ հոդվածին, և արդյոք դուք կարող եք խախտումների մասին տեղեկացնել վերահսկիչին առանց անհարկի ուշացման (33(2) հոդված):
• Արդյո՞ք դուք պահպանում եք ձեր սեփական գրանցամատյանը մշակման վերաբերյալ՝ համաձայն 30(2) հոդվածի։

Ի՞նչ կարող ենք անել ձեզ համար GDPR տվյալների փոխանակման հետ կապված։

Մեր ՏՏ իրավունքի թիմը զբաղվում է մատակարարների, խմբային և գործընկերային պայմանավորվածությունների տվյալների պաշտպանության կողմով։ Մասնավորապես՝

• Մենք քարտեզագրում ենք ձեր տվյալների հոսքերը և որոշում ենք յուրաքանչյուր ստացողի համար՝ արդյոք այն մշակող է, համատեղ վերահսկիչ, թե անկախ վերահսկիչ։
• Մենք մշակում կամ վերանայում ենք 28-րդ հոդվածի համաձայն մշակման համաձայնագրերը և 26-րդ հոդվածի համաձայն համատեղ վերահսկիչի պայմանավորվածությունները։
• Մենք գնահատում ենք ԵՏՄ-ից դուրս կատարված փոխանցումները, ստուգում ենք DPF հավաստագրերը և կազմում ենք փոխանցման ազդեցության գնահատականը։
• Մենք իրականացնում կամ վերանայում ենք DPIA ստուգումը և DPIA-ն։
• Մենք թարմացնում ենք Ձեր գաղտնիության քաղաքականությունը, որպեսզի ստացողները և փոխանցումները ճիշտ անվանվեն։
• Մենք կօգնենք ձեզ AP հետաքննության կամ խախտման մասին ծանուցման հարցում 72-ժամյա ժամկետում։

Ամփոփում

• Անձնական տվյալների յուրաքանչյուր փոխանակում պետք է ունենա իրավական հիմք՝ համաձայն GDPR 6-րդ հոդվածի. առևտրային պատճառը բավարար չէ։
• Յուրաքանչյուր ստացողի համար որոշեք, թե արդյոք այն մշակող է, համատեղ վերահսկիչ, թե անկախ վերահսկիչ, և փաստաթղթավորեք դա։
• 28-րդ հոդվածի համաձայն՝ մշակման համաձայնագիրը պարտադիր է մշակողների համար. առանց դրա դուք խախտում եք համարվում առաջին իսկ օրվանից։
• ԵՏՄ-ից դուրս փոխանցումները պահանջում են համարժեքություն (օրինակ՝ DPF հավաստագրում) կամ երաշխիքներ, գումարած փոխանցման ազդեցության գնահատում։
• Կեղծանունացված տվյալները մնում են բանալին պահողի անձնական տվյալներ, և ձեր գաղտնիության քաղաքականության մեջ պետք է կոնկրետ նշվեն ստացողները։

Հաճախակի տրվող հարցեր