След подадена жалба AEPD намира доказателства, че когато през ноември 2022 г. жалбоподателят започва да получава фактури, издадени от TELCO, а не от ADENET, компанията, отговорна за обработката на данните, е B3C
Испанската агенция за защита на личните данни (AEPD) наложи административна санкция на компанията B3C CONSULTORÍA DE SERVICIOS 2010 S.L. за нарушения, свързани с обработката на лични данни чрез подизпълнители. Решението беше публикувано на 27 август.
B3C е действала като обработващ по договор с телекомуникационната компания AIRE NETWORKS, но е ангажирала трета страна – TELCO CONSULTING – за издаване на фактури и комуникация с клиенти, без предварително писмено одобрение от администратора. Това представлява нарушение на чл. 28, пар. 2 от GDPR, който изисква изрично разрешение при включване на допълнителен обработващ.
Освен това, B3C не е представила договор или друг юридически акт, който да гарантира, че TELCO CONSULTING е обвързана със същите задължения за защита на данните, каквито са наложени на B3C от AIRE NETWORKS. Това е второ нарушение – на чл. 28, пар. 4 от GDPR – което изисква договорна обвързаност на всички подизпълнители със същите стандарти за защита.
АEPD наложи глоба в размер на 800 евро, разпределена поравно между двете нарушения. Освен финансовата санкция, на B3C е наложена корективна мярка: в срок от три месеца компанията трябва да представи доказателства за съответствие с чл. 28, включително писмено разрешение от администратора и договор с TELCO CONSULTING, който да отговаря на изискванията на GDPR.
В Решението на АEPD пише, че съществуват доказателства, че от 24.11.2022 г. обработката на личните данни на жалбоподателя, в рамките на договорената услуга за телефония, се извършва от AIRE NETWORKS като администратор на данните, а B3C поема ролята на обработващ лични данни.
В този смисъл, в договора, подписан между AIRE NETWORKS и B3C, първата страна фигурира като администратор и определя целите и средствата за обработка (съгласно член 4, пар. 7 от Общия регламент относно защитата на данните – ОРЗД/GDPR), а B3C е посочена като обработващ (съгласно член 4, пар. 8 от ОРЗД/GDPR), действайки от името на администратора. Освен това тази връзка е документирана в договор, който съдържа препратки към член 28, пар. 3 от ОРЗД/GDPR, който установява задълженията на обработващия. По-конкретно, договорът между AIRE NETWORKS и B3C включва инструкции от администратора, ангажимент за поверителност, мерки за сигурност, съдействие към администратора, съдбата на данните след приключване на услугата и др.
Следователно има доказателства, че когато през ноември 2022 г. жалбоподателят започва да получава фактури, издадени от TELCO, а не от ADENET, компанията, отговорна за обработката на данните, е B3C.