EDPB публикува Становище 22/2024
По време на последното си пленарно заседание Европейският комитет по защита на данните (EDPB/ЕКЗД) прие Становище относно определени задължения, произтичащи от използването на обработващ лични данни.
Становището относно някои задължения на обработващи лични данни и подобработващи* е изготвено вследствие на искане по член 64, параграф 2 от (ОРЗД/GDPR) до EDPB от страна на датския орган за защита на данните (Datatilsynet). Член 64, пар. 2 от GDPR предвижда, че всеки надзорен орган може да поиска от EDPB да издаде становище по въпроси с общо приложение или пораждащи последици в повече от една държава членка.
Становището се отнася до ситуации, при които администраторите разчитат на един или повече обработващи лични данни и подизпълнители. По-специално в него се разглеждат осем въпроса относно тълкуването на някои задължения на администраторите, които разчитат на обработващи лични данни и подизпълнители, както и формулировката на договорите на администратора и обработващия лични данни, произтичащи по-специално от член 28 от ОРЗД.
В становището се обяснява, че администраторите следва да разполагат по всяко време с леснодостъпна информация относно самоличността (т.е. име, адрес, лице за контакт) на всички обработващи лични данни, подизпълнители и т.н., така че да могат по най-добрия начин да изпълняват задълженията си по член 28 от ОРЗД. Освен това задължението на администратора да проверява дали (под)обработващите лични данни предоставят „достатъчни гаранции“ следва да се прилага независимо от риска за правата и свободите на субектите на данни, въпреки че обхватът на тази проверка може да варира, по-специално въз основа на рисковете, свързани с обработването.
В становището се посочва също, че докато първоначалният обработващ лични данни следва да гарантира, че предлага подизпълнители с достатъчно гаранции, окончателното решение и отговорността за ангажирането на конкретен подизпълнител остават на администратора.
ЕКЗД счита, че съгласно ОРЗД администраторът няма задължение систематично да изисква договорите за подизпълнение, за да провери дали задълженията за защита на данните са били прехвърлени надолу по веригата на обработване. Администраторът следва да прецени дали е необходимо да поиска копие от такива договори или преглед, за да може да докаже съответствие с ОРЗД.
Освен това, когато предаването на лични данни извън Европейското икономическо пространство се извършва между двама (под)обработващи лични данни, обработващият лични данни като износител на данни следва да изготви съответната документация, като например относно използваното основание за предаване, оценката на въздействието на предаването и евентуалните допълнителни мерки. Въпреки това, тъй като администраторът все още е обект на задълженията, произтичащи от член 28, параграф 1 от ОРЗД относно „достатъчните гаранции“, освен тези по член 44, за да се гарантира, че нивото на защита не се подкопава от предаването на лични данни, той следва да направи оценка на тази документация и да може да я покаже на компетентния орган за защита на данните.
* Не намирам (sub-)processors в текста на GDPR. Затова на български използвам подизпълнител или (под)обработващ.