El responsable del tratamiento decide por qué y cómo se procesan los datos personales; el encargado del tratamiento procesa los datos personales únicamente siguiendo las instrucciones del responsable. Es fundamental que esto se haga correctamente, ya que su función determina quién necesita una base jurídica, quién debe responder a las solicitudes de los interesados, quién notifica una violación de seguridad y quién es responsable si algo sale mal.
¿Cómo se distingue un controlador de un procesador?
Usted pregunta quién decide por qué se procesan los datos y, en esencia, cómo. El responsable del tratamiento determina la finalidad y los medios esenciales del procesamiento. El encargado del tratamiento actúa siguiendo estrictamente las instrucciones documentadas del responsable y no utiliza los datos para sus propios fines.
¿El contrato determina tu papel?
No. El hecho de que un proveedor se autodenomine procesador en el acuerdo no lo convierte en tal. Si un proveedor utiliza los datos para sus propios fines (mejorar su producto, crear un perfil, realizar marketing dirigido a los interesados), es responsable del tratamiento de dichos datos, independientemente de lo que estipule el contrato.
Procesadores típicos: un proveedor de alojamiento web, una empresa de gestión de nóminas que actúa siguiendo instrucciones al pie de la letra, un servicio de correo electrónico. Controladores típicos, aunque contratados por un tercero: un contable que realiza una auditoría legal, un abogado que lleva un caso, un servicio de salud laboral que ejerce sus funciones profesionales.
¿Qué ocurre si usted y otra parte deciden conjuntamente los fines?
En ese caso, ustedes son responsables conjuntos del tratamiento de datos y deben establecer sus respectivas responsabilidades en un acuerdo entre ustedes, en particular en lo que respecta a los derechos de los interesados y las obligaciones de información. La esencia de dicho acuerdo debe ponerse a disposición de las personas interesadas.
El control conjunto surge con más frecuencia de lo que las organizaciones esperan: las plataformas compartidas, las campañas conjuntas y las páginas en redes sociales se han considerado casos de control conjunto. El interesado puede ejercer sus derechos frente a cualquiera de los dos responsables conjuntos, independientemente de cómo se haya dividido la responsabilidad internamente.
¿Qué debe contener un acuerdo de procesamiento de datos?
Cuando contrata a un encargado del tratamiento, es obligatorio un acuerdo por escrito cuyo contenido está prescrito: el objeto y la duración del tratamiento, su naturaleza y finalidad, los tipos de datos y las categorías de interesados, sus instrucciones como responsable del tratamiento, la confidencialidad, las medidas de seguridad, las condiciones para la contratación de subencargados del tratamiento, la asistencia en caso de solicitudes de los interesados y notificación de violaciones de seguridad, qué sucede con los datos al finalizar el acuerdo y sus derechos de auditoría.
¿Dónde suelen comenzar las disputas?
Dos cláusulas suelen ser la causa principal de los problemas en la práctica. En cuanto al subprocesamiento, se permite la autorización general por escrito, pero el responsable del tratamiento debe informarle de cualquier cambio previsto y darle la oportunidad de oponerse. Y en cuanto a la devolución o eliminación al finalizar la relación, conviene acordar cuál de las dos opciones se aplica y en qué formato, antes de que finalice la relación y no durante una disputa.
¿Quién es responsable si el procesamiento falla?
Como responsable del tratamiento, usted es responsable de los daños causados por un tratamiento que infrinja el RGPD. El encargado del tratamiento solo será responsable si no ha cumplido con las obligaciones que el RGPD le impone específicamente, o si ha actuado fuera de sus instrucciones legítimas o en contra de ellas. Si ambos participan en el mismo tratamiento, cada uno puede ser considerado responsable de la totalidad de los daños causados al interesado, con derecho a recurso posterior entre ambos; por ello, conviene negociar cuidadosamente las cláusulas de indemnización en un acuerdo de tratamiento.
En resumen
- Tu función se rige por los hechos, no por la denominación que figure en tu contrato: quien decide el propósito y los medios esenciales es quien tiene el control.
- Si deciden conjuntamente con otra parte los fines, serán responsables conjuntos y deberán dejar constancia de su división de responsabilidades.
- Un acuerdo de procesamiento debe abarcar el objeto, la duración, la naturaleza, la finalidad, los tipos de datos, sus instrucciones, la seguridad, el subprocesamiento, la asistencia, la devolución o eliminación y los derechos de auditoría.
- Un procesador solo puede subcontratar con su autorización y debe permitirle oponerse a cualquier cambio de subprocesador.
- La responsabilidad por los mismos daños puede recaer sobre ambas partes, así que negocie la cláusula de indemnización antes de firmar.
Preguntas frecuentes
¿Puede una de las partes ser controladora de una parte del procesamiento y procesadora de otra parte?
Sí. La evaluación se realiza por actividad de procesamiento, no por relación, por lo que la misma parte puede desempeñar ambos roles para diferentes flujos de datos.
¿Necesitas un acuerdo de procesamiento de datos si solo compartes datos con un proveedor de forma ocasional?
Sí, si el proveedor procesa datos personales siguiendo sus instrucciones, el acuerdo es obligatorio independientemente de la frecuencia con la que se produzca dicho procesamiento.
Evaluamos las funciones en una cadena de datos, redactamos y revisamos acuerdos de procesamiento y acuerdos de corresponsabilidad, y asesoramos sobre la responsabilidad después de un incidente.
¿No sabes cuál es tu situación? Cuéntanos qué te pasa . Te informaremos de tus opciones en un plazo de un día laborable.
Cómo Law & More Podemos ayudarle con esto, como se explica en nuestra abogado especializado en tecnología de la información Desbobinador hidráulico de alta resistencia:Para bobinas de mayor peso o necesidades de automatización más elevadas, visite ladesbobinador hidráulico de alta resistencia.
