GDPR പ്രകാരം കൺട്രോളർ അല്ലെങ്കിൽ പ്രോസസ്സർ: ആരാണ് ആരെന്ന് എങ്ങനെ തിരിച്ചറിയാം

വ്യക്തിഗത ഡാറ്റ എന്തുകൊണ്ട്, എങ്ങനെ പ്രോസസ്സ് ചെയ്യണമെന്ന് ഒരു കൺട്രോളർ തീരുമാനിക്കുന്നു; കൺട്രോളറുടെ ഡോക്യുമെന്റഡ് നിർദ്ദേശങ്ങളുടെ അടിസ്ഥാനത്തിൽ മാത്രമേ ഒരു പ്രോസസ്സർ വ്യക്തിഗത ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്നുള്ളൂ (ആർട്ടിക്കിൾ 4(7) ഉം (8) GDPR). കരാറിലെ ലേബലല്ല, വസ്തുതകളെയാണ് നിങ്ങളുടെ റോൾ പിന്തുടരുന്നത്, കൂടാതെ ആർക്കാണ് നിയമപരമായ അടിസ്ഥാനം വേണ്ടത്, ഡാറ്റാ വിഷയ അഭ്യർത്ഥനകൾക്ക് ആരാണ് ഉത്തരം നൽകുന്നത്, ആരാണ് ഒരു ലംഘനം റിപ്പോർട്ട് ചെയ്യുന്നത്, എന്തെങ്കിലും തെറ്റ് സംഭവിച്ചാൽ ആരാണ് ഉത്തരവാദിയെന്ന് ഇത് നിർണ്ണയിക്കുന്നു.

ഒരു കൺട്രോളറിൽ നിന്ന് ഒരു പ്രോസസ്സറിനെ എങ്ങനെ വേർതിരിക്കാം?

ഡാറ്റ എന്തിനാണ് പ്രോസസ്സ് ചെയ്യുന്നതെന്നും, സാരാംശത്തിൽ എങ്ങനെയെന്നും ആരാണ് തീരുമാനിക്കുന്നതെന്ന് ചോദിക്കുക. ഒരു കൺട്രോളർ പ്രോസസ്സിംഗിന്റെ ഉദ്ദേശ്യവും അവശ്യ മാർഗങ്ങളും നിർണ്ണയിക്കുന്നു; ഒരു പ്രോസസ്സർ കൺട്രോളറുടെ ഡോക്യുമെന്റഡ് നിർദ്ദേശങ്ങൾക്കനുസൃതമായി മാത്രമേ പ്രവർത്തിക്കൂ, കൂടാതെ സ്വന്തം ആവശ്യങ്ങൾക്കായി ഡാറ്റ ഉപയോഗിക്കുന്നില്ല.

സാധാരണ പ്രോസസ്സറുകൾ: ഒരു ഹോസ്റ്റിംഗ് ദാതാവ്, നിർദ്ദേശങ്ങൾ കർശനമായി പാലിക്കുന്ന ഒരു പേറോൾ ബ്യൂറോ, ഒരു ഇമെയിൽ ഡെലിവറി സേവനം. മറ്റൊരു കക്ഷി ഏർപ്പെട്ടിരിക്കുന്ന സാധാരണ കൺട്രോളർമാർ: ഒരു സ്റ്റാറ്റ്യൂട്ടറി ഓഡിറ്റ് നടത്തുന്ന ഒരു അക്കൗണ്ടന്റ്, ഒരു കേസ് നടത്തുന്ന ഒരു അഭിഭാഷകൻ, സ്വന്തം പ്രൊഫഷണൽ കടമകൾ നിർവഹിക്കുന്ന ഒരു ഒക്യുപേഷണൽ ഹെൽത്ത് സർവീസ് (ആർബോഡിയൻസ്റ്റ്).

കരാർ ആണോ നിങ്ങളുടെ റോൾ തീരുമാനിക്കുന്നത്?

ഇല്ല. കരാറിൽ നിങ്ങളെ ഒരു പ്രോസസ്സർ എന്ന് വിളിക്കുന്നത് നിങ്ങളെ അങ്ങനെയാക്കില്ല. ഒരു വിതരണക്കാരൻ സ്വന്തം ആവശ്യങ്ങൾക്കായി ഡാറ്റ ഉപയോഗിക്കുകയാണെങ്കിൽ, ഉദാഹരണത്തിന് അവരുടെ ഉൽപ്പന്നം മെച്ചപ്പെടുത്തുക, പ്രൊഫൈലുകൾ നിർമ്മിക്കുക അല്ലെങ്കിൽ ബന്ധപ്പെട്ട വ്യക്തികൾക്ക് മാർക്കറ്റിംഗ് നടത്തുക, ആ പ്രോസസ്സിംഗിനുള്ള ഒരു കൺട്രോളറാണ് അവർ. ആർട്ടിക്കിൾ 28(10) GDPR വ്യക്തമായി പറയുന്നു: ഉദ്ദേശ്യങ്ങളും മാർഗങ്ങളും നിർണ്ണയിക്കുന്ന ഒരു പ്രോസസ്സറെ ഒരു കൺട്രോളറായി കണക്കാക്കുന്നു.

നിങ്ങളും മറ്റൊരു കക്ഷിയും സംയുക്തമായി ഉദ്ദേശ്യങ്ങൾ തീരുമാനിച്ചാലോ?

അപ്പോൾ നിങ്ങൾ ആർട്ടിക്കിൾ 26 GDPR പ്രകാരം സംയുക്ത കൺട്രോളർമാരാണ്. ഒരു ക്രമീകരണത്തിൽ നിങ്ങളുടെ ഉത്തരവാദിത്തങ്ങൾ, പ്രത്യേകിച്ച് ആർട്ടിക്കിൾ 13, 14 ന്റെ ഡാറ്റ വിഷയ അവകാശങ്ങൾക്കും വിവര കടമകൾക്കും വേണ്ടി, നിങ്ങൾ സജ്ജമാക്കുകയും ആ ക്രമീകരണത്തിന്റെ സാരാംശം ബന്ധപ്പെട്ട വ്യക്തികൾക്ക് ലഭ്യമാക്കുകയും വേണം.

സംഘടനകൾ പ്രതീക്ഷിക്കുന്നതിലും കൂടുതൽ തവണ സംയുക്ത നിയന്ത്രണം ഉണ്ടാകുന്നു. Wirtschaftsakademie (C-210/16, 5 ജൂൺ 2018) എന്ന കേസിൽ, EU കോടതി ഓഫ് ജസ്റ്റിസ്, ഒരു Facebook ഫാൻ പേജിന്റെ അഡ്മിനിസ്ട്രേറ്ററെ Facebook-ന്റെ സംയുക്ത കൺട്രോളറായി കണക്കാക്കി. ആർട്ടിക്കിൾ 26(3) GDPR പ്രകാരം, ഒരു ഡാറ്റാ വിഷയത്തിന് നിങ്ങൾ ആന്തരികമായി സമ്മതിച്ചതെന്തായാലും, രണ്ട് സംയുക്ത കൺട്രോളർമാർക്കെതിരെയും അവരുടെ അവകാശങ്ങൾ പ്രയോഗിക്കാൻ കഴിയും.

ഒരു പ്രോസസ്സിംഗ് കരാറിൽ എന്തൊക്കെ അടങ്ങിയിരിക്കണം?

നിങ്ങൾ ഒരു പ്രോസസ്സറുമായി ഇടപഴകുകയാണെങ്കിൽ, ആർട്ടിക്കിൾ 28(3), (9) GDPR പ്രകാരം ഒരു രേഖാമൂലമുള്ള കരാർ നിർബന്ധമാണ്, അതിന്റെ ഉള്ളടക്കം നിർദ്ദേശിക്കപ്പെട്ടിരിക്കുന്നു. പ്രോസസ്സിംഗിന്റെ വിഷയവും ദൈർഘ്യവും, അതിന്റെ സ്വഭാവവും ഉദ്ദേശ്യവും, ഡാറ്റാ വിഷയങ്ങളുടെ തരങ്ങളും വിഭാഗങ്ങളും, കൺട്രോളർ എന്ന നിലയിൽ നിങ്ങളുടെ നിർദ്ദേശങ്ങൾ എന്നിവ ഇതിൽ ഉൾക്കൊള്ളണം.

രഹസ്യാത്മകത, ആർട്ടിക്കിൾ 32 പ്രകാരമുള്ള സുരക്ഷാ നടപടികൾ, സബ്-പ്രോസസ്സർമാരെ ഉൾപ്പെടുത്തുന്നതിനുള്ള വ്യവസ്ഥകൾ, ഡാറ്റ വിഷയ അഭ്യർത്ഥനകളിലും ലംഘന അറിയിപ്പിലും സഹായം, അവസാനം ഡാറ്റ തിരികെ നൽകുകയോ ഇല്ലാതാക്കുകയോ ചെയ്യൽ, നിങ്ങളുടെ ഓഡിറ്റ് അവകാശങ്ങൾ എന്നിവയും ഇതിൽ ഉൾപ്പെടുത്തിയിരിക്കണം.

സാധാരണയായി തർക്കങ്ങൾ എവിടെ നിന്നാണ് തുടങ്ങുന്നത്?

രണ്ട് ഉപവാക്യങ്ങളാണ് ഏറ്റവും കൂടുതൽ പ്രശ്‌നങ്ങൾ സൃഷ്ടിക്കുന്നത്. ഉപ-പ്രോസസ്സിംഗിൽ, ആർട്ടിക്കിൾ 28(2) GDPR പൊതുവായ രേഖാമൂലമുള്ള അംഗീകാരം അനുവദിക്കുന്നു, എന്നാൽ പ്രോസസ്സർ ഉദ്ദേശിച്ച മാറ്റങ്ങളെക്കുറിച്ച് നിങ്ങളെ അറിയിക്കുകയും എതിർക്കാനുള്ള അവസരം നൽകുകയും വേണം. തിരിച്ചുനൽകുമ്പോഴോ ഇല്ലാതാക്കുമ്പോഴോ, തർക്കത്തിനിടയിലല്ല, ബന്ധം അവസാനിക്കുന്നതിന് മുമ്പ് രണ്ടിൽ ഏതാണ് ബാധകമെന്നും ഏത് ഫോർമാറ്റിലാണെന്നും സമ്മതിക്കുക.

ലംഘന അറിയിപ്പ് മൂന്നാമത്തെ സമ്മർദ്ദ പോയിന്റാണ്. അനാവശ്യ കാലതാമസമില്ലാതെ പ്രോസസ്സർ നിങ്ങളെ അറിയിക്കണം (ആർട്ടിക്കിൾ 33(2)); തുടർന്ന് ആർട്ടിക്കിൾ 33(1) പ്രകാരം ഡച്ച് ഡാറ്റ പ്രൊട്ടക്ഷൻ അതോറിറ്റിയെ (Autoriteit Persoonsgegevens) അറിയിക്കാൻ നിങ്ങൾക്ക് 72 മണിക്കൂർ സമയമുണ്ട്. പ്രോസസ്സറിനായി ഒരു ചെറിയ ആന്തരിക സമയപരിധി അംഗീകരിക്കുക, ഉദാഹരണത്തിന് 24 അല്ലെങ്കിൽ 48 മണിക്കൂർ.

പ്രോസസ്സിംഗ് തെറ്റായി സംഭവിച്ചാൽ ആരാണ് ഉത്തരവാദി?

ആർട്ടിക്കിൾ 82(2) GDPR പ്രകാരം, GDPR ലംഘിക്കുന്ന പ്രോസസ്സിംഗ് മൂലമുണ്ടാകുന്ന നാശനഷ്ടങ്ങൾക്ക് കൺട്രോളർ എന്ന നിലയിൽ നിങ്ങൾ ബാധ്യസ്ഥനാണ്. GDPR പ്രത്യേകമായി പ്രോസസ്സറുകളിൽ ഏർപ്പെടുത്തുന്ന ബാധ്യതകൾ പാലിച്ചിട്ടില്ലെങ്കിലോ നിങ്ങളുടെ നിയമപരമായ നിർദ്ദേശങ്ങൾക്ക് പുറത്തോ വിരുദ്ധമായോ പ്രവർത്തിച്ചിട്ടുണ്ടെങ്കിലോ മാത്രമേ ഒരു പ്രോസസ്സർ ബാധ്യസ്ഥനാകൂ.

നിങ്ങൾ രണ്ടുപേരും ഒരേ പ്രോസസ്സിംഗിൽ ഉൾപ്പെടുകയും നാശനഷ്ടങ്ങൾക്ക് ഉത്തരവാദികളായിരിക്കുകയും ചെയ്താൽ, വ്യക്തിക്ക് നേരെയുള്ള മുഴുവൻ നാശനഷ്ടങ്ങൾക്കും ഓരോരുത്തരെയും ബാധ്യസ്ഥരാക്കാം (ആർട്ടിക്കിൾ 82(4)). പണം നൽകിയ കക്ഷിക്ക് പിന്നീട് മറ്റേ കക്ഷിയുടെ വിഹിതം തിരിച്ചുപിടിക്കാൻ കഴിയും (ആർട്ടിക്കിൾ 82(5)), അതുകൊണ്ടാണ് പ്രോസസ്സിംഗ് കരാറിലെ നഷ്ടപരിഹാര വ്യവസ്ഥ ശ്രദ്ധാപൂർവ്വം ചർച്ച ചെയ്യുന്നത് മൂല്യവത്തായത്.

ഒരു കൺട്രോളർ എന്ന നിലയിൽ നിങ്ങൾ എന്താണ് പരിശോധിക്കേണ്ടത്?

• നിങ്ങൾക്കായി വ്യക്തിഗത ഡാറ്റ കൈകാര്യം ചെയ്യുന്ന ഓരോ വിതരണക്കാരനും ആർട്ടിക്കിൾ 28(3) മീറ്റിംഗ് അനുസരിച്ച് ഒരു പ്രോസസ്സിംഗ് കരാറിൽ ഒപ്പുവച്ചിട്ടുണ്ടോ എന്ന്.
• ഏതെങ്കിലും വിതരണക്കാരൻ ഡാറ്റ സ്വന്തം ആവശ്യങ്ങൾക്കായി ഉപയോഗിക്കുന്നുണ്ടോ, അതിനെ ഒരു കൺട്രോളർ ആക്കുന്നുണ്ടോ.
• നിങ്ങൾക്ക് സബ്-പ്രോസസ്സറുകളുടെ ഒരു ലിസ്റ്റും മാറ്റങ്ങളെ എതിർക്കുന്നതിനുള്ള ഒരു നടപടിക്രമവും ഉണ്ടോ എന്ന്.
• ഒരു നിശ്ചിത മണിക്കൂറിനുള്ളിൽ പ്രോസസ്സർ നിങ്ങൾക്ക് ലംഘനങ്ങൾ റിപ്പോർട്ട് ചെയ്യണമോ എന്ന്.
• പങ്കിട്ട പ്ലാറ്റ്‌ഫോമുകൾക്കോ ​​കാമ്പെയ്‌നുകൾക്കോ ​​വേണ്ടി നിങ്ങൾക്ക് സംയുക്ത കൺട്രോളർ ക്രമീകരണങ്ങൾ ഉണ്ടോ എന്ന്.

ഒരു പ്രോസസ്സർ എന്ന നിലയിൽ നിങ്ങൾ എന്താണ് പരിശോധിക്കേണ്ടത്?

• നിങ്ങളുടെ സ്വന്തം ഉൽപ്പന്നത്തിനോ അനലിറ്റിക്സിനോ വേണ്ടിയല്ല, മറിച്ച് ഡോക്യുമെന്റഡ് നിർദ്ദേശങ്ങളിൽ മാത്രമേ നിങ്ങൾ ക്ലയന്റ് ഡാറ്റ ഉപയോഗിക്കൂ എന്ന്.
• നിങ്ങളുടെ സബ്-പ്രോസസ്സർമാർ നിങ്ങളെപ്പോലെ തന്നെ ബാധ്യതകൾക്ക് വിധേയരാണോ എന്ന്.
• കരാറിന്റെ അവസാനം സമ്മതിച്ച ഫോർമാറ്റിൽ നിങ്ങൾക്ക് ഡാറ്റ തിരികെ നൽകാനോ ഇല്ലാതാക്കാനോ കഴിയുമോ എന്നത്.
• നിങ്ങളുടെ ബാധ്യതാ പരിധിയും നഷ്ടപരിഹാരവും ആർട്ടിക്കിൾ 82(2) പ്രകാരമുള്ള പരിമിത ബാധ്യതയെ പ്രതിഫലിപ്പിക്കുന്നുണ്ടോ എന്ന്.

കൺട്രോളർ, പ്രോസസ്സർ റോളുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ നിങ്ങൾക്കായി എന്തുചെയ്യാൻ കഴിയും?

ഞങ്ങളുടെ ഐടി അഭിഭാഷക പരിശീലനത്തിലൂടെ ഞങ്ങൾക്ക് നിങ്ങളെ സഹായിക്കാനാകും, ഉദാഹരണത്തിന്:

• നിങ്ങളുടെ ഡാറ്റാ ശൃംഖലയിലെ ഓരോ കക്ഷിയുടെയും റോളുകൾ ഓരോ പ്രോസസ്സിംഗ് പ്രവർത്തനത്തിനും ഞങ്ങൾ മാപ്പ് ചെയ്യുന്നു.
• പ്രോസസ്സിംഗ് കരാറുകളും ജോയിന്റ് കൺട്രോളർ ക്രമീകരണങ്ങളും ഞങ്ങൾ ഡ്രാഫ്റ്റ് ചെയ്യുകയും അവലോകനം ചെയ്യുകയും ചെയ്യുന്നു.
• സബ്-പ്രോസസ്സിംഗ്, ലംഘന അറിയിപ്പ്, ബാധ്യതാ വ്യവസ്ഥകൾ എന്നിവ ഞങ്ങൾ ചർച്ച ചെയ്യുന്നു.
• ഡാറ്റാ ലംഘനത്തിന് ശേഷം കക്ഷികൾ തമ്മിലുള്ള ബാധ്യതയും സഹായവും സംബന്ധിച്ച് ഞങ്ങൾ ഉപദേശിക്കുന്നു.
• Autoriteit Persoonsgegevens-ൽ നിന്നുള്ള ചോദ്യങ്ങൾക്കുള്ള നിങ്ങളുടെ പ്രതികരണം ഞങ്ങൾ തയ്യാറാക്കുന്നു.

ചുരുക്കം

• നിങ്ങളുടെ പങ്ക് വസ്തുതകളെ പിന്തുടരുന്നു, നിങ്ങളുടെ കരാറിലെ ലേബലിനെയല്ല: ഉദ്ദേശ്യവും അവശ്യ മാർഗങ്ങളും തീരുമാനിക്കുന്നവരാരോ അവരാണ് നിയന്താവ്.
• നിങ്ങൾ മറ്റൊരു കക്ഷിയുമായി സംയുക്തമായി ഉദ്ദേശ്യങ്ങൾ തീരുമാനിക്കുകയാണെങ്കിൽ, നിങ്ങൾ സംയുക്ത കൺട്രോളർമാരാണ്, നിങ്ങളുടെ ഉത്തരവാദിത്തങ്ങളുടെ വിഭജനം രേഖപ്പെടുത്തണം (ആർട്ടിക്കിൾ 26 GDPR).
• നിങ്ങൾ ഒരു പ്രോസസ്സർ ഉപയോഗിക്കുമ്പോഴെല്ലാം ആർട്ടിക്കിൾ 28(3) GDPR ന്റെ ഉള്ളടക്കവുമായി ഒരു രേഖാമൂലമുള്ള പ്രോസസ്സിംഗ് കരാർ നിർബന്ധമാണ്.
• അനാവശ്യ കാലതാമസമില്ലാതെ പ്രോസസ്സർ നിങ്ങൾക്ക് ഒരു ലംഘനം റിപ്പോർട്ട് ചെയ്യുന്നു; 72 മണിക്കൂറിനുള്ളിൽ നിങ്ങൾ ഓട്ടോറൈറ്റ് പെർസോൺസ്ഗെഗെവൻസിനെ അറിയിക്കും.
• വ്യക്തിക്ക് സംഭവിക്കുന്ന മുഴുവൻ നാശനഷ്ടങ്ങൾക്കും ഇരു കക്ഷികളും ഉത്തരവാദികളായിരിക്കും, അതിനാൽ ഒപ്പിടുന്നതിന് മുമ്പ് നഷ്ടപരിഹാര വ്യവസ്ഥ ചർച്ച ചെയ്യുക.

പതിവു ചോദ്യങ്ങൾ