GDPR / Zastúpenie podľa článku 27
Služby zástupcu podľa GDPR pre EÚ, Spojené kráľovstvo alebo obe územia
Organizácie mimo EÚ alebo Spojeného kráľovstva môžu potrebovať miestneho zástupcu, keď ponúkajú tovar alebo služby osobám na príslušnom území alebo tam monitorujú ich správanie. Posúdime povinnosť, zdokumentujeme rozhodnutie a zavedieme správne vymenovanie a kontaktný proces.
Zástupca je miestnym kontaktným miestom. Nenahrádza zodpovednosť vašej organizácie ani automaticky nekoná ako vaša zodpovedná osoba.
Vyberte správne pokrytie
Zástupca pre EÚ
Túto cestu použite, keď: Vaša organizácia je mimo EÚ/EHP, nemá relevantnú prevádzkareň v EÚ a spracúvanie podľa článku 3 ods. 2 uvádza európske GDPR do pôsobnosti.
Právna štruktúra: Písomné vymenovanie zástupcu usadeného v EÚ.
Preskúmať →Zástupca pre Spojené kráľovstvo
Túto cestu použite, keď: Vaša organizácia je mimo Spojeného kráľovstva, nemá relevantnú britskú prevádzkareň a cielenie na Spojené kráľovstvo alebo monitorovanie uvádza UK GDPR do pôsobnosti.
Právna štruktúra: Písomné vymenovanie zástupcu usadeného v Spojenom kráľovstve.
Preskúmať →EÚ + Spojené kráľovstvo
Túto cestu použite, keď: Vaša organizácia je mimo oboch území a nezávisle spĺňa spúšťač pre každý trh.
Právna štruktúra: Dve samostatné právne vymenovania koordinované prostredníctvom jedného prevádzkového procesu.
Preskúmať →Iba posúdenie
Túto cestu použite, keď: Územný test, výnimka alebo situácia s prevádzkarňou nie sú jasné.
Právna štruktúra: Zdokumentované odporúčanie a záznam o rozhodnutí pred vymenovaním.
Preskúmať →Povinnosť zrozumiteľne
Povinnosť určiť zástupcu je viazaná na územnú pôsobnosť. Je relevantná tam, kde prevádzkovateľ alebo sprostredkovateľ nie je usadený na príslušnom území, ale zákon sa uplatňuje pre aktivity zamerané na osoby tam alebo preto, že sa tam monitoruje ich správanie.
Výnimka je úzka a mala by byť skôr zdokumentovaná než predpokladaná. Pre EÚ si výnimka pre príležitostné spracúvanie vyžaduje kumulatívne posúdenie frekvencie, rozsiahleho spracúvania citlivých údajov alebo údajov o trestných činoch a rizika, ktoré predstavuje pre osoby. Orgány verejnej moci a verejnoprávne subjekty sú vylúčené osobitne. Britský režim má obdobnú povinnosť určiť zástupcu aj výnimky, ale britskú analýzu treba vykonať samostatne.
Čo zástupca podľa GDPR robí
- Poskytuje požadované miestne kontaktné miesto pre jednotlivcov a príslušný dozorný orgán.
- Koná na základe písomného mandátu od prevádzkovateľa alebo sprostredkovateľa.
- Prijíma a smeruje korešpondenciu týkajúcu sa spracúvania, na ktoré sa vymenovanie vzťahuje.
- Podporuje sprístupnenie záznamov podľa článku 30 tam, kde zákon vyžaduje, aby ich prevádzkovateľ, sprostredkovateľ alebo zástupca poskytol.
- Udržiava dohodnutý eskalačný a dôkazový proces, aby sa žiadosti nestrácali medzi jurisdikciami.
- Spolupracuje s príslušným dozorným orgánom, keď je to potrebné v súvislosti s vymenovanou rolou.
Hranica roly
Zástupca nie je prevádzkovateľom, nepreberá právnu zodpovednosť prevádzkovateľa ani sprostredkovateľa a nie je automaticky zodpovednou osobou organizácie ani jej všeobecným poradcom pre GDPR.
Čo služba zahŕňa
- Posúdenie územnej pôsobnosti a výnimky.
- Potvrdenie vhodnej krajiny EÚ a/alebo britského usporiadania.
- Písomnú dokumentáciu k vymenovaniu a prevádzkové pokyny.
- Kontaktné údaje zástupcu a schválené znenie pre oznámenia o ochrane súkromia a ďalšie zverejnenia.
- Prijímanie korešpondencie, triedenie, evidenciu a eskalačné cesty.
- Úvodnú revíziu záznamov a kontaktov potrebných na fungovanie mandátu.
- Pravidelné potvrdzovanie trhov, spracúvania a kontaktných informácií.
- Jasné hranice pre záležitosti mimo mandátu zástupcu a voliteľnú širšiu podporu.
Zástupca, zodpovedná osoba alebo širšia podpora GDPR?
Tieto služby môžu fungovať vedľa seba, ale roly by sa nemali zamieňať. Zástupca rieši požiadavku na miestny kontakt pre určité organizácie, ktoré nie sú usadené. Zodpovedná osoba nezávisle informuje, radí a monitoruje tam, kde platí zákonný spúšťač alebo je rola dobrovoľne určená. Širšia podpora GDPR pomáha zaviesť a prevádzkovať základný program súladu.
| Otázka | Zástupca | Zodpovedná osoba | Projektová podpora GDPR |
|---|---|---|---|
| Prečo sa vymenúva? | Požiadavka územnej pôsobnosti pre určité organizácie, ktoré nie sú usadené. | Zákonný spúšťač alebo dobrovoľné rozhodnutie o riadení. | Vymedzená potreba implementácie, nápravy alebo prevádzky. |
| Hlavná funkcia | Miestny kontakt pre regulátora a dotknuté osoby na základe mandátu. | Nezávislé poradenstvo, monitorovanie a kontakt s regulátorom. | Realizácia dohodnutých prác a dôkazy. |
| Preberá zodpovednosť manažmentu? | Nie. | Nie. | Nie. |
| Môžu sa roly prekrývať? | Iba po dôkladnom preskúmaní rozsahu a konfliktov. | Iba ak sú chránené nezávislosť a konflikty. | Projektová podpora by nemala byť prezentovaná ako zákonný dohľad. |
Praktické porovnanie rolí nájdete v článku Zodpovedná osoba vs zástupca podľa GDPR.
Ako vymenovanie prebieha
Posúdenie rozsahu
Potvrďte prevádzkarne, trhy, aktivity ponúkania/monitorovania, frekvenciu spracúvania, kategórie údajov a riziko.
Výber pokrytia
Určte EÚ, Spojené kráľovstvo, obe územia alebo zdokumentované rozhodnutie o nevymenovaní.
Potvrdenie právneho kontaktu
Vyberte vhodnú prevádzkareň v EÚ a/alebo usporiadanie zástupcu usadeného v Spojenom kráľovstve.
Uzavretie mandátu
Schváľte písomné vymenovanie, rozsah, komunikačný proces a zodpovednosti.
Aktualizácia informácií o transparentnosti
Doplňte príslušné údaje zástupcu do informácií o ochrane súkromia a relevantných záznamov.
Spustenie a revízia
Otestujte kontaktnú cestu, potvrďte vlastníkov eskalácie a preskúmajte pri zmene trhov alebo spracúvania.
Začnite so zdokumentovanou odpoveďou
Posúdenie je navrhnuté tak, aby ukázalo, ako sa dospelo k výsledku. Nie je to skrytý kontaktný formulár. Môžete vyplniť otázky, získať predbežný výsledok a rozhodnúť sa, či potrebujete formálne preskúmanie alebo návrh vymenovania.
Časté otázky
Potrebuje každá spoločnosť mimo EÚ alebo Spojeného kráľovstva zástupcu?
Nie. Povinnosť závisí od toho, či sa príslušný zákon uplatňuje prostredníctvom aktivít organizácie spojených s ponúkaním alebo monitorovaním, či existuje relevantná prevádzkareň a či sa uplatňuje výnimka. Posúdenia pre EÚ a Spojené kráľovstvo sa musia vykonať samostatne.
Môže jedno vymenovanie zástupcu pokryť EÚ aj Spojené kráľovstvo?
Nie. EÚ a Spojené kráľovstvo sú samostatné režimy. Koordinovaná služba môže využívať jeden proces vstupu a reportingu, ale vyžaduje samostatné právne vymenovania a kontaktné miesta.
Je zástupca to isté ako zodpovedná osoba?
Nie. Zástupca je miestnym kontaktom pre určité organizácie, ktoré nie sú usadené. Zodpovedná osoba má samostatné poradenské a monitorovacie úlohy. Niektoré organizácie môžu potrebovať obe roly.
Prenáša vymenovanie zodpovednosť za náš súlad na zástupcu?
Nie. Vymenovanie neprenáša zodpovednosť prevádzkovateľa ani sprostredkovateľa. Organizácia musí naďalej plniť príslušné požiadavky a poskytovať informácie a spoluprácu potrebnú na fungovanie mandátu.
Aké informácie sú potrebné na posúdenie?
Potrebujeme právne subjekty a prevádzkarne, obsluhované trhy, indikátory cielenia, monitorovacie aktivity, frekvenciu spracúvania, kategórie osobných údajov, približný rozsah a prípadné existujúce kancelárie či zástupcov v EÚ alebo Spojenom kráľovstve.
Kedy by sa mala povinnosť preskúmať?
Preskúmajte ju pred vstupom na nový trh, spustením podstatne odlišného monitorovania alebo profilovania, zmenou štruktúry skupiny, otvorením alebo zatvorením prevádzkarne alebo podstatnou zmenou rozsahu či citlivosti spracúvania.