Operator-Imputernicit

Pentru a înţelege mai bine care ar trebui să fie relaţia dintre operator şi împuternicit plecăm de la definiţiile acestor:

operator – persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;

împuternicit – persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului;

În articolele 24-29 din GDPR )670/2016  sunt stabilite reguli ce vizează responsabilitatea operatorului.

Operatorul recurge doar la persoane împuternicite care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să respecte cerințele prevăzute în prezentul regulament și să asigure protecția drepturilor persoanei vizate.

Prelucrarea de către o persoană împuternicită de un operator este reglementată printr-un contract sau alt act juridic în temeiul dreptului Uniunii sau al dreptului intern, are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul, stabilește obiectul și durata prelucrării, natura și scopul prelucrării, tipul de date cu caracter personal și categoriile de persoane vizate și obligațiile și drepturile operatorului, precum și obligațiile împuternicitului.

Relația operator – împuternicit

• trebuie să se facă pe bază de contract;
• împuternicitul nu poate adăuga alt împuternicit fără a se consulta cu operatorul;
• împuternicitul trebuie să asigure securitatea datelor prelucrate;
• personalul ce prelucrează date trebuie să încheie angajamente de confidențialitate;
• împuternicitul trebuie să informeze operatorul despre incidentele sale de securitate;
• împuternicitul lucrează după regulile şi instrucţiunile transmise de către operator.

Activitatea de prelucrare

• persoana împuternicită de operator și orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului, cu excepția cazului în care dreptul Uniunii sau dreptul intern îl obligă să facă acest lucru;
• evidențele activităților de prelucrare (se pun la dispoziția autorității de supraveghere, la cererea acesteia) atenție la art.30 (5);
• fiecare operator și, după caz, reprezentantul acestuia păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea lor – fiecare operator și, după caz, persoana împuternicită de operator păstrează o evidență a tuturor categoriilor de activități de prelucrare desfășurate în numele operatorului.

Obligații operator şi/sau împuternicit

• trebuie să se conformeze GDPR;
• trebuie să adopte măsuri tehnice și organizatorice pentru securitatea datelor;
• trebuie să păstreze evidenţe ale  operațiunilor de prelucrare;
• trebuie să coopereze cu autoritatea de supraveghere;
• trebuie să notifice autoritatea în cazul încălcării securității datelor cu caracter personal;
• operatorul informează persoana vizată fără întârziere;
• operatorul realizează evaluare de impact asupra datelor prelucrate;
• ambii numesc responsabil cu protecţia datelor după caz.

sursa:

Relația operator-împuternicit, în domeniul protecției datelor personale (Irina Alexe)