Encarregat del tractament (tractament per encàrrec)
Un encarregat del tractament és un proveïdor, com un allotjament web, que tracta dades personals per encàrrec i segons instruccions d'una altra organització.
Què és el tractament per encàrrec?
Moltes organitzacions no ho gestionen tot elles mateixes: lloguen servidors a una empresa d'allotjament, fan enviar butlletins per un servei de correu o fan servir programari de comptabilitat al núvol. Si un proveïdor així tracta dades personals per compte de l'organització, el RGPD el denomina encarregat del tractament (article 4(8) del RGPD). L'organització que encarrega el treball continua sent la responsable del tractament (article 4(7) del RGPD).
El contracte segons l'article 28 del RGPD
L'article 28 del RGPD exigeix un contracte o un altre acte jurídic vinculant, sovint anomenat contracte d'encàrrec del tractament o DPA (data processing agreement). Entre altres coses, estableix que el proveïdor tracta les dades només segons instruccions documentades, obliga el seu personal a la confidencialitat, adopta mesures de seguretat adequades i només recorre a altres subencarregats amb autorització. Quan acaba el servei, ha de suprimir o retornar les dades, tret que hi hagi una obligació legal de conservar-les.
Qui continua sent responsable
El responsable del tractament només pot recórrer a proveïdors que ofereixin mesures de protecció tècniques i organitzatives suficients, i continua responent davant de les persones afectades. Per tant, normalment exerceixes els teus drets, com l'accés o la supressió, davant del responsable. Si un encarregat fa servir les dades per a les seves pròpies finalitats i decideix ell mateix les finalitats i els mitjans, l'article 28(10) del RGPD el tracta com a responsable pel que fa a aquest tractament.
En què es diferencia d'altres acords
No tota col·laboració és tractament per encàrrec. Si dos organismes decideixen conjuntament les finalitats i els mitjans del tractament, són corresponsables segons l'article 26 del RGPD. Un proveïdor que presta el seu propi servei professional, com un assessor fiscal o un banc, sovint és responsable pel seu compte. Si les dades es transfereixen a un encarregat fora de la UE, també s'apliquen les normes sobre transferències a tercers països dels articles 44 i següents del RGPD.
Preguntes freqüents
Com a usuari, he de fer res?
Normalment no. El contracte es concerta entre el responsable i el seu proveïdor. Tanmateix, el responsable ha d'indicar a la seva política de privadesa els destinataris o les categories de destinataris de les teves dades.
El contracte d'encàrrec s'ha de signar en paper?
No. Segons l'article 28(9) del RGPD, el contracte ha de constar per escrit, però la forma electrònica està expressament permesa.
Què és un subencarregat?
Un altre proveïdor al qual l'encarregat recorre al seu torn, com ara un centre de dades. Això només és permès amb l'autorització prèvia del responsable, i se li apliquen les mateixes obligacions de protecció de dades.
Conceptes relacionats
Temes relacionats
Prova Friendstime
Registrar-se només porta un minut i és gratuït.