Encargado do tratamento (tratamento por conta doutro)
Un encargado do tratamento é un prestador, como unha empresa de aloxamento, que trata datos persoais por conta e segundo as instrucións doutra organización.
Que é o tratamento por conta doutro?
Moitas organizacións non o fan todo elas mesmas: alugan servidores a unha empresa de aloxamento, encargan o envío de newsletters a un servizo de correo ou usan software de contabilidade na nube. Se un provedor así trata datos persoais por conta da organización, o RXPD chámao encargado do tratamento (artigo 4, punto 8). A organización que encarga o traballo segue sendo a responsable do tratamento (artigo 4, punto 7).
O contrato segundo o artigo 28 do RXPD
O artigo 28 do RXPD esixe un contrato ou outro acto xurídico vinculante, a miúdo chamado contrato de encargado do tratamento. Establece, entre outras cousas, que o provedor só trata os datos seguindo instrucións documentadas, obriga o seu persoal a gardar confidencialidade, adopta medidas de seguranza axeitadas e só recorre a outros subencargados con autorización. Cando o servizo remata, debe eliminar ou devolver os datos, salvo que haxa obriga legal de conservalos.
Quen segue sendo responsable
O responsable só pode recorrer a provedores que ofrezan salvagardas técnicas e organizativas suficientes, e segue sendo responsable ante as persoas afectadas. Por iso, normalmente exerces os teus dereitos, como o acceso ou a supresión, fronte ao responsable. Se un encargado usa datos para os seus propios fins e decide el mesmo os fins e os medios, o artigo 28, apartado 10, do RXPD trátao como responsable respecto desse tratamento.
En que se diferencia doutros acordos
Non toda colaboración é un tratamento por conta doutro. Se dous organismos deciden conxuntamente os fins e os medios do tratamento, son corresponsables segundo o artigo 26 do RXPD. Un provedor que presta o seu propio servizo profesional, como unha asesoría fiscal ou un banco, adoita ser responsable por dereito propio. Se os datos se transfiren a un encargado de fóra da UE, tamén se aplican as normas sobre transferencias a terceiros países dos artigos 44 e seguintes do RXPD.
Preguntas frecuentes
Teño que facer algo eu como persoa usuaria?
Normalmente non. O contrato celébrase entre o responsable e o seu provedor. Con todo, o responsable ten que indicar na súa política de privacidade os destinatarios ou as categorías de destinatarios dos teus datos.
Ten que asinarse en papel un contrato de encargado do tratamento?
Non. Segundo o artigo 28, apartado 9, do RXPD, o contrato debe constar por escrito, pero a forma electrónica está expresamente permitida.
Que é un subencargado?
Outro provedor ao que o encargado recorre á súa vez, como un centro de datos. Isto só se permite coa autorización previa do responsable, e aplícanselle as mesmas obrigas de protección de datos.
Termos relacionados
Temas relacionados
Proba Friendstime
O rexistro leva un minuto e é gratuíto.