Фигурата на обработващия лични данни не е нова за Европейската регулация за защита на личните данни.
Както вече отменената Директива 95/46 /ЕО на Европейския парламент и на Съвета, така и Общият регламент относно защита на личните данни (Регламент (ЕС) 2016/679), по-известен като “GDPR”, приложим към настоящия момент в Република България предвиждат обработващия лични данни като физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.
На първо място, за да бъде определено дадено лице като обработваш лични данни от името на администратор, то това лице следва да не бъде част от структурата на администратора. В случай че администраторът извършва дейностите по обработване на личните данни чрез лица от своята структура, като служителите на трудов договор, то администраторът не е определил обработващ лични данни.
На следващо място, администраторът следва да е възложил на обработващия лични данни дейност, която изисква обработване на лични данни от негово име.
На трето място, обработването следва да се извършва в полза на администратора.
Задълженията и отговорностите на обработващия лични данни от името на администратор са въведени в чл.28 от Регламент (ЕС) 2016/679 (GDPR). Законодателят е въвел тези задължения и отговорности чрез един изключително интересен подход, а именно, изисквайки ги чрез администратора, главното действащо лице в GDPR.
По конкретно, чл.28 от GDPR изисква от администратора да използва само обработващи лични данни, които предоставят достатъчни гаранции за прилагането на подходящи технически и организационни мерки по такъв начин, че обработването да протича в съответствие с изискванията на Регламент (ЕС) 2016/679 (GDPR) и да осигурява защита на правата на субектите на данни.
Следователно, обработващият лични данни е задължен да въвежда и поддържа подходящи технически и организационни мерки по начин, който да гарантира тяхната сигурност и обработване в съответствие с Регламента. Задължението за осигуряване на сигурност на обработващия е изрично посочено също и в чл.32 от GDPR.
Накратко казано, обработващият е задължен:
1. да не включва друг обработващ лични данни без предварителното конкретно или общо писмено разрешение на администратора;
2. да обработва личните данни само по документирано нареждане на администратора;
3. да гарантира, че лицата, оправомощени да обработват личните данни, са поели ангажимент за поверителност или са задължени по закон да спазват поверителност;
4. в случай на включване на друг обработващ, да го задължи за същите мерки и отговорности, каквито той е поел пред администратора;
5. да съдейства на администратора при администриране на искания за упражняване на права на субектите на данни;
6. да подпомага администратора за изпълнение на задълженията му за осигуряване на сигурност на личните данни, както и свързаните с това задължения за уведомяване на надзорния орган и субектите на лични данни при нарушение на сигурността;
7. да заличава или връща на администратора всички лични данни след приключване на услугите по обработване и да заличава съществуващите копия, когато е приложимо;
8. да осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията му, и позволява и допринася за извършването на одити, включително проверки, от страна на администратора или друг одитор, оправомощен от администратора.
Регламент (ЕС) 2016/679 (GDPR) изисква именно тези задължения да са предвидени в договор или друг писмен акт между администратора и обработващия лични данни, и администраторът да ги изисква от обработващия.
Следва също да се отбележи, че както администраторът, така и обработващият имат задължение за документиране на своите дейности по обработване.
Така, Регламент (ЕС) 2016/679 (GDPR) е предвидил, че обработващият е задължен да поддържа в писмена форма, включително в електронен формат регистър на всички категории дейности по обработването, извършени от името на администратор, в който се съдържат:
– данни за контакт с обработващия и с администратора;
– категориите обработване, извършвано от името на всеки администратор;
– когато е приложимо, трансфера на лични данни;
– когато е възможно, общо описание на предприетите техническите и организационни мерки за сигурност. Всяко от тези задължения и отговорности изисква както от администратора, така и от обработващия лични данни предварително договаряне на етапа на възлагане на дейността по обработване на лични данни, и предприемане на действия за изпълнението им.
