ทุกข้อผูกพันภายใต้ GDPR ล้วนเกี่ยวข้องกับบทบาท ผู้ควบคุมข้อมูลเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผล ในขณะที่ผู้ประมวลผลข้อมูลเป็นผู้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลและตามคำสั่งของผู้ควบคุมข้อมูล การกำหนดบทบาทของแต่ละฝ่ายเป็นขั้นตอนแรกในการประเมินการคุ้มครองข้อมูล เนื่องจากเป็นตัวตัดสินว่าใครต้องมีพื้นฐานทางกฎหมาย ใครจะเป็นผู้ตอบคำขอของเจ้าของข้อมูล ใครจะเป็นผู้รายงานการละเมิด และใครจะเป็นผู้รับผิดชอบ
การทดสอบนี้อิงตามข้อเท็จจริง ไม่ใช่ตามสัญญา
การเรียกฝ่ายใดฝ่ายหนึ่งว่าเป็นผู้ประมวลผลในสัญญาไม่ได้หมายความว่าฝ่ายนั้นจะเป็นผู้ประมวลผลจริงๆ สิ่งสำคัญคือใครเป็นผู้ตัดสินใจว่าจะประมวลผลข้อมูลเพื่ออะไร และโดยพื้นฐานแล้วประมวลผลอย่างไร ผู้ให้บริการที่ใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง เช่น เพื่อปรับปรุงผลิตภัณฑ์ สร้างโปรไฟล์ หรือทำการตลาดกับบุคคลที่เกี่ยวข้อง ถือเป็นผู้ควบคุมการประมวลผลนั้น ไม่ว่าข้อตกลงจะระบุไว้อย่างไรก็ตาม
โดยทั่วไปแล้ว ผู้ประมวลผลข้อมูลได้แก่ ผู้ให้บริการโฮสติ้ง บริษัทรับทำบัญชีเงินเดือนที่ทำตามคำสั่งอย่างเคร่งครัด และบริการส่งอีเมล ส่วนผู้ควบคุมข้อมูล แม้ว่าจะได้รับการว่าจ้างจากบุคคลอื่นก็ตาม ได้แก่ นักบัญชีที่ทำการตรวจสอบตามกฎหมาย ทนายความที่ดำเนินคดี และบริการด้านสุขภาพอาชีวะที่ปฏิบัติหน้าที่ตามวิชาชีพของตนเอง
ตัวควบคุมร่วม
ในกรณีที่สองฝ่ายร่วมกันกำหนดวัตถุประสงค์และวิธีการ ทั้งสองฝ่ายจะเป็นผู้ควบคุมข้อมูลร่วมกัน และต้องระบุความรับผิดชอบของแต่ละฝ่ายไว้ในข้อตกลงระหว่างกัน โดยเฉพาะอย่างยิ่งในส่วนที่เกี่ยวกับสิทธิของเจ้าของข้อมูลและหน้าที่ในการให้ข้อมูล สาระสำคัญของข้อตกลงนั้นต้องเปิดเผยให้บุคคลที่เกี่ยวข้องทราบ
การควบคุมร่วมกันเกิดขึ้นบ่อยกว่าที่องค์กรคาดคิด: แพลตฟอร์มที่ใช้ร่วมกัน แคมเปญร่วมกัน และหน้าโซเชียลมีเดีย ล้วนถูกพิจารณาว่าเป็นการควบคุมร่วมกัน เจ้าของข้อมูลสามารถใช้สิทธิของตนต่อผู้ควบคุมร่วมรายใดรายหนึ่งได้ โดยไม่คำนึงถึงการจัดสรรภายในองค์กร
ข้อตกลงการประมวลผล
ในกรณีที่มีการว่าจ้างผู้ประมวลผลข้อมูล จะต้องทำข้อตกลงเป็นลายลักษณ์อักษร ซึ่งมีข้อกำหนดระบุไว้ชัดเจน ได้แก่ หัวข้อและระยะเวลา ลักษณะและวัตถุประสงค์ ประเภทของข้อมูลและหมวดหมู่ของเจ้าของข้อมูล คำแนะนำของผู้ควบคุมข้อมูล การรักษาความลับ มาตรการรักษาความปลอดภัย เงื่อนไขในการว่าจ้างผู้ประมวลผลข้อมูลย่อย การให้ความช่วยเหลือเกี่ยวกับคำขอของเจ้าของข้อมูลและการแจ้งเตือนการละเมิดข้อมูล สิ่งที่จะเกิดขึ้นกับข้อมูลเมื่อสิ้นสุดกระบวนการ และสิทธิ์ในการตรวจสอบ
ในทางปฏิบัติ มีสองข้อกำหนดที่ก่อให้เกิดปัญหามากที่สุด คือ การประมวลผลต่อ: โดยทั่วไปแล้วอนุญาตให้มีการอนุญาตเป็นลายลักษณ์อักษรได้ แต่ผู้ประมวลผลต้องแจ้งให้ผู้ควบคุมทราบถึงการเปลี่ยนแปลงที่ตั้งใจไว้และให้โอกาสผู้ควบคุมในการคัดค้าน และการส่งคืนหรือลบข้อมูลเมื่อสิ้นสุดความสัมพันธ์: ควรตกลงกันว่าจะดำเนินการอย่างไรและในรูปแบบใด ก่อนที่ความสัมพันธ์จะสิ้นสุดลง แทนที่จะตกลงกันในระหว่างที่มีข้อพิพาท
ความรับผิดชอบ
ผู้ควบคุมข้อมูลต้องรับผิดชอบต่อความเสียหายที่เกิดจากการประมวลผลที่ละเมิดข้อบังคับ ส่วนผู้ประมวลผลข้อมูลจะรับผิดชอบก็ต่อเมื่อไม่ปฏิบัติตามข้อผูกพันที่กำหนดไว้สำหรับผู้ประมวลผลโดยเฉพาะ หรือกระทำการนอกเหนือจากคำสั่งที่ชอบด้วยกฎหมาย หากทั้งสองฝ่ายเกี่ยวข้องกับการประมวลผลเดียวกัน แต่ละฝ่ายอาจต้องรับผิดชอบต่อความเสียหายทั้งหมดที่เกิดขึ้นกับบุคคลนั้น โดยสามารถตกลงกันเองได้ในภายหลัง ซึ่งเป็นเหตุผลว่าทำไมข้อกำหนดเกี่ยวกับการชดใช้ค่าเสียหายในข้อตกลงการประมวลผลข้อมูลจึงควรเจรจาอย่างรอบคอบ
คำแนะนำ
เราประเมินบทบาทในห่วงโซ่ข้อมูล ร่างและตรวจสอบข้อตกลงการประมวลผลและการจัดการผู้ควบคุมข้อมูลร่วมกัน และให้คำแนะนำเกี่ยวกับความรับผิดหลังเกิดเหตุการณ์ โปรดติดต่อเรา Law & More.
