Pagpaambit sa datos sa GDPR sa mga ikatulo nga partido: 7 ka risgo

Mahimo ka lang mopaambit sa personal nga datos ubos sa GDPR kon ikaw adunay legal nga basehan ubos sa Artikulo 6, nakadesisyon na sa sinulat kon ang nakadawat usa ka processor o controller, ug nakapahibalo na sa mga tawo nga nabalaka bahin sa pagpaambit. Kining tulo ka mga kondisyon naglangkob sa kadaghanan sa mga sayop nga mahitabo. Ang mga nag-unang eksepsiyon mao ang mga pagbalhin gawas sa European Economic Area (EEA) ug high-risk processing, nga adunay dugang nga mga kinahanglanon.

Sa Netherlands, ang Dutch Data Protection Authority ( Autoriteit Persoonsgegevens , AP) nagpatuman sa GDPR uban sa Dutch implementing act ( Uitvoeringswet AVG , UAVG). Ang personal nga datos motabok sa mga utlanan sa organisasyon sa tanang panahon: ngadto sa usa ka cloud provider, usa ka payroll bureau, usa ka marketing agency, usa ka debt collector o usa ka group company sa gawas sa nasud. Ang matag usa niining mga agos usa ka lahi nga operasyon sa pagproseso nga nanginahanglan sa kaugalingon nga katarungan. Sa ubos among gilatid ang pito ka mga risgo nga balik-balik nga mahitabo sa praktis, ang mga probisyon nga ilang gipatuman, ug kung unsa ang imong mahimo bahin sa matag usa sa dili pa ang AP o usa ka claimant mopataas sa pangutana.

Risgo 1: nagpaambit ka ba og datos nga walay balido nga legal nga basehan?

Ang matag pagbutyag sa personal nga datos nagkinahanglan og usa sa unom ka legal nga basehan sa Artikulo 6(1) GDPR. Ang komersyal nga hinungdan dili usa niini.

Ang unom ka basehan kompleto: pagtugot, pagtuman sa usa ka kontrata, legal nga obligasyon, importanteng interes, publikong buluhaton ug lehitimong interes. Ang Artikulo 5(1)(a) midugang nga ang pagproseso kinahanglan kanunay nga legal, patas ug transparent. Ang basehan nga anaa sa papel apan wala gyud gipasabut kang bisan kinsa nagbilin gihapon og kakulangan.

Ngano nga ang lehitimong interes usa ka lit-ag?

Ang lehitimong mga interes mao ang sukaranan nga kasagarang gigamit sa pagpaambit sa mga kauban ug mga supplier, ug ang kasagarang gigamit sa sayop nga paagi. Nagkinahanglan kini og tulo ka lakang nga pagsulay:

ang interes kinahanglan nga lehitimo;
ang pagpaambit kinahanglan nga gikinahanglan aron maserbisyuhan kini;
ang interes dili angay nga malabwan sa mga katungod ug kagawasan sa mga tawong hingtungdan.

Kinahanglan nimong ipahigayon ug irekord kini nga pagsulay sa pagbalanse sa dili pa magsugod ang pagpaambit. Ang Artikulo 5(2) GDPR nagbutang sa palas-anon sa pagpakita sa pagsunod sa controller (responsibilidad). Ang usa ka lehitimong pagtimbang-timbang sa interes nga gisulat human moabot ang usa ka reklamo gamay ra kaayo ang bili.

Kumusta man ang pagtugot ug limitasyon sa katuyoan?

Duha pa ka lit-ag ang angayng nganlan. Ang pagtugot sa usa ka relasyon sa panarbaho talagsa ra nga balido, tungod kay ang dili balanse nga gahum nagpasabut nga dili kini gawasnon nga gihatag. Ang usa ka amo nga nagsalig niini alang sa pagpaambit sa datos kasagaran wala magsalig sa bisan unsa.

Ang limitasyon sa katuyoan ubos sa Artikulo 5(1)(b) magamit sa pagpaambit sama sa orihinal nga koleksyon. Ang datos nga natipon aron maghatag usa ka serbisyo dili basta-basta ipasa sa usa ka kauban alang sa pagpamaligya tungod kay ang lohika sa komersyo madanihon. Kung ang bag-ong katuyoan dili nahiuyon sa orihinal, kinahanglan nimo ang usa ka bag-ong basehan.

Unsay buhaton: sa dili pa mobiya ang bisan unsang personal nga datos sa imong organisasyon, ilha ang basehan, isulat kini ug susiha nga ang imong pahibalo sa pribasiya naghulagway na sa pagpaambit. Kung ang basehan lehitimong interes, ang pagtimbang-timbang nahisakop sa file. Kung kini pagtugot, kana nga pagtugot kinahanglan nga gihatag nga gawasnon, espesipiko, nahibal-an ug dili maduhaduhaon, ug dali nga bawion sama sa paghatag niini kaniadto.

Risgo 2: nasayop ba ang imong pagkapili sa mga tahas sa controller ug processor?

Ang usa ka tigkontrol ang modesisyon sa mga katuyoan ug paagi sa pagproseso; ang usa ka tigproseso molihok lamang base sa dokumentado nga mga instruksyon sa tigkontrol (Artikulo 4(7) ug (8) GDPR). Ang importante mao kung kinsa gyud ang modesisyon, dili kung unsa ang gitawag sa kontrata sa mga partido.

Ang sayop nga klasipikasyon nagmugna og mga obligasyon nga walay motuman. Ang kasagarang sayop mao ang pag-label sa matag supplier og processor. Apan wala sa mga mosunod ang molihok base lang sa mga instruksyon:

usa ka SaaS provider nga naggamit sa datos sa kustomer aron mapaayo ang kaugalingon nga produkto;
usa ka accountant nga gigapos sa mga propesyonal nga lagda;
usa ka bangko nga nagbayad;
usa ka plataporma sa advertising nga nagtukod sa kaugalingon nga mga profile sa mamiminaw.

Ang matag usa usa ka tigkontrol sa kaugalingon nga katungod alang sa labing menos bahin sa pagproseso. Kung ang duha ka organisasyon dungan nga nagtino sa mga katuyoan ug mga paagi, sila mga hiniusa nga tigkontrol ubos sa Artikulo 26 GDPR. Kinahanglan nilang itakda ang ilang tagsa-tagsa ka mga responsibilidad sa usa ka kahikayan, ug ang esensya sa maong kahikayan kinahanglan nga magamit sa mga tawo nga hingtungdan.

Unsa ka lapad ang paghubit sa EU Court of Justice sa hiniusang pagkontrol?

Sa kinatibuk-an. Sa Fashion ID (C-40/17), ang Korte sa Hustisya mihukom nga ang usa ka operator sa website nga nag-embed sa usa ka third-party social plug-in usa ka joint controller alang sa pagkolekta ug pagpadala sa datos sa mga bisita. Mao kana bisan kung wala kini access sa datos pagkahuman ug wala nakahukom kung unsa ang sunod nga nahitabo. Igo na ang partial nga impluwensya sa mga katuyoan. Ang praktikal nga sangputanan mao ang joint liability: mahimo kang manubag sa usa ka paglapas nga wala nimo hinungdan ug wala nimo makita.

Unsay buhaton: i-mapa una ang mga agos sa datos ug pangutan-a, alang sa matag agos, kinsa ang modesisyon nganong ug unsaon pagproseso ang datos. Irekord ang konklusyon, dayon idokumento kini sa husto. Gamita ang usa ka kasabutan sa pagproseso ubos sa Artikulo 28 para sa mga processor ug usa ka kasabutan sa hiniusa nga controller ubos sa Artikulo 26 diin ang duha ka partido ang modesisyon. Kung ang duha ka independente nga controller magbayloay og datos, ang ordinaryong mga termino sa kontrata ug ang kaugalingong pagsunod sa matag partido ang mahimo.

Risgo 3: nawala ba o depektoso ang imong kasabutan sa pagproseso sa datos?

Kon ang usa ka processor modumala sa personal nga datos para kanimo, ang Artikulo 28(3) GDPR nagkinahanglan og sinulat nga kontrata. Kung wala kini, ikaw nakalapas gikan sa pagsugod sa pagproseso, bisan kung walay problema nga mahitabo.

Walay kadaot nga kinahanglan nga mahitabo ug walay datos nga kinahanglan nga mogawas. Ang pagkawala sa kasabutan mao mismo ang paglapas, ug kini usa sa pinakasayon nga matukod sa usa ka superbisor nga awtoridad.

Ang sulod gimando sa balaod, dili ibilin sa mga partido. Ang usa ka nahiuyon nga kasabutan sa pagproseso sa datos kinahanglan mag-ingon:

ang hilisgutan ug gidugayon sa pagproseso;
ang kinaiya ug katuyoan niini;
ang mga klase sa personal nga datos ug ang mga kategorya sa mga tawo nga hingtungdan;
mga obligasyon ug katungod sa tigkontrol.

Kinahanglan usab niini nga ihigot ang processor sa:

proseso lamang subay sa dokumentadong mga instruksyon;
ipatuman ang kompidensyalidad sa mga kawani niini;
mohimo sa mga lakang sa seguridad nga gikinahanglan sa Artikulo 32;
tabang sa mga hangyo gikan sa mga data subject ug sa notipikasyon sa paglapas;
papason o ibalik ang datos sa katapusan sa pakigsabot;
ihatag sa controller ang impormasyon nga gikinahanglan aron ipakita ang pagsunod, ug tugotan ang mga pag-awdit.

Ngano nga ang mga sub-processor clause kanunay nga mapakyas?

Ubos sa Artikulo 28(2) ug (4), ang processor nagkinahanglan sa imong naunang espesipiko o kinatibuk-ang sinulat nga awtorisasyon alang sa bisan unsang sub-processor. Uban sa kinatibuk-ang awtorisasyon, ang processor kinahanglan nga mopahibalo kanimo sa gituyo nga mga pagbag-o ug mohatag kanimo og higayon sa pagsupak.

Ang usa ka clause nga nagtugot lang sa processor nga makig-uban sa bisan kinsa nga gusto niini wala makaabot sa maong sukdanan. Mao gyud kini ang clause nga importante kung ang usa ka kadena sa mga supplier moabot sa usa ka nasud nga walay nag-assess.

Unsay buhaton: pagtrabaho gikan sa usa ka template nga nagsunod sa Artikulo 28(3) clause por clause, ug ribyuha ang mga kasabutan nga naa na imbes nga maghunahuna nga ang kaugalingon nga mga termino sa supplier igo na. Ang mga dugay nang relasyon mao ang lagmit nga walay dokumentasyon, tungod kay ang mga papeles wala gyud prayoridad sa dihang ang relasyon bag-o pa.

Risgo 4: nagbalhin ka ba og datos gawas sa EEA nga walay mga panalipod?

Ang pagbalhin gawas sa EEA gitugotan lamang base sa usa ka desisyon sa kaangayan o angay nga mga panalipod, sama sa standard nga mga klausa sa kontrata. Ang mga eksepsiyon sa Artikulo 49 alang lamang sa panagsa nga mga sitwasyon.

Ang Kapitulo V GDPR nagdili sa pagbalhin sa personal nga datos ngadto sa mga nasud gawas sa EEA. Gitugotan ang pagbalhin kung ang European Commission nagsagop og desisyon sa kaangayan alang sa destinasyon (Artikulo 45). Gitugotan usab kini kung adunay angay nga mga panalipod (Artikulo 46), kasagaran ang standard nga mga contractual clause (SCC) sa Komisyon o mga balaod sa korporasyon nga nagbugkos. Ang mga pagpaubos sa Artikulo 49, sama sa klaro nga pagtugot o panginahanglan alang sa usa ka kontrata, dili makasuporta sa usa ka structural data flow.

Kasagaran wala tagda sa mga negosyo nga ang pagbalhin mahitabo bisan kanus-a ma-access ang datos gikan sa gawas sa EEA, dili lang kung kini gikopya didto. Ang kontrata sa usa ka entidad sa EU dili makatabang kung ang mga kawani sa suporta sa laing kontinente makaabli sa database. Ang remote administration sa usa ka ginikanan nga kompanya sa gawas sa nasud usa ka pagbalhin, bisan kung ang mga server magpabilin sa Frankfurt.

Unsay kahulugan sa Schrems II ug sa Data Privacy Framework para nimo?

Sa Schrems II (C-311/18), gi-invalidate sa Court of Justice ang EU-US Privacy Shield. Gipahayag usab niini nga ang standard contractual clause dili igo kon kini ra. Kinahanglan nga susihon sa exporter kon ang balaod sa destinasyon nga nasud ba makadaot sa proteksyon nga gisaad sa mga clause, ug modugang og dugang nga mga lakang kon kini makadaot. Gikinahanglan gihapon ang transfer impact assessment (TIA) alang sa matag pagbalhin base sa Artikulo 46.

Alang sa Estados Unidos, ang posisyon nausab sa usa ka bahin. Ang Komisyon misagop og desisyon sa kaangayan alang sa EU-US Data Privacy Framework (DPF) niadtong Hulyo 2023. Niadtong Septiyembre 3, 2025, ang General Court sa EU nagbasura sa usa ka aksyon alang sa pag-anular niini ( Latombe , T-553/23). Busa, ang mga pagbalhin ngadto sa usa ka organisasyon sa US nga aktuwal nga sertipikado ubos sa balangkas, alang sa datos nga nasakup sa sertipikasyon niini, mahimong magsalig sa kaangayan. Ang mga pagbalhin ngadto sa bisan kinsang laing nakadawat sa US dili mahimo. Susiha ang sertipikasyon imbes nga hunahunaon kini.

Unsay buhaton: ilista ang mga pagbalhin gikan sa ikatulong nasud nga natago sa imong supply chain, lakip ang mga sub-processor ug mga kahikayan sa suporta. Alang sa matag usa, hibal-i kung ang pagkaangay magamit. Kung dili, ibutang ang kasamtangang bersyon sa standard nga mga clause sa kontrata, ipatuman ug idokumento ang usa ka pagtimbang-timbang sa epekto sa pagbalhin, ug irekord ang mga dugang nga lakang nga imong gisaligan, sama sa lig-on nga encryption nga adunay mga yawe nga gihuptan sa EEA. Ang AP mahimong magmando nga ang usa ka pagbalhin masuspinde, nga kasagaran mas makabalda kaysa multa.

Risgo 5: wala ka ba moapil sa data protection impact assessment?

Ang Artikulo 35 sa GDPR nagkinahanglan og data protection impact assessment (DPIA) diin ang pagproseso lagmit moresulta sa taas nga risgo sa mga indibidwal. Ang pagpaambit sa datos kasagarang molapas sa maong sukdanan nga mas sayo kay sa gilauman sa mga organisasyon.

Ang Artikulo 35(3) nagngalan ug tulo ka mga kaso nga klarong nag-ingon:

sistematiko ug halapad nga awtomatik nga ebalwasyon sa personal nga mga aspeto, diin gibase ang mga desisyon nga adunay legal o parehas nga hinungdanon nga mga epekto;
dakong pagproseso sa mga espesyal nga kategorya sa datos o datos sa kriminal nga kombiksyon;
sistematikong pagmonitor sa usa ka lugar nga ma-access sa publiko sa dakong sukod.

Ang AP nagpatik usab og lista sa mga operasyon sa pagproseso diin kanunay gikinahanglan ang usa ka DPIA. Kana nga lista mao ang unang lugar nga pangitaon sa dili pa magsugod ang usa ka bag-ong proyekto sa pagpaambit sa datos.

Ang kinahanglanon kanunay nga wala kaayo gihatagan og bili tungod kay ang mga organisasyon nagkonektar sa mga DPIA sa dagkong mga proyekto. Sa praktis, ang paghiusa sa mga dataset gikan sa lainlaing mga gigikanan, pagpaambit sa datos sa panglawas o biometric sa usa ka analytics provider, paggamit sa profiling o automated decision-making, o pagpaila sa usa ka himan nga nag-obserbar sa mga empleyado kanunay nga molapas sa sukdanan sa kaugalingon.

Unsa ang kinahanglan nga sulod sa usa ka DPIA?

Ang DPIA usa ka istrukturado nga ehersisyo, dili usa ka porma. Kinahanglan niini nga ihulagway ang pagproseso ug ang mga katuyoan niini, susihon ang panginahanglan ug proporsyonalidad, mailhan ang mga risgo sa mga tawo nga hingtungdan ug itakda ang mga lakang nga motubag niini, lakip ang mga panalipod ug mga lakang sa seguridad.

Kon ang assessment nagpakita og taas nga residual risk nga dili nimo mapakunhod, ang Article 36 nagkinahanglan og konsultasyon daan sa AP sa dili pa magsugod ang pagproseso. Ang pagkapakyas sa pagtuman sa gikinahanglan nga DPIA usa ka paglapas sa iyang kaugalingon, bisan unsa pa ang resulta sa pagproseso.

Unsay buhaton: susiha ang matag bag-ong kahikayan sa pagpaambit sa datos base sa mga kriterya sa Artikulo 35(3) ug sa listahan sa AP. Iapil ang opisyal sa pagpanalipod sa datos kon naa kay usa. Hupti ang pagtimbang-timbang isip usa ka buhing dokumento ug balika kini kon mausab ang pagproseso. Kon ang tubag dili gyud klaro, ang paghimo sa DPIA mas barato kay sa pagdepensa sa desisyon nga dili pagbuhat niini.

Risgo 6: gamay ra ba kaayo ang imong gisulti sa mga tawo bahin sa pagpaambit?

Ang transparency usa ka lahi nga obligasyon. Mahimo nimo kining lapason bisan kung ang pagpaambit mismo hingpit nga legal.

Ang Artikulo 13 GDPR naglangkob sa datos nga nakolekta gikan sa indibidwal; Ang Artikulo 14 naglangkob sa datos nga nakuha gikan sa laing tinubdan. Pareho silang nagkinahanglan sa tigkontrol nga ipahayag ang mga katuyoan ug legal nga basehan sa pagproseso ug ang mga nakadawat, o mga kategorya sa mga nakadawat, sa personal nga datos.

Ang mga pahibalo sa pribasiya mapakyas niining puntoha sa usa ka matag-an nga paagi. Ang usa ka sentence nga nag-ingon nga ang datos "mahimong ipaambit sa mga kasaligang kauban" wala magpasabot ug bisan unsa. Ang pahibalo kinahanglan nga nganlan ang mga kategorya sa mga nakadawat sa konkreto, sama sa mga hosting provider, mga administrador sa payroll o mga ahensya sa credit reference. Kung ang pagpaambit anaa sa usa ka piho nga organisasyon, kasagaran mas klaro nga nganlan kini. Kung ang datos gibalhin sa gawas sa EEA, ang Artikulo 13(1)(f) ug 14(1)(f) nagkinahanglan nga ang pahibalo moingon niini, aron mailhan ang panalipod nga gisaligan ug aron ipasabut kung giunsa makuha ang usa ka kopya.

Unsa ang dugang nga magamit kung dili ikaw ang nagkolekta sa datos?

Ubos sa Artikulo 14, ang pahibalo kinahanglan usab nga maghisgot sa mga kategorya sa personal nga datos ug sa ilang gigikanan. Kinahanglan nimo kining ihatag sulod sa makatarunganon nga panahon ug labing ulahi sulod sa usa ka bulan, o sa unang komunikasyon sa tawo kon kini moabut og mas sayo.

Ang pagpalit og marketing list ug paggamit niini nga wala gyud magsulti sa mga tawo niini usa sa pinakaklaro nga kalapasan nga nahimo. Ang among giya sa paghimo og privacy policy sa Netherlands naglatid sa kompletong impormasyon nga kinahanglan ilakip sa notisya.

Unsay buhaton: ribyuha ang pahibalo matag higayon nga adunay bag-ong makadawat nga idugang, ug i-update kini sa dili pa magsugod ang pagpaambit, dili sa sunod nga tinuig nga pagrepaso. Ubos sa Artikulo 12(1), ang mga pahibalo kinahanglan usab nga mubo, masabtan ug gisulat sa klaro ug yano nga pinulongan. Ang paglista sa matag mahunahunaan nga makadawat sa usa ka dokumento nga dili mabasa sa bisan kinsa dili makasulbad sa problema.

Risgo 7: gitratar ba nimo ang datos nga gi-alyas isip anonymous?

Ang datos nga gihimong peke (pseudonymized) kay personal gihapon nga datos. Ang tinuod nga pag-anonymize lang ang mokuha sa datos gawas sa GDPR.

Ang Artikulo 4(5) GDPR naghubit sa pseudonymization isip pagproseso sa personal nga datos aron dili na kini ma-link sa usa ka piho nga tawo nga walay dugang nga impormasyon, nga gitipigan nga gilain ug gipanalipdan. Ang kahulugan nag-ingon nga ang pag-link sa datos balik posible gihapon. Mao kana ang nagpalahi niini gikan sa anonymisation. Gikumpirma sa Recital 26 nga ang datos nga mahimo gihapon nga ikapasangil sa usa ka tawo nga naggamit og dugang nga impormasyon magpabilin sulod sa sakup sa GDPR.

Motumaw ang risgo kon ang paggamit og pseudonym isipon nga lisensya sa pagpaambit nga gawasnon. Ang pag-ilis sa mga ngalan og mga numero sa kustomer dili magtangtang sa panginahanglan alang sa legal nga basehan, usa ka kasabutan sa pagproseso, usa ka panalipod sa pagbalhin o usa ka pahibalo sa pribasiya. Importante kaayo kon kinsa ang naghupot sa yawe ug unsang ubang mga dataset ang naa sa nakadawat. Ang mga rekord nga gi-pseudonym nga giubanan sa postcode, petsa sa pagkatawo ug usa ka kasaysayan sa transaksyon kanunay nga mailhan pag-usab. Ang pagtimbang-timbang kinahanglan nga magkonsiderar sa mga paagi nga lagmit gamiton sa nakadawat, dili lamang kanimo.

Ang tinuod nga anonymisation, diin ang pag-ila pag-usab dili na posible sa bisan unsang paagi nga lagmit gamiton, mokuha og datos gawas sa GDPR. Lisod usab kini makab-ot ug dali ra angkonon. Ang pag-ipon sa gagmay nga mga grupo, talagsaon nga mga kombinasyon sa mga hiyas ug dato nga datos sa pamatasan tanan makapildi niini.

Unsay buhaton: isipa ang datos nga gi-alyas, ug busa personal nga datos, gawas kon ang usa ka dokumentado ug teknikal nga maayong proseso sa pag-anonymize nagpakita og lahi. Irekord ang teknikal ug organisasyonal nga mga lakang nga nagbulag sa yawe. Ang positibo nga bahin tinuod: Ang Artikulo 32 naglista sa pag-alyas isip usa ka angay nga lakang sa seguridad, ug kini pabor kanimo kung ang usa ka paglapas gisusi. Gipamenos niini ang mga sangputanan sa usa ka leak, apan dili ang mga obligasyon nga magamit sa wala pa kini.

Unsa ang hitsura sa pagpatuman sa balaod sa Netherlands?

Ang AP mahimong magpasidaan, magbadlong, magmando sa pagsunod, magdili sa pagproseso, mosuspinde sa mga pagbalhin ug magpahamtang og multa nga hangtod sa EUR 20 milyon o 4% sa tinuig nga kita sa tibuok kalibutan. Ang mga indibidwal ug mga pundasyon mahimo usab nga mangayo og danyos.

Ang AP nagdumala sa pagsunod sa GDPR ug sa UAVG. Mahimo kini nga mag-imbestiga sa kaugalingon niining inisyatibo o human sa usa ka reklamo. Ang mga gahum niini ubos sa Artikulo 58 GDPR gikan sa usa ka pasidaan ug usa ka pagbadlong, pinaagi sa usa ka mando aron mapatuman ang pagproseso, ngadto sa usa ka temporaryo o permanente nga pagdili sa pagproseso ug usa ka mando nga nagsuspende sa pag-agos sa datos ngadto sa usa ka nakadawat sa usa ka ikatulo nga nasud. Ang multa usa lamang sa mga himan. Alang sa usa ka negosyo nga nagsalig sa usa ka partikular nga pag-agos sa datos, talagsa ra kini ang labing makadaot.

Unsa kataas ang mahimong multa?

Ang Artikulo 83 sa GDPR adunay duha ka ang-ang sa pinakataas nga multa. Sa matag ang-ang, ang pinakataas usa ka piho nga kantidad o porsyento sa kinatibuk-ang tinuig nga kita sa tibuok kalibutan sa miaging tuig sa panalapi, hain man ang mas taas.

Ubos nga lebel: hangtod sa EUR 10 milyon o 2% sa turnover, alang sa mga paglapas sa mga obligasyon sama sa naa sa Artikulo 25 hangtod 39. Apil niini ang kawalay kasabutan sa pagproseso o gikinahanglan nga DPIA.
Mas taas nga ang-ang: hangtod sa EUR 20 milyon o 4% sa turnover, alang sa mga paglapas sa mga batakang prinsipyo, legal nga basehan, mga katungod sa mga sakop sa datos ug mga lagda sa internasyonal nga pagbalhin.

Alang sa usa ka grupo sa mga kompanya, ang porsyento imbes nga ang gitakdang kantidad kasagaran ang may kalabutan nga numero. Ang Artikulo 83(2) naglista sa mga hinungdan nga nagtino sa kantidad, lakip ang kinaiya ug gidugayon sa paglapas, tinuyo man o wala, ang mga lakang nga gihimo aron limitahan ang kadaot ug ang lebel sa kooperasyon sa awtoridad.

Mahimo ba nga mangayo og danyos ang mga indibidwal?

Oo. Ang Artikulo 82 GDPR naghatag sa bisan kinsa nga nakaagom og materyal o dili materyal nga kadaot og katungod sa kompensasyon gikan sa controller o processor.

Sa Netherlands, ang maong mga pag-angkon nagkadaghan nga gihiusa sa mga pundasyon nga naglihok alang sa dagkong mga grupo, ubos sa Balaod sa pagsulbad sa mga danyos sa kadaghanan sa mga kolektibong aksyon ( Wet afwikkeling massaschade in collectieve actie , WAMCA). Ang usa ka gipatik nga desisyon sa AP usa ka kombenyente nga sinugdanan alang sa maong pag-angkon.

Unsa man kon ang ilegal nga pagpaambit mosangpot sa paglapas sa datos?

Ang paglapas sa personal nga datos adunay kaugalingong eskedyul. Ang Artikulo 33 sa GDPR nagkinahanglan sa pagpahibalo sa AP nga walay paglangan ug, kon mahimo, sulod sa 72 oras human kini mahibaw-i, gawas kon ang paglapas dili lagmit nga moresulta sa peligro sa mga indibidwal.

Ubos sa Artikulo 34, kinahanglan usab nimo nga ipahibalo sa mga tawo nga apektado nga walay paglangan kon ang paglapas lagmit nga moresulta sa taas nga risgo kanila. Ang tanan nga mga paglapas kinahanglan nga idokumento sa sulod, lakip na kadtong wala nimo ipahibalo, ug ang rason sa dili pagpahibalo kabahin sa maong rekord.

Unsaon nimo paghimo sa imong data sharing nga hapsay?

Sugdi gikan sa imong rekord sa mga kalihokan sa pagproseso, ug susiha ang papel sa matag nakadawat, legal nga basehan, kontrata, pagbalhin ug pahibalo sa pribasiya. Dayon ilakip kini nga mga pagsusi sa imong proseso sa pagpamalit.

Ang pito ka mga risgo sa ibabaw adunay usa ra ka hinungdan. Ang pagpaambit gihan-ay sa operasyon, sa grupo nga nanginahanglan sa datos aron mabalhin, ug idokumento pagkahuman o dili gyud. Ang solusyon parehas nga praktikal:

Sugdi gikan sa rekord. Kinahanglan nga anaa na ang rekord sa mga kalihokan sa pagproseso ubos sa Artikulo 30, ug kini magpugos kanimo sa pagngalan sa matag makadawat.
Susiha ang matag makadawat. Alang sa matag usa, ilha ang papel, ang legal nga basehan, ang kontrata, ang posisyon sa pagbalhin ug kung unsa ang giingon sa pahibalo sa pribasiya. Kadaghanan sa mga organisasyon nakakita og duha o tulo ka mga proseso nga walay makatubag.
Ilakip kini sa pagpamalit. Siguruha nga walay supplier nga ma-onboard kung walay processing agreement, transfer analysis, ug DPIA screening, ug hatagi ang usa ka tawo og awtoridad sa paghunong sa onboarding nga mapakyas.
Pagrepaso sa pagbag-o. Tan-awa pag-usab kon adunay bag-ong sub-processor, bag-ong katuyoan o bag-ong nasud nga makita, o kon ang usa ka pag-angkon magdala sa pag-agos sa datos sa uban ngadto sa grupo.

Ang Artikulo 5(2) nagkinahanglan nga ikaw makahimo sa pagpakita sa pagsunod, nga usa ka obligasyon bahin sa mga rekord sama sa bahin sa pamatasan. Alang sa mga kontrata sa mga IT supplier ilabi na, ang among IT law practice nagpatin-aw kon giunsa ang mga termino sa pagpanalipod sa datos nakig-uban sa mga komersyal nga termino.

Sa sumada

Ang matag pagpaambit sa personal nga datos nanginahanglan og legal nga basehan ubos sa Artikulo 6 GDPR; dili igo ang usa ka komersyal nga rason.
Tinoa alang sa matag nakadawat kung kini usa ka processor, usa ka joint controller o usa ka independent controller, ug idokumento kini sumala niana.
Ang usa ka kasabutan sa pagproseso ubos sa Artikulo 28 mandatory alang sa mga processor; kung wala kini, ikaw nakalapas na sukad pa sa unang adlaw.
Ang mga pagbalhin gawas sa EEA nanginahanglan og kaangayan (sama sa sertipikasyon sa DPF) o mga panalipod dugang sa usa ka pagtimbang-timbang sa epekto sa pagbalhin.
Ang datos nga gihimong peke (assued) personal gihapon nga datos; kinahanglan nga konkreto nga nganlan sa imong pahibalo sa pribasiya ang mga nakadawat.

Kanunayng pangutana

Kanus-a gitugotan ang pagpaambit sa datos ubos sa GDPR?

Kon duna kay balido nga legal nga basehan ubos sa Artikulo 6 GDPR: pagtugot, pagtuman sa usa ka kontrata, legal nga obligasyon, importanteng interes, publikong buluhaton o lehitimong interes. Kinahanglan usab nimo nga respetuhon ang mga prinsipyo sa Artikulo 5, sama sa pagka-legal, patas, transparency, limitasyon sa katuyoan, pagminus sa datos, katukma, limitasyon sa pagtipig, integridad ug kompidensyalidad. Sa praktis: idokumento kon nganong imong gipaambit ang datos, susiha nga ang katuyoan mohaom sa hinungdan sa imong pagkolekta niini, ug ipahibalo sa mga tawo nga hingtungdan.

Unsa ang kalainan tali sa usa ka controller ug usa ka processor?

Ang usa ka controller ang modesisyon sa mga katuyoan ug paagi sa pagproseso sa personal nga datos. Ang usa ka processor ang moproseso sa datos alang sa controller ug base sa mga instruksyon niini. Ang mga controller ang adunay pangunang responsibilidad sa pagsunod sa GDPR; ang mga processor adunay mas limitado nga mga katungdanan, labi na ang seguridad, kompidensyalidad, ug pagsunod sa mga instruksyon. Ang usa ka payroll provider o cloud storage service kasagaran usa ka processor. Ang usa ka supplier nga naggamit usab sa datos alang sa kaugalingon nga mga katuyoan mahimong usa ka controller o joint controller. Ang sayop nga pagkahimo sa mga tahas mosangpot sa mga kakulangan sa accountability ug mahimong makamugna og joint liability.

Kanus-a mandatory ang usa ka data processing agreement (DPA)?

Bisan kanus-a ka mokuha og processor aron pagdumala sa personal nga datos alang kanimo (Artikulo 28 GDPR), bisan unsa pa ang gidak-on sa imong organisasyon o ang gidaghanon sa datos. Ang kasabutan kinahanglan nga sinulat ug adunay mandatory nga sulud, sama sa hilisgutan, gidugayon, kinaiya ug katuyoan sa pagproseso, ang mga klase sa datos ug mga tawo nga nalambigit, ug ang mga obligasyon sa seguridad, pagpahibalo sa paglapas ug mga sub-processor. Kung wala’y kasabutan nga nagsunod sa balaod, ikaw nakalapas gikan sa pagsugod sa pagproseso, bisan kung walay sayup nga mahitabo.

Mahimo ba nako nga ipaambit ang datos sa kustomer sa usa ka partido sa gawas sa EU?

Oo, apan ubos lamang sa estrikto nga mga kondisyon. Ubos sa Artikulo 44 hangtod 49 GDPR, kinahanglan nimo ang usa ka desisyon sa kaangayan alang sa destinasyon, o angay nga mga panalipod sama sa standard nga mga contractual clause. Sukad sa Schrems II , ang mga panalipod nanginahanglan usa ka pagtimbang-timbang sa epekto sa pagbalhin aron masusi kung ang lokal nga balaod, sama sa pagpaniid sa gobyerno, nagpahuyang sa proteksyon, ug mga dugang nga lakang sama sa encryption kung kini mahitabo. Alang sa mga nakadawat sa US nga sertipikado ubos sa EU-US Data Privacy Framework, ang desisyon sa kaangayan magamit. Ang dili luwas nga mga pagbalhin mahimong mosangpot sa AP sa pagmando sa ilang suspensyon.

Kanus-a gikinahanglan ang DPIA para sa pagpaambit sa datos?

Kung ang pagproseso lagmit nga moresulta sa taas nga risgo sa mga katungod ug kagawasan sa mga indibidwal (Artikulo 35 GDPR). Ang mga pananglitan mao ang dako nga pagproseso sa mga espesyal nga kategorya sa datos sama sa panglawas, biometric o genetic data, sistematikong pagmonitor sa mga pampublikong lugar, awtomatik nga paghimo og desisyon nga adunay legal o susamang mga epekto, ug ang paggamit sa mga bag-ong teknolohiya. Ang paghiusa sa mga dataset, pagpaambit sa sensitibo nga impormasyon o paggamit sa datos alang sa profiling o AI analytics kanunay nga makapahinabog DPIA. Susiha ang lista sa AP; kung adunay pagduhaduha, paghimo og usa.

Unsa nga mga multa ang mahimong atubangon sa mga kompanya sa paglapas sa GDPR?

Ang GDPR adunay duha ka tier. Ang mas ubos nga tier, hangtod sa EUR 10 milyon o 2% sa tibuok kalibutan nga tinuig nga turnover, naglangkob sa mga paglapas sama sa dili igo nga seguridad o nawala nga DPIA o kasabutan sa pagproseso. Ang mas taas nga tier, hangtod sa EUR 20 milyon o 4% sa turnover, naglangkob sa mga paglapas sama sa pagproseso nga walay legal nga basehan, ilegal nga internasyonal nga pagbalhin ug mga paglapas sa mga katungod sa mga data subject. Sa duha ka tier, ang mas taas sa duha ka kantidad magamit. Ang AP nagtakda sa kantidad base sa mga hinungdan sama sa kinaiya ug kabug-at sa paglapas, tuyo o pagpabaya, ang gidaghanon sa mga tawo nga naapektuhan ug ang mga lakang nga imong gihimo.

Luwas ba kanunay nga ipaambit ang datos nga gigamit sa alyas?

Dili. Ang paggamit og pseudonym makapamenos sa risgo apan dili makatangtang sa GDPR. Kon ang datos mahimo pa nga i-link balik sa usa ka tawo, pananglitan sa dugang nga impormasyon nga gihuptan nimo o sa nakadawat, kini magpabilin nga personal nga datos (Artikulo 4(5) GDPR ug recital 26). Kinahanglan gihapon nimo ang legal nga basehan, kinahanglan ipahibalo ang mga tawo nga hingtungdan ug kinahanglan nga luwason ang datos sa hustong paagi. Ang tinuod nga anonymization lamang, diin ang pag-ila pag-usab dili na makatarunganon nga posible, nagkuha sa datos gawas sa GDPR, ug kana lisod makab-ot.

Unsay akong buhaton kon ang akong negosyo adunay data breach tungod sa ilegal nga pagpaambit sa datos?

Kupti ang paglapas, susiha ang gilapdon ug epekto niini, ug idokumento kung unsa ang nahitabo ug kung unsa ang imong gibuhat bahin niini. Pahibaloa ang AP nga walay paglangan ug, kung mahimo, sulod sa 72 oras human mahibal-an kini, gawas kung ang paglapas dili lagmit nga moresulta sa peligro sa mga indibidwal (Artikulo 33 GDPR). Kung ang paglapas lagmit nga moresulta sa taas nga peligro sa mga tawo nga apektado, ipahibalo usab sila nga walay paglangan (Artikulo 34). Ang dili pagpahibalo usa ka lahi nga paglapas nga mahimong mosangpot sa kaugalingon nga multa.

Unsaon nato pagtabang sa pagpaambit sa datos ug sa GDPR?

Law & More nagtambag sa mga negosyo sa Netherlands sa legal nga bahin sa pagpaambit sa datos. Among gitino ang mga tahas sa controller ug processor, nag-draft ug nakigsabot sa mga kasabutan sa pagproseso ug mga kasabutan sa hiniusa nga controller, nagtimbang-timbang sa mga pagbalhin gawas sa EEA, nagpahigayon og mga pagtimbang-timbang sa epekto sa pagpanalipod sa datos ug nag-update sa mga pahibalo sa pribasiya. Gitabangan usab namo ang mga organisasyon nga giimbestigahan sa AP o nga kinahanglan magpahibalo sa usa ka paglapas sa datos batok sa nagpadayon nga deadline.

Dili ka ba sigurado kung ang usa ka partikular nga pag-agos sa datos makatarunganon ba, o nakigsabot ka ba diin ang personal nga datos ibalhin tali sa mga organisasyon? Maayo nga susihon una ang posisyon sa dili pa magsugod ang pagpaambit. Dili ka sigurado kung unsa ang imong baruganan? Sultihi kami bahin sa imong sitwasyon. Among ipahibalo kanimo ang imong mga kapilian sulod sa usa ka adlaw sa trabaho.