Introduzzjoni: Għaliex il-Ftehimiet dwar l-Ipproċessar tad-Dejta huma bbażati fl-Irlanda

Kull organizzazzjoni li timmaniġġa dejta personali fl-Irlanda, kemm jekk bħala kontrollur jew bħala proċessur, għandha tinnaviga pajsaġġ legali strett iffurmat mil-liġi tal-Unjoni Ewropea u l-infurzar lokali. A ] Ftehim dwar l-Ipproċessar tad-Dejta (DPA)] mhuwiex biss kuntest legali strett imfassal mil-liġi tal-Unjoni Ewropea u l-infurzar lokali. A Ftehim dwar l-Ipproċessar tad-Dejta (DPA) ] mhuwiex sempliċiment kuntratt vinkolanti li jikkodifika d-dmirijiet, il-konfini, u l-protezzjonijiet meħtieġa meta kontrollur jinvolvi proċessur biex jittratta dejta personali. Skont Regolament dwar il-Protezzjoni tad-Dejta Ġenerali (PDGR), li għandu effett dirett fl-Istati Membri kollha tal-UE, il-kontrolluri u l-proċessuri għandu jkollhom DPA bil-miktub qabel ma jibda kwalunkwe pproċessar. L-Irlanda tillibera ruħha [ Att dwar il-Protezzjoni tad-Dejta 2018, li għandu effett dirett fuq l-Istati Membri kollha tal-UE, il-kontrolluri u l-

Il-Fondazzjonijiet Legali tad-DPAs fl-Irlanda

Il-bażi ta' kwalunkwe DPA fl-Irlanda hija l-Artikolu 28 tal-PDGR. Dan l-artikolu jimponi obbligu ċar u mhux negozjabbli fuq il-kontrolluri biex jużaw biss proċessuri li jipprovdu garanziji suffiċjenti biex jimplimentaw miżuri tekniċi u organizzattivi xierqa. Il-kuntratt bejniethom għandu jkun vinkolanti bil-miktub (inkluża l-forma elettronika) u għandu jistabbilixxi s-suġġett, it-tul, in-natura u l-iskop tal-ipproċessar, kif ukoll it-tip ta' dejta personali u kategoriji ta' suġġetti tad-dejta. Il-PDGR jistabbilixxi lista obbligatorja ta' klawżoli li kull DPA għandu jkun fiha, u l-liġi Irlandiża ma tippermetti l-ebda devjazzjoni li ddgħajjef dawk il-protezzjonijiet.

Il-PDGR bħala l-Qafas Primarju

Il-PDGR daħal fis-seħħ fil-25 ta' Mejju 2018 u ssostitwixxa d-Direttiva dwar il-Protezzjoni tad-Dejta preċedenti. L-ambitu ekstraterritorjali tagħha jfisser li anke l-proċessuri stabbiliti barra mill-UE jridu jikkonformaw jekk jipproċessaw dejta personali tas-suġġetti tad-dejta li jinsabu fl-UE, inkluż l-Irlanda. Għall-DPAs, l-Artikolu 28(3) jispeċifika disa' elementi essenzjali: l-istruzzjonijiet ta' pproċessar, l-obbligi ta' kunfidenzjalità, il-miżuri ta' sigurtà meħtieġa, il-kundizzjonijiet għall-involviment ta' sottoproċessuri, l-assistenza għad-drittijiet tas-suġġetti tad-dejta, l-assistenza għan-notifika ta' ksur tad-dejta, l-obbligi ta' tħassir jew ta' ritorn tad-dejta, id-drittijiet tal-awditjar, u l-allokazzjoni tar-responsabbiltà. Kwalunkwe DPA li ma jikkonformax jew jindirizza b'mod inadegwat dawn l-elementi ma jikkonformax u tesponi liż-żewġ partijiet għal azzjoni ta' infurzar.

L-Att Irlandiż dwar il-Protezzjoni tad-Dejta 2018 u s-Supplimenti Nazzjonali

Filwaqt li l-PDGR huwa direttament applikabbli, l-Att dwar il-Protezzjoni tad-Dejta 2018 jimla l-lakuni li fadal mir-Regolament. Għad-DPAs, l-Att jintroduċi dispożizzjonijiet li huma partikolarment rilevanti għall-organizzazzjonijiet li joperaw fis-settur pubbliku, għall-ipproċessar ta' kategoriji speċjali ta' dejta, u għall-finijiet tal-infurzar tal-liġi. Jinnomina wkoll il-Kummissjoni għall-Protezzjoni tad-Dejta (DPC)] bħala l-awtorità ta' superviżjoni indipendenti b'setgħat investigattivi u korrettivi robusti. It-Taqsima 36 tal-Att, pereżempju, tipprovdi għall-ipproċessar ta' dejta personali fil-kuntest tal-impjiegi, u l-kontrolluri għandhom jiżguraw li kwalunkwe DPA li tkopri dejta tal-impjegati tissodisfa dawn ir-rekwiżiti nazzjonali speċifiċi. Barra minn hekk, l-Att jistabbilixxi r-regoli għat-trażmissjoni ta' dejta personali lil pajjiżi terzi, li għandhom jiġu riflessi fid-DPAs fejn ikun involut l-ipproċessar transkonfinali.

Rinunzja esterna: Il-Kummissjoni għall-Protezzjoni tad-Dejta ~ Sit tal-internet Uffiċjali

Rekwiżiti Ewlenin ta' Ftehim ta' Proċessar ta' Dejta Komplianti

A DPA fl-Irlanda għandu jkun dokument ħaj li jindirizza mhux biss l-obbligi statiċi tal-partijiet iżda wkoll in-natura dinamika tal-ipproċessar tad-data. Hawn taħt, kull element obbligatorju huwa mhux ippakkjat bi gwida prattika.

Kamp ta' applikazzjoni, Għan u Istruzzjonijiet

Kull DPA trid tiddefinixxi b'mod ċar l-ambitu tal-attivitajiet ta' pproċessar] u l-għan speċifiku li għalih tiġi pproċessata d-dejta. Lingwa Vague bħall-ipproċessar tad-dejta b'rabta mal-operazzjonijiet kummerċjali [57] mhix biżżejjed. Il-ftehim għandu jiddeskrivi t-tipi ta' dejta personali (eż., ismijiet, dettalji ta' kuntatt, informazzjoni finanzjarja), il-kategoriji ta' suġġetti tad-dejta (eż. klijenti, impjegati, viżitaturi tas-sit web), u n-natura tal-ipproċessar (eż., ħżin, analiżi, trażmissjoni). Il-kontrollur għandu jipprovdi wkoll struzzjoni dokumentata li l-proċessur għandu jsegwi, u kwalunkwe pproċessar barra minn dawn l-istruzzjonijiet huwa ksur tad-DPA u l-PDGR.

Responsabbiltajiet għas-Sigurtà tad-Dejta u l-Kunfidenzjalità

Iż-żewġ partijiet iridu jispeċifikaw l-obbligi rispettivi tagħhom għas-sigurtà tad-dejta. Il-kontrollur huwa responsabbli biex jiżgura li l-miżuri tal-proċessur huma adegwati, filwaqt li l-proċessur irid jimplimenta ] miżuri tekniċi u organizzattivi xierqa] (TOMs) skont l-Artikolu 32. Dan jinkludi proċeduri ta' kriptaġġ, psewdonimizzazzjoni, kontrolli tal-aċċess, u rispons għall-inċidenti. Id-DPA għandu jelenka l-TOMs speċifiċi fis-seħħ u jeħtieġ li l-proċessur iżomm il-kunfidenzjalità watts b'obbligu kuntrattwali li l-persunal kollu b'aċċess għad-dejta personali jkun marbut bi klawżoli ta' kunfidenzjalità.

Tul taʼ Żmien, Żamma, u Tħassir

Il-PDA għandha tiddikjara t-tul ta 'l-impenn ipproċessar. Fl-aħħar tat-terminu tas-servizz, il-proċessur għandu jew tħassar jew jirritorna d-data personali kollha lill-kontrollur, fuq l-għażla kontrollur watts, sakemm il-liġi tal-UE jew Irlandiż teħtieġ żamma. Il-ftehim għandu jispeċifika perjodi ta 'żmien għat-tħassir (eż., fi żmien 30 jum wara t-terminazzjoni) u l-metodu ta 'tħassir (eż., sigurtà overleature jew qerda fiżika). Il-proċessur ma tistax iżżomm unilateralment kopji għal backup jew skopijiet ta 'sigurtà sakemm espressament iddikjarat u ġustifikat.

Drittijiet u Assistenza tas-Suġġett tad-Dejta

Skont l-Artikoli 12-23 tal-PDGR, is-suġġetti tad-dejta għandhom drittijiet inklużi l-aċċess, ir-rettifika, it-tħassir, ir-restrizzjoni, il-portabbiltà, u l-oġġezzjoni. Il-proċessur għandu jassisti lill-kontrollur fit-tweġiba għal dawn it-talbiet.

Miżuri ta' Sigurtà u Notifika ta' Ksur

Lil hinn mill-TOMs ġenerali, id-DPA għandu jkun fiha klawżola dettaljata dwar il-ġestjoni tal-ksur tad-dejta. Il-proċessur għandu jinnotifika lill-kontrollur mingħajr dewmien żejjed ħadha idealment fi żmien 24 sa 48 siegħa ħadha wara li jsir jaf bi ksur ta' dejta personali. In-notifika għandha tinkludi n-natura tal-ksur, il-kategoriji u n-numru approssimattiv ta' suġġetti tad-dejta u rekords affettwati, u l-miżuri meħuda jew proposti biex itaffu l-ħsara. Id-DPA għandu wkoll jitlob lill-proċessur biex iżomm log tal-ksur u jikkoopera bis-sħiħ mal-obbligi ta' notifika tal-kontrollur dwar il-ksur lill-DPC u lis-suġġetti tad-dejta affettwati.

Sottoproċessuri u Impenn tat-Tielet Parti

Il-biċċa l-kbira tal-proċessuri jiddependu fuq sottoproċessuri għall-ħżin tal-cloud, l-analitika, jew is-servizzi ta' appoġġ. Il-GDPR jitlob lill-kontrollur li jagħti awtorizzazzjoni speċifika jew ġenerali minn qabel għas-sottoproċessuri. Jekk tingħata awtorizzazzjoni ġenerali, il-proċessur xorta jrid jinforma lill-kontrollur dwar kwalunkwe tibdil maħsub u jippermetti lill-kontrollur joġġezzjona. Id-DPA għandu jelenka sottoproċessuri approvati (jew lista aġġornata aċċessibbli onlajn) u jeħtieġ li l-proċessur jimponi l-istess obbligi ta' protezzjoni tad-dejta fuq kull sottoproċessur permezz ta' kuntratt. In-nuqqas ta' ġestjoni xierqa tas-sottoproċessuri huwa sors komuni ta' nuqqas ta' konformità.

Rinunzja esterna: PSR Regolament (UE) 2016/679 (EUR-Lex)]

Abbozzar u Negozjar tad-DPAs: L-Aħjar Prattiki għall-Organizzazzjonijiet Irlandiżi

Is-sempliċi ikkupjar ta' mudell DPA minn sors onlajn ta' riskji nieqsa minn rekwiżiti speċifiċi għall-Irlanda u l-isfumaturi tal-Att dwar il-Protezzjoni tad-Dejta 2018. Id-DPAs li jirnexxu jeħtieġu negozjati bir-reqqa bejn il-kontrollur u l-proċessur, speċjalment fir-relazzjonijiet bejn in-negozji fejn is-setgħa tan-negozjar tista' ma tkunx ugwali.

Allocating Responsability and Indemnities

Il-PDGR jippermetti l-allokazzjoni tar-responsabbiltà bejn il-kontrollur u l-proċessur, iżda l-partijiet ma jistgħux jikkuntrattaw ir-responsabbiltà statutorja lis-suġġetti tad-dejta. DPA abbozzat tajjeb se jinkludi limiti tar-responsabbiltà proporzjonati, iżda għandu jiżgura li l-proċessur jibqa' responsabbli għat-telf ikkawżat min-nuqqas tiegħu li jikkonforma mad-DPA jew mal-PDGR. Il-prinċipji tal-liġi kuntrattwali Irlandiża japplikaw, u għalhekk id-DPA għandha tiddikjara b'mod ċar liema parti għandha l-oneru tal-prova f'talba u kif it-tilwim se jiġi solvut (tipikament skont il-liġi Irlandiża u mal-qrati Irlandiżi).

Drittijiet ta' Verifika u Spezzjoni

L-Artikolu 28(3)(h) jagħti lill-kontrollur id-dritt li jwettaq verifiki, inklużi spezzjonijiet, tal-faċilitajiet u s-sistemi tal-proċessur. Id-DPA għandu jispeċifika l-frekwenza (eż., kull sena jew fuq raġuni raġonevoli), l-ambitu, u l-perjodu ta' notifika. Ħafna proċessuri jirreżistu verifiki frekwenti fuq il-post; kompromess prattiku għandu jaċċetta ċertifikazzjoni ta' parti terza (bħal ISO 27001 jew SOC 2) minflok verifika sħiħa, iżda d-DPA għandu jippreserva d-dritt tal-kontrollur li jitlob aktar evidenza jekk iċ-ċertifikazzjoni ma tkunx adegwata.

Trasferimenti Internazzjonali tad-Dejta

Jekk il-proċessur jittrasferixxi dejta personali lil pajjiż terz (barra ż-ŻEE), id-DPA għandu jinkorpora mekkaniżmu ta "trasferiment validu. Għall-proċessuri fir-Renju Unit, bħalissa tapplika deċiżjoni ta "adegwatezza, iżda l-organizzazzjonijiet għandhom jimmonitorjaw bidliet. Għal pajjiżi oħra, klawżoli kuntrattwali standard (SCCs) huma l-mekkaniżmu l-aktar komuni. Il-Kummissjoni Ewropea [2017] SCCs iżidu klawżoli modulari li jkopru kontrollur-to-proċessur, proċessur-to-proċessur, u trasferimenti proċessur-to-controller. Ireland ] Schrems DPAs li jirreferu l-modulu SCC speċifiku fl-użu u li jinkludu appendiċi kompluta bl-ismijiet tal-partijiet u kategoriji ta "dejta. L-invalidazzjoni riċenti ta "Ħarsien tal-Privatezza u d-]Schrems II deċiżjoni tfisser li valutazzjoni tal-impatt trasferiment għandha tiġi dokumentata u mehmuża wkoll mad-DPA.

Rinunzja esterna: Att dwar il-Protezzjoni tad-Dejta 2018 ~ Irlandiż Statut Book]

Infurzar u Konformità fl-Irlanda

Il-DPB huwa wieħed mill-awtoritajiet tal-protezzjoni tad-dejta l-aktar attivi fl-Ewropa, b'rekord qawwi ta' infurzar kemm kontra kumpaniji kbar tat-teknoloġija kif ukoll kontra organizzazzjonijiet iżgħar. Nuqqas ta' konformità mar-rekwiżiti tad-DPA, bħal nuqqas ta' ftehim bil-miktub, bl-użu ta' sottoproċessuri mingħajr awtorizzazzjoni, jew bl-injoranza tad-drittijiet tas-suġġetti tad-dejta, jistgħu jwasslu għal investigazzjonijiet u multi sostanzjali.

Ir-rwol tal-Kummissjoni għall-Protezzjoni tad-Dejta

Id-DPC għandha s-setgħa taħt il-Parti 6 tal-Att dwar il-Protezzjoni tad-Dejta 2018 biex twettaq investigazzjonijiet, toħroġ miżuri korrettivi, u timponi multi amministrattivi. Hija tista' toħroġ għajb, tordna l-ipproċessar tad-dejta biex jieqaf, jirrestrinġi l-proċessur, jew teħtieġ lill-kontrollur jaġġorna d-DPA. Il-multi jistgħu jilħqu sa EUR 20 miljun jew 4% tal-fatturat annwali dinji tas-sena finanzjarja preċedenti, skont liema minnhom ikun l-ogħla. Fis-snin riċenti, id-DPC ħarġet multi multi ta' multi-euro għal nuqqasijiet relatati mal-ftehimiet tal-ipproċessar tad-dejta, inklużi salvagwardji kuntrattwali insuffiċjenti u sorveljanza inadegwata tas-sottoproċessuri.

Pitturi Komuni ta' Konformità

  • L-ebda DPA fis-seħħ: Ħafna organizzazzjonijiet jibdew jipproċessaw dejta mingħajr ftehim iffirmat, ta' spiss f'xenarji ta' onboarding urġenti. Dan huwa ksur dirett tal-Artikolu 28.
  • Ftehimiet maħruġa: DPAs li ġew iffirmati qabel Mejju 2018 u li qatt ma ġew aġġornati biex jirriflettu l-istandards tal-PDGR mhumiex konformi.
  • In-newtralizzazzjoni tas-sottoproċessuri:] Il-proċessur jonqos milli jinforma lill-kontrollur b'sottoproċessur ġdid, jew il-kontrollur ma jżommx lista approvata.
  • Żmien inadegwat ta' notifika ta' ksur: Id-DPA jistabbilixxi twieqi ta' notifika itwal minn 48 siegħa, li jikkontradixxi l-aspettattivi tad-DPC għar-rappurtar fil-pront.
  • In-nuqqas ta' dokumentazzjoni dwar il-mekkaniżmu ta' trasferiment: DPA li tinkludi l-ipproċessar transkonfinali iżda li ma tirreferix għal SCCs jew deċiżjoni ta' adegwatezza tħalli liż-żewġ partijiet vulnerabbli.

Azzjonijiet u Gwida ta' Infurzar Riċenti

Id-DPC ippubblikat gwida dwar l-abbozzar tad-DPAs, inkluż ftehim mudell u lista ta' miżuri ta' sigurtà rrakkomandati. Fl-2023, id-DPC immulta proċessur kbir ta' EUR 15-il miljun talli naqas milli jżomm DPA konformi mas-sottoproċessuri tiegħu u talli ma pprovdiex biżżejjed assistenza lis-suġġetti tad-dejta. Id-deċiżjoni enfasizzat li d-DPC ma taċċettax konformità passiva - ħadha tistenna governanza attiva u dokumentata. L-organizzazzjonijiet għandhom jirrevedu regolarment id-DPAs tagħhom fid-dawl tad-deċiżjonijiet tad-DPC u l-linji gwida aġġornati tal-Bord Ewropew għall-Protezzjoni tad-Dejta (EDPP).

Rinunzja esterna: EDPB Linji Gwida dwar Ftehimiet dwar l-Ipproċessar tad-Dejta

Il-bini ta' Qafas Sostenibbli tad-DPA

A DPA waħda mhix biżżejjed. Kontrolluri u proċessuri għandhom jinkorporaw ġestjoni DPA fil-programm ta 'governanza tad-dejta usa tagħhom. Dan ifisser żamma ta 'reġistru tal-attivitajiet kollha ta' pproċessar, aġġornament DPAs kull meta n-natura jew l-ambitu ta 'l-ipproċessar bidliet, u persunal ta' taħriġ biex jirrikonoxxu meta DPA huwa meħtieġ watches pereżempju, meta abbord fornitur CRM ġdid, servizz payroll, jew bejjiegħ infrastruttura cloud. Organizzazzjonijiet għandhom jikkunsidraw ukoll involviment parir legali bil-kompetenza fil-liġi Irlandiża dwar il-protezzjoni tad-dejta biex jirrevedu DPAs kumplessi, speċjalment dawk li jinvolvu trasferimenti internazzjonali jew data kategorija speċjali.

Passi ta' Azzjoni għall-Konformità

  1. Jivverifikaw ir-relazzjonijiet kollha eżistenti ma' partijiet terzi biex jidentifikaw kwalunkwe li jinvolvi l-ipproċessar ta' dejta personali mingħajr DPA valida.
  2. Jirrevedi kull DPA kontra l-lista ta' kontroll tal-Artikolu 28 u jissupplimenta r-rekwiżiti tal-Att Irlandiż dwar il-Protezzjoni tad-Dejta 2018.
  3. Jiddokumenta l-mekkaniżmi ta' trasferiment jekk id-dejta tgħaddi barra ż-ŻEE, u l-valutazzjonijiet tal-impatt sħaħ tat-trasferiment.
  4. Timplimenta proċess ta' awtorizzazzjoni ta' sottoproċessur, inkluż perjodu ta' żmien għan-notifika u ta' oġġezzjoni.
  5. Ipprovdi d-DPA lill-DPC meta tintalab; żomm il-kopji ffirmati aċċessibbli għal kemm idum l-ipproċessar flimkien ma' sena.

Rinunzja esterna: HSE Ireland 00_DPA Guideline for Health Sector]

Konklużjoni

Il-Ftehimiet dwar l-Ipproċessar tad-Dejta skont il-liġi Irlandiża mhumiex ambigwi fuq il-karta, huma pilastru ċentrali tal-konformità tal-PDGR u għodda kritika għall-bini tal-fiduċja mas-suġġetti tad-dejta, il-klijenti u r-regolaturi. Il-qafas legali, mibni fuq il-PDGR u msaħħaħ mill-Att dwar il-Protezzjoni tad-Dejta 2018, jitlob li l-kontrolluri u l-proċessuri jaħdmu flimkien biex jispeċifikaw kull aspett taċ-ċiklu tal-ħajja tal-ipproċessar tad-dejta. Mill-ambitu u l-miżuri ta' sigurtà għall-ġestjoni tas-sottoproċessuri u t-trasferimenti internazzjonali, DPA b'inġenji tajbin jipproteġi liż-żewġ partijiet u jiżgura li s-suġġetti tad-dejta jirrispettaw id-drittijiet tagħhom. L-organizzazzjonijiet li jittrattaw id-DPAs bħala dokumenti statiċi, filwaqt li dawk li jittrattawhom bħala strumenti dinamiċi ta' governanza se jkunu f'pożizzjoni aħjar biex jinnavigaw l-aspettattivi regolatorji li qed jevolvu fl-Irlanda u fl-Unjoni Ewropea.