Kidhibiti au kichakataji chini ya GDPR: jinsi ya kujua nani ni nani

Mdhibiti huamua ni kwa nini na jinsi data binafsi inavyoshughulikiwa; mchakataji huchakata data binafsi tu kwa maagizo yaliyoandikwa ya mdhibiti (Kifungu cha 4(7) na (8) GDPR). Jukumu lako linafuata ukweli, sio lebo katika mkataba, na huamua ni nani anahitaji msingi halali, ni nani anayejibu maombi ya mada ya data, ni nani anayeripoti uvunjaji na ni nani anayewajibika ikiwa kitu kitaenda vibaya.

Unawezaje kutofautisha kidhibiti kutoka kwa kichakataji?

Muulize ni nani anayeamua kwa nini data inashughulikiwa na, kimsingi, vipi. Kidhibiti huamua madhumuni na njia muhimu za usindikaji; kichakataji hufanya kazi tu kwa maagizo yaliyoandikwa ya kidhibiti na hakitumii data kwa madhumuni yake mwenyewe.

Wasindikaji wa kawaida: mtoa huduma mwenyeji, ofisi ya mishahara inayofanya kazi kwa kufuata maagizo, huduma ya uwasilishaji wa barua pepe. Wadhibiti wa kawaida, ingawa wanahusishwa na mtu mwingine: mhasibu anayefanya ukaguzi wa kisheria, wakili anayeendesha kesi, huduma ya afya kazini (arbodienst) inayotekeleza majukumu yake ya kitaaluma.

Je, mkataba ndio unaoamua jukumu lako?

Hapana. Kujiita mchakataji katika makubaliano hakukufanyi uwe mmoja. Ikiwa muuzaji anatumia data kwa madhumuni yake mwenyewe, kama vile kuboresha bidhaa zake, kujenga wasifu au uuzaji kwa watu husika, ni mdhibiti wa usindikaji huo. Kifungu cha 28(10) GDPR kinasema waziwazi: mchakataji anayeamua madhumuni na njia huchukuliwa kama mdhibiti.

Vipi ikiwa wewe na mhusika mwingine mtaamua kwa pamoja madhumuni?

Kisha mtakuwa wadhibiti wa pamoja chini ya Kifungu cha 26 GDPR. Lazima mtaelezea majukumu yenu katika mpangilio, haswa kwa haki za mada ya data na majukumu ya taarifa ya Kifungu cha 13 na 14, na mfanye kiini cha mpangilio huo kipatikane kwa watu binafsi wanaohusika.

Udhibiti wa pamoja hutokea mara nyingi zaidi kuliko mashirika yanavyotarajia. Katika Wirtschaftsakademie (C-210/16, 5 Juni 2018) Mahakama ya Haki ya EU ilimchukulia msimamizi wa ukurasa wa mashabiki wa Facebook kama mdhibiti wa pamoja na Facebook. Chini ya Kifungu cha 26(3) GDPR, mhusika wa data anaweza kutumia haki zake dhidi ya mdhibiti yeyote wa pamoja, chochote ulichokubaliana ndani.

Mkataba wa usindikaji lazima uwe na nini?

Ukimtumia mchakataji, makubaliano yaliyoandikwa ni ya lazima chini ya Kifungu cha 28(3) na (9) GDPR, na maudhui yake yameagizwa. Lazima yajumuishe mada na muda wa usindikaji, asili na madhumuni yake, aina za data na kategoria za mada za data, na maagizo yako kama mdhibiti.

Lazima pia ifunike usiri, hatua za usalama chini ya Kifungu cha 32, masharti ya kuwashirikisha wasindikaji wadogo, usaidizi na maombi ya mada ya data na arifa ya uvunjaji, kurejesha au kufuta data mwishoni, na haki zako za ukaguzi.

Kwa kawaida migogoro huanzia wapi?

Vifungu viwili husababisha matatizo makubwa. Kuhusu usindikaji mdogo, Kifungu cha 28(2) GDPR kinaruhusu idhini ya maandishi ya jumla, lakini mchakataji lazima akujulishe kuhusu mabadiliko yaliyokusudiwa na akupe fursa ya kupinga. Unaporudisha au kufuta, kubali ni lipi kati ya mawili linalotumika, na katika muundo gani, kabla ya uhusiano kuisha badala ya wakati wa mzozo.

Arifa ya ukiukaji ni sehemu ya tatu ya shinikizo. Kichakataji lazima kikujulishe bila kuchelewa kupita kiasi (Kifungu cha 33(2)); kisha una saa 72 za kuiarifu Mamlaka ya Ulinzi wa Data ya Uholanzi (Autoriteit Persoonsgegevens) chini ya Kifungu cha 33(1). Kubali tarehe ya mwisho fupi ya ndani ya kichakataji, kwa mfano saa 24 au 48.

Nani atawajibika ikiwa usindikaji utaenda vibaya?

Chini ya Kifungu cha 82(2) GDPR, unawajibika kama mdhibiti kwa uharibifu unaosababishwa na usindikaji unaokiuka GDPR. Kichakataji kinawajibika tu ikiwa hakijatimiza wajibu ambao GDPR inaweka mahsusi kwa wasindikaji, au kimetenda kinyume au kinyume na maagizo yako halali.

Pale ambapo nyote wawili mnahusika katika usindikaji sawa na mnawajibika kwa uharibifu, kila mmoja anaweza kuwajibika kwa uharibifu wote kwa mtu binafsi (Kifungu cha 82(4)). Upande uliolipa unaweza kurejesha sehemu ya upande mwingine baadaye (Kifungu cha 82(5)), ndiyo maana kifungu cha fidia katika makubaliano ya usindikaji kinafaa kujadiliwa kwa makini.

Unapaswa kuangalia nini kama mtawala?

• Ikiwa kila mtoa huduma anayeshughulikia data binafsi kwa ajili yako amesaini makubaliano ya usindikaji katika mkutano wa Kifungu cha 28(3).
• Ikiwa mtoa huduma yeyote anatumia data kwa madhumuni yake mwenyewe, na kuifanya kuwa kidhibiti.
• Ikiwa una orodha ya vichakataji vidogo na utaratibu wa kupinga mabadiliko.
• Ikiwa kichakataji lazima kikuripoti ukiukaji ndani ya idadi maalum ya saa.
• Ikiwa una mipango ya pamoja ya mdhibiti kwa ajili ya mifumo au kampeni zinazoshirikiwa.

Unapaswa kuangalia nini kama kichakataji?

• Ikiwa unatumia data ya mteja kwa maagizo yaliyoandikwa pekee na si kwa bidhaa au uchanganuzi wako mwenyewe.
• Ikiwa vichakataji vidogo vyako vinafungwa na majukumu sawa na yako.
• Ikiwa unaweza kurudisha au kufuta data katika muundo uliokubaliwa mwishoni mwa mkataba.
• Ikiwa kikomo chako cha dhima na fidia vinaonyesha dhima ndogo chini ya Kifungu cha 82(2).

Tunaweza kukufanyia nini kwa majukumu ya kidhibiti na kichakataji?

Kupitia taaluma yetu ya wanasheria wa TEHAMA tunaweza kukusaidia, kwa mfano:

• Tunaweka ramani ya majukumu ya kila mhusika katika mnyororo wako wa data, kwa kila shughuli ya usindikaji.
• Tunaandika na kukagua mikataba ya usindikaji na mipango ya pamoja ya mdhibiti.
• Tunajadili vifungu vya usindikaji mdogo, arifa ya uvunjaji na dhima.
• Tunashauri kuhusu dhima na njia mbadala kati ya pande hizo mbili baada ya uvujaji wa data.
• Tunatayarisha majibu yako kwa maswali kutoka kwa Autoriteit Persoonsgegevens.

Muhtasari

• Jukumu lako linafuata ukweli, si lebo katika mkataba wako: yeyote anayeamua kusudi na njia muhimu ndiye mdhibiti.
• Ikiwa mtaamua kwa pamoja madhumuni hayo na mhusika mwingine, nyinyi ni wadhibiti wa pamoja na lazima mrekodi mgawanyo wenu wa majukumu (Kifungu cha 26 GDPR).
• Makubaliano ya usindikaji yaliyoandikwa na maudhui ya Kifungu cha 28(3) GDPR ni ya lazima wakati wowote unapotumia kichakataji.
• Kichakataji kinakuripoti ukiukaji bila kuchelewa sana; unawaarifu Autoriteit Persoonsgegevens ndani ya saa 72.
• Pande zote mbili zinaweza kuwajibika kwa uharibifu wote kwa mtu binafsi, kwa hivyo jadili kifungu cha fidia kabla ya kusaini.

Maswali yanayoulizwa mara kwa mara