Operator și persoană împuternicită în GDPR: cine ce este

Operatorul de date este firma sau instituția care hotărăște de ce și cum îți sunt prelucrate datele, iar persoana împuternicită este cea care le prelucrează doar în numele operatorului și după instrucțiunile lui. De regulă, tu te adresezi operatorului, adică cel cu care ai relația directă.

Ce este operatorul de date?

Operatorul este cel care stabilește scopul și mijloacele prelucrării. Cu alte cuvinte, el decide ce date se colectează, pentru ce se folosesc și cât timp se păstrează. Poate fi o societate comercială, o instituție publică, o asociație sau chiar un profesionist care lucrează pe cont propriu.

Operatorul poartă răspunderea principală față de tine. Dacă ți s-a cerut un consimțământ, el trebuie să poată demonstra că l-a obținut corect, iar despre consimțământul GDPR și retragerea lui poți citi pe larg într-un ghid separat. Tot el trebuie să te informeze despre ce date folosește și să răspundă cererilor tale.

Cine este persoana împuternicită?

Persoana împuternicită este o altă entitate care prelucrează datele pentru operator, nu pentru scopurile ei proprii. Ea nu poate folosi datele după bunul plac și nu le poate schimba destinația. Acționează în limitele unui contract scris încheiat cu operatorul.

În acel contract se precizează, printre altele, ce date sunt prelucrate, pentru ce, ce măsuri de securitate se aplică și ce se întâmplă cu datele la încheierea colaborării. Dacă persoana împuternicită începe să decidă singură cum folosește datele, riscă să fie tratată drept operator pentru acea prelucrare.

Exemple: cine este cine în situații obișnuite

Rolurile se deduc din ce face fiecare, nu din ce scrie pe firmă. Tabelul de mai jos arată câteva situații frecvente.

Un angajator este operator pentru datele propriilor salariați, după cum se vede și în materialul despre datele personale la angajator. Firma de salarizare cu care lucrează este, în schimb, persoană împuternicită.

Pe cine contactezi dacă vrei să-ți exerciți drepturile?

Contactezi operatorul, pentru că el răspunde cererilor tale de acces, rectificare, ștergere sau opoziție. Politica de confidențialitate a firmei trebuie să indice datele lui de contact și, dacă există, pe cele ale responsabilului cu protecția datelor.

Dacă nu știi cine este operatorul, caută în politica de confidențialitate, în contract sau în formularul pe care l-ai completat. Un exemplu practic este cererea prin care afli ce date are o firmă, detaliată în articolul despre dreptul de acces la date. Dacă ai trimis cererea către persoana împuternicită, aceasta are obligația să ajute operatorul să răspundă, dar nu îți va da, de obicei, ea răspunsul final.

În organizațiile mai mari, poți scrie și direct responsabilului cu protecția datelor. Află când are acest rol și cum îl contactezi din ghidul despre responsabilul cu protecția datelor.

Ce se întâmplă când mai multe firme decid împreună?

Atunci când două sau mai multe entități stabilesc împreună scopurile și mijloacele prelucrării, ele sunt operatori asociați. Între ele trebuie să existe un acord care împarte clar responsabilitățile, iar esența acestui acord trebuie pusă la dispoziția ta.

Chiar dacă acordul împarte sarcinile, tu îți poți exercita drepturile față de oricare dintre operatorii asociați. Nu ești obligat să afli mai întâi cine din grup răspunde de ce.

Mai multe explicații despre rolurile din GDPR găsești în categoria Date personale. Informațiile din acest articol sunt generale. Pentru o situație concretă, mai ales dacă apar litigii sau sume de bani, se poate cere sprijinul unui avocat sau al autorității competente în protecția datelor.

Pe scurt

• Operatorul hotărăște scopul și mijloacele prelucrării datelor tale.
• Persoana împuternicită prelucrează datele doar pentru operator, pe baza unui contract și a instrucțiunilor lui.
• Rolul depinde de ce face efectiv fiecare, nu de denumirea din contract.
• Cererile tale se trimit, de regulă, operatorului, al cărui contact apare în politica de confidențialitate.
• Operatorii asociați răspund împreună, iar tu te poți adresa oricăruia.