Articolul 26 GDPR — Operatorii asociați

Articolul 26 GDPR reglementează situația în care doi sau mai mulți operatori stabilesc împreună scopurile și mijloacele unei prelucrări — devenind „operatori asociați". E o relație diferită de cea operator-împuternicit de la Articolul 28, des confundată în practică.

Ce prevede articolul?

Când doi operatori decid împreună de ce și cum se prelucrează datele, ei trebuie să stabilească, printr-un acord transparent, cine răspunde de ce — în special cine gestionează cererile persoanelor vizate și cine oferă informarea cerută de Articolele 13-14. Aspectele esențiale ale acordului trebuie puse la dispoziția persoanelor vizate. Indiferent ce spune acordul între ei, persoana vizată își poate exercita drepturile față de oricare dintre operatorii asociați, nu doar față de cel „responsabil" conform înțelegerii interne.

Ce înseamnă în practică pentru o firmă?

Dacă organizezi un eveniment cu un partener și decideți împreună ce date colectați de la participanți și cum le folosiți, sunteți operatori asociați — nu unul „operator" și celălalt „împuternicit". Aveți nevoie de un acord scris care clarifică rolurile, nu doar de un contract comercial general. Testul-cheie e dacă ambele părți au un cuvânt real de spus în scopurile prelucrării — dacă una singură decide tot, iar cealaltă doar execută, relația e de fapt operator-împuternicit, nu operatori asociați.

Acordul dintre operatorii asociați nu trebuie neapărat să fie public în integralitate, dar aspectele esențiale — cine e principalul punct de contact, cine răspunde cererilor persoanelor vizate — trebuie comunicate persoanelor ale căror date sunt prelucrate, de regulă prin politica de confidențialitate.

Cum arată un acord de operatori asociați?

Nu e nevoie de un document complex — dar trebuie să acopere concret: ce date se colectează și în ce scop comun, cine găzduiește efectiv datele, cine gestionează consimțămintele sau alte temeiuri legale, cine răspunde în cazul unei cereri de acces sau ștergere primite de la o persoană vizată, și cum se împart responsabilitățile în cazul unei breșe de securitate care afectează datele comune. Un acord vag, de tipul „ambele părți respectă GDPR", nu îndeplinește cerința de transparență a Art. 26 — trebuie să fie specific rolurilor reale ale fiecărui operator.

Exemplu concret

Două firme organizează împreună o conferință și decid comun să colecteze datele participanților pentru marketingul ambelor. Sunt operatori asociați: trebuie să aibă un acord care spune, de exemplu, cine răspunde la cererile de acces și cine publică informarea, iar participanții trebuie să știe la cine se pot adresa dacă vor să-și exercite un drept.

Greșeli frecvente

• Tratarea automată a oricărei colaborări ca relație „operator-împuternicit", când de fapt scopurile sunt decise în comun.
• Lipsa unui acord scris între operatorii asociați.
• Un punct de contact neclar, care face ca cererile persoanelor să se piardă între cei doi parteneri.
• Presupunerea greșită că un acord intern „exonerează" un operator de răspunderea față de persoana vizată.
• Neactualizarea acordului atunci când se schimbă scopul comun al prelucrării sau se adaugă un al treilea partener.

Operatori asociați vs. operatori separați

Nu orice colaborare între două firme care ating aceleași date înseamnă automat operatori asociați. Dacă fiecare parte prelucrează datele pentru propriile scopuri separate, chiar dacă pornesc de la același eveniment (de exemplu, o firmă colectează date pentru livrare, iar alta, independent, pentru propriul marketing, fără o decizie comună), sunt de fapt operatori separați, fiecare cu propriile obligații de informare, nu operatori asociați cu acord comun.

Vezi și ghidul GDPR. Colaborezi cu un partener la o prelucrare comună de date? Te ajutăm să clarifici rolurile.

Întrebări frecvente