Από κοινού υπεύθυνοι επεξεργασίας στην Κύπρο: συμφωνία άρθρου 26 ΓΚΠΔ

Εξετάστε τα πραγματικά περιστατικά πριν συντάξετε συμφωνία

Ξεκινήστε από την πράξη επεξεργασίας, όχι από τον τίτλο της σύμβασης. Υπεύθυνος είναι όποιος αποφασίζει γιατί και πώς χρησιμοποιούνται προσωπικά δεδομένα. Δύο φορείς είναι από κοινού υπεύθυνοι όταν συμμετέχουν στον καθορισμό των σκοπών και των ουσιωδών μέσων της ίδιας πράξης. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δέχεται κοινή απόφαση ή συγκλίνουσες αποφάσεις που αλληλοσυμπληρώνονται και είναι αναγκαίες για τη συγκεκριμένη επεξεργασία. Μια κυπριακή εταιρεία και συνεργάτης της μπορεί να αποφασίζουν μαζί για εγγραφές σε εκδήλωση, αλλά καθένας να ελέγχει μόνος την προϋπάρχουσα πελατειακή του βάση. Η διάκριση απαιτεί εξέταση ανά στάδιο.

Καταγράψτε ποιος όρισε τον σκοπό, ποιον εξυπηρετεί η πράξη και ποιος επέλεξε κατηγορίες προσώπων, δεδομένων, αποδεκτών, διάρκεια διατήρησης και βασική τεχνική λειτουργία. Η άνιση επιρροή των εταίρων δεν αποκλείει αναγκαστικά την κοινή ευθύνη. Αντίστροφα, δύο ανεξάρτητες επιχειρήσεις μπορούν να ανταλλάσσουν στοιχεία για διαφορετικούς σκοπούς χωρίς να καθορίζουν κοινή πράξη. Ο εκτελών την επεξεργασία ενεργεί για λογαριασμό υπευθύνου και σύμφωνα με τις οδηγίες του. Τεκμηριώστε τι αποφάσισε στην πράξη κάθε πλευρά πριν επιλέξετε συμφωνία άρθρου 26, σύμβαση άρθρου 28 ή άλλη ρύθμιση διαβίβασης. Η ονομασία ενός υποδείγματος δεν υποκαθιστά την ανάλυση.

Η απουσία υπογεγραμμένης συμφωνίας δεν εξαφανίζει την κοινή ιδιότητα. Το Δικαστήριο της Ευρωπαϊκής Ένωσης στην υπόθεση C-683/21 έκρινε ότι ο χαρακτηρισμός εξαρτάται από τη συμμετοχή στον καθορισμό σκοπών και μέσων. Η συμφωνία του άρθρου 26 είναι υποχρέωση που ακολουθεί τον χαρακτηρισμό, όχι προϋπόθεσή του. Ρήτρα που αποκαλεί τα μέρη «ανεξάρτητους υπευθύνους» δεν αρκεί όταν σχεδιάζουν μαζί την πραγματική λειτουργία. Ούτε ένα γενικό υπόδειγμα κοινής ευθύνης μετατρέπει κάθε μεταγενέστερη, άσχετη χρήση των ίδιων δεδομένων σε κοινή πράξη. Περιορίστε τη συμφωνία στα στάδια όπου συντρέχουν πράγματι οι προϋποθέσεις.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Δικαστήριο της ΕΕ, υπόθεση C-683/21, κοινή ευθύνη κατά το άρθρο 26; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Χαρτογραφήστε κοινά και χωριστά στάδια του ίδιου έργου

Σχεδιάστε σύντομο χάρτη ροής δεδομένων πριν μοιράσετε καθήκοντα. Για μια εκδήλωση μπορεί να περιλαμβάνει τις αρχικές λίστες πελατών, την κοινή επιλογή προσκλήσεων, μια φόρμα εγγραφής, τα αρχεία παρουσίας και μεταγενέστερη ανεξάρτητη εμπορική επικοινωνία. Η πρόσκληση και η εγγραφή ίσως αποτελούν κοινή πράξη, ενώ οι παλιές λίστες ή οι κατοπινές δικές τους πωλήσεις παραμένουν χωριστές. Ένας ενιαίος χαρακτηρισμός για ολόκληρη την εμπορική σχέση κρύβει αυτές τις γραμμές. Τότε και η δήλωση απορρήτου μπορεί να παρουσιάζει λανθασμένα ποια επιχείρηση αποφασίζει για κάθε χρήση. Αντιστοιχίστε επομένως υπευθύνους σε συγκεκριμένα στάδια.

Για κάθε στάδιο σημειώστε είδος δεδομένων, πηγή, πρόσβαση, αποδέκτες, σκοπό, γεγονός που ενεργοποιεί τη διαγραφή και ιδιοκτήτη του συστήματος. Καταγράψτε τους παρόχους που επεξεργάζονται στοιχεία για το έργο και ποιος υπεύθυνος συνάπτει τη σχετική σύμβαση. Αν η πλατφόρμα χρησιμοποιεί τα ίδια δεδομένα για δικό της σκοπό, εξετάστε χωριστά τον ρόλο της. Ο χάρτης πρέπει να δείχνει πώς μια διόρθωση ή διαγραφή περνά και στα δύο συστήματα για το κοινό στάδιο. Η γενική φράση «τα μέρη συμμορφώνονται με τον ΓΚΠΔ» δεν προσδιορίζει ούτε διαδρομή ούτε υπεύθυνο. Ελέγξτε ιδιαίτερα εξαγωγές και τοπικά αντίγραφα.

Φυλάξτε τεκμήρια των πραγματικών αποφάσεων: πρακτικά συναντήσεων, τεχνικές απαιτήσεις, πεδία φόρμας, κριτήρια επιλογής κοινού και εγκρίσεις διαμοιρασμού. Αυτά έχουν μεγαλύτερη σημασία από τη θέση των λογοτύπων. Ενημερώστε τον χάρτη όταν εισέρχεται νέος συνεργάτης, προστίθεται κατάρτιση προφίλ ή μεταφέρεται η επεξεργασία σε νέα πλατφόρμα. Η κοινή ευθύνη μπορεί να αφορά μόνο μία πράξη και δεν καθιστά τα μέρη από κοινού υπεύθυνα για κάθε άλλη τους δραστηριότητα. Περιγράψτε καθαρά τα όρια τόσο στο παράρτημα της συμφωνίας όσο και στην ενημέρωση των προσώπων. Έτσι ο επόμενος έλεγχος ρόλων στηρίζεται σε πραγματικά δεδομένα.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Ελέγξτε σκοπό και νόμιμη βάση για κάθε υπεύθυνο

Η συμφωνία του άρθρου 26 δεν δημιουργεί από μόνη της νόμιμη βάση. Κάθε από κοινού υπεύθυνος πρέπει να αξιολογήσει τη δική του βάση κατά το άρθρο 6 για τη σχετική πράξη και να εξηγήσει τον σκοπό στα πρόσωπα. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων τονίζει ότι κάθε μέρος οφείλει να διαθέτει βάση και να μην επαναχρησιμοποιεί δεδομένα ασύμβατα με τον αρχικό σκοπό συλλογής. Αν περιλαμβάνονται ειδικές κατηγορίες, ενδέχεται να απαιτείται και προϋπόθεση του άρθρου 9. Μην μεταφέρετε όλη την αβεβαιότητα στον συνεργάτη με μία συμβατική φράση. Η κοινή πλατφόρμα δεν νομιμοποιεί αυτόματα κάθε προέλευση ή κάθε νέα χρήση.

Εξετάστε την προέλευση κάθε συνόλου δεδομένων. Αν ένας εταίρος εισφέρει στοιχεία πελατών σε κοινή εκστρατεία, ελέγξτε τι πληροφορήθηκαν οι άνθρωποι κατά τη συλλογή, αν η διαβίβαση και ο νέος σκοπός συμβιβάζονται με τον αρχικό και αν ισχύουν ειδικοί κανόνες ηλεκτρονικής επικοινωνίας. Η εγγύηση ότι η λίστα είναι «συμμορφωμένη» είναι χρήσιμο αίτημα τεκμηρίωσης, αλλά δεν αντικαθιστά την ανάλυση της συγκεκριμένης επεξεργασίας. Συμφωνήστε και ελαχιστοποίηση: η εγγραφή σε σεμινάριο χρειάζεται συνήθως λιγότερα πεδία από πλήρη εξαγωγή πελατολογίου. Η φόρμα, οι ρόλοι πρόσβασης και οι περιοδικοί έλεγχοι πρέπει να εφαρμόζουν αυτή την επιλογή.

Αντιμετωπίστε κάθε αλλαγή σκοπού ως νέο σημείο έγκρισης. Ένα κοινό ενημερωτικό διαδικτυακό σεμινάριο μπορεί αργότερα να μετατραπεί σε σύστημα βαθμολόγησης υποψήφιων πελατών· η νέα λειτουργία δεν πρέπει να περάσει σιωπηρά κάτω από την αρχική εγγραφή. Επανεξετάστε ρόλους, νόμιμες βάσεις, διαφάνεια και ενδεχόμενη εκτίμηση αντικτύπου πριν την αλλαγή. Αν ένας εταίρος θέλει να χρησιμοποιήσει κοινά στοιχεία για δική του επικοινωνία, σημειώστε πού τελειώνει η κοινή πράξη και αρχίζει ο ξεχωριστός σκοπός. Μόνο έτσι μπορεί να απαντηθεί σωστά ποια επιχείρηση ευθύνεται για ένα συγκεκριμένο μήνυμα.

Σχετικός οδηγός: αντιρρήσεις στην απευθείας εμπορική προώθηση.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Κατανείμετε αρμοδιότητες σε λειτουργική συμφωνία άρθρου 26

Το άρθρο 26 ζητεί διαφανή καθορισμό των αντίστοιχων ευθυνών, ιδίως για την ενημέρωση των άρθρων 13 και 14 και την άσκηση δικαιωμάτων, εκτός εάν και στο μέτρο που αυτές καθορίζονται ήδη από το δίκαιο της Ένωσης ή κράτους μέλους. Ορίστε κύριο και αναπληρωματικό πρόσωπο για την αρχική ενημέρωση, παραλαβή αιτήματος, έλεγχο ταυτότητας, αναζήτηση στα συστήματα, απόφαση, απάντηση και τήρηση αρχείου. Εξηγήστε τι γίνεται αν το αίτημα φτάσει στο άλλο μέρος. Η ρύθμιση πρέπει να αντανακλά τους πραγματικούς ρόλους και τη σχέση με τα πρόσωπα. Η μηχανική κατανομή «μισά-μισά» δεν γίνεται σωστή επειδή υπάρχουν δύο υπογραφές. Βεβαιωθείτε ότι ο ορισμένος υπεύθυνος έχει πρόσβαση στα στοιχεία που χρειάζεται.

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων προτείνει να καλύπτονται επίσης οι αρχές, οι νόμιμες βάσεις, η ασφάλεια, οι γνωστοποιήσεις παραβιάσεων, οι εκτιμήσεις αντικτύπου, οι εκτελούντες και οι διεθνείς διαβιβάσεις. Μετατρέψτε τα σε μετρήσιμες παραδόσεις. Για παράδειγμα, το μέρος Α ειδοποιεί το μέρος Β μέσα σε συγκεκριμένο εσωτερικό χρόνο και το Β παρέχει εξαγωγή από προσδιορισμένο σύστημα. Αφήστε επαρκές περιθώριο για τις προθεσμίες του ΓΚΠΔ προς τα έξω. Η φράση «καθένας χειρίζεται αιτήματα για τα συστήματά του» δεν επαρκεί όταν η κοινή πράξη εκτείνεται και στα δύο. Ορίστε μηχανισμό επίλυσης για ελλιπή ή αντιφατικά στοιχεία.

Το άρθρο 26 δεν επιβάλλει μία ενιαία νομική μορφή. Για ασφάλεια δικαίου και λογοδοσία, οι ευρωπαϊκές κατευθυντήριες γραμμές συνιστούν δεσμευτικό έγγραφο. Προσθέστε σαφές παράρτημα πράξεων, πίνακα αρμοδιοτήτων, επαφές κλιμάκωσης, κανόνες ανταλλαγής αποδείξεων, ελάχιστα μέτρα ασφάλειας, διαχείριση αλλαγών και λήξη συνεργασίας. Μην αντιγράφετε σύμβαση εκτελούντος του άρθρου 28: ο από κοινού υπεύθυνος δεν ενεργεί κατ’ ανάγκην αποκλειστικά με τεκμηριωμένες οδηγίες του άλλου. Αν ο ίδιος συνεργάτης παρέχει χωριστή υπηρεσία εκτέλεσης επεξεργασίας, ρυθμίστε ξεχωριστά εκείνη τη σχέση. Ένας χαρακτηρισμός δεν χωρά υποχρεωτικά όλες τις δραστηριότητες.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Οργανώστε τα δικαιώματα γύρω από το πρόσωπο, όχι τη σύμβαση

Η συμφωνία μπορεί να ορίζει σημείο επικοινωνίας. Ωστόσο, το άρθρο 26 παράγραφος 3 επιτρέπει στο πρόσωπο να ασκεί τα δικαιώματα του ΓΚΠΔ έναντι καθενός από τους από κοινού υπευθύνους, ανεξάρτητα από την εσωτερική κατανομή. Δήλωση απορρήτου που απαιτεί αιτήματα αποκλειστικά προς τον έναν συνεργάτη παρουσιάζει εσφαλμένα τον κανόνα. Και τα δύο τμήματα εξυπηρέτησης πρέπει να αναγνωρίζουν αίτημα, να καταγράφουν την παραλαβή και να το διαβιβάζουν γρήγορα. Το κεντρικό σημείο μπορεί να συντονίζει την απάντηση, αλλά η έρευνα στα δεδομένα και η απόφαση πρέπει όπου χρειάζεται να καλύπτουν την κοινή πράξη και των δύο. Η εσωτερική διαβίβαση δεν πρέπει να χάνει την αρχική ημερομηνία.

Δοκιμάστε πρόσβαση, διόρθωση, αντίρρηση και διαγραφή με ρεαλιστική εγγραφή. Αν συμμετέχων αλλάξει διεύθυνση ηλεκτρονικού ταχυδρομείου, ποιος ενημερώνει την κοινή πλατφόρμα και ποιος ειδοποιεί τον συνεργάτη; Αν αντιταχθεί στην απευθείας εμπορική προώθηση, ποιος σταματά την κοινή εκστρατεία και ποιες ανεξάρτητες λίστες χρειάζονται επίσης έλεγχο; Προβλέψτε πώς επιλύονται αβέβαιη ταυτοποίηση ή αντικρουόμενες οδηγίες. Η απάντηση πρέπει να εξηγεί τα πραγματικά στοιχεία και τον σκοπό, όχι απλώς να επισυνάπτει τη συμφωνία. Διατηρήστε ιστορικό κάθε παράδοσης, απόφασης και τελικής επικοινωνίας ώστε να μπορεί να ελεγχθεί η διαδικασία.

Ορίστε διαδρομή κλιμάκωσης για αίτημα που έρχεται κοντά στη λήξη προθεσμίας. Το άρθρο 12 προβλέπει κατά κανόνα απάντηση εντός μηνός, με δυνατότητα παράτασης μόνο υπό τους όρους του και με έγκαιρη ενημέρωση. Μια αργή εσωτερική έγκριση δεν αποτελεί από μόνη της δικαιολογία για καθυστέρηση. Αν ένας εταίρος διαφωνεί με την προτεινόμενη απάντηση, ορίστε ποιος εξετάζει τη διαφορά και πώς το πρόσωπο θα λάβει έγκαιρη και ακριβή ενημέρωση. Η συμβατική κατανομή δεν αφαιρεί δικαίωμα που παρέχει ο ΓΚΠΔ. Το σύστημα πρέπει να λειτουργεί ακόμη κι αν το πρόσωπο απευθυνθεί πρώτα στον «λάθος» εταίρο.

Σχετικός οδηγός: διαδικασία αιτημάτων πρόσβασης.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Κάντε την ασφάλεια και την αντιμετώπιση παραβιάσεων κοινή λειτουργία

Ένας κοινός σκοπός συχνά στηρίζεται σε διαφορετικές υποδομές: ο ένας διαχειρίζεται τη φόρμα, ο άλλος κρατά τις εξαγωγές και ένα πρακτορείο αποστέλλει μηνύματα. Συμφωνήστε ποιος χορηγεί πρόσβαση, επανεξετάζει δικαιώματα, ασφαλίζει μεταφορές, καταγράφει εξαγωγές και αφαιρεί πρόσβαση στη λήξη. Ορίστε ποια αποδεικτικά ασφάλειας μπορεί να ζητήσει ο ένας από τον άλλο χωρίς να ανοίγουν άσχετα συστήματα. Η κοινή ευθύνη δεν δίνει αυτομάτως πλήρη πρόσβαση σε όλες τις βάσεις του συνεργάτη. Περιορίστε τη στα δεδομένα της κοινής πράξης και ρυθμίστε χρόνο διατήρησης και διαγραφή αντιγράφων. Ελέγξτε ιδιαίτερα λήψεις σε συσκευές και δοκιμαστικά περιβάλλοντα.

Για παραβίαση χρειάζεται γρήγορη εσωτερική ειδοποίηση, όχι απλή αντιγραφή της εξωτερικής προθεσμίας. Ορίστε υπεύθυνο περιστατικού, αποδείξεις προς διαφύλαξη, ποιος αξιολογεί τον κίνδυνο, ποιος επικοινωνεί με την κυπριακή Επίτροπο όταν απαιτείται και ποιος ενημερώνει πρόσωπα όταν εφαρμόζεται το άρθρο 34. Το όριο των 72 ωρών του άρθρου 33 για γνωστοποίηση στην αρχή λειτουργεί με τις προϋποθέσεις του από τη γνώση του περιστατικού. Η συνεργασία δεν πρέπει να εξαντλήσει τον χρόνο αποφασίζοντας ποιος αναλαμβάνει. Δοκιμάστε πριν την έναρξη ένα χαμένο αρχείο εξαγωγής και μια εκτεθειμένη φόρμα εγγραφής. Καταγράψτε πότε κάθε μέρος ενημερώθηκε.

Αν χρησιμοποιούνται προμηθευτές ή υπηρεσίες νέφους, χαρτογραφήστε τις συμβάσεις εκτελούντων και τυχόν διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου. Η συμφωνία άρθρου 26 μεταξύ υπευθύνων δεν αντικαθιστά όρους άρθρου 28 ούτε εγγυήσεις κεφαλαίου V για διεθνή μεταφορά. Αναθέστε ποιος εγκρίνει νέο υπεργολάβο επεξεργασίας, ελέγχει τη βάση διαβίβασης και παρέχει στοιχεία στον εταίρο πριν κινηθούν δεδομένα. Όταν αλλάζει η πλατφόρμα, ενημερώστε μαζί τον πίνακα αρμοδιοτήτων και την ενημέρωση απορρήτου. Η καθαρή κατανομή διευκολύνει τον συντονισμό, αλλά δεν καθιστά κανέναν υπεύθυνο αόρατο στο πρόσωπο ή στην αρχή.

Σχετικός οδηγός: αντιμετώπιση παραβιάσεων.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1

Δώστε το ουσιώδες περιεχόμενο της συμφωνίας με απλή γλώσσα

Το άρθρο 26 παράγραφος 2 απαιτεί να διατίθεται στα υποκείμενα το ουσιώδες περιεχόμενο της ρύθμισης. Σύμφωνα με τις ευρωπαϊκές κατευθυντήριες γραμμές, αυτό πρέπει να απεικονίζει τους πραγματικούς ρόλους και τις σχέσεις. Μια χρήσιμη ενημέρωση κατονομάζει τους υπευθύνους, περιγράφει την κοινή πράξη, εξηγεί ποιος παρέχει πληροφορίες και συντονίζει δικαιώματα και προσφέρει λειτουργικούς τρόπους επικοινωνίας με κάθε μέρος. Διευκρινίζει επίσης τυχόν χωριστούς σκοπούς μετά την κοινή φάση. Η γυμνή φράση «είμαστε από κοινού υπεύθυνοι» δεν αρκεί για να καταλάβει κάποιος ποιος χρησιμοποιεί τα στοιχεία του και γιατί. Το κείμενο πρέπει να αντιστοιχεί στον χάρτη ροής.

Μην εμφανίζετε μόνο ολόκληρη την εμπιστευτική σύμβαση. Το ουσιώδες περιεχόμενο μπορεί να είναι σύντομη κατανοητή περίληψη συνδεδεμένη από τη φόρμα εγγραφής και τις σχετικές σελίδες απορρήτου των δύο εταίρων. Εναρμονίστε την με την πλήρη ενημέρωση των άρθρων 13 και 14: σκοπούς, βάσεις, αποδέκτες, διάρκεια, δικαιώματα και διαδρομή άσκησής τους. Αν ο ένας συλλέγει απευθείας και ο άλλος λαμβάνει αργότερα, αποφασίστε πώς εκπληρώνονται πρακτικά οι πληροφοριακές υποχρεώσεις. Ελέγξτε το κείμενο σε κινητό και στις γλώσσες του έργου. Οι διευθύνσεις επικοινωνίας πρέπει να λειτουργούν και να οδηγούν σε αρμόδια ομάδα.

Η δημόσια περίληψη και η εσωτερική συμφωνία πρέπει να παραμένουν συνεπείς μετά από αλλαγές. Αν αποχωρήσει εταίρος, εισέλθει τρίτος ή προστεθεί χρήση, ενημερώστε μαζί χάρτη ρόλων, πίνακα καθηκόντων και κείμενο ενημέρωσης. Κρατήστε χρονολογημένη έκδοση ώστε να εξηγείται τι γνώριζε κάποιος κατά τη συλλογή. Το επιλεγμένο σημείο επαφής είναι πρακτική διευκόλυνση, όχι περιορισμός του άρθρου 26 παράγραφος 3. Αν το πρόσωπο απευθυνθεί σε οποιονδήποτε από τους δύο, το αίτημα πρέπει να χειριστεί κατά τον ΓΚΠΔ. Η εσωτερική μεταφορά δεν επιτρέπεται να δημιουργεί νέα εμπόδια για εκείνον.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Δοκιμάστε τη συμφωνία σε τέσσερα συγκεκριμένα σενάρια

Πριν την υπογραφή, κάντε δοκιμή χαρακτηρισμού. Κάθε πλευρά πρέπει να περιγράφει την ίδια πράξη και να εξηγεί ανεξάρτητα ποιος αποφασίζει τον σκοπό και τα ουσιώδη μέσα. Συγκρίνετε απαντήσεις με πραγματικό σχεδιασμό υπηρεσίας και σύμβαση. Αν διαφωνούν για το αν προμηθευτής είναι εκτελών ή από κοινού υπεύθυνος, λύστε το πραγματικό ζήτημα αντί να προσθέσετε ετικέτες. Έπειτα δοκιμάστε παραλαβή αιτήματος πρόσβασης από κάθε πλευρά. Βεβαιωθείτε ότι καταγράφεται, αναζητείται στα σωστά συστήματα και απαντάται μέσα στην ισχύουσα προθεσμία. Καταγράψτε διορθώσεις πριν χρησιμοποιηθούν πραγματικά δεδομένα.

Δοκιμάστε περιστατικό στο οποίο ένα αρχείο εξαγωγής εκτίθεται Παρασκευή βράδυ. Ποιος λαμβάνει ειδοποίηση, ποια στοιχεία διατηρούνται, πώς εξετάζονται κίνδυνοι και καθήκοντα γνωστοποίησης και πώς ενεργεί ο άλλος χωρίς να περιμένει εμπορική έγκριση; Έπειτα δοκιμάστε έξοδο: η συνεργασία τελειώνει, αλλά ο ένας θέλει να κρατήσει κοινές εγγραφές για πωλήσεις. Ξεχωρίστε τι επιτρέπει η συμφωνία, ποια αυτοτελής νόμιμη βάση και ενημέρωση θα χρειάζονταν, τι πρέπει να επιστραφεί ή διαγραφεί και τι διατηρείται για διαφορετική νομική αιτία. Αυτά τα παραδείγματα αποκαλύπτουν κενά που κρύβει ένας γενικός πίνακας.

Υπογράψτε μόνο όταν οι τεκμηριωμένοι ρόλοι περνούν αυτές τις δοκιμές. Φυλάξτε παράρτημα επεξεργασίας, στοιχεία επικοινωνίας, κείμενα απορρήτου, συμβάσεις εκτελούντων και αρχεία διαβιβάσεων σε ελεγχόμενο φάκελο. Ορίστε ημερομηνία επανεξέτασης και γεγονότα που προκαλούν αλλαγή, όπως νέα συστήματα, εταίροι ή σκοποί. Η συμφωνία άρθρου 26 δεν έχει σκοπό να φορτώσει κάθε κίνδυνο στη μία πλευρά. Πρέπει να κάνει την πραγματική κατανομή κατανοητή στα πρόσωπα και εκτελέσιμη για τις επιχειρήσεις. Μικρότερο κείμενο που λειτουργεί στην πράξη αξίζει περισσότερο από εκτενές υπόδειγμα που καμία ομάδα δεν μπορεί να εφαρμόσει.

Σχετικός οδηγός: διαδικασία διαγραφής δεδομένων.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34; ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1; Δικαστήριο της ΕΕ, υπόθεση C-683/21, κοινή ευθύνη κατά το άρθρο 26; Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων

Πρωτογενείς πηγές και πεδίο εφαρμογής

Έλεγχος πηγών: 7 Οκτωβρίου 2026. Ο οδηγός αφορά την Κυπριακή Δημοκρατία. Τα παραδείγματα είναι υποθετικά και δεν αποτελούν υποθέσεις πελατών. Ελέγξτε τις ισχύουσες επίσημες απαιτήσεις πριν από κάθε υποβολή.

• Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 4, 12, 13, 14, 26, 28, 33 και 34
• ΕΣΠΔ, Κατευθυντήριες γραμμές 07/2020 για υπευθύνους και εκτελούντες, τελική έκδοση 2.1
• Δικαστήριο της ΕΕ, υπόθεση C-683/21, κοινή ευθύνη κατά το άρθρο 26
• Ευρωπαϊκή Επιτροπή: εφαρμογή του ΓΚΠΔ και ρόλοι υπευθύνων και εκτελούντων