If your business processes personal data in the EU, the General Data Protection Regulation (GDPR) will identify you as either a data controller or a data processor. You might even be both, depending on what you’re doing at any one time.

GDPR defines a data controller as someone who makes decisions about how data is processed. A data processor carries this processing out on the data controller’s behalf. You might be asking yourself a few questions at this point:

  • O que são dados pessoais?
  • O que significa "processamento" de dados pessoais?

O que são dados pessoais?  

GDPR defines personal data as anything that identifies an individual, such as someone’s name, their IP address, their payment card details, or anything else that can be used to identify someone.

What is processing?  

No contexto do GDPR, pense em processar como qualquer coisa que você possa fazer com dados pessoais. Se você escreveu o nome de alguém, levou o número do cartão de crédito de alguém por telefone ou enviou a alguém um email automatizado, processou seus dados pessoais. O GDPR coloca responsabilidades importantes no controlador de dados de qualquer maneira. Para cumprir seu dever ético de respeitar

Responsibilities of the Data Controller

The data controller may process personal data themselves, or they may contract out the processing of some or all personal data to a data processor. GDPR places important responsibilities on the data controller either way. In order to fulfill your ethical duty to respect Privacidade pessoal individual, e evitar processos e multas grandes, é essencial que sua empresa entenda e honre suas obrigações sob o GDPR. negócios. O processo de redação de um aviso de privacidade ajudará você a realmente entender o GDPR e avaliar se você é realmente compatível. (incluindo seu processador de dados)

Write a privacy notice

Writing a privacy notice – or revisiting your existing one – is not only a requirement under the GDPR, but also a great exercise for your business. The process of writing a privacy notice will help you really get to grips with the GDPR and assess whether or not you’re truly compliant.

In essence, a privacy notice should explain:

  • why you are allowed to process personal data (your legal basis)
  • how you’ll be processing it
  • how you’ll store it, and for how long
  • who else might see it (including your data processor)
  • O que você fará no caso de uma violação de segurança.

Seu aviso de privacidade precisa ser escrito em linguagem simples que seu cliente entenderá. Corte qualquer 'Legalese'. Ofensas, em larga escala.

Appoint a Data Protection Officer

Under GDPR, your business may require a Data Protection Officer if:

  • you’re a public body, or providing public services funded mainly by the state
  • you engage in large-scale tracking or monitoring of individuals
  • you process special category (sensitive) data, or data about criminal offences, on a large scale.

Here are some examples of businesses that may be required to appoint a Data Protection Officer under the GDPR:

  • a software company whose mobile app uses location tracking
  • a healthcare firm que lida com registros médicos do paciente
  • Uma empresa de táxi que coleta informações sobre a atividade de viagem. processadores). Sob o GDPR, você é responsável por sua escolha.  Aqui estão alguns exemplos de controladores de dados que podem usar um processador de dados:

A Data Protection Officer may be someone who is already working in your organisation, but they must be trained to offer expert-level advice about data protection.

Choose Data Processors carefully

As a data controller, your business may need to employ the services of a data processor (or multiple data processors). Under the GDPR, you are accountable for your choice.  Here are some examples of data controllers that might use a data processor:

  • Um agente de viagens que usa um site de pesquisa para obter feedback de seus clientes
  • Um escritório de advocacia que usa um banco de dados on -line para gerenciar as notas de casos || Como você deseja que os dados de seus clientes sejam cuidados. Você deve demonstrar que verificou se o processador de dados está em conformidade com o GDPR.
  • a marketing company that uses an automated email service for campaigns.

Your business must have a clear contract with its data processor, which informs them of exactly how you want your customers’ data to be looked after. You must be able to demonstrate that you’ve checked that the data processor is compliant with GDPR.

Seus processadores de dados podem ser baseados fora da UE. Isso só é aceitável se você estabeleceu que pode enviar legalmente dados pessoais para o exterior. Isso deve ser gravado em seu aviso de privacidade. O controlador de dados toma todas as decisões - o processador de dados está apenas seguindo pedidos, certo? Bem, não exatamente. A lista de responsabilidades que um processador de dados possui no GDPR é mais curta. Mas eles são muito mais responsáveis ​​agora do que na legislação anterior, a diretiva de proteção de dados e podem ser multados como controladores de dados. Legalmente

Responsibilities of the Data Processor

You might be thinking that the data processor has an easier ride under the GDPR. The data controller makes all the decisions – the data processor is just following orders, right? Well, not exactly. The list of responsibilities that a data processor has under the GDPR is shorter. But they are far more accountable now than they were under the previous legislation, the Data Protection Directive, and can be fined just like data controllers.

Duties shared with the Data Controller

Some of the data processor’s duties are shared with the data controller, for example:

  • having an in-depth comprehension of the GDPR
  • only ever processing personal data lawfully
  • Avaliando se eles exigem um oficial de proteção de dados e nomeando um, se necessário
  • sempre cooperando e respeitando as autoridades de dados em qualquer que esteja operando o que está operando (por exemplo, o escritório da informação do Comissário do Reino Unido). O contrato deve existir entre eles e seu processador de dados. O processador de dados deve garantir que o contrato que assina seja compatível com o GDPR. E uma vez que o contrato concorde, eles devem cumpri -lo.

Always obey the contract

Because a data controller has the final say over the means by which their customers’ data is processed, a clear contract must exist between them and their data processor. The data processor must ensure that the contract they sign is compatible with the GDPR. And once the contract’s agreed, they must stick to it.

O controlador de dados fez garantias específicas aos seus clientes sobre a maneira como seus dados pessoais serão tratados. É seu trabalho executar isso em nome deles. Isso é bom, sob certas condições:

Properly vet sub-processors

It might be necessary for data processors to bring in sub-processors (additional data processors) to help them with their task. This is fine, under certain conditions:

  • você deve ter a permissão por escrito do seu controlador de dados. Essa pode ser uma permissão contínua que concede a você algum grau de autonomia, ou pode ser que você precise obter permissão por escrito a cada vez. Entendendo
  • any sub-processors you appoint must be GDPR compliant
  • if sub-processors are based overseas, you must check that you and the data controller have sufficient authority to process your customers’ data in this way.

It’s all about accountability and understanding

Se sua empresa é um controlador de dados ou um processador de dados, você deve:

  • Entenda os princípios e os objetivos do GDPR
  • Entenda sua função de acordo com o GDPR
  • always process data in a way that is lawful under the GDPR
  • be accountable for data privacy and security.

Four Business Solutions

Four Business Solutions Ajuda pequenas e multinacionais organizações a enriquecer a maneira como trabalham. De Cadeia de suprimentos a Compras e Gerenciamento de contratos, temos décadas de experiência em ajudar empresas a seguir no mercado global. Nosso sucesso é construído sobre valores como confiança, trabalho em equipe e visão. Acreditamos que as pessoas estão no centro de qualquer negócio e que Melhoria do processo de negócios dá a nossos clientes uma vantagem profissional de classe mundial. Se você quiser conhecer um de nossos consultores especializados, ligue para John O'Brien, no 0800 6250 025 para agendar uma demonstração do produto.