Operator sau împuternicit GDPR? Contractul din art. 28

Pe scurt: Un furnizor nu este automat persoană împuternicită doar pentru că are un contract cu firma sau autoritatea. Rolurile GDPR se stabilesc după operațiunile efective: cine decide scopurile și mijloacele și cine prelucrează date în numele altuia.

Denumirea contractului nu stabilește singură rolul

Operatorul determină scopurile și mijloacele prelucrării. Persoana împuternicită prelucrează date în numele operatorului, potrivit instrucțiunilor acestuia. Pot exista și operatori asociați sau operatori independenți pentru operațiuni diferite. Analiza se face pe fluxuri, nu prin atribuirea aceleiași etichete întregii relații comerciale.

Când este necesar acordul prevăzut de art. 28

Dacă există o prelucrare în numele operatorului, relația trebuie reglementată printr-un contract sau alt act juridic care îndeplinește cerințele GDPR. O clauză generală de confidențialitate nu acoperă singură toate aceste elemente. Instrucțiunile și măsurile trebuie să fie suficient de concrete pentru serviciul prestat.

La verificarea acordului de prelucrare, urmăriți:

obiectul, durata, natura și scopul operațiunilor;
tipurile de date și categoriile de persoane vizate;
instrucțiunile documentate și confidențialitatea personalului;
măsurile de securitate și asistența pentru drepturi și incidente;
condițiile pentru alți împuterniciți, audit, returnare sau ștergere.

Subcontractarea comercială și subîmputernicirea sunt noțiuni diferite

Un subcontractant dintr-un contract public nu devine automat subîmputernicit GDPR. Dacă însă un împuternicit angajează un alt împuternicit pentru operațiunile de date, se verifică autorizarea cerută de art. 28 și impunerea obligațiilor corespunzătoare. Lanțul contractual trebuie să reflecte cine face efectiv fiecare operațiune.

Verifică și locația datelor

Clauzele despre roluri nu rezolvă singure eventualele transferuri în afara Spațiului Economic European. Trebuie verificat accesul furnizorilor și mecanismul de transfer aplicabil, când este cazul. Închiderea colaborării trebuie să prevadă ce date se returnează, ce se șterge și ce obligații legale pot justifica păstrarea.

Întrebări frecvente

Este suficient să scriem în contract că furnizorul este împuternicit?

Nu. Calificarea trebuie susținută de activitatea reală și de deciziile luate de fiecare parte. O etichetă contractuală greșită nu schimbă rolul efectiv.

Când poate fi util sprijinul specializat

Red Moonlight Experts oferă consultanță GDPR și sprijin pentru documentația de protecție a datelor, în funcție de activitatea și nevoile organizației. Putem analiza coerența documentelor, responsabilitățile și pașii de lucru; deciziile și implementarea rămân la organizație.

Articole conexe

Pentru aprofundarea temelor conexe, puteți consulta:

Surse oficiale și repere legislative

Pentru verificarea regulilor și a condițiilor aplicabile, consultați:

Verificare editorială și legislativă: 27 octombrie 2026. Informațiile au caracter general și trebuie raportate la activitatea, documentele și reglementările aplicabile organizației.

Operator sau împuternicit? Clauza GDPR începe cu rolul real al furnizorului