Отношения между администратор и обработващ лични данни. Здължения на обработващият лични данни съгласно ЗЗЛД и ОРЗД

В чл. 61 от ЗЗЛД са уредени отношенията между администратора на лични данни и обработващият лични данни. Така съгласно ал. 1 администратор на лични данни може да възложи обработване на лични данни от негово име само на обработващи лични данни, които предоставят достатъчни гаранции, че ще прилагат подходящи технически и организационни мерки по такъв начин, че обработването да отговаря на изискванията на тази глава и да се гарантира защитата на правата на субекта на данни.
 
Съгласно ал. 2 обработващият лични данни не може да включва в обработването друг обработващ лични данни без предварителното конкретно или общо писмено разрешение на администратора. В случай на общо писмено разрешение обработващият лични данни информира администратора за всякакви планирани промени за включване или замяна на други обработващи лични данни, като администраторът може да възрази срещу тези промени.
 
 
Договорът или другият правен акт, посочен в ал. 3, се изготвя в писмена, включително в електронна форма. Когато обработващ лични данни определи в нарушение на правилата на тази глава целите и средствата на обработването, той се смята за администратор на лични данни по отношение на това обработване. Обработващият лични данни и всяко лице, действащо под негово ръководство или под ръководството на администратора, което има достъп до личните данни, обработва тези данни само по указание на администратора, освен когато условията и редът за обработването са предвидени в правото на Европейския съюз или в законодателството на Република България.
 
Oт горецитираната разпоредба следва и и първото и ключово задължение на обработващия лични данни, а именно да не се отклонява от или да не действа извън указанията/ възлагането на администратора, да не определя нови цели и средства за обработването на данните и да не изземва компетенциите на администратора.
 
Подобен тип действия сами по себе си биха могли да съставляват нарушение на изискванията на ОРЗД. Вземането на ключовите решения относно обработването на личните данни е изцяло дейност и отговорност на администратора. С вземането на тези решения всъщност администраторът поема отговорността за законосъобразността им обработване и за него възникват задълженията да осигури и гарантира защитата на правата на субектите на данни. За разлика от администратора обработващият действа от името на администратора, т.е. по възлагане, съгласно нарежданията на администратора и взетите от него решения.
 
 
В случаите, когато обработващият вземе решение относно целите или средствата за обработване на личните данни, той се отклонява от нарежданията на администратора по един от следните начини:
1. Извършва дейности по обработване, които не са му били наредени/ указани от администратора – това са действия без необходимите нареждания от администратора; или
2. Извършва дейности по обработване, които нарушават нарежданията, дадени му от администратора – това са действия на директно неизпълнение на нарежданията на администратора.

 
Съгласно чл. 61, ал. 6 от ЗЗЛД, всяко отклонение на обработващия от нарежданията на администратора пречи на администратора да осигури законосъобразността на обработването и да гарантира защитата на правата на засегнатите субекти.
 

       
Всеки един от тези аспекти е ключов, за да може администраторът да изпълни задължението си по чл. 24, ал. 1 от Регламент (ЕС) 2016/679 „да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с“ Регламента.
 
Както става ясно от горецитирната разпоредба на ал.3 на чл.61 от ЗЗЛД  отношенията между обработващия и администратора относно обработването на личните данни трябва да бъдат уредени с писмен договор или с друг писмен правен акт съгласно правото на Съюза или правото на държава членка, който е задължителен за обработващия лични данни спрямо администратора.
 
Особено важно е да се подчертае, че не е достатъчно да има писмен договор между администратора и обработващия лични данни.
 
Този договор трябва задължително по конкретен начин да адресира и урежда възложените дейности по обработване на лични данни. Нещо повече, както ОРЗД така и ЗЗЛД въвеждат изисквания относно минималното съдържание на такъв договор.
 

 
В този договор или друг правен акт трябва задължително да са предвидени определени задължения за обработващия лични данни, които по своята същност се припокриват с основните му задължения съгласно ОРЗД.
 
Обработващият лични данни може да обработва личните данни само по документирано нареждане на администратора
 
В продължение на принципа за отчетност, въведен с чл. 5 от Регламента, не само договорните отношения между администратора и обработващия лични данни е необходимо да бъдат писмено уредени, но и всички нареждания и указания на администратора към обработващия лични данни относно възложеното му обработване трябва да са документирани, т.е. писмени, проследими.
 
ОРЗД забранява на обработващия лични данни да изпълнява указания на администратора, които не са документирани.
 
Всяко такова обработване би било извършено от обработващия лични данни на негов риск и отговорност, тъй като, както бе посочено по-горе, действията без или извън указанията на администратора могат да доведат до това обработващият да бъде третиран като администратор по отношение на конкретното действие по обработване.
 
 
Обичайно това са задължения за предоставяне на данни на друго лице и по-конкретна на определени компетентни държавни органи.
 
В тези случаи обработващият лични данни е длъжен да информира администратора за съществуването на това негово задължение, освен ако и това не му е забранено от правото на Съюза или от приложимото право на държава членка (най-често такъв тип задължения се откриват в контекста на задължения за оказване на съдействие при разследване на престъпления, защита на националната сигурност, данъчен контрол и др. под.).
 
 
За да бъде преодоляна тази забрана, е необходимо обработващият лични данни да е получил предварително конкретно или общо писмено разрешение от администратора.
 
Обработващият не може да включва друг обработващ данни без предварителното конкретно или общо писмено разрешение на администратора.
 
В допълнение, в случай на общо писмено разрешение, обработващият данни винаги информира администратора за всякакви планирани промени за включване или замяна на други лица, обработващи данни, като по този начин дава възможност на администратора да оспори тези промени.
 
Когато обработващ лични данни включва друг обработващ лични данни за извършването на дейности по обработване от името на администратора на това друго лице е необходимо да се наложат (с договор или друг правен акт) същите задължения за защита на данните като задълженията, предвидени в отношенията между администратора и обработващия лични данни.
 
Oбработващият лични данни е задължен да подпомага администратора, за да се гарантира изпълнението на изискванията:
- за осигуряване на сигурност на личните данни,
- за уведомяване при нарушения в сигурността на данните и
- за извършването на оценка на въздействието и
- за провеждането на предварителни консултации с надзорния орган (КЗЛД).
 
 
 
 
Наред с посоченото по-горе дължимо съдействие при нарушения на сигурността подпомага администратора, доколкото е възможно, чрез подходящи технически и организационни мерки, обработващият е задължен и да подпомага администратора при изпълнението на задължението му да отговаря на искания за упражняване на правата на субектите на данни. В какво точно ще се състои това съдействие ще зависи от конкретното естество на възложеното му обработване на лични данни.
 
Подобно на задълженията за уведомяване при нарушение на сигурността на данните, задълженията, свързани с осигуряването на възможности за упражняване правата на субектите на данни и съответно тяхното съблюдаване, са адресирани към администратора. Субектите могат да упражняват своите права спрямо администратора.
 
Посоченото по-горе задължение за съдействие на администратора включва и изискване към обработващия лични данни да осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията му като обработващи, и да позволява и да допринася за извършването на одити, включително проверки, от страна на администратора или на друг одитор, оправомощен от администратора.
 
По избор на администратора обработващият лични данни е задължен да заличи или върне на администратора всички лични данни след приключване на услугите по обработване, както и да заличи съществуващите копия, освен ако правото на Съюза или правото на държава членка не изисква тяхното съхране
 
Разгледаните до тук задължения на обработващия личните данни са функция на подчинената му роля спрямо администратора.
 
Това са задължения в контекста на конкретни възлагания на обработване на лични данни, в контекста на отношенията на обработващия лични данни с конкретни администратор.
 
Извън това, обаче, ОРЗД въвежда и някои самостоятелни задължения на обработващия.
 
Преди всичко това е задължението на обработващите лични данни да поддържат регистри на всички категории дейности по обработване, извършвани от името на администратор.
 
Съдържанието на тези регистри е различно от регистрите по чл. 30, ал. 1 от ОРЗД, които трябва да бъдат водени от администраторите.
 
То е по-съкратено и е съобразено със специфичната роля на обработващия, а именно – ролята му на лице, което действа от името на администраторите.
 
 
Размерите на санкциите, които могат да бъдат налагани на обработващите лични данни лица при нарушения на ОРЗД, са същите като тези предназначени за администратори.
 
Направеният до тук очерк на задълженията на обработващите лични данни лица сочат, че за да съблюдават изискванията на Регламента и за да си гарантират в максимална степен защитата на техните права и интереси обработващите личните данни ще е необходимо преди всичко:
1. Стриктно да изискват от администраторите писмено, надлежно и детайлно уреждане на възлаганите им дейности по обработване на лични данни. По отношение на заварените отношения – да преуредят по надлежен начин договорите си със своите възложители/ клиенти;
2. Да обработват личните данни съобразно документираните нареждания на администратора;
3. Да оказват адекватно и съответстващо на възложените им дейности съдействие на администратора при спазване на неговите задължения; и
4. Да водят регистри за извършваните от тях дейности по обработване на лични данни.