GDPR இன் கீழ் தரவு செயலாக்க ஒப்பந்தம் (verwerkersovereenkomst): ஒரு டச்சு நடைமுறை வழிகாட்டி

நெதர்லாந்தில் செயல்படும் ஏறக்குறைய ஒவ்வொரு நிறுவனமும், ஊதியப் பட்டியல், ஹோஸ்டிங், CRM, சந்தைப்படுத்தல், ஆட்சேர்ப்பு, ஆதரவு போன்ற தனிப்பட்ட தரவுகள் தொடர்பான ஏதேனும் ஒரு பணியை வெளிப்பணியமர்த்தல் செய்கிறது. ஒரு வழங்குநர் உங்கள் அறிவுறுத்தல்களின்படி தனிப்பட்ட தரவுகளைச் செயலாக்கும்போது, ​​GDPR-இன் பிரிவு 28-இன் படி, டச்சு மொழியில் ' வெர்வெர்கர்சோவரீன்கோம்ஸ்ட்' (verwerkersovereenkomst ) எனப்படும் ஒரு எழுத்துப்பூர்வ ஒப்பந்தம் தேவைப்படுகிறது . இந்த வழிகாட்டி, அது எப்போது தேவைப்படுகிறது, அதில் என்னென்ன இருக்க வேண்டும், டச்சு மேற்பார்வை ஆணையம் அதை எவ்வாறு அணுகுகிறது, மற்றும் முக்கியமான உட்பிரிவுகள் எவ்வாறு பேச்சுவார்த்தை நடத்தப்படுகின்றன என்பனவற்றை உள்ளடக்கியுள்ளது.

செயலாக்க ஒப்பந்தம் எப்போது தேவைப்படுகிறது, மற்றும் எப்போது தேவையில்லை

இது ஒரே ஒரு சூழ்நிலையில் மட்டுமே தேவைப்படுகிறது: அதாவது, ஒரு தரப்பினர் மற்றொரு தரப்பினரின் சார்பாகத் தனிப்பட்ட தரவுகளைச் செயலாக்கும்போது. தரவுகள் ஏன், சாராம்சத்தில் எவ்வாறு செயலாக்கப்படுகின்றன என்பதைத் தீர்மானிக்கும் தரப்பினர் கட்டுப்பாட்டாளர் (controller) ஆவார்; அதன் அறிவுறுத்தல்களின்படி செயல்படும் தரப்பினர் செயலாக்கி (processor) ஆவார். இந்தக் கடமையானது ஒரு சங்கிலித் தொடராகக் கீழ்நோக்கிச் செல்கிறது, எனவே ஒரு துணைச் செயலாக்கியை (sub-processor) ஈடுபடுத்தும் செயலாக்கி, அதனுடன் சமமான ஒரு ஒப்பந்தத்தை மேற்கொள்ள வேண்டும். தரப்பினர் ஒவ்வொருவரும் தத்தமது சொந்த நோக்கங்களைப் பின்பற்றும் சுதந்திரமான கட்டுப்பாட்டாளர்களாக இருக்கும்போது, ​​அல்லது அவர்கள் கூட்டுக் கட்டுப்பாட்டாளர்களாக இருக்கும்போது (இதற்குப் பதிலாக GDPR-இன் பிரிவு 26-இன் கீழ் ஒரு ஏற்பாடு தேவைப்படுகிறது), அல்லது தனிப்பட்ட தரவுகள் எதுவும் சம்பந்தப்படாதபோது இது தேவையில்லை.

உண்மையில் ஒரு சுயாதீனக் கட்டுப்பாட்டாளராக இருக்கும் ஒரு தரப்புடன் ஒப்பந்தத்தில் கையொப்பமிடுவது பாதிப்பில்லாததல்ல: அது யார் பொறுப்பு என்பதைத் தவறாகக் குறிப்பிடுவதோடு, இரு தரப்பினராலும் மதிக்க முடியாத ஒரு அறிவுறுத்தல் இருப்பது போன்ற மாயையையும் உருவாக்குகிறது. இதற்கு நேர்மாறான பிழையும் மிகவும் பொதுவானது; இதில், ஒரு விநியோகஸ்தர் தன் சொந்தக் கணக்கில் செயல்பட்டு, தன்னால் இணங்க முடியாத அறிவுறுத்தல்களை மட்டுமே கொண்ட விதிமுறைகளை ஏற்றுக்கொள்கிறார்.

கட்டுப்படுத்தி அல்லது செயலி: இந்த வேறுபாடு உண்மையில் எவ்வாறு மதிப்பிடப்படுகிறது

இந்த மதிப்பீடு செயல்பாட்டு ரீதியானது, சம்பிரதாயமானது அல்ல: ஒப்பந்தம் தரப்பினரை எவ்வாறு குறிப்பிடுகிறது என்பது சான்றே தவிர, அதுவே பதில் அல்ல; மேலும், ஒரு கட்டுப்பாட்டாளருக்கும் செயலாக்காளருக்கும் இடையிலான வேறுபாட்டைத்தான் ஒரு மேற்பார்வை ஆணையம் முதலில் சோதிக்கிறது. கட்டுப்பாட்டாளர் மற்றும் செயலாக்காளர் குறித்த EDPB-யின் வழிகாட்டுதல்கள் 07/2020 இதன் குறிப்புப் புள்ளியாகும், இதன் இறுதிப் பதிப்பு 7 ஜூலை 2021 அன்று ஏற்றுக்கொள்ளப்பட்டது.

நோக்கங்கள் மற்றும் அத்தியாவசிய வழிமுறைகள்

கட்டுப்பாட்டாளர் நோக்கங்களையும் அத்தியாவசிய வழிமுறைகளையும் தீர்மானிக்கிறார்: அதாவது, எந்த வகை தரவுகள் செயலாக்கப்படுகின்றன, யாரைப் பற்றி, எவ்வளவு காலத்திற்கு, மற்றும் அவை யாருக்கு வெளியிடப்படுகின்றன என்பனவற்றைத் தீர்மானிக்கிறார். அந்த முடிவுகள் சட்டப்பூர்வத்தன்மை மற்றும் அவசியத்துடன் பிணைக்கப்பட்டுள்ளன, அவற்றை மற்றவர்களுக்கு ஒப்படைக்க முடியாது. அத்தியாவசியமற்ற வழிமுறைகளான, செயல்படுத்தும் விவரங்களை வழங்குநரிடம் விட்டுவிடலாம்: அதாவது, அவர் எந்த மென்பொருளை இயக்குகிறார் மற்றும் தனது கட்டுப்பாடுகளை எவ்வாறு வடிவமைக்கிறார் என்பனவற்றை அவர் தீர்மானிக்கலாம்.

எனவே, ஒரு நிறுவனம் தரவைத் தொடாவிட்டாலும் அது ஒரு கட்டுப்பாட்டாளராக இருக்க முடியும். C-683/21 (Nacionalinis visuomenės sveikatos centras) வழக்கில், 5 டிசம்பர் 2023 அன்று வழங்கப்பட்ட தனது தீர்ப்பில், ஐரோப்பிய ஒன்றிய நீதிமன்றம், தான் ஆணையிட்ட ஒரு செயலி மூலம் மேற்கொள்ளப்படும் செயலாக்கத்தின் நோக்கங்களையும் வழிமுறைகளையும் தீர்மானிக்கும் ஒரு நிறுவனம் ஒரு கட்டுப்பாட்டாளர் என்றும், எந்தவொரு முறையான ஏற்பாடும் இல்லாமல் ஒன்றிணையும் முடிவுகளிலிருந்து கூட்டு கட்டுப்பாட்டாளர் நிலை ஏற்படலாம் என்றும் தீர்ப்பளித்தது. இதற்கு நேர்மாறாக, அறிவுறுத்தல்களுக்கு அப்பாற்பட்டு தனது சொந்த நோக்கங்களுக்காகச் செயலாக்கும் ஒரு செயலி, GDPR-இன் பிரிவு 28-இன் படி அந்தச் செயலாக்கத்திற்கான ஒரு கட்டுப்பாட்டாளராகக் கருதப்படுகிறது.

நிறுவனங்களைச் சிக்கலில் ஆழ்த்தும் சூழ்நிலைகள்

• சம்பளப் பட்டியல் அலுவலகங்கள். நீங்கள் வழங்கும் தரவுகளைப் பணியகம் உள்ளிட்டு, சம்பளச் சீட்டுகளை உருவாக்கும்போது, ​​அது ஒரு செயலாக்கி (processor) ஆகும். நிறுவனத்தின் சொந்த முடிவின்படி, சுதந்திரமான ஆலோசனை மற்றும் இணக்கச் சோதனைகள் வரை அந்தப் பணி விரிவடையும்போது, ​​கணக்காளர்கள், வரி ஆலோசகர்கள் மற்றும் சம்பளப் பட்டியல் நிபுணர்களுக்கான டச்சு தொழில்முறை அமைப்புகளின் 1 அக்டோபர் 2019 வழிகாட்டுதல், அதனை ஒரு கட்டுப்பாட்டாளராக (controller) கருதுகிறது.
• கணக்காளர்கள் மற்றும் வரி ஆலோசகர்கள். சட்டப்பூர்வ தணிக்கை, தொகுத்தல் மற்றும் வரி அறிக்கை பணிகள் ஆகியவை நிறுவனத்தின் சொந்த தொழில்முறை மற்றும் சட்டப்பூர்வ கடமைகளின் கீழ், சுதந்திரமான முடிவெடுக்கும் திறனுடன் செய்யப்படுகின்றன. அது கட்டுப்பாட்டாளர் தகுதியைச் சுட்டிக்காட்டுகிறது, மேலும் செயலாக்க ஒப்பந்தம் என்பது தவறான ஆவணமாகும்.
• சந்தைப்படுத்தல் முகமைகள். உங்கள் வாடிக்கையாளர் பட்டியலுக்கு எதிராக ஒரு பிரச்சாரத்தை நடத்தும் நிறுவனம் ஒரு செயலாக்கி ஆகும். அது பார்வையாளர்களை உருவாக்குகிறது அல்லது வளப்படுத்துகிறது, அல்லது தளம் அளவுருக்களை நிர்ணயிக்கும், தனக்கென சொந்த நோக்கங்களைக் கொண்ட, மற்றும் தளத்துடன் கூட்டுக் கட்டுப்பாட்டுக்கு சாத்தியமான ஒரு விளம்பரத் தொழில்நுட்பத்தை இயக்குகிறது.
• தகவல் தொழில்நுட்ப வழங்குநர்கள், ஹோஸ்டிங் மற்றும் SaaS. பொதுவாக செயலாக்கிகள், ஆனால் சேவை மேம்பாடு, தரப்படுத்தல் அல்லது மாதிரிப் பயிற்சிக்காக “திரட்டப்பட்ட” அல்லது “பயன்பாட்டு”த் தரவைப் பயன்படுத்துவதற்கான உரிமையை ஒதுக்கி வைக்கும் பிரிவைச் சரிபார்க்கவும். தனிப்பட்ட தரவு சம்பந்தப்பட்டிருக்கும் வரையில், அது வழங்குநரின் சொந்த நோக்கமாகும், மேலும் அவரே அதற்கான கட்டுப்பாட்டாளர் ஆவார்.
• ஆள்சேர்ப்பவர்கள். தனது சொந்த விண்ணப்பதாரர் தரவுத்தளத்தைப் பராமரிக்கும் ஒரு முகமையே அதன் கட்டுப்பாட்டாளர் ஆகும். உங்கள் காலிப்பணியிடத்திற்கான பெயரிடப்பட்ட விண்ணப்பதாரர்களைப் பரிசீலிக்கும் பணியானது, பொதுவாக இரண்டு கட்டுப்பாட்டாளர்களின் கூட்டு முயற்சியாகும்; இவற்றுக்கு இடையில், அறிவுறுத்தல்களின் பேரில் வரையறுக்கப்பட்ட அளவிலான செயலாக்கமும் நடைபெறும்.

கூட்டு கட்டுப்பாட்டு முறை மற்றும் அதற்குத் தேவைப்படும் ஏற்பாடு

இரு தரப்பினரும், பொதுவான முடிவின் மூலமாகவோ அல்லது ஒன்றிணைந்து பிரிக்கமுடியாதபடி இணைக்கப்பட்ட முடிவுகளின் மூலமாகவோ, நோக்கங்களையும் வழிமுறைகளையும் கூட்டாகத் தீர்மானிக்கும்போது, ​​GDPR-இன் பிரிவு 26, ஒரு செயலாக்க ஒப்பந்தத்திற்குப் பதிலாக ஓர் ஏற்பாட்டைக் கோருகிறது. தரவு உரிமையாளர்களுக்கு யார் பதிலளிக்கிறார்கள், வெளிப்படைத்தன்மைத் தகவல், பாதுகாப்பு, மீறல் அறிவிப்பு, தாக்க மதிப்பீடுகள் மற்றும் பரிமாற்றங்களை யார் கையாளுகிறார்கள் என்பதை அது வெளிப்படையாகத் தீர்மானிக்க வேண்டும். அதன் சாராம்சம் தரவு உரிமையாளர்களுக்குக் கிடைக்கச் செய்யப்பட வேண்டும்; தரப்பினர் எவ்வாறு விஷயங்களைப் பிரித்துக் கொண்டாலும், அவர்கள் இரு தரப்பினருக்கும் எதிராக உரிமைகளைப் பயன்படுத்தலாம். மேலும், இது தனிநபர் தரவு ஆணையத்தையோ (Autoriteit Persoonsgegevens) அல்லது நீதிமன்றத்தையோ கட்டுப்படுத்தாது.

GDPR பிரிவு 28-இன் கீழ் உள்ள கட்டாய உள்ளடக்கம்

ஒப்பந்தம், மின்னணு வடிவம் உட்பட, எழுத்துப்பூர்வமாக இருக்க வேண்டும் மற்றும் செயலாக்குபவரைக் கட்டுப்படுத்துவதாக இருக்க வேண்டும். GDPR-இன் பிரிவு 28 ஒரு நிலையான பட்டியலை அமைக்கிறது, மேலும் ஒழுங்குமுறையை அதற்கே மீண்டும் கூறுவது போதுமானதல்ல என்று EDPB தெளிவாகக் கூறுகிறது.

துணைச் செயலாக்கிகள் மற்றும் அங்கீகார முறை

கட்டுப்பாட்டாளரின் அங்கீகாரம் இல்லாமல் ஒரு செயலி ஒரு துணைச் செயலியை ஈடுபடுத்த முடியாது. குறிப்பிட்ட முன் அங்கீகாரம் ஒவ்வொன்றையும் தனித்தனியாக அங்கீகரிக்கிறது; இது ஒரு சிறிய நிலையான சங்கிலிக்குப் பொருந்தும், ஆனால் ஒரு பெரிய கிளவுட் சேவைக்குப் பொருந்தாது. பொதுவான எழுத்துப்பூர்வ அங்கீகாரம், செயலியானது துணைச் செயலிகளைச் சேர்க்கவோ அல்லது மாற்றவோ அனுமதிக்கிறது, ஆனால் அது உத்தேசிக்கப்பட்ட மாற்றங்கள் குறித்து கட்டுப்பாட்டாளருக்குத் தெரிவிக்க வேண்டும் மற்றும் அவர் ஆட்சேபிக்கவும் அனுமதிக்க வேண்டும்.

கிட்டத்தட்ட ஒவ்வொரு நிலையான விநியோகஸ்தர் ஒப்பந்தமும் பொதுவான அங்கீகாரம், ஒரு பட்டியல் மற்றும் ஒரு அறிவிப்புக் காலத்தை வழங்குகிறது. எனவே, அந்த அறிவிப்பின் மதிப்பு என்ன என்பதே பேச்சுவார்த்தையாகும்: நீங்கள் ஒரு வலைப்பக்கத்தைக் கண்காணிப்பதைச் சாராத ஒரு வழிமுறை, நடவடிக்கை எடுக்கப் போதுமான நீண்ட கால அவகாசம், மற்றும் நீங்கள் ஆட்சேபனை தெரிவித்தால் விதிக்கப்படும் ஒரு குறிப்பிட்ட விளைவு - யதார்த்தமாக, அபராதம் இன்றி ஒப்பந்தத்தை முடிவுக்குக் கொண்டுவருவது. எப்படியிருந்தாலும், செயலாக்கி அதே கடமைகளைத் தொடர்ச்சியாக விதிக்க வேண்டும், மேலும் துணைச் செயலாக்கிக்கும் அதுவே பொறுப்பாகும். 9 அக்டோபர் 2024 தேதியிட்ட கருத்து 22/2024-இல், பொறுப்புக்கூறல் முழு சங்கிலிக்கும் நீட்டிக்கப்படுகிறது என்பதை ஐரோப்பிய பேரிடர் மேலாண்மை வாரியம் (EDPB) உறுதிப்படுத்தியது: கட்டுப்பாட்டாளர் ஒவ்வொரு துணைச் செயலாக்கியையும் அடையாளம் காணவும், பாதுகாப்பு ஏற்பாடுகள் முழுவதும் நீடிக்கின்றன என்பதை உறுதிப்படுத்திக்கொள்ளவும் முடிய வேண்டும்.

உறுதியாக்கப்பட்ட பாதுகாப்பு கடமை

"செயலி, GDPR-இன் பிரிவு 32-இன் படி பொருத்தமான தொழில்நுட்ப மற்றும் நிறுவன ரீதியான நடவடிக்கைகளைச் செயல்படுத்த வேண்டும்" என்பது ஒரு வெற்று வார்த்தையாகும்: அது உங்களுக்கு எதையும் கூறாது, எதையும் நிரூபிக்கவும் செய்யாது. பயன்படுத்தக்கூடிய ஒரு இணைப்புப் பகுதியானது, பரிமாற்றத்தின்போதும் சேமிப்பிலும் உள்ள மறைகுறியாக்கம் மற்றும் சாவிகள் எவ்வாறு நிர்வகிக்கப்படுகின்றன; சேர்பவர்-இடம் மாறுபவர்-வெளியேறுபவர் செயல்முறைகள் மற்றும் பல காரணி அங்கீகாரம் உள்ளிட்ட அணுகல் கட்டுப்பாடு; என்ன பதிவு செய்யப்படுகிறது மற்றும் எவ்வளவு காலத்திற்குப் பதிவு செய்யப்படுகிறது; காப்புப் பிரதி எடுக்கும் அதிர்வெண் மற்றும் சோதிக்கப்பட்ட மீட்டெடுப்பு; பிழைதிருத்தம் மற்றும் ஊடுருவல் சோதனைக்கான காலக்கெடு; நம்பப்படும் சான்றிதழ்கள் மற்றும் அவற்றின் நோக்கம்; மற்றும் ஆதரவுப் பணியாளர்கள் உட்பட, தரவுகள் எங்கு சேமிக்கப்பட்டு அணுகப்படுகின்றன என்பனவற்றைக் குறிப்பிடுகிறது.

இது சான்றியல் ரீதியாக முக்கியமானது. C-340/21 (Natsionalna agentsia za prihodite) வழக்கில், 14 டிசம்பர் 2023 அன்று வழங்கப்பட்ட தனது தீர்ப்பில், ஐரோப்பிய ஒன்றிய நீதிமன்றம், ஒரு பாதுகாப்புச் சம்பவம் மட்டுமே எடுக்கப்பட்ட நடவடிக்கைகள் போதுமானதாக இல்லை என்பதை நிலைநாட்டாது என்றும், மாறாக அவை பொருத்தமானவை என்பதை நிரூபிக்கும் பொறுப்பு கட்டுப்பாட்டாளருக்கே உள்ளது என்றும் தீர்ப்பளித்தது. தேதியிடப்பட்ட ஒரு இணைப்பு அந்தச் சான்றாகும்; ஒரு குறுக்கு-குறிப்பு அவ்வாறு ஆகாது.

தரவு உரிமையாளரின் உரிமைகள் மற்றும் மீறல் அறிவிப்பு தொடர்பான உதவி

இந்த இரண்டு கடமைகளும் காலக்கெடுவைச் சார்ந்தவை, மேலும் அந்தக் காலக்கெடு கட்டுப்பாட்டாளருக்கே உரியது. தரவு உரிமையாளரின் உரிமைகளைப் பொறுத்தவரை, கட்டுப்பாட்டாளர் ஒரு மாதத்திற்குள் பதிலளிக்க வேண்டும், எனவே காலவரையறை இல்லாத "நியாயமான உதவி" என்பது, அந்தத் தாமதத்தை நீங்களே ஏற்கும்படி விட்டுவிடுகிறது. இதைச் சரிசெய்யுங்கள்: வழங்குநர் பெறும் எந்தவொரு கோரிக்கையும், குறிப்பிட்ட எண்ணிக்கையிலான வேலை நாட்களுக்குள் அனுப்பப்பட வேண்டும், ஆனால் ஒருபோதும் பதிலளிக்கப்படக்கூடாது; ஒரு முழுமையான தரவுத் தொகுப்பு ஐந்து முதல் பத்து வேலை நாட்களுக்குள் பயன்படுத்தக்கூடிய வடிவத்தில் உருவாக்கப்பட வேண்டும்; மேலும் இது ஒரு விலைப்பட்டியலைத் தூண்டுவதற்குப் பதிலாக, கட்டணத்திலேயே அடங்கிவிட வேண்டும்.

மீறல்கள் ஏற்படும்போது, ​​கட்டுப்பாட்டாளர் தேவையற்ற தாமதமின்றி, சாத்தியமான இடங்களில், GDPR-இன் பிரிவு 33-இன் கீழ், அதுபற்றி அறிந்த 72 மணி நேரத்திற்குள் தனிநபர் தரவு ஆணையத்திற்கு (Autoriteit Persoonsgegevens) அறிவிக்க வேண்டும். செயலாக்குபவரின் கடமையை உறுதியாக்குங்கள்: உண்மைகள் முழுமையடையாத நிலையில்கூட, வரையறுக்கப்பட்ட குறைந்தபட்ச உள்ளடக்கத் தொகுப்புடன், பணி நேரத்திற்குப் புறம்பான தொடர்பு வழியுடன், குறிப்பிடப்பட்ட ஒரு தொடர்புக்கு 24 மணி நேரத்திற்குள் அறிவித்தல்; தடயவியல் துறையுடன் ஒத்துழைத்தல்; மற்றும் உங்கள் ஒப்புதல் இல்லாமல் அதிகார அமைப்புக்கோ அல்லது தரவு உரிமையாளர்களுக்கோ அறிவிப்பதற்குத் தடை விதித்தல். வரையறைக்குள் வரும் நிறுவனங்கள், NIS2 நெறிமுறையைச் செயல்படுத்தும் மற்றும் 15 ஆகஸ்ட் 2026 முதல் நடைமுறையில் உள்ள டச்சு சைபர் பாதுகாப்புச் சட்டத்தின் (Dutch Cyberbeveiligingswet) கீழ், தங்கள் CSIRT-க்கும் சம்பவங்களைப் புகாரளிக்கின்றன.

தணிக்கை உரிமைகள் மற்றும் அவை எவ்வாறு பேச்சுவார்த்தை நடத்தப்படுகின்றன

GDPR-இன் பிரிவு 28, இணக்கத்தை நிரூபிக்கத் தேவையான தகவல்களைக் கிடைக்கச் செய்யவும், கட்டுப்பாட்டாளர் அல்லது அது நியமிக்கும் தணிக்கையாளரால் நடத்தப்படும் தணிக்கைகள் மற்றும் ஆய்வுகளுக்கு அனுமதி அளிக்கவும், பங்களிக்கவும் தரவுச் செயலாக்கியைக் கோருகிறது. "எங்களின் சமீபத்திய சான்றிதழ்" என்பதை மட்டும் வழங்கும் ஒரு பிரிவு போதுமானதாக இல்லை. பெரும்பாலான டச்சுப் பேச்சுவார்த்தைகள் எட்டும் சமரசம் இதுதான்: அதன் வரையறை ஆவணத்துடன், உரிமையின் அடிப்படையில் ஒரு வருடாந்திர உறுதி அறிக்கை; ஆண்டுக்கு ஒருமுறை ஆவணப்படுத்தப்பட்ட தணிக்கை, மேலும் உங்கள் தரவைப் பாதிக்கும் மீறலுக்குப் பிறகோ அல்லது ஒரு மேற்பார்வை அதிகாரத்தின் கோரிக்கையின் பேரிலோ ஒரு கூடுதல் தணிக்கை; முப்பது நாட்கள் முன்னறிவிப்பு; உங்கள் சேவைகளுக்குள் வரையறுக்கப்பட்ட வரையறை; போட்டியாளர் அல்லாத ஒரு தணிக்கையாளர்; மற்றும் குறிப்பிடத்தக்க இணக்கமின்மை கண்டறியப்படாவிட்டால், செலவுகள் உங்களால் ஏற்கப்படும்.

இறுதியில் திரும்புதல் அல்லது நீக்குதல்

தேர்வு கட்டுப்பாட்டாளருடையது, மேலும் அதை வழங்குநருக்கு ஒதுக்கி வைப்பதற்குப் பதிலாக ஒப்பந்தத்தில் குறிப்பிட வேண்டும். ஏற்றுமதி வடிவம், காலக்கெடு (பொதுவாக ஒப்பந்தம் முடிவடைந்த நாளிலிருந்து முப்பது நாட்கள்), நீக்குவதற்கான எழுத்துப்பூர்வ உறுதிப்படுத்தல், மற்றும் காப்புப்பிரதிகள் எவ்வாறு கையாளப்படுகின்றன என்பனவற்றைக் குறிப்பிடவும். நடைமுறையில், காப்புப்பிரதிகள் என்பது, தரவு மேலெழுதப்படும் வரை, ஆவணப்படுத்தப்பட்ட ஒரு சுழற்சியில் பாதுகாப்பாகவும் பயன்படுத்தப்படாமலும் இருப்பதை உறுதி செய்வதாகும். வெளியேறும் உதவி மற்றும் கட்டணங்களை முன்கூட்டியே ஒப்புக்கொள்ளுங்கள், மேலும் சர்ச்சைக்குரிய கட்டணங்கள் காரணமாக தரவைத் தடுத்து வைப்பதற்கான எந்தவொரு உரிமையையும் விலக்குங்கள்.

பொறுப்பு, இழப்பீடுகள் மற்றும் GDPR-இன் சொந்தப் பொறுப்பு விதிமுறை

GDPR-இன் பிரிவு 82, ஒரு தரவு உரிமையாளருக்கு பொருள்சார் மற்றும் பொருளற்ற சேதங்களுக்கான இழப்பீடு கோரும் உரிமையை வழங்குகிறது. ஒழுங்குமுறையை மீறும் செயலாக்கத்தால் ஏற்படும் சேதத்திற்கு ஒரு கட்டுப்பாட்டாளர் பொறுப்பாவார்; செயலாக்கிகளுக்காகக் குறிப்பாக விதிக்கப்பட்ட கடமைகளை அது பூர்த்தி செய்யாதபோது, ​​அல்லது சட்டப்பூர்வமான அறிவுறுத்தல்களுக்கு வெளியே அல்லது எதிராகச் செயல்பட்டபோது ஒரு செயலாக்கி பொறுப்பாகும். இருவரும் ஒரே செயலாக்கத்தில் ஈடுபட்டிருக்கும்போது, ​​ஒவ்வொருவரும் முழு சேதத்திற்கும் பொறுப்பேற்கலாம், பின்னர் அதற்கான தீர்வு காணும் உரிமையும் உண்டு. அந்தப் பொறுப்பை ஒப்பந்தத்தின் மூலம் தவிர்க்க முடியாது; ஒப்பந்தமே இருவருக்குமான பங்கை ஒதுக்குகிறது. அபராதங்கள் தனிப்பட்டவை: GDPR-இன் பிரிவு 28-ஐ மீறுவது, GDPR-இன் பிரிவு 83-இல் கீழ்நிலைப் பிரிவில் அடங்கும்.

• நிலையான விதிமுறைகள், கட்டணங்களின் மடங்கில் பொறுப்பை வரம்பிட்டு, “மறைமுக மற்றும் பின்விளைவு இழப்பை” விலக்குகின்றன. ஒழுங்குமுறை அபராதங்கள், அறிவிப்பு மற்றும் தடயவியல் செலவுகள் மற்றும் தரவு உரிமையாளர்களுக்கான இழப்பீடு ஆகியவை அந்த விலக்கிற்குள் வந்தால், அந்த இழப்பீட்டுத்தொகை ஒரு அலங்காரமே ஆகும்: அவற்றை மீட்கக்கூடிய நேரடி இழப்பாகப் பட்டியலிடவும்.
• செயலாக்க ஒப்பந்த மீறல், இரகசியத்தன்மை மீறல், மற்றும் வேண்டுமென்றே அல்லது கவனக்குறைவாக செய்யப்படும் மீறல் ஆகியவற்றிற்காக, விலக்கு அல்லது மேம்படுத்தப்பட்ட உச்சவரம்பைக் கோருங்கள்.
• உங்கள் மீது விதிக்கப்படும் அபராதத்தை அபராதமாக மாற்ற முடியாது, ஆனால் முறையாக வரையப்பட்ட இழப்பீட்டு ஒப்பந்தத்தின் கீழ் அதை இழப்பாகத் திரும்பப் பெறலாம். WAMCA ஆட்சிமுறையின் கீழ் உள்ள டச்சு கூட்டு நடவடிக்கைகள், திரட்டப்பட்ட கோரிக்கைகளை ஒரு யதார்த்தமான இடர் அபாயமாக ஆக்குகின்றன, இது ஒரு கேலிக்குரிய உச்சவரம்புக்கு எதிராக வாதிடுகிறது.

சர்வதேச பரிமாற்றங்கள் மற்றும் நிலையான நிபந்தனைகள்

செயலி, அதன் துணைச் செயலிகள் அல்லது அதன் ஆதரவுப் பணியாளர்கள் ஐரோப்பியப் பொருளாதாரப் பகுதிக்கு (EEA) வெளியே இருந்து தரவை அணுக முடிந்தால், GDPR-இன் அத்தியாயம் V மற்றும் சர்வதேச தரவுப் பரிமாற்றங்களுக்கான விதிமுறைகள் , பிரிவு 28-க்குக் கூடுதலாகப் பொருந்தும். தொலைநிலை அணுகல் கணக்கில் எடுத்துக்கொள்ளப்படும், அதுபோலவே வெளிநாட்டில் உள்ள ஒரு ஆதரவு மையமும் கணக்கில் எடுத்துக்கொள்ளப்படும்.

GDPR-இன் பிரிவு 45-இன் கீழ் போதுமான தன்மை குறித்த முடிவு இல்லாத நிலையில், GDPR-இன் பிரிவு 46-இன் கீழ், 4 ஜூன் 2021 தேதியிட்ட ஆணையத்தின் செயல்படுத்தும் முடிவு (EU) 2021/914-ஆல் ஏற்றுக்கொள்ளப்பட்ட நிலையான ஒப்பந்த விதிமுறைகளே வழக்கமான கருவியாக உள்ளன. இரண்டு விடயங்கள் வழக்கமாகத் தவறவிடப்படுகின்றன. கட்டுப்பாட்டாளரிடமிருந்து செயலாக்குநருக்கும் மற்றும் செயலாக்குநரிடமிருந்து துணைச் செயலாக்குநருக்கும் ஆன பரிமாற்றங்களை உள்ளடக்கிய தொகுதிகள், GDPR-இன் பிரிவு 28 தேவைகளையும் பூர்த்தி செய்கின்றன. எனவே, பல ஒப்பந்தங்கள் இரண்டையும் ஒன்றாக இணைத்திருந்தாலும், அந்தப் பகுதிக்கு ஒரு தனி செயலாக்க ஒப்பந்தம் தேவையில்லை. மேலும், C-311/18 (Schrems II) வழக்கில் 16 ஜூலை 2020 தேதியிட்ட ஐரோப்பிய ஒன்றிய நீதிமன்றத்தின் தீர்ப்பிற்குப் பிறகு, கையொப்பமிடுவதுடன் இது முடிந்துவிடுவதில்லை: சேருமிட நாட்டின் சட்டமும் நடைமுறையும் இறக்குமதியாளரை இணங்குவதிலிருந்து தடுக்கிறதா என்பதைத் தரப்பினர் மதிப்பிட வேண்டும், மேலும் அவ்வாறு தடுக்கும் பட்சத்தில் கூடுதல் நடவடிக்கைகளைச் சேர்க்க வேண்டும். அந்த மதிப்பீட்டை ஆவணப்படுத்த வேண்டும்; 18 ஜூன் 2021 அன்று ஏற்றுக்கொள்ளப்பட்ட EDPB-இன் பரிந்துரைகள் 01/2020, இந்த அணுகுமுறையை இன்னும் நிர்ணயிக்கின்றன.

அமெரிக்காவைப் பொறுத்தவரை, ஐரோப்பிய ஒன்றியம்-அமெரிக்க தரவு தனியுரிமை கட்டமைப்புக்கான ஆணையத்தின் 10 ஜூலை 2023 தேதியிட்ட போதுமான தன்மை குறித்த முடிவு நடைமுறையில் உள்ளது, ஆனால் குறிப்பிட்ட பெறுநர் தொடர்புடைய தரவு வகைகளுக்குத் தீவிரமாகச் சுய-சான்றிதழ் அளிக்கும் இடங்களில் மட்டுமே இது உதவுகிறது, எனவே அந்தச் சான்றிதழைச் சரிபார்க்கவும். அது தனது முதல் சவாலைச் சமாளித்தது: பொது நீதிமன்றம் T-553/23 (லடோம்ப் எதிர் ஆணையம்) வழக்கில் 3 செப்டம்பர் 2025 தேதியிட்ட தீர்ப்பின் மூலம் அந்த நடவடிக்கையைத் தள்ளுபடி செய்தது. 31 அக்டோபர் 2025 அன்று C-703/25 P என்ற வழக்காக ஒரு மேல்முறையீடு தாக்கல் செய்யப்பட்டது, மேலும் 2026-ல் இந்தப் பக்கம் வெளியிடப்படும் தேதி வரை ஐரோப்பிய ஒன்றிய நீதிமன்றம் அந்த வழக்கை முடித்து வைக்கவில்லை; இதற்கிடையில், போதுமான தன்மை குறித்த முடிவு இடைநிறுத்தப்படவோ அல்லது திருத்தப்படவோ இல்லை. இது ஒரேயொரு தோல்விப் புள்ளியாக மாறிவிட அனுமதிக்காதீர்கள்: அதன் பிரிவுகளையும் ஆவணப்படுத்தப்பட்ட மதிப்பீட்டையும் ஒரு மாற்று ஏற்பாடாக வைத்துக்கொள்ளுங்கள், மேலும் நிலுவையில் உள்ள மேல்முறையீட்டைக் காத்திருப்பதற்கான காரணமாகக் கருதாமல், மேல்முறையீடு செய்வதற்கான ஒரு காரணமாகக் கருதுங்கள். ஓட்டுநர்களின் தரவுகளைப் பரிமாற்றுவதற்கான விதிமுறைகளைப் பயன்படுத்துவதை நிறுத்திய பின்னரும், முறையான பரிமாற்றக் கருவி இல்லாமல் அவற்றை அமெரிக்காவிற்குப் பரிமாற்றம் செய்ததற்காக, தனிநபர் ஒழுங்குமுறை ஆணையம் (Autoriteit Persoonsgegevens) 22 ஜூலை 2024 தேதியிட்ட தனது தீர்ப்பின்படி ஊபர் நிறுவனத்திற்கு €290 மில்லியன் அபராதம் விதித்தது; இதற்கு எதிர்ப்புத் தெரிவிக்கப் போவதாக ஊபர் நிறுவனம் கூறியபோதிலும், அந்த எதிர்ப்பு குறித்த எந்தத் தீர்ப்பையும் ஏபி (AP) வெளியிடவில்லை. எனவே, இந்த அபராதத்தை ஒரு நிலைபெற்ற முன்னுதாரணமாகக் கருதாமல், ஒழுங்குமுறை ஆணையத்தின் நிலைப்பாட்டின் ஒரு வெளிப்பாடாகவே கருத வேண்டும்.

கருவித்தொகுப்பில் ஒரு குறைபாடு இன்னும் உள்ளது. ஐரோப்பிய ஒன்றியத்திற்கு வெளியே உள்ள இறக்குமதியாளர்களுக்காக மேலும் ஒரு தொகுதி நிலையான ஒப்பந்த விதிகளைத் தயாரித்து வருவதாக ஆணையம் கூறியுள்ளது. இந்த இறக்குமதியாளர்களின் செயலாக்கம், GDPR-இன் பிரிவு 3-இன் கீழ் நேரடியாக உட்பட்டிருப்பதால், 2021-ஆம் ஆண்டின் விதிகள் இந்தச் சூழலுக்குப் பொருத்தமாக இல்லை. 2026-ஆம் ஆண்டில், இந்தப் பக்கம் வெளியிடப்படும் தேதி வரை அந்த விதிகள் ஏற்றுக்கொள்ளப்படவில்லை. எனவே, அந்த உள்ளமைப்பிற்கு, மதிப்பீடும் பாதுகாப்பு அம்சங்களும் ஒப்பந்தத்தில் கைமுறையாக உள்ளடக்கப்பட வேண்டும்.

ஆணையத்தின் கட்டுப்பாட்டாளர்-செயலாக்க விதிகள் கட்டாயமானவையா?

இல்லை. 4 ஜூன் 2021 தேதியிட்ட ஐரோப்பிய ஒன்றிய ஆணையத்தின் அமலாக்க முடிவு (EU) 2021/915, ஐரோப்பிய பொருளாதாரப் பகுதிக்குள் (EEA) பயன்படுத்துவதற்காக, கட்டுப்பாட்டாளர்களுக்கும் செயலாக்கிகளுக்கும் இடையே நிலையான ஒப்பந்த விதிகளை வழங்குகிறது, ஆனால் அவற்றைப் பயன்படுத்துவது விருப்பத்திற்குட்பட்டது: GDPR-இன் பிரிவு 28 கோரும் அனைத்தையும் அது கொண்டிருக்கும் பட்சத்தில், தரப்பினர் தங்களின் சொந்த ஒப்பந்தத்தைப் பேச்சுவார்த்தை மூலம் உருவாக்கிக் கொள்ளலாம். இந்த விதிகள், கூடுதல், முரண்படாத விதிமுறைகளைக் கொண்ட ஒரு விரிவான ஒப்பந்தத்திற்குள் இடம்பெறலாம், ஆனால் அவை தாங்களாகவே மாற்றியமைக்கப்பட முடியாது, எனவே தனிப்பயனாக்கம் இணைப்புகளில் செய்யப்படுகிறது. பிரத்யேக ஒப்பந்தங்களும் துறைசார் மாதிரிகளுமே டச்சு நாட்டின் வழக்கமாகத் தொடர்கின்றன, மேலும் அதன் உள்ளடக்கம் இருக்கும் பட்சத்தில் அவை ஏற்றுக்கொள்ளத்தக்கவை.

Autoriteit Persoonsgegevens மூலம் அமலாக்கம்

ஏபி இதை நேரடியாக ஆய்வு செய்துள்ளது. வர்த்தகம், சுகாதாரம், ஊடகம், ஓய்வு மற்றும் எரிசக்தி ஆகிய துறைகளைச் சேர்ந்த 31 தனியார் துறை நிறுவனங்கள் பயன்படுத்திய செயலாக்க ஒப்பந்தங்களை அது ஆய்வுசெய்து, 2020-ல் தனது கண்டுபிடிப்புகளை, "அந்த" செயலாக்க ஒப்பந்தம் இல்லை என்ற தலைப்பின் கீழ் வெளியிட்டது. ஒழுங்குமுறையை மேற்கோள் காட்டுவதைத் தவிர வேறு எதையும் செய்யாத ஒப்பந்தங்கள், ஒரு கொள்கை இருப்பதாகக் குறிப்பிட்டும் அதற்கு என்ன தேவை என்று கூறாத பாதுகாப்பு வாசகங்கள், மற்றும் பழைய டச்சு தரவுப் பாதுகாப்புச் சட்டத்தின் கீழ் இன்னும் வரைவு செய்யப்பட்ட ஒப்பந்தங்கள் ஆகியவற்றை அது கண்டறிந்தது.

ஒரு விசாரணையில், AP ஆனது உங்கள் செயலாக்க நடவடிக்கைகளின் பதிவிலிருந்து, அதில் குறிப்பிடப்பட்டுள்ள விநியோகஸ்தர்களுடனான ஒப்பந்தங்கள், பின்னர் பாதுகாப்பு இணைப்பு, துணைச் செயலாக்கப் பட்டியல் மற்றும் பரிமாற்ற ஆவணங்கள், இறுதியாக நீங்கள் அவற்றைக் கொண்டு ஏதேனும் செய்ததற்கான சான்றுகள் வரை ஆராயும் என எதிர்பார்க்கலாம்: படிக்கப்படாத ஒரு உறுதி அறிக்கை மேற்பார்வை ஆகாது. தவறும் முக்கியமானது, ஏனெனில் C-683/21 வழக்கில், வேண்டுமென்றே அல்லது கவனக்குறைவான மீறல் இருந்தால் மட்டுமே அபராதம் விதிக்கப்படும் என்று ஐரோப்பிய ஒன்றிய நீதிமன்றம் உறுதிப்படுத்தியுள்ளது. 2026 முதல் 2028 வரையிலான AP-யின் மூலோபாயக் கவனம், பெருங்கண்காணிப்பு, செயற்கை நுண்ணறிவு மற்றும் டிஜிட்டல் மீள்திறன் ஆகியவற்றை உள்ளடக்கியது; இதில் கடைசியாகக் கூறப்பட்ட டிஜிட்டல் மீள்திறன், விநியோகச் சங்கிலிப் பாதுகாப்பை வெளிப்படையாக உள்ளடக்கியுள்ளது.

ஒரு விநியோகஸ்தரின் தரநிலை செயலாக்க ஒப்பந்தத்தை மதிப்பாய்வு செய்வதற்கான சரிபார்ப்புப் பட்டியல்

• பொறுப்புகள் சரியானவையா? வழங்குநர் ஒரு சுயாதீனக் கட்டுப்பாட்டாளராக இருந்தால், செயலாக்க ஒப்பந்தத்தில் கையெழுத்திடவே வேண்டாம்.
• செயலாக்க விவரம் முழுமையாக நிரப்பப்பட்டுள்ளதா அல்லது ஒரு வெற்று இணைப்பாக உள்ளதா, மேலும் வழங்குநரின் சொந்த மேம்பாடு, பகுப்பாய்வு அல்லது மாதிரிப் பயிற்சிக்காகச் செயலாக்க ஏதேனும் அனுமதிக்கப்பட்டுள்ளதா?
• இணைக்கப்பட்டுள்ள பாதுகாப்பு நடவடிக்கைகள், பெயரிடப்பட்ட சான்றிதழ்கள் மற்றும் அவற்றின் வரம்புகளுடன் குறிப்பிட்டவையாக உள்ளனவா?
• துணைச் செயலாக்கிப் பட்டியல் கிடைக்கிறதா, உங்களுக்கு அறிவிப்பு அனுப்பப்பட்டுள்ளதா, ஆட்சேபனைக்கு ஏதேனும் விளைவு உள்ளதா, மற்றும் துணைச் செயலாக்கிகள் ஒன்றோடொன்று நேரடியாகப் பிணைக்கப்பட்டுள்ளனவா?
• மீறல் அறிவிப்பு ஒரு குறிப்பிட்ட குறுகிய காலத்திற்குள் அளிக்கப்பட வேண்டுமா, மேலும் வழங்குநர் தானே அதிகார அமைப்புக்கு அறிவிப்பதற்குத் தடை விதிக்கப்பட்டுள்ளதா?
• தரவு உரிமையாளரின் கோரிக்கைக்கான காலக்கெடு நிர்ணயிக்கப்பட்டு, கட்டண வரம்பிற்குள் உள்ளதா, மேலும் வெறும் சான்றிதழ் மட்டுமின்றி உண்மையான தணிக்கை உரிமை உள்ளதா?
• வடிவம், காலக்கெடு மற்றும் காப்புப் பிரதி கையாளல் ஆகியவற்றுடன், நீக்குவதா அல்லது திருப்பி அனுப்புவதா என்பது உங்கள் விருப்பத்தைப் பொறுத்ததா?
• தரவுகள் எங்கே சேமிக்கப்பட்டு அணுகப்படுகின்றன, மேலும் ஒவ்வொரு பரிமாற்றப் பகுதிக்கும் சரியான கருவி பயன்படுத்தப்படுகிறதா?
• உச்சவரம்பும் மறைமுக இழப்பு விலக்கும் இழப்பீட்டுப் பத்திரத்திற்கு உண்மையான உள்ளடக்கத்தை அளிக்கின்றனவா, மேலும் அதற்கு ஒரு உள் உரிமையாளரும் மறுஆய்வுத் தேதியும் உள்ளனவா?

Law & More டச்சு மற்றும் சர்வதேச வணிகங்களுக்கான செயலாக்க ஒப்பந்தங்களை வரைவுசெய்து, மதிப்பாய்வு செய்து, பேச்சுவார்த்தை நடத்துகிறார். Eindhoven மற்றும் Amsterdamமேலும், கட்டுப்பாட்டாளர் மற்றும் செயலிப் பாத்திரங்கள், ஐரோப்பியப் பொருளாதாரப் பகுதிக்கு (EEA) வெளியே நடைபெறும் பரிமாற்றங்கள் மற்றும் தனிநபர் ஆணையத்தால் (Autoriteit Persoonsgegevens) மேற்கொள்ளப்படும் விசாரணைகள் குறித்தும் ஆலோசனை வழங்குகிறது.

எப்படி Law & More இதில் உங்களுக்கு உதவ முடியும் என்பது எங்கள் தளத்தில் விளக்கப்பட்டுள்ளது. தகவல் தொழில்நுட்ப வழக்கறிஞர் பக்கம்.