Pataje done pèsonèl ak twazyèm pati: 7 risk GDPR pou jere

Ou ka sèlman pataje done pèsonèl anba GDPR la si ou gen yon baz legal anba Atik 6, ou te dakò alekri si moun k ap resevwa a se yon procesè oswa yon kontwolè, epi ou te enfòme moun ki konsène yo sou pataj la. Eksepsyon prensipal yo se transfè andeyò Espas Ekonomik Ewopeyen an (EEE) ak tretman ki gen gwo risk, ki pote egzijans siplemantè anba Chapit V ak Atik 35 GDPR la.

Nan Peyi Ba yo, Otorite Pwoteksyon Done Olandè a ( Autoriteit Persoonsgegevens , AP) aplike GDPR la ansanm ak lwa aplikasyon Olandè a ( Uitvoeringswet AVG , UAVG). Chak koule nan yon founisè nwaj, yon biwo pewòl, yon ajans rekouvreman dèt oswa yon konpayi gwoup aletranje se yon operasyon tretman apa ki bezwen pwòp jistifikasyon li. Anba a, nou prezante sèt risk ki repete nan pratik, dispozisyon ki dèyè yo ak sa ou ka fè pou chak.

Risk 1: èske w ap pataje done san yon baz legal valab?

Chak divilgasyon done pèsonèl bezwen youn nan sis baz legal ki nan Atik 6(1) GDPR la. Yon rezon komèsyal pa fè pati de yo.

Sis baz yo konplè: konsantman, ekzekisyon yon kontra, yon obligasyon legal, enterè vital, yon travay piblik ak enterè lejitim. Atik 5(1)(a) ajoute ke tretman an dwe legal, jis e transparan, kidonk yon baz ki pa janm eksplike bay pèsonn toujou kite yon vid.

Poukisa enterè lejitim se yon pyèj?

Enterè lejitim se baz ki pi souvan itilize pou pataje ak patnè yo, epi ki pi souvan itilize mal. Li mande yon tès twa etap:

• enterè a dwe lejitim;
• pataj la dwe nesesè pou sèvi li;
• Dwa ak libète moun ki konsène yo pa dwe gen plis enpòtans pase enterè a.

Ou dwe fè epi anrejistre tès sa a anvan pataj la kòmanse, paske Atik 5(2) GDPR a mete chay prèv la sou kontwolè a (responsabilite). Yon evalyasyon ki ekri apre yon plent rive pa vo anpil.

E konsènan konsantman ak limitasyon objektif?

Konsantman anplwaye yo raman valab, paske dezekilib pouvwa a vle di li pa bay libman (Atik 7(4) ak resital 43 GDPR). Limitasyon objektif anba Atik 5(1)(b) aplike tou pou pataj: done yo kolekte pou bay yon sèvis pa ka tou senpleman ale nan yon patnè pou maketing. Lè nouvo objektif la pa konpatib ak objektif orijinal la, ou bezwen yon nouvo baz.

Sa pou w fè: idantifye baz la anvan done yo kite òganizasyon w lan, ekri l epi verifye si avi sou konfidansyalite w la deja dekri pataj la. Konsantman an dwe bay lib, espesifik, enfòme, san anbigwite epi fasil pou retire menm jan ak lè w ap bay konsantman an (Atik 4(11) ak 7(3) GDPR).

Risk 2: èske ou pa byen konprann wòl kontwolè ak procesè a?

Yon kontwolè deside objektif ak mwayen tretman an; yon moun ki trete done sèlman aji sou enstriksyon dokimante kontwolè a (Atik 4(7) ak (8) GDPR). Sa ki konte se ki moun ki vrèman deside, pa sa kontra a rele pati yo.

Erè ki pi komen an se mete etikèt sou chak founisè kòm yon processeur. Men, okenn nan bagay sa yo pa aji sèlman sou enstriksyon:

• yon founisè SaaS ki itilize done kliyan pou amelyore pwòp pwodwi li;
• yon kontab ki mare pa règ pwofesyonèl;
• yon bank k ap egzekite yon peman;
• yon platfòm piblisite ki bati pwòp pwofil odyans li yo.

Chak se yon kontwolè pou omwen yon pati nan tretman an. Lè de òganizasyon detèmine objektif ak mwayen ansanm, yo se kontwolè jwenti anba Atik 26 GDPR la. Yo dwe etabli responsablite yo nan yon aranjman epi fè esans li disponib pou moun ki konsène yo.

Nan ki sans Tribinal Jistis Inyon Ewopeyen an defini kontwòl jwenti lajman?

An jeneral. Nan Fashion ID (C-40/17), Tribinal Jistis la te deside ke yon operatè sit entènèt ki entegre yon plugin sosyal twazyèm pati te yon kontwolè konjwen pou koleksyon ak transmisyon done vizitè yo, menm si li pa t gen aksè a done yo apre sa. Yon enfliyans pasyèl sou objektif yo sifi, epi rezilta a se yon responsablite konjwen pou yon vyolasyon ou pa t lakòz.

Sa pou fè: trase sikilasyon done yo epi anrejistre, pou chak sikilasyon, ki moun ki deside poukisa ak kijan done yo trete. Sèvi ak yon akò tretman anba Atik 28 pou moun k ap trete done yo ak yon aranjman kontwolè jwenti anba Atik 26 kote tou de pati yo deside.

Risk 3: èske akò tretman done ou a pa la oswa li defektye?

Si yon moun k ap trete done pèsonèl ou yo ap trete yo pou ou, Atik 28(3) GDPR a egzije yon kontra alekri. San li, ou an vyolasyon depi lè tretman an kòmanse, menm si pa gen okenn done ki janm koule.

Lalwa preskri kontni an. Yon akò sou tretman done ki konfòm ak règleman yo endike sijè a, dire a, nati a ak objektif tretman an, kalite done pèsonèl yo ak kategori moun yo, ansanm ak dwa ak obligasyon kontwolè a. Li dwe angaje tou moun ki trete done a pou:

• pwosesis sèlman sou enstriksyon dokimante;
• enpoze konfidansyalite sou anplwaye li yo;
• pran mezi sekirite ki nesesè nan Atik 32 la;
• èd ak demann moun ki konsène yo ak notifikasyon vyolasyon done;
• efase oswa retounen done yo nan fen angajman an;
• bay enfòmasyon ki nesesè pou demontre konfòmite, epi pèmèt odit.

Poukisa kloz sou-processeur yo souvan echwe?

Anba Atik 28(2) ak (4), moun k ap trete tretman an bezwen otorizasyon espesifik oswa jeneral ou alavans pou nenpòt moun k ap trete tretman an. Avèk yon otorizasyon jeneral, li dwe enfòme w sou chanjman ki prevwa epi ba w chans pou w fè objeksyon; yon kloz ki pèmèt li angaje nenpòt moun li vle pa satisfè estanda sa a.

Sa pou w fè: travay apati yon modèl ki swiv Atik 28(3) kloz pa kloz epi revize akò ki egziste deja yo olye pou w konte sou pwòp kondisyon yon founisè. Relasyon ki dire lontan yo gen plis chans pou yo pa dokimante.

Risk 4: èske w ap transfere done deyò EEA a san pwoteksyon?

Yon transfè andeyò EEE a sèlman otorize sou baz yon desizyon adekwa (Atik 45 GDPR) oswa garanti apwopriye (Atik 46), anjeneral kloz kontra estanda Komisyon an (SCC) oswa règ antrepriz obligatwa. Derogasyon ki nan Atik 49 la, tankou konsantman eksplisit, se pou transfè okazyonèl epi yo pa ka sipòte yon koule done estriktirèl.

Yon transfè fèt chak fwa done vin aksesib andeyò ZEE a, pa sèlman lè yo kopye la. Administrasyon a distans pa yon konpayi paran aletranje se yon transfè, menm si sèvè yo rete nan Frankfurt.

Kisa Schrems II ak Kad sou Konfidansyalite Done yo vle di pou ou?

Nan ka Schrems II (C-311/18), Tribinal Jistis la te anile Pwoteksyon Konfidansyalite Inyon Ewopeyen-Etazini an epi li te deside ke kloz kontra estanda yo pa sifi poukont yo. Ekspòtatè a dwe evalye si lalwa peyi destinasyon an febli kloz yo epi ajoute mezi siplemantè kote sa fè sa; evalyasyon enpak transfè (TIA) sa a toujou obligatwa pou chak transfè Atik 46.

Komisyon an te adopte yon desizyon sou adekwasyon pou Kad Konfidansyalite Done Inyon Ewopeyen-Etazini (DPF) an Jiyè 2023, epi nan dat 3 Septanm 2025, Tribinal Jeneral la te rejte yon aksyon pou anilasyon li ( Latombe , T-553/23). Transfè bay yon òganizasyon ameriken ki sètifye anba kad la, pou done sètifikasyon li kouvri yo, ka konte sou adekwasyon; transfè bay lòt moun k ap resevwa nan Etazini pa kapab. Yon apèl devan Tribinal Jistis la posib, kidonk verifye sètifikasyon an epi kenbe yon solisyon an plas.

Sa pou w fè: fè yon lis transfè ki soti nan twazyèm peyi yo nan chèn ekipman w lan, ki gen ladan sou-procesè yo ak aranjman sipò yo. Kote pa gen ase enfòmasyon, sèvi ak SCC aktyèl yo, dokimante yon TIA epi anrejistre mezi siplemantè tankou chifreman ak kle ki nan EEA a. AP a ka bay lòd pou yo sispann yon transfè anba Atik 58(2)(j) GDPR la.

Risk 5: èske w ap sote yon evalyasyon enpak sou pwoteksyon done?

Atik 35 GDPR a egzije yon evalyasyon enpak sou pwoteksyon done (DPIA) lè tretman an gen chans pou l prezante yon gwo risk pou moun. Pataj done souvan depase papòt sa a pi vit pase sa òganizasyon yo espere.

Atik 35(3) la site twa ka: evalyasyon otomatik sistematik ak vaste ki gen efè legal oswa efè enpòtan menm jan an, tretman sou gwo echèl kategori espesyal oswa done kriminèl, ak siveyans sistematik sou gwo echèl yon zòn piblik. AP pibliye tou yon lis operasyon pou ki yon DPIA toujou obligatwa. Konbine ansanm done yo, pataje done sante ak yon founisè analiz oswa siveyans anplwaye yo souvan depase papòt la poukont li.

Kisa yon DPIA dwe genyen?

Anba Atik 35(7), yon DPIA dekri tretman an ak objektif li yo, evalye nesesite ak pwopòsyonalite, idantifye risk pou moun ki konsène yo epi etabli mezi ki adrese yo. Lè gen yon gwo risk rezidyèl ki rete, Atik 36 egzije konsiltasyon alavans ak AP anvan tretman an kòmanse.

Sa pou w fè: verifye chak nouvo aranjman pataj done parapò ak Atik 35(3) ak lis AP a, epi enplike ofisye pwoteksyon done w la si w genyen youn. Revize DPIA a lè tretman an chanje; si w pa fè yon DPIA obligatwa, sa se yon vyolasyon an li menm.

Risk 6: èske w ap di moun yo twò piti sou pataj la?

Transparans se yon obligasyon apa, ke ou ka vyole menm lè pataj la li menm legal. Atik 13 ak 14 GDPR yo egzije pou ou endike objektif yo, baz legal la ak moun k ap resevwa yo oswa kategori moun k ap resevwa yo.

Yon fraz ki di done "ka pataje ak patnè ou fè konfyans" pa idantifye anyen. Bay non kategori yo yon fason konkrè, tankou founisè hosting, administratè pewòl oswa ajans referans kredi. Pou transfè andeyò EEA a, Atik 13(1)(f) ak 14(1)(f) egzije pou avi a di sa epi idantifye pwoteksyon ki te itilize a.

Ki lòt bagay ki aplike si ou pa t kolekte done yo tèt ou?

Dapre Atik 14 la, avi a dwe endike tou kategori done yo ak sous yo. Ou dwe bay li nan yon peryòd rezonab epi omwen nan yon mwa, oubyen nan premye kominikasyon ou avèk moun nan si sa rive pi bonè. Paj nou an sou yon règleman sou enfòmasyon prive nan Peyi Ba yo prezante tout kontni an.

Sa pou fè: mete ajou avi a anvan yon nouvo moun k ap resevwa done yo, pa nan pwochen revizyon anyèl la. Atik 12(1) egzije pou avi yo dwe kout, konpreyansib epi nan yon langaj klè e senp.

Risk 7: èske w ap trete done ki gen psedonim kòm anonim?

Pou òganizasyon ki kenbe kle a, done ki gen psedonim rete done pèsonèl. Se sèlman yon vrè anonimizasyon ki pran done deyò GDPR la.

Atik 4(5) GDPR a defini psedonimizasyon kòm tretman done pou yo pa ka lye yo ak yon moun ankò san enfòmasyon adisyonèl ki konsève separeman. Resital 26 la konfime ke done sa yo rete nan GDPR a pou nenpòt moun ki ka idantifye yo ankò. Ranplase non ak nimewo kliyan kidonk pa retire nesesite pou yon baz legal, yon akò tretman oswa yon avi sou vi prive bò kote w.

Èske done ki gen psedonim ka pa pèsonèl pou moun k ap resevwa yo?

Posib. Nan ka EDPS kont SRB (C-413/23 P, 4 septanm 2025), Tribinal Jistis la te deside ke done ki gen psedonim pa nesesèman done pèsonèl pou yon moun k ap resevwa done ki pa ka idantifye moun ki konsène yo yon fason rezonab. Tribinal la te deside tou ke kontwolè ki divilge done yo dwe toujou enfòme moun sa yo sou moun k ap resevwa done a nan moman koleksyon an.

Sa pou w fè: evalye mwayen moun k ap resevwa a gen chans pou l itilize, tankou lòt ansanm done li genyen; yon kòd postal, yon dat nesans ak yon istwa tranzaksyon souvan pèmèt re-idantifikasyon. Dokimante kijan yo kenbe kle a apa. Atik 32 la site psedonimizasyon kòm yon mezi sekirite, ki konte an favè w si yo evalye yon vyolasyon.

Ki jan aplikasyon lalwa ye nan Peyi Ba yo?

Anba Atik 58 GDPR a, AP a ka avèti, reprimande, bay lòd pou konfòmite, entèdi pwosesis epi sispann transfè, epi Atik 83 la pèmèt amann. Pou yon biznis ki depann de yon koule done patikilye, yon entèdiksyon souvan pi danjere pase amann nan.

Atik 83 la gen de nivo, chak ak yon maksimòm fiks oswa yon pousantaj nan woulman anyèl mondyal nan ane fiskal anvan an, kèlkeswa sa ki pi wo a:

• Nivo ki pi ba: jiska 10 milyon ero oswa 2%, pa egzanp pou yon akò tretman ki manke oswa yon DPIA (Atik 25 a 39).
• Nivo ki pi wo: Jiska 20 milyon ero oswa 4%, pou vyolasyon prensip yo, baz legal yo, dwa moun ki konsène yo ak règleman transfè yo.

Atik 82 GDPR a bay nenpòt moun ki sibi domaj materyèl oswa imoral dwa pou jwenn konpansasyon nan men kontwolè a oswa procesè a. Nan Peyi Ba yo, fondasyon yo ap pote reklamasyon sa yo de pli zan pli ansanm anba Lwa sou règleman domaj mas nan aksyon kolektif ( Wet afwikkeling massaschade in collectieve actie , WAMCA, Atik 3:305a BW).

Si pataj ilegal mennen nan yon vyolasyon done, Atik 33 egzije pou yo notifye AP a san pèdi tan epi, lè sa posib, nan 72 èdtan, sof si vyolasyon an gen anpil chans pou l pa lakòz yon risk. Anba Atik 34, ou dwe enfòme moun ki afekte yo tou si risk la wo pou yo. Dokimante chak vyolasyon entènman, menm sa yo ou pa notifye.

Kisa ou ta dwe verifye antanke òganizasyon k ap pataje done yo?

Antanke kontwolè, ou gen responsablite prensipal la epi ou dwe kapab pwouve konfòmite anba Atik 5(2) GDPR la. Tcheke pwen sa yo anvan done yo kite òganizasyon w lan:

• Yo idantifye baz legal la anba Atik 6 la epi, pou enterè lejitim yo, tès balans lan nan dosye a.
• Wòl moun k ap resevwa a anrejistre nan dosye aktivite tretman ou anba Atik 30 an.
• Yo siyen yon akò sou tretman anba Atik 28 la oubyen yon aranjman anba Atik 26 la.
• Nenpòt transfè andeyò EEA a repoze sou adekwasite oswa SCC plis yon TIA.
• Yo fè yon tès depistaj DPIA epi yo dokimante li.
• Avi sou konfidansyalite ou a bay non moun k ap resevwa a oswa kategori li.

Kisa ou ta dwe tcheke antanke moun ki resevwa done yo?

Antanke yon moun ki trete done yo oubyen yon moun ki resevwa done yo, ou gen pwòp obligasyon pa ou epi ou ka resevwa yon amann dirèkteman anba Atik 83 GDPR la. Tcheke pwen sa yo anvan ou aksepte done yo:

• Kit ou aji sèlman sou enstriksyon (moun ki trete done yo) oswa ou itilize done yo pou pwòp rezon ou tou (kontwolè).
• Si enstriksyon ki nan akò tretman an koresponn ak sa ou reyèlman fè ak done yo.
• Si moun ki trete tretman ou yo otorize alekri dapre Atik 28(2) la.
• Si mezi sekirite ou yo satisfè Atik 32 la epi ou ka notifye vyolasyon yo bay kontwolè a san pèdi tan (Atik 33(2)).
• Si ou kenbe pwòp dosye tretman ou anba Atik 30(2) la.

Kisa nou ka fè pou ou ak pataj done GDPR a?

Ekip lalwa IT nou an okipe aspè pwoteksyon done nan aranjman founisè, gwoup ak patnè yo. Konkrètman:

• Nou trase koule done ou yo epi nou detèmine pou chak moun k ap resevwa done yo si li se yon procesè, yon kontwolè konjwen oswa yon kontwolè endepandan.
• Nou ekri oswa revize akò tretman anba Atik 28 ak aranjman kontwolè jwenti anba Atik 26.
• Nou evalye transfè andeyò EEA a, nou verifye sètifikasyon DPF yo epi nou ekri evalyasyon enpak transfè a.
• Nou fè oswa revize tès depistaj DPIA a ak DPIA a li menm.
• Nou mete ajou avi konfidansyalite ou a pou non moun k ap resevwa yo ak transfè yo kòrèkteman.
• Nou ede w nan yon ankèt sou yon AP oubyen ak yon notifikasyon vyolasyon nan delè 72 èdtan an.

Rezime

• Chak pataj done pèsonèl bezwen yon baz legal anba Atik 6 GDPR a; yon rezon komèsyal pa sifi.
• Detèmine pou chak moun k ap resevwa done si se yon moun k ap trete done yo, yon kontwolè konjwen oswa yon kontwolè endepandan, epi dokimante sa.
• Yon akò sou tretman anba Atik 28 la obligatwa pou moun k ap trete done yo; san youn, ou vyole akò a depi premye jou a.
• Transfè andeyò EEA a bezwen mezi adekwa (tankou yon sètifikasyon DPF) oswa pwoteksyon plis yon evalyasyon enpak transfè.
• Done ki bay yon sedonim rete done pèsonèl pou moun ki gen kle a, epi avi konfidansyalite ou a dwe nonmen moun ki resevwa yo yon fason presi.

Kesyon yo poze souvan