GDPR အရ ထိန်းချုပ်သူ သို့မဟုတ် ပရိုဆက်ဆာ- မည်သူမည်ဝါဖြစ်ကြောင်း မည်သို့ခွဲခြားရမည်နည်း

ထိန်းချုပ်သူတစ်ဦးသည် ကိုယ်ရေးကိုယ်တာဒေတာများကို အဘယ်ကြောင့်နှင့် မည်သို့ စီမံဆောင်ရွက်သည်ကို ဆုံးဖြတ်သည်။ ပရိုဆက်ဆာသည် ထိန်းချုပ်သူ၏ မှတ်တမ်းတင်ထားသော ညွှန်ကြားချက်များအတိုင်းသာ ကိုယ်ရေးကိုယ်တာဒေတာကို စီမံဆောင်ရွက်သည် (ပုဒ်မ 4(7) နှင့် (8) GDPR)။ သင့်အခန်းကဏ္ဍသည် စာချုပ်ပါ အညွှန်းကို မဟုတ်ဘဲ အချက်အလက်များကို လိုက်နာပြီး မည်သူသည် တရားဝင်အခြေခံလိုအပ်သည်၊ မည်သူသည် ဒေတာပိုင်ရှင်၏ တောင်းဆိုမှုများကို ဖြေကြားသည်၊ မည်သူသည် ချိုးဖောက်မှုကို အစီရင်ခံသည် နှင့် တစ်စုံတစ်ခု မှားယွင်းပါက မည်သူတွင် တာဝန်ရှိသည်ကို ဆုံးဖြတ်ပေးသည်။

Controller နဲ့ processor ကို ဘယ်လိုခွဲခြားမလဲ။

ဒေတာကို အဘယ်ကြောင့် စီမံဆောင်ရွက်သည်နှင့် အနှစ်ချုပ်အားဖြင့် မည်သို့စီမံဆောင်ရွက်သည်ကို မည်သူဆုံးဖြတ်သနည်းဟု မေးမြန်းပါ။ ထိန်းချုပ်ကိရိယာတစ်ခုသည် စီမံဆောင်ရွက်ခြင်း၏ ရည်ရွယ်ချက်နှင့် မရှိမဖြစ်လိုအပ်သောနည်းလမ်းများကို ဆုံးဖြတ်သည်။ ပရိုဆက်ဆာတစ်ခုသည် ထိန်းချုပ်ကိရိယာ၏ မှတ်တမ်းတင်ထားသော ညွှန်ကြားချက်များပေါ်တွင်သာ လုပ်ဆောင်ပြီး ၎င်း၏ကိုယ်ပိုင်ရည်ရွယ်ချက်များအတွက် ဒေတာကို အသုံးမပြုပါ။

ပုံမှန်ပရိုဆက်ဆာများ- hosting provider၊ ညွှန်ကြားချက်များကို တင်းကြပ်စွာလုပ်ဆောင်သော payroll bureau၊ အီးမေးလ်ပေးပို့ခြင်းဝန်ဆောင်မှု။ အခြားပါတီတစ်ခုမှ ငှားရမ်းထားသော်လည်း ပုံမှန်ထိန်းချုပ်သူများ- ဥပဒေဆိုင်ရာစာရင်းစစ်ခြင်းကို ဆောင်ရွက်ပေးသော စာရင်းကိုင်တစ်ဦး၊ အမှုတစ်ခုကို ဆောင်ရွက်ပေးသော ရှေ့နေတစ်ဦး၊ ၎င်း၏ကိုယ်ပိုင်ပရော်ဖက်ရှင်နယ်တာဝန်များကို ထမ်းဆောင်သော အလုပ်အကိုင်ကျန်းမာရေးဝန်ဆောင်မှု (arbodienst)။

စာချုပ်က မင်းရဲ့အခန်းကဏ္ဍကို ဆုံးဖြတ်ပေးသလား။

မဟုတ်ပါ။ သဘောတူညီချက်တွင် ကိုယ့်ကိုယ်ကိုယ် processor ဟုခေါ်ခြင်းသည် သင့်အား processor အဖြစ် မသတ်မှတ်ပါ။ ပေးသွင်းသူတစ်ဦးသည် ၎င်း၏ထုတ်ကုန်ကို တိုးတက်ကောင်းမွန်အောင်ပြုလုပ်ခြင်း၊ ပရိုဖိုင်များတည်ဆောက်ခြင်း သို့မဟုတ် သက်ဆိုင်ရာလူပုဂ္ဂိုလ်များထံ ဈေးကွက်တင်ခြင်းကဲ့သို့သော ၎င်း၏ကိုယ်ပိုင်ရည်ရွယ်ချက်များအတွက် ဒေတာကို အသုံးပြုပါက၊ ၎င်းသည် ထိုလုပ်ဆောင်မှုအတွက် ထိန်းချုပ်သူဖြစ်သည်။ Article 28(10) GDPR တွင် အတိအလင်းဖော်ပြထားသည်- ရည်ရွယ်ချက်များနှင့် နည်းလမ်းများကို ဆုံးဖြတ်သော processor ကို ထိန်းချုပ်သူအဖြစ် သတ်မှတ်သည်။

ရည်ရွယ်ချက်တွေကို သင်နဲ့ တခြားပါတီတစ်ခု ပူးပေါင်းဆုံးဖြတ်ရင်ကော။

ထို့နောက် သင်သည် အပိုဒ် ၂၆ GDPR အရ ပူးတွဲထိန်းချုပ်သူများဖြစ်သည်။ အထူးသဖြင့် အပိုဒ် ၁၃ နှင့် ၁၄ ပါ ဒေတာပိုင်ရှင်အခွင့်အရေးများနှင့် သတင်းအချက်အလက်တာဝန်များအတွက် အစီအစဉ်တစ်ခုတွင် သင်၏တာဝန်ဝတ္တရားများကို သတ်မှတ်ရမည်ဖြစ်ပြီး ထိုအစီအစဉ်၏ အနှစ်သာရကို သက်ဆိုင်ရာပုဂ္ဂိုလ်များ ရရှိနိုင်အောင် ပြုလုပ်ရမည်။

ပူးတွဲထိန်းချုပ်မှုသည် အဖွဲ့အစည်းများ မျှော်လင့်ထားသည်ထက် ပိုမိုဖြစ်ပွားလေ့ရှိသည်။ Wirtschaftsakademie (C-210/16၊ ၅ ဇွန် ၂၀၁၈) တွင် EU ၏ တရားရုံးသည် Facebook ပရိသတ်စာမျက်နှာ၏ စီမံခန့်ခွဲသူကို Facebook ၏ ပူးတွဲထိန်းချုပ်သူအဖြစ် ဆက်ဆံခဲ့သည်။ အပိုဒ် 26(3) GDPR အရ၊ ဒေတာပိုင်ရှင်သည် သင်အတွင်းပိုင်း သဘောတူထားသည့် မည်သည့်အရာကိုမဆို ပူးတွဲထိန်းချုပ်သူ နှစ်ဦးစလုံးအပေါ် ၎င်းတို့၏ အခွင့်အရေးများကို ကျင့်သုံးနိုင်သည်။

လုပ်ငန်းစဉ်သဘောတူညီချက်တွင် ဘာတွေပါဝင်သင့်သလဲ။

သင်သည် ပရိုဆက်ဆာတစ်ဦးကို ငှားရမ်းပါက၊ Article 28(3) နှင့် (9) GDPR အရ ရေးသားထားသော သဘောတူညီချက်သည် မဖြစ်မနေ လိုအပ်ပြီး ၎င်း၏အကြောင်းအရာကို သတ်မှတ်ထားသည်။ ၎င်းတွင် ပရိုဆက်ဆာ၏ အကြောင်းအရာနှင့် ကြာချိန်၊ ၎င်း၏ သဘောသဘာဝနှင့် ရည်ရွယ်ချက်၊ ဒေတာအမျိုးအစားများနှင့် ဒေတာပိုင်ရှင်များ၏ အမျိုးအစားများနှင့် ထိန်းချုပ်သူအဖြစ် သင့်ညွှန်ကြားချက်များကို လွှမ်းခြုံထားရမည်။

၎င်းတွင် လျှို့ဝှက်ထားရှိမှု၊ ပုဒ်မ ၃၂ အရ လုံခြုံရေးအစီအမံများ၊ လက်အောက်ခံလုပ်ဆောင်သူများ ငှားရမ်းခြင်းအတွက် အခြေအနေများ၊ ဒေတာပိုင်ရှင်များ၏ တောင်းဆိုမှုများနှင့် ချိုးဖောက်မှုအကြောင်းကြားစာများအတွက် အကူအညီပေးခြင်း၊ အဆုံးတွင် ဒေတာကို ပြန်ပေးခြင်း သို့မဟုတ် ဖျက်ခြင်းနှင့် သင်၏ စာရင်းစစ်အခွင့်အရေးများကိုလည်း လွှမ်းခြုံထားရမည်။

အငြင်းပွားမှုတွေက ဘယ်ကနေ စတင်လေ့ရှိလဲ။

စာပိုဒ်နှစ်ပိုဒ်သည် ပြဿနာအများစုကို ဖြစ်စေသည်။ တစ်ဆင့်ခံလုပ်ဆောင်ခြင်းတွင်၊ အပိုဒ် 28(2) GDPR သည် အထွေထွေရေးသားခွင့်ပြုချက်ကို ခွင့်ပြုသော်လည်း၊ စီမံဆောင်ရွက်သူသည် ရည်ရွယ်ထားသောပြောင်းလဲမှုများကို သင့်အား အသိပေးရမည်နှင့် ကန့်ကွက်ရန် အခွင့်အရေးပေးရမည်။ ပြန်ပို့ခြင်း သို့မဟုတ် ဖျက်ခြင်းတွင်၊ အငြင်းပွားမှုအတွင်းထက် ဆက်ဆံရေးမပြီးဆုံးမီ နှစ်ခုအနက် မည်သည့်အရာသည် အကျုံးဝင်ပြီး မည်သည့်ပုံစံဖြင့် သက်ဆိုင်သည်ကို သဘောတူပါ။

ချိုးဖောက်မှုအကြောင်းကြားစာသည် တတိယဖိအားပေးသည့်အချက်ဖြစ်သည်။ ပရိုဆက်ဆာသည် မလိုအပ်သောနှောင့်နှေးမှုမရှိဘဲ သင့်အား အကြောင်းကြားရမည် (ပုဒ်မ 33(2))။ ထို့နောက် ပုဒ်မ 33(1) အရ ဒတ်ချ်ဒေတာကာကွယ်ရေးအာဏာပိုင် (Autoriteit Persoonsgegevens) သို့ အကြောင်းကြားရန် ၇၂ နာရီရှိသည်။ ပရိုဆက်ဆာအတွက် တိုတောင်းသော အတွင်းပိုင်းနောက်ဆုံးရက်ကို သဘောတူပါ၊ ဥပမာ ၂၄ သို့မဟုတ် ၄၈ နာရီ။

လုပ်ငန်းစဉ် မှားယွင်းသွားရင် ဘယ်သူတာဝန်ယူရမလဲ။

အပိုဒ် 82(2) GDPR အရ၊ GDPR ကို ချိုးဖောက်သော လုပ်ဆောင်မှုကြောင့် ဖြစ်ပေါ်လာသော ပျက်စီးဆုံးရှုံးမှုအတွက် ထိန်းချုပ်သူအဖြစ် သင်တာဝန်ရှိပါသည်။ ပရိုဆက်ဆာသည် GDPR မှ ပရိုဆက်ဆာများအပေါ် အတိအကျ ချမှတ်ထားသော တာဝန်ဝတ္တရားများကို မလိုက်နာပါက သို့မဟုတ် သင့်တရားဝင်ညွှန်ကြားချက်များကို ပြင်ပ သို့မဟုတ် ဆန့်ကျင်၍ လုပ်ဆောင်ပါကသာ တာဝန်ရှိပါသည်။

သင်နှစ်ဦးစလုံးသည် တူညီသော လုပ်ငန်းစဉ်တွင် ပါဝင်ပတ်သက်ပြီး ပျက်စီးဆုံးရှုံးမှုအတွက် တာဝန်ရှိပါက၊ တစ်ဦးချင်းစီသည် တစ်ဦးချင်းစီအပေါ် ဖြစ်ပေါ်လာသော ပျက်စီးဆုံးရှုံးမှုတစ်ခုလုံးအတွက် တာဝန်ရှိသည်ဟု ယူဆနိုင်သည် (ပုဒ်မ 82(4))။ ပေးချေသောပါတီသည် နောက်ပိုင်းတွင် တစ်ဖက်ပါတီ၏ ဝေစုကို ပြန်လည်ရယူနိုင်သည် (ပုဒ်မ 82(5))၊ ထို့ကြောင့် လုပ်ငန်းစဉ်သဘောတူညီချက်ရှိ လျော်ကြေးပေးရေးအချက်ကို ဂရုတစိုက်ညှိနှိုင်းသင့်သည်။

ထိန်းချုပ်သူတစ်ယောက်အနေနဲ့ ဘာတွေကို စစ်ဆေးသင့်လဲ။

• သင့်အတွက် ကိုယ်ရေးကိုယ်တာဒေတာများကို ကိုင်တွယ်ပေးသည့် ပေးသွင်းသူတိုင်းသည် Article 28(3) နှင့်ကိုက်ညီသော စီမံဆောင်ရွက်မှုသဘောတူညီချက်ကို လက်မှတ်ရေးထိုးထားခြင်း ရှိမရှိ။
• မည်သည့်ပေးသွင်းသူကမဆို ၎င်း၏ကိုယ်ပိုင်ရည်ရွယ်ချက်များအတွက် ဒေတာကို အသုံးပြုခြင်း၊ ၎င်းကို ထိန်းချုပ်သူဖြစ်စေခြင်း ရှိမရှိ။
• လက်အောက်ခံ စီမံဆောင်ရွက်သူများစာရင်းနှင့် ပြောင်းလဲမှုများကို ကန့်ကွက်ရန် လုပ်ထုံးလုပ်နည်း ရှိမရှိ။
• ပရိုဆက်ဆာသည် သတ်မှတ်ထားသော နာရီအရေအတွက်အတွင်း ချိုးဖောက်မှုများကို သင့်ထံ အစီရင်ခံရမည် မရှိ။
• မျှဝေထားသော ပလက်ဖောင်းများ သို့မဟုတ် ကမ်ပိန်းများအတွက် ပူးတွဲထိန်းချုပ်သူ အစီအစဉ်များ ရှိမရှိ။

Processor သမားတစ်ယောက်အနေနဲ့ ဘာတွေကို စစ်ဆေးသင့်လဲ။

• သင့်ကိုယ်ပိုင်ထုတ်ကုန် သို့မဟုတ် ခွဲခြမ်းစိတ်ဖြာမှုအတွက် မဟုတ်ဘဲ မှတ်တမ်းတင်ထားသော ညွှန်ကြားချက်များအပေါ်တွင်သာ client data ကို အသုံးပြုပါသလား။
• သင့်ရဲ့ လက်အောက်ခံ ပရိုဆက်ဆာတွေဟာ သင်နဲ့ တူညီတဲ့ တာဝန်ဝတ္တရားတွေနဲ့ ချည်နှောင်ထားခြင်း ရှိ၊ မရှိ ဆိုတာပါ။
• စာချုပ်ကုန်ဆုံးချိန်တွင် သဘောတူထားသည့်ပုံစံဖြင့် ဒေတာကို ပြန်ပို့နိုင် သို့မဟုတ် ဖျက်နိုင်ပါသလား။
• သင်၏ တာဝန်ယူမှု ကန့်သတ်ချက်နှင့် လျော်ကြေးသည် အပိုဒ် 82(2) အရ ကန့်သတ်တာဝန်ယူမှုကို ထင်ဟပ်ခြင်း ရှိမရှိ။

controller နဲ့ processor roles တွေနဲ့ ပတ်သက်ပြီး ကျွန်တော်တို့ ဘာတွေ လုပ်ပေးနိုင်မလဲ။

ကျွန်ုပ်တို့၏ IT ရှေ့နေ လုပ်ငန်းမှတစ်ဆင့်၊ ဥပမာအားဖြင့်၊ ကျွန်ုပ်တို့သည် သင့်အား ကူညီပေးနိုင်ပါသည်။

• ကျွန်ုပ်တို့သည် သင်၏ဒေတာကွင်းဆက်ရှိ အဖွဲ့အစည်းတစ်ခုစီ၏ အခန်းကဏ္ဍများကို စီမံဆောင်ရွက်မှုလုပ်ဆောင်ချက်တစ်ခုစီအလိုက် မြေပုံရေးဆွဲပါသည်။
• ကျွန်ုပ်တို့သည် လုပ်ဆောင်မှုသဘောတူညီချက်များနှင့် ပူးတွဲထိန်းချုပ်သူ အစီအစဉ်များကို ရေးဆွဲပြီး ပြန်လည်သုံးသပ်ပါသည်။
• ကျွန်ုပ်တို့သည် တစ်ဆင့်ခံ လုပ်ဆောင်မှုများ၊ ချိုးဖောက်မှု အကြောင်းကြားစာနှင့် တာဝန်ယူမှုဆိုင်ရာ စည်းကမ်းချက်များကို ညှိနှိုင်းပါသည်။
• ဒေတာပေါက်ကြားမှုတစ်ခု ဖြစ်ပွားပြီးနောက် သက်ဆိုင်သူများအကြား တာဝန်ယူမှုနှင့် ပြန်လည်ကုစားမှုဆိုင်ရာကိစ္စရပ်များကို ကျွန်ုပ်တို့ အကြံပြုပါသည်။
• Autoriteit Persoonsgegevens မှ မေးခွန်းများအတွက် သင့်အဖြေကို ကျွန်ုပ်တို့ ပြင်ဆင်ပါသည်။

အကျဉ်းချုပ်

• သင့်အခန်းကဏ္ဍသည် သင့်စာချုပ်ပါ အညွှန်းကို မဟုတ်ဘဲ အချက်အလက်များကို လိုက်နာသည်- ရည်ရွယ်ချက်နှင့် မရှိမဖြစ်လိုအပ်သော နည်းလမ်းများကိုသာ ဆုံးဖြတ်သူမှာ ထိန်းချုပ်သူဖြစ်သည်။
• သင်သည် အခြားပါတီတစ်ခုနှင့် ရည်ရွယ်ချက်များကို ပူးတွဲဆုံးဖြတ်ပါက၊ သင်သည် ပူးတွဲထိန်းချုပ်သူများဖြစ်ပြီး သင်၏တာဝန်ဝတ္တရားခွဲဝေမှုကို မှတ်တမ်းတင်ရမည် (GDPR အပိုဒ် ၂၆)။
• သင်သည် ပရိုဆက်ဆာကို အသုံးပြုသည့်အခါတိုင်း Article 28(3) GDPR ၏ အကြောင်းအရာပါရှိသော ရေးသားထားသော လုပ်ဆောင်မှုသဘောတူညီချက်ကို မဖြစ်မနေ လက်မှတ်ရေးထိုးရမည်။
• ပရိုဆက်ဆာသည် ချိုးဖောက်မှုကို မလိုအပ်ဘဲ နှောင့်နှေးခြင်းမရှိဘဲ သင့်ထံ အစီရင်ခံပါသည်။ သင်သည် Autoriteit Persoonsgegevens သို့ ၇၂ နာရီအတွင်း အကြောင်းကြားပါသည်။
• နှစ်ဖက်စလုံးသည် တစ်ဦးချင်းစီအပေါ် သက်ရောက်မှုရှိသော ပျက်စီးဆုံးရှုံးမှုတစ်ခုလုံးအတွက် တာဝန်ရှိနိုင်သောကြောင့် လက်မှတ်မထိုးမီ လျော်ကြေးပေးရမည့်အချက်ကို ညှိနှိုင်းပါ။

မကြာခဏမေးခွန်းတွေမေး