Zpracovatel údajů
Zpracovatel údajů je subjekt, který zpracovává osobní údaje jménem a podle pokynů správce údajů. V kontextu politické reklamy zpracovatelé nakládají s osobními údaji pro účely cílení nebo doručování reklam, ale nerozhodují o tom, jak nebo proč jsou údaje využívány. Správce zůstává v konečném důsledku odpovědný za zákonné zpracování.
Právní základ
„Zpracovatelem se rozumí fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce."
— Článek 4 odst. 8, nařízení (EU) 2016/679 (GDPR)
Ačkoli nařízení (EU) 2024/900 nedefinuje zpracovatele údajů, odkazuje na právní předpisy o ochraně údajů a stanoví specifické povinnosti pro správce a zpracovatele v případech, kdy jsou osobní údaje využívány pro cílení politické reklamy online.
Proč na tom záleží
Pochopení role zpracovatelů údajů je zásadní pro dodržování jak GDPR, tak nařízení o politické reklamě. Když politická strana, kampaň nebo sponzor využívá online platformu, poskytovatele reklamních technologií nebo analytickou firmu k doručování cílené politické reklamy, daný poskytovatel obvykle působí jako zpracovatel. Sponzor nebo politický aktér zůstává správcem a musí zajistit, aby zpracovatel splňoval všechny právní požadavky.
Zpracovatelé musí zavést vhodná technická a organizační opatření, pomáhat správcům plnit jejich povinnosti (jako je odpovídání na žádosti subjektů údajů) a zpracovávat údaje pouze na základě zdokumentovaných pokynů. Nemohou využívat osobní údaje pro vlastní účely. Pokud zpracovatel určuje vlastní účely zpracování, stává se správcem a přebírá plnou odpovědnost podle právních předpisů o ochraně údajů.
V případě politické reklamy je tento rozdíl důležitý, protože cílení s využitím osobních údajů je přísně omezeno v souladu s kapitolou III nařízení (EU) 2024/900. Správci musí zajistit, aby jejich zpracovatelé dodržovali omezení cílení, požadavky na souhlas a zákazy využívání určitých citlivých kategorií údajů.
Klíčové body
- Jedná podle pokynů: Zpracovatelé nakládají s osobními údaji pouze tak, jak je řízeno správcem; nemohou rozhodovat o tom, jak nebo proč jsou údaje zpracovávány.
- Zůstává odpovědný: Správci jsou v konečném důsledku odpovědní za zajištění toho, aby zpracovatelé dodržovali GDPR a pravidla pro politickou reklamu.
- Vyžadují se písemné smlouvy: Správci musí mít se zpracovateli uzavřenu smlouvu nebo právní akt specifikující podmínky zpracování, bezpečnostní opatření a povinnosti.
- Pomáhá s dodržováním předpisů: Zpracovatelé musí pomáhat správcům odpovídat na žádosti o uplatnění práv subjektů údajů, provádět posouzení dopadů a hlásit případy porušení zabezpečení údajů.
- Může se stát správcem: Pokud zpracovatel určuje účely a prostředky zpracování, je překvalifikován na správce s plnou právní odpovědností.
- Specifická pravidla pro cílení: Když zpracovatelé doručují cílenou politickou reklamu online, musí dodržovat omezení podle kapitoly III a nemohou využívat zvláštní kategorie údajů pro účely cílení.
Zpracovatel údajů vs. správce údajů
Správce údajů určuje účely a prostředky zpracování osobních údajů—rozhoduje o tom, jaké údaje shromažďovat, jak je využít a proč. Zpracovatel údajů jedná pouze podle pokynů správce a tato rozhodnutí nedělá.
V politické reklamě je správcem politická strana, která se rozhodne vést cílenou reklamní kampaň. Zpracovatelem je platforma sociálních médií nebo služba reklamních technologií, která tyto reklamy doručuje podle pokynů strany. Pokud platforma také využívá údaje pro vlastní účely (např. zlepšování svého doporučovacího algoritmu), působí jako správce pro tento samostatný účel.
Tento rozdíl je zásadní, protože správci a zpracovatelé mají různé povinnosti podle GDPR a odpovědnost za nedodržení předpisů v konečném důsledku leží na správci.