În multe contracte, rolurile GDPR sunt trecute rapid, ca o formulare standard: „operator”, „împuternicit”, „parte contractantă”. Problema apare când realitatea serviciului nu se potrivește cu eticheta din document. Dacă o firmă decide de ce și cum sunt folosite datele, nu devine împuternicit doar pentru că așa scrie în contract. Iar dacă un furnizor prelucrează date strict pentru client, pe baza instrucțiunilor acestuia, contractul trebuie să acopere cerințele specifice pentru împuterniciți.
Diferența contează mai ales pentru firme mici, agenții, magazine online, furnizori IT, servicii de marketing, platforme SaaS și consultanți care ating date personale ale clienților, angajaților sau utilizatorilor. Înainte de campanii, formulare sau CRM, merită verificată și documentația de bază explicată în GDPR pentru firme mici, pentru că rolurile greșite duc ușor la contracte incomplete.
Operatorul decide scopul și mijloacele
În GDPR, operatorul este cel care stabilește scopurile și mijloacele prelucrării. Pe scurt: decide de ce sunt colectate datele și cum vor fi folosite. O companie care își gestionează clienții într-un CRM, trimite facturi, face recrutare sau administrează conturile angajaților este, în general, operator pentru acele prelucrări.
Operatorul nu este neapărat firma „mai mare” din contract. Poate fi și o afacere mică, un cabinet, o agenție sau un magazin online. Criteriul nu este mărimea, ci decizia reală asupra prelucrării.
De exemplu, dacă o firmă alege ce date cere într-un formular, cât timp le păstrează, cui le trimite și în ce scop le folosește, ea acționează ca operator. Dacă vorbim despre datele angajaților, rolul trebuie analizat separat, pentru că angajatorul are propriile obligații privind accesul intern și limitarea datelor, subiect detaliat în GDPR și angajații.
Împuternicitul lucrează în numele operatorului
Împuternicitul este entitatea care prelucrează date personale în numele operatorului. Asta înseamnă că nu folosește datele pentru scopurile proprii, ci execută un serviciu pentru client: găzduire, trimitere de newslettere, suport tehnic, procesare de plăți, mentenanță software sau administrare a unei platforme.
Un furnizor IT care are acces la baza de date a clientului doar pentru mentenanță poate fi împuternicit. O platformă de email marketing poate fi împuternicită pentru trimiterea mesajelor cerute de client. Dar dacă același furnizor decide să folosească datele pentru propriile analize, profilări sau campanii, situația se schimbă și trebuie analizat dacă devine operator separat sau operator asociat.
Eticheta din contract nu repară realitatea. Ghidul EDPB privind conceptele de operator și împuternicit subliniază că aceste roluri stabilesc cine răspunde pentru conformitate și cum își pot exercita persoanele vizate drepturile.
Ce trebuie să apară în contract
Articolul 28 din GDPR cere ca prelucrarea făcută de un împuternicit să fie reglementată prin contract sau alt act juridic. Contractul trebuie să includă, între altele, prelucrarea doar pe baza instrucțiunilor documentate ale operatorului, confidențialitatea persoanelor autorizate, măsuri tehnice și organizatorice adecvate, reguli pentru subîmputerniciți, sprijin pentru drepturile persoanelor vizate, asistență pentru securitate, ștergerea sau returnarea datelor și posibilitatea de audit.
Asta nu înseamnă că fiecare contract trebuie să fie enorm. Înseamnă însă că un simplu paragraf generic de tipul „părțile respectă GDPR” nu este suficient când furnizorul este împuternicit. Comisia Europeană a publicat clauze contractuale standard pentru relația operator–împuternicit, care pot fi folosite ca reper pentru structură.
Pentru proiecte cu AI, datele pot circula prin mai multe servicii conectate. În astfel de situații, diferența dintre cine decide scopul și cine doar execută instrucțiuni trebuie pusă pe hârtie înainte de integrare. De aceea, când se discută despre AI conectat la sisteme interne, ajută și perspectiva din MCP versus A2A, chiar dacă analiza GDPR trebuie făcută separat pentru fiecare flux de date.
Greșeli frecvente în practică
Prima greșeală este copierea unui model de contract fără verificarea serviciului real. A doua este tratarea tuturor furnizorilor ca împuterniciți, deși unii decid scopuri proprii. A treia este ignorarea subîmputerniciților: furnizorul principal poate folosi, la rândul lui, servicii cloud, suport extern sau infrastructură terță.
O altă confuzie apare când datele sunt pseudonimizate. Pseudonimizarea reduce riscurile, dar nu scoate automat datele din GDPR. Dacă legătura cu persoana poate fi refăcută prin informații suplimentare, analiza rolurilor rămâne necesară, așa cum este explicat în pseudonimizare versus anonimizare în AI.
Practic, întrebarea utilă nu este „ce scrie în modelul nostru de contract?”, ci „cine decide scopul, cine decide mijloacele esențiale și cine acționează doar pe instrucțiuni?”. Răspunsul poate schimba clauzele, responsabilitățile, modul de informare a persoanelor vizate și verificările făcute înainte de semnare.
Întrebări frecvente
Poate contractul să transforme un operator în împuternicit?
Nu, dacă realitatea prelucrării arată altceva. Rolul se stabilește după cine decide scopurile și mijloacele prelucrării, nu doar după eticheta din contract.
Ce trebuie verificat prima dată într-un contract GDPR?
Trebuie verificat cine decide de ce sunt folosite datele, cine execută instrucțiuni și dacă există clauzele cerute pentru împuternicit atunci când se aplică Articolul 28 GDPR.
Un furnizor IT este mereu împuternicit?
Nu neapărat. Dacă prelucrează date doar pentru client și pe instrucțiunile lui, poate fi împuternicit. Dacă folosește datele pentru scopuri proprii, rolul trebuie reanalizat.
Pseudonimizarea elimină obligațiile GDPR?
Nu automat. Dacă persoana poate fi identificată din nou cu informații suplimentare, datele rămân în zona GDPR și rolurile trebuie analizate în continuare.
