ឧបករណ៍បញ្ជា ឬឧបករណ៍ដំណើរការក្រោម GDPR៖ របៀបប្រាប់ថាអ្នកណាជានរណា

អ្នកត្រួតពិនិត្យសម្រេចថាហេតុអ្វី និងរបៀបដែលទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានដំណើរការ។ អ្នកដំណើរការដំណើរការទិន្នន័យផ្ទាល់ខ្លួនតែលើការណែនាំដែលបានកត់ត្រារបស់អ្នកត្រួតពិនិត្យ (មាត្រា 4(7) និង (8) GDPR)។ តួនាទីរបស់អ្នកធ្វើតាមការពិត មិនមែនស្លាកនៅក្នុងកិច្ចសន្យាទេ ហើយវាកំណត់ថាអ្នកណាត្រូវការមូលដ្ឋានស្របច្បាប់ អ្នកណាឆ្លើយតបនឹងសំណើរបស់ម្ចាស់ទិន្នន័យ អ្នកណារាយការណ៍ពីការរំលោភបំពាន និងអ្នកណាទទួលខុសត្រូវប្រសិនបើមានអ្វីមួយខុសប្រក្រតី។

តើអ្នកបែងចែកឧបករណ៍បញ្ជាពីឧបករណ៍ដំណើរការយ៉ាងដូចម្តេច?

សួរថាអ្នកណាជាអ្នកសម្រេចថាហេតុអ្វីបានជាទិន្នន័យត្រូវបានដំណើរការ ហើយជាទូទៅ តើត្រូវដំណើរការយ៉ាងដូចម្តេច។ ឧបករណ៍បញ្ជាកំណត់គោលបំណង និងមធ្យោបាយសំខាន់ៗនៃដំណើរការ។ ឧបករណ៍ដំណើរការធ្វើសកម្មភាពតែលើការណែនាំដែលបានកត់ត្រារបស់ឧបករណ៍បញ្ជា ហើយមិនប្រើប្រាស់ទិន្នន័យសម្រាប់គោលបំណងផ្ទាល់ខ្លួនរបស់វាទេ។

អ្នកដំណើរការធម្មតា៖ អ្នកផ្តល់សេវាបង្ហោះ ការិយាល័យបើកប្រាក់បៀវត្សរ៍ដែលធ្វើសកម្មភាពយ៉ាងតឹងរ៉ឹងតាមការណែនាំ សេវាកម្មចែកចាយអ៊ីមែល។ អ្នកត្រួតពិនិត្យធម្មតា ទោះបីជាត្រូវបានជួលដោយភាគីមួយផ្សេងទៀតក៏ដោយ៖ គណនេយ្យករដែលធ្វើសវនកម្មតាមច្បាប់ មេធាវីដែលធ្វើសំណុំរឿង សេវាសុខភាពការងារ (arbodienst) ដែលអនុវត្តកាតព្វកិច្ចវិជ្ជាជីវៈរបស់ខ្លួន។

តើកិច្ចសន្យាសម្រេចលើតួនាទីរបស់អ្នកដែរឬទេ?

ទេ។ ការហៅខ្លួនឯងថាជាអ្នកដំណើរការនៅក្នុងកិច្ចព្រមព្រៀងមិនធ្វើឱ្យអ្នកក្លាយជាអ្នកដំណើរការនោះទេ។ ប្រសិនបើអ្នកផ្គត់ផ្គង់ប្រើប្រាស់ទិន្នន័យសម្រាប់គោលបំណងផ្ទាល់ខ្លួន ដូចជាការកែលម្អផលិតផលរបស់ខ្លួន ការបង្កើតប្រវត្តិរូប ឬការធ្វើទីផ្សារដល់បុគ្គលពាក់ព័ន្ធ វាគឺជាអ្នកគ្រប់គ្រងសម្រាប់ដំណើរការនោះ។ មាត្រា 28(10) GDPR និយាយយ៉ាងច្បាស់ថា៖ អ្នកដំណើរការដែលកំណត់គោលបំណង និងមធ្យោបាយត្រូវបានចាត់ទុកថាជាអ្នកគ្រប់គ្រង។

ចុះប្រសិនបើអ្នក និងភាគីមួយទៀតរួមគ្នាសម្រេចលើគោលបំណងទាំងនោះ?

បន្ទាប់មក អ្នកគឺជាអ្នកគ្រប់គ្រងរួមគ្នាក្រោមមាត្រា 26 GDPR។ អ្នកត្រូវតែកំណត់ការទទួលខុសត្រូវរបស់អ្នកនៅក្នុងការរៀបចំមួយ ជាពិសេសសម្រាប់សិទ្ធិរបស់ម្ចាស់ទិន្នន័យ និងកាតព្វកិច្ចព័ត៌មាននៃមាត្រា 13 និង 14 ហើយធ្វើឱ្យខ្លឹមសារនៃការរៀបចំនោះអាចរកបានសម្រាប់បុគ្គលពាក់ព័ន្ធ។

ការគ្រប់គ្រងរួមគ្នាកើតឡើងញឹកញាប់ជាងការរំពឹងទុករបស់អង្គការនានា។ នៅក្នុង Wirtschaftsakademie (C-210/16, ថ្ងៃទី 5 ខែមិថុនា ឆ្នាំ 2018) តុលាការយុត្តិធម៌នៃសហភាពអឺរ៉ុបបានចាត់ទុកអ្នកគ្រប់គ្រងទំព័រអ្នកគាំទ្រហ្វេសប៊ុកថាជាអ្នកគ្រប់គ្រងរួមគ្នាជាមួយហ្វេសប៊ុក។ យោងតាមមាត្រា 26(3) GDPR ម្ចាស់ទិន្នន័យអាចអនុវត្តសិទ្ធិរបស់ពួកគេប្រឆាំងនឹងអ្នកគ្រប់គ្រងរួមគ្នាណាមួយ អ្វីក៏ដោយដែលអ្នកបានព្រមព្រៀងគ្នាជាលក្ខណៈផ្ទៃក្នុង។

តើកិច្ចព្រមព្រៀងដំណើរការគួរតែមានអ្វីខ្លះ?

ប្រសិនបើអ្នកជួលអ្នកដំណើរការ កិច្ចព្រមព្រៀងជាលាយលក្ខណ៍អក្សរគឺជាកាតព្វកិច្ចក្រោមមាត្រា 28(3) និង (9) GDPR ហើយខ្លឹមសាររបស់វាត្រូវបានកំណត់។ វាត្រូវតែគ្របដណ្តប់លើប្រធានបទ និងរយៈពេលនៃដំណើរការ លក្ខណៈ និងគោលបំណងរបស់វា ប្រភេទទិន្នន័យ និងប្រភេទនៃប្រធានបទទិន្នន័យ និងការណែនាំរបស់អ្នកជាអ្នកគ្រប់គ្រង។

វាក៏ត្រូវតែគ្របដណ្តប់លើការសម្ងាត់ វិធានការសន្តិសុខក្រោមមាត្រា 32 លក្ខខណ្ឌសម្រាប់ការជួលអ្នកដំណើរការរង ជំនួយជាមួយនឹងសំណើរបស់ម្ចាស់ទិន្នន័យ និងការជូនដំណឹងអំពីការរំលោភបំពាន ការប្រគល់ ឬការលុបទិន្នន័យនៅចុងបញ្ចប់ និងសិទ្ធិសវនកម្មរបស់អ្នក។

តើជម្លោះជាធម្មតាចាប់ផ្តើមនៅទីណា?

ប្រការពីរបង្កបញ្ហាច្រើនបំផុត។ ស្តីពីការដំណើរការរង មាត្រា 28(2) GDPR អនុញ្ញាតឱ្យមានការអនុញ្ញាតជាលាយលក្ខណ៍អក្សរទូទៅ ប៉ុន្តែអ្នកដំណើរការត្រូវតែជូនដំណឹងដល់អ្នកអំពីការផ្លាស់ប្តូរដែលមានបំណង និងផ្តល់ឱកាសឱ្យអ្នកជំទាស់។ នៅពេលប្រគល់ ឬលុបចោល សូមយល់ព្រមថាមួយណាក្នុងចំណោមពីរនេះអនុវត្ត និងក្នុងទម្រង់អ្វី មុនពេលទំនាក់ទំនងបញ្ចប់ ជាជាងក្នុងអំឡុងពេលមានជម្លោះ។

ការជូនដំណឹងអំពីការបំពានគឺជាចំណុចសម្ពាធទីបី។ អ្នកដំណើរការទិន្នន័យត្រូវតែជូនដំណឹងដល់អ្នកដោយមិនមានការពន្យារពេលដែលមិនចាំបាច់ (មាត្រា 33(2))។ បន្ទាប់មកអ្នកមានរយៈពេល 72 ម៉ោងដើម្បីជូនដំណឹងដល់អាជ្ញាធរការពារទិន្នន័យហូឡង់ (Autoriteit Persoonsgegevens) ក្រោមមាត្រា 33(1)។ យល់ព្រមលើកាលកំណត់ផ្ទៃក្នុងខ្លីសម្រាប់អ្នកដំណើរការទិន្នន័យ ឧទាហរណ៍ 24 ឬ 48 ម៉ោង។

តើអ្នកណាជាអ្នកទទួលខុសត្រូវប្រសិនបើដំណើរការខុសប្រក្រតី?

យោងតាមមាត្រា 82(2) GDPR អ្នកទទួលខុសត្រូវក្នុងនាមជាអ្នកគ្រប់គ្រងចំពោះការខូចខាតដែលបណ្តាលមកពីដំណើរការដែលរំលោភលើ GDPR។ អ្នកដំណើរការត្រូវទទួលខុសត្រូវលុះត្រាតែវាមិនបានគោរពតាមកាតព្វកិច្ចដែល GDPR ដាក់ជាពិសេសលើអ្នកដំណើរការ ឬបានធ្វើសកម្មភាពនៅខាងក្រៅ ឬផ្ទុយនឹងការណែនាំស្របច្បាប់របស់អ្នក។

ក្នុងករណីដែលអ្នកទាំងពីរចូលរួមក្នុងដំណើរការដូចគ្នា ហើយទទួលខុសត្រូវចំពោះការខូចខាត ម្នាក់ៗអាចទទួលខុសត្រូវចំពោះការខូចខាតទាំងមូលចំពោះបុគ្គលនោះ (មាត្រា 82(4))។ ភាគីដែលបានបង់ប្រាក់អាចទាមទារយកចំណែករបស់ភាគីម្ខាងទៀតមកវិញនៅពេលក្រោយ (មាត្រា 82(5)) ដែលជាមូលហេតុដែលឃ្លាសំណងនៅក្នុងកិច្ចព្រមព្រៀងដំណើរការគឺមានតម្លៃចរចាដោយប្រុងប្រយ័ត្ន។

ក្នុងនាមជាអ្នកគ្រប់គ្រង តើគួរពិនិត្យមើលអ្វីខ្លះ?

• ថាតើអ្នកផ្គត់ផ្គង់នីមួយៗដែលដោះស្រាយទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់អ្នកបានចុះហត្ថលេខាលើកិច្ចព្រមព្រៀងដំណើរការស្របតាមមាត្រា 28(3) ដែរឬទេ។
• ថាតើអ្នកផ្គត់ផ្គង់ណាមួយប្រើប្រាស់ទិន្នន័យសម្រាប់គោលបំណងផ្ទាល់ខ្លួនរបស់ខ្លួនដែរឬទេ ដោយធ្វើឱ្យវាក្លាយជាឧបករណ៍បញ្ជា។
• ថាតើអ្នកមានបញ្ជីអ្នកដំណើរការរង និងនីតិវិធីដើម្បីជំទាស់នឹងការផ្លាស់ប្តូរឬអត់។
• ថាតើអ្នកដំណើរការត្រូវរាយការណ៍ពីការរំលោភបំពានមកអ្នកក្នុងរយៈពេលកំណត់ឬអត់។
• មិនថាអ្នកមានការរៀបចំអ្នកត្រួតពិនិត្យរួមគ្នាសម្រាប់វេទិកា ឬយុទ្ធនាការដែលបានចែករំលែកនោះទេ។

តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះក្នុងនាមជាអ្នកដំណើរការ?

• មិនថាអ្នកប្រើប្រាស់ទិន្នន័យអតិថិជនតែលើការណែនាំដែលបានកត់ត្រាទុក មិនមែនសម្រាប់ផលិតផល ឬការវិភាគផ្ទាល់ខ្លួនរបស់អ្នកនោះទេ។
• ថាតើអ្នកដំណើរការរងរបស់អ្នកត្រូវបានចងភ្ជាប់ដោយកាតព្វកិច្ចដូចគ្នានឹងអ្នកឬអត់។
• ថាតើអ្នកអាចប្រគល់ ឬលុបទិន្នន័យក្នុងទម្រង់ដែលបានព្រមព្រៀងគ្នានៅចុងបញ្ចប់នៃកិច្ចសន្យាឬអត់។
• ថាតើដែនកំណត់នៃការទទួលខុសត្រូវ និងសំណងរបស់អ្នកឆ្លុះបញ្ចាំងពីការទទួលខុសត្រូវមានកំណត់ក្រោមមាត្រា 82(2) ដែរឬទេ។

តើយើងអាចធ្វើអ្វីបានសម្រាប់អ្នកជាមួយនឹងតួនាទីឧបករណ៍បញ្ជា និងឧបករណ៍ដំណើរការ?

តាមរយៈ ការអនុវត្ត មេធាវីផ្នែកព័ត៌មានវិទ្យា របស់យើង យើងអាចជួយអ្នកបាន ឧទាហរណ៍៖

• យើងគូសផែនទីតួនាទីរបស់ភាគីនីមួយៗនៅក្នុងខ្សែសង្វាក់ទិន្នន័យរបស់អ្នក ក្នុងមួយសកម្មភាពដំណើរការ។
• យើងរៀបចំ និងពិនិត្យកិច្ចព្រមព្រៀងដំណើរការ និងការរៀបចំអ្នកត្រួតពិនិត្យរួម។
• យើងចរចាអំពីការដំណើរការរង ការជូនដំណឹងអំពីការរំលោភបំពាន និងប្រការទទួលខុសត្រូវ។
• យើងខ្ញុំសូមណែនាំអំពីការទទួលខុសត្រូវ និងសំណងរវាងភាគីនានា បន្ទាប់ពីការលួចចូលទិន្នន័យ។
• យើងរៀបចំការឆ្លើយតបរបស់អ្នកចំពោះសំណួរពី Autoriteit Persoonsgegevens។

សេចក្តីសង្ខេប

• តួនាទីរបស់អ្នកគឺធ្វើតាមការពិត មិនមែនតាមស្លាកនៅក្នុងកិច្ចសន្យារបស់អ្នកទេ៖ អ្នកណាដែលសម្រេចចិត្តលើគោលបំណង និងមធ្យោបាយសំខាន់ៗ គឺជាអ្នកគ្រប់គ្រង។
• ប្រសិនបើអ្នកសម្រេចចិត្តរួមគ្នាលើគោលបំណងជាមួយភាគីមួយផ្សេងទៀត អ្នកគឺជាអ្នកគ្រប់គ្រងរួម ហើយត្រូវតែកត់ត្រាការបែងចែកការទទួលខុសត្រូវរបស់អ្នក (មាត្រា 26 GDPR)។
• កិច្ចព្រមព្រៀងដំណើរការជាលាយលក្ខណ៍អក្សរដែលមានខ្លឹមសារនៃមាត្រា 28(3) GDPR គឺជាកាតព្វកិច្ចនៅពេលណាដែលអ្នកប្រើប្រាស់អ្នកដំណើរការ។
• អ្នកដំណើរការរាយការណ៍ពីការរំលោភបំពានមកអ្នកដោយមិនមានការពន្យារពេលដែលមិនចាំបាច់។ អ្នកជូនដំណឹងដល់ Autoriteit Persoonsgegevens ក្នុងរយៈពេល 72 ម៉ោង។
• ភាគីទាំងពីរអាចទទួលខុសត្រូវចំពោះការខូចខាតទាំងមូលចំពោះបុគ្គលនោះ ដូច្នេះសូមចរចាលើប្រការសំណងមុនពេលអ្នកចុះហត្ថលេខា។

សំណួរ​ដែលគេ​ច្រើន​សួរ