我的公司何时对数据处理器承担责任？

fabiha01

对于几乎所有公司来说，使用外部服务提供商和外包某些流程都是理所当然的事情。这可能有多种原因，例如人员能力不足、改进工作流程或确保可用性（例如通过外部数据中心的备份）。如果控制者的个人数据由服务提供商代表其处理（根据指示），则这被视为数据保护法意义上的合同处理。

将控制者的数据传输给作为控制者“延伸”的处理器通常不需要单独的法律依据；在大多数情况下，数据处理协议的签订为此提供了充分的基础。大多数公司都意识到了这一点，并签订了相应的合同。对于许多人来说，与所使用的服务提供商相关的数据保护问题已经结束。然而，在这种情况下，责任人并没有意识到他们“忽视”的义务。

德累斯顿高等地区法院最近作出的一项裁决（2024 年 10 月 15 日判决，参考编号 4 U 940/24）中，法院处理了数据保护控制者对数据处理者的监督义务。判决结果与所有责任人息息相关，因此我们将其呈现如下：

判决背景
该判决的焦点是一项在线音乐流媒体服务，该服务使用来自以色列的外部处理器作为控制器。与处理者的合同于 2019 年终止，处理者通过电子邮件宣布将在合同结束后一天删除控制者的数据。然而，处理器尚未确认删除。 2022 年底，该处理商遭受黑客攻击，同时控制商的客户数据也受到影响。控制者向法国监管机构报告了此事，并通过其网站通知了数据主体。直到 2023 年，处理者才通过电子邮件向控制者确认删除数据。 原告作为流媒体服务的用户，寻求“因被告客户数据遭受黑客攻击而涉嫌违反数据保护法规而支付损害赔偿金、提供信息、禁令救济以及未来损害赔偿责任声明”。

法院判决
上诉因缺乏依据而被驳回，但仅仅是因为原告没有遭受任何因果损害或无法令人信服地证明这一点。

然而，法院发现，根据 GDPR 第 82 条，控制者应对因数据保护违规而造成的损害承担基本责任。法院认为，控制者 违反了《GDPR》规定的“监控外部服务提供商的义务”。

法院解释说，除了GDPR 第 28（1）条直接规定的“谨慎选择处理者的义务”之外，瑞士商业传真列表 还有“谨慎监控处理者的义务” （法律中没有明确规定） 。

GDPR 第 28（3）（h）条要求永久的“控制义务”，其中还包括适当删除数据。

在许多公司对这些声明感到恐慌之前，应该注意到法院也对这些声明做出了一定程度的软化：

在实践中，选择和监控的要求不应过高。例如，如果一家公司选择了一家在市场上享有盛誉的领先IT服务提供商，通常可以信赖其专业知识和可靠性，而无需进行现场检查——这完全不切实际。

不过，法院也明确表示，对于大量数据或敏感数据，要求更高。法院表示，这些增加的控制义务不仅适用于根据 GDPR 第 9 条和第 10 条对个人数据的处理。

在本案中，法院认为，由于数据量巨大

监控实际删除和
需要对实际删除进行书面确认。这必须包含已删除数据的详细列表。
仅仅宣布删除是不够的，特别是因为“众所周知，无论是在小公司还是大公司，待处理的流程都可能被推迟并随后被遗忘”。

控制者还必须事先行使其合同选择权（GDPR 第 28（3）（g）条也对此进行了法律规定——“控制者可自行决定删除或返回数据”）。

如果不能确保删除，则构成违反控制者的控制义务。仅当处理者过度处理的情况下才会有所不同（GDPR 第 82（3）条）。如果处理器不删除数据以出售或将其用于自己的目的，则可以假定这一点。但是，忘记删除数据加上负责人缺乏控制并不符合这些要求。

结论
责任人应特别从判决中认识到，除了签订适当的合同加工协议以尽量减少责任外，选择服务提供商的义务以及对其控制和监督也很重要。公司应该引入适当的监控流程，特别是针对关键数据处理。