Şəxsi məlumatların üçüncü tərəflərlə paylaşılması: idarə olunmalı 7 GDPR riski

GDPR çərçivəsində şəxsi məlumatlarınızı yalnız 6-cı maddəyə əsasən hüquqi əsasınız varsa, alıcının emalçı və ya nəzarətçi olub-olmadığını yazılı şəkildə müəyyən etmisinizsə və paylaşma barədə müvafiq şəxslərə məlumat vermisinizsə paylaşa bilərsiniz. Əsas istisnalar V Fəsil və GDPR-in 35-ci maddəsi çərçivəsində əlavə tələblər yaradan Avropa İqtisadi Bölgəsi (AİB) xaricinə köçürmələr və yüksək riskli emaldır.

Niderlandda Hollandiyanın Məlumatların Mühafizəsi Orqanı ( Autoriteit Persoonsgegevens , AP) GDPR-i Hollandiyanın icra qanunu ( Uitvoeringswet AVG , UAVG) ilə birlikdə tətbiq edir. Xaricdəki bulud provayderinə, əmək haqqı bürosuna, borc yığıcısına və ya qrup şirkətinə edilən hər bir axın öz əsaslandırılmasına ehtiyacı olan ayrı bir emal əməliyyatıdır. Aşağıda praktikada təkrarlanan yeddi risk, onların arxasında duran müddəalar və hər biri ilə bağlı nə edə biləcəyinizi təqdim edirik.

Risk 1: məlumatları etibarlı hüquqi əsas olmadan paylaşırsınız?

Şəxsi məlumatların hər bir açıqlanması GDPR-in 6(1)-ci maddəsindəki altı hüquqi əsasdan birini tələb edir. Kommersiya səbəbi bunlardan biri deyil.

Altı əsas tamdır: razılıq, müqavilənin icrası, hüquqi öhdəlik, həyati maraqlar, ictimai vəzifə və qanuni maraqlar. 5(1)(a) maddəsi əlavə edir ki, emal qanuni, ədalətli və şəffaf olmalıdır, buna görə də heç kimə izah edilməyən əsas hələ də boşluq yaradır.

Niyə qanuni maraq tələdir?

Qanuni maraqlar tərəfdaşlarla paylaşmaq üçün ən çox istifadə edilən və ən çox səhv istifadə edilən əsasdır. Üç mərhələli test tələb edir:

• maraq qanuni olmalıdır;
• paylaşma ona xidmət etmək üçün zəruri olmalıdır;
• maraqlar müvafiq şəxslərin hüquq və azadlıqlarından üstün tutulmamalıdır.

GDPR-in 5(2)-ci maddəsi sübut yükünü (hesabatlılıq) nəzarətçiyə qoyduğu üçün paylaşma başlamazdan əvvəl bu testi aparmalı və qeyd etməlisiniz. Şikayət daxil olduqdan sonra yazılmış qiymətləndirmənin dəyəri çox azdır.

Bəs razılıq və məqsəd məhdudiyyəti haqqında nə demək olar?

İşçilərin razılığı nadir hallarda etibarlıdır, çünki güc balanssızlığı onun sərbəst şəkildə verilməməsi deməkdir (Maddə 7(4) və GDPR-ın 43-cü maddəsi). Maddə 5(1)(b)-yə əsasən məqsəd məhdudiyyəti paylaşmaya da aiddir: xidmət göstərmək üçün toplanan məlumatlar sadəcə marketinq üçün tərəfdaşa göndərilə bilməz. Yeni məqsəd orijinal məqsədlə uyğun gəlmədikdə, sizə yeni bir əsas lazımdır.

Nə etməli: Məlumatlar təşkilatınızdan çıxmazdan əvvəl əsası müəyyənləşdirin, onu yazın və məxfilik bildirişinizdə paylaşımın artıq təsvir olunduğunu yoxlayın. Razılıq sərbəst şəkildə verilməli, konkret, məlumatlı, birmənalı olmalı və geri götürülməsi asan olmalıdır (GDPR-in 4(11) və 7(3)-cü maddələri).

Risk 2: nəzarətçi və prosessor rollarını səhv təyin etmisiniz?

Nəzarətçi emalın məqsədlərini və vasitələrini müəyyən edir; prosessor isə yalnız nəzarətçinin sənədləşdirilmiş təlimatlarına əsasən hərəkət edir (GDPR-in 4(7) və (8)-ci maddələri). Əhəmiyyətli olan müqavilənin tərəfləri nə adlandırması deyil, əslində kimin qərar verməsidir.

Ümumi səhv hər bir təchizatçını prosessor adlandırmaqdır. Lakin aşağıdakılardan heç biri yalnız təlimatlara əsasən işləmir:

• öz məhsulunu təkmilləşdirmək üçün müştəri məlumatlarından istifadə edən SaaS provayderi;
• peşəkar qaydalara riayət edən mühasib;
• ödənişi həyata keçirən bank;
• öz auditoriya profillərini quran bir reklam platforması.

Hər biri emalın ən azı bir hissəsi üçün nəzarətçidir. İki təşkilat məqsəd və vasitələri birgə müəyyən etdikdə, onlar GDPR-in 26-cı maddəsinə əsasən birgə nəzarətçilərdir. Onlar öz məsuliyyətlərini bir razılaşmada müəyyən etməli və onun mahiyyətini müvafiq şəxslərə təqdim etməlidirlər.

Aİ Ədalət Məhkəməsi birgə nəzarəti nə dərəcədə geniş şəkildə müəyyən edir?

Geniş şəkildə. Fashion ID (C-40/17) işində Ədalət Məhkəməsi, üçüncü tərəf sosial plaginini yerləşdirən veb sayt operatorunun, sonradan məlumatlara girişi olmasa da, ziyarətçilərin məlumatlarının toplanması və ötürülməsi üçün birgə nəzarətçi olduğunu qərara aldı. Məqsədlərə qismən təsir göstərmək kifayətdir və nəticədə sizin səbəb olmadığınız pozuntuya görə birgə məsuliyyət yaranır.

Nə etməli: məlumat axınlarını xəritələşdirin və hər bir axın üçün məlumatların niyə və necə emal olunacağına kimin qərar verdiyini qeyd edin. Prosessorlar üçün 28-ci maddəyə əsasən emal müqaviləsindən və hər iki tərəfin qərar verdiyi 26-cı maddəyə əsasən birgə nəzarətçi razılaşmasından istifadə edin.

Risk 3: məlumatların emalı müqaviləniz yoxdur və ya qüsurludur?

Əgər prosessor sizin üçün şəxsi məlumatları emal edirsə, GDPR-in 28(3)-cü maddəsi yazılı müqavilə tələb edir. Bu müqavilə olmadan, heç bir məlumat sızmasa belə, emal başladığı andan etibarən pozuntuya uğramış hesab olunursunuz.

Məzmun qanunla müəyyən edilir. Uyğun məlumatların emalı müqaviləsində emalın mövzusu, müddəti, təbiəti və məqsədi, şəxsi məlumatların növləri və insanların kateqoriyaları, eləcə də nəzarətçinin hüquq və vəzifələri göstərilir. O, həmçinin emalçını aşağıdakılara məcbur etməlidir:

• yalnız sənədləşdirilmiş təlimatlar əsasında emal;
• işçilərinə məxfilik tətbiq etmək;
• 32-ci maddə ilə tələb olunan təhlükəsizlik tədbirlərini görmək;
• məlumat subyektlərinin sorğuları və pozuntu bildirişləri ilə bağlı kömək;
• tapşırığın sonunda məlumatları silmək və ya qaytarmaq;
• Uyğunluğu nümayiş etdirmək və auditlərə icazə vermək üçün lazım olan məlumatları təqdim edin.

Niyə alt prosessor bəndləri bu qədər tez-tez uğursuz olur?

28(2) və (4)-cü maddələrə əsasən, prosessor hər hansı bir alt prosessor üçün sizin əvvəlcədən xüsusi və ya ümumi yazılı icazənizə ehtiyac duyur. Ümumi icazə ilə o, sizi nəzərdə tutulan dəyişikliklər barədə məlumatlandırmalı və sizə etiraz etmək şansı verməlidir; istədiyi hər kəsi cəlb etməyə imkan verən bənd bu standarta cavab vermir.

Nə etməli: 28(3)-cü maddənin bənd-bəndinə uyğun şablon üzərində işləmək və təchizatçının öz şərtlərinə etibar etmək əvəzinə, mövcud müqavilələri nəzərdən keçirmək. Uzunmüddətli münasibətlərin sənədləşdirilməməsi ehtimalı daha yüksəkdir.

Risk 4: məlumatları AİB xaricinə təhlükəsizlik tədbirləri olmadan ötürürsünüzmü?

AİB xaricinə köçürməyə yalnız adekvatlıq qərarı (GDPR-in 45-ci maddəsi) və ya müvafiq təminatlar (46-cı maddə), adətən Komissiyanın standart müqavilə bəndləri (SCC) və ya məcburi korporativ qaydalar əsasında icazə verilir. 49-cu maddədəki açıq razılıq kimi istisnalar təsadüfi köçürmələr üçündür və struktur məlumat axınını dəstəkləyə bilməz.

Məlumatların köçürülməsi, yalnız orada kopyalanması ilə deyil, AİB xaricindən əldə edilə bilən hər zaman baş verir. Serverlər Frankfurtda qalsa belə, xaricdəki ana şirkət tərəfindən uzaqdan idarəetmə köçürmədir.

Schrems II və Məlumatların Məxfilik Çərçivəsi sizin üçün nə deməkdir?

Schrems II (C-311/18) işində Ədalət Məhkəməsi AB-ABŞ Məxfilik Qalxanını ləğv etdi və standart müqavilə bəndlərinin təkbaşına kifayət etmədiyinə qərar verdi. İxracatçı təyinat ölkəsinin qanunvericiliyinin bəndləri pozub-pozmadığını qiymətləndirməli və pozduğu hallarda əlavə tədbirlər əlavə etməlidir; köçürmə təsirinin qiymətləndirilməsi (TİA) hələ də 46-cı maddənin hər bir köçürməsi üçün tələb olunur.

Komissiya 2023-cü ilin iyul ayında AB-ABŞ Məlumat Məxfiliyi Çərçivəsi (DPF) üçün adekvatlıq qərarı qəbul etdi və 3 sentyabr 2025-ci ildə Baş Məhkəmə onun ləğvi ilə bağlı iddianı rədd etdi ( Latombe , T-553/23). Çərçivə çərçivəsində sertifikatlaşdırılmış ABŞ təşkilatına, sertifikatlaşdırmasının əhatə etdiyi məlumatlar üçün köçürmələr adekvatlığa əsaslana bilər; digər ABŞ alıcılarına köçürmələr isə etibar edə bilməz. Ədalət Məhkəməsinə apelyasiya mümkündür, buna görə də sertifikatlaşdırmanı yoxlayın və ehtiyat nüsxəni yerində saxlayın.

Nə etməli: təchizat zəncirinizdəki üçüncü ölkə köçürmələrini, o cümlədən alt prosessorları və dəstək tənzimləmələrini sadalayın. Adekvatlıq tətbiq edilmədikdə, mövcud SCC-lərdən istifadə edin, TIA sənədləşdirin və AİZ-də saxlanılan açarlarla şifrələmə kimi əlavə tədbirləri qeyd edin. AP, GDPR-in 58(2)(j) maddəsinə əsasən köçürmənin dayandırılmasını əmr edə bilər.

Risk 5: məlumatların qorunmasına təsir qiymətləndirməsini qaçırırsınız?

GDPR-ın 35-ci maddəsi məlumatların qorunmasına təsirin qiymətləndirilməsini (DPIA) tələb edir, burada emalın fərdlər üçün yüksək risk yarada biləcəyi ehtimal olunur. Məlumatların paylaşılması çox vaxt təşkilatların gözlədiyindən daha tez bu həddi aşır.

35(3)-cü maddədə üç hal sadalanır: hüquqi və ya oxşar əhəmiyyətli təsirlərə malik sistemli və geniş avtomatlaşdırılmış qiymətləndirmə, xüsusi kateqoriyalı və ya cinayət xarakterli məlumatların genişmiqyaslı emalı və ictimai ərazinin genişmiqyaslı sistematik monitorinqi. AP həmçinin DPIA-nın həmişə tələb olunduğu əməliyyatların siyahısını dərc edir. Məlumat dəstlərinin birləşdirilməsi, sağlamlıq məlumatlarını analitik təminatçı ilə paylaşmaq və ya işçiləri izləmək çox vaxt həddi öz-özünə aşacaq.

DPIA nələri ehtiva etməlidir?

35(7)-ci maddəyə əsasən, DPIA emalı və onun məqsədlərini təsvir edir, zəruriliyi və mütənasibliyi qiymətləndirir, aidiyyəti şəxslər üçün riskləri müəyyən edir və onları aradan qaldıran tədbirləri müəyyən edir. Yüksək qalıq risk qaldıqda, 36-cı maddə emal başlamazdan əvvəl AP ilə əvvəlcədən məsləhətləşmə tələb edir.

Nə etməli: hər bir yeni məlumat paylaşma razılaşmasını 35(3)-cü maddəyə və AP siyahısına uyğun olaraq yoxlayın və əgər varsa, məlumatların qorunması üzrə məsul şəxsinizi cəlb edin. Emal dəyişdikdə DPIA-ya yenidən baxın; tələb olunan DPIA-nı yerinə yetirməmək özü-özlüyündə pozuntudur.

Risk 6: paylaşım barədə insanlara çox az məlumat verirsiniz?

Şəffaflıq ayrı bir öhdəlikdir və paylaşımın özü qanuni olduqda belə, onu poza bilərsiniz. GDPR-in 13 və 14-cü maddələri sizdən məqsədləri, hüquqi əsasları və alıcıları və ya alıcıların kateqoriyalarını bildirməyinizi tələb edir.

Məlumatların "etibarlı tərəfdaşlarla paylaşıla biləcəyi" ifadəsi heç nəyi ifadə etmir. Kateqoriyaları konkret olaraq adlandırın, məsələn, hosting provayderləri, əmək haqqı administratorları və ya kredit arayış agentlikləri. AİB xaricindəki köçürmələr üçün 13(1)(f) və 14(1)(f) maddələri bildirişdə bunu deməyi və etibar edilən təhlükəsizlik tədbirini göstərməyi tələb edir.

Məlumatları özünüz toplamadığınız zaman əlavə nələr tətbiq olunur?

14-cü maddəyə əsasən, bildirişdə məlumatların kateqoriyaları və onların mənbəyi də göstərilməlidir. Siz onu ağlabatan müddət ərzində və ən geci bir ay ərzində, yaxud daha tez baş verərsə, şəxslə ilk əlaqədə təqdim etməlisiniz. Niderlanddakı məxfilik siyasəti səhifəmizdə tam məzmun təqdim olunur.

Nə etməli: bildirişi növbəti illik icmalda deyil, yeni alıcı məlumat almamışdan əvvəl yeniləyin. 12(1)-ci maddə bildirişlərin qısa, anlaşılan və aydın və sadə dildə olmasını tələb edir.

Risk 7: təxəllüslü məlumatlara anonim kimi yanaşırsınızmı?

Açarın sahibi olan təşkilat üçün təxəllüslü məlumatlar şəxsi məlumatlar olaraq qalır. Yalnız əsl anonimləşdirmə məlumatları GDPR xaricinə çıxarır.

GDPR-in 4(5)-ci maddəsi təxəllüsləşdirməni məlumatların ayrıca saxlanılan əlavə məlumat olmadan bir şəxslə əlaqələndirilə bilməməsi üçün emal edilməsi kimi müəyyən edir. 26-cı maddədə təsdiq edilir ki, bu cür məlumatlar onu yenidən müəyyən edə bilən hər kəs üçün GDPR daxilində qalır. Buna görə də adların müştəri nömrələri ilə əvəz edilməsi hüquqi əsasa, emal müqaviləsinə və ya sizin tərəfinizdən məxfilik bildirişinə ehtiyacı aradan qaldırmır.

Təxəllüslü məlumatlar alıcı üçün şəxsi olmayan ola bilərmi?

Ola bilsin. EDPS v SRB (C-413/23 P, 4 sentyabr 2025) işində Ədalət Məhkəməsi təxəllüslü məlumatların müvafiq şəxsləri ağlabatan şəkildə yenidən müəyyən edə bilməyən alıcı üçün şəxsi məlumat olmasına ehtiyac olmadığı qənaətinə gəldi. Məhkəmə həmçinin qərara gəldi ki, açıqlama nəzarətçisi hələ də toplama zamanı həmin şəxslərə alıcı haqqında məlumat verməlidir.

Nə etməli: alıcının istifadə etməsi ehtimalı ağlabatan olan vasitələri, o cümlədən saxladığı digər məlumat dəstlərini qiymətləndirin; poçt indeksi, doğum tarixi və əməliyyat tarixçəsi tez-tez yenidən identifikasiyaya imkan verir. Açarın necə ayrı saxlanıldığını sənədləşdirin. 32-ci maddə təxəllüsləşdirməni təhlükəsizlik tədbiri kimi adlandırır və pozuntu qiymətləndirildikdə sizin xeyrinizə hesablanır.

Hollandiyada icra necə görünür?

GDPR-in 58-ci maddəsinə əsasən, AP xəbərdarlıq edə, töhmət verə, uyğunluq əmri verə, emalı qadağan edə və köçürmələri dayandıra bilər və 83-cü maddə cərimələrə icazə verir. Müəyyən bir məlumat axınından asılı olan bir müəssisə üçün qadağa çox vaxt cərimədən daha zərərlidir.

83-cü maddənin iki səviyyəsi var və hər biri sabit maksimum həddi və ya əvvəlki maliyyə ilində dünya miqyasında illik dövriyyənin faizini müəyyən edir, hansı daha yüksəkdirsə:

• Aşağı səviyyə: məsələn, emal müqaviləsinin və ya DPIA-nın olmaması halında 10 milyon avroya və ya 2%-ə qədər (25-39-cu maddələr).
• Daha yüksək səviyyə: prinsiplərin, hüquqi əsasların, məlumat subyektlərinin hüquqlarının və köçürmə qaydalarının pozulmasına görə 20 milyon avroya qədər və ya 4%-ə qədər.

GDPR-in 82-ci maddəsi maddi və ya qeyri-maddi ziyana məruz qalan hər kəsə nəzarətçidən və ya prosessordan kompensasiya almaq hüququ verir. Niderlandda fondlar getdikcə bu cür iddiaları Kollektiv iddialarda Kütləvi Zərərlərin Tənzimlənməsi Qanununa əsasən kollektiv şəkildə irəli sürürlər ( Wet afwikkeling massaschade in collectivee actie , WAMCA, Maddə 3:305a BW).

Qanunsuz paylaşma məlumatların sızmasına səbəb olarsa, 33-cü maddəyə əsasən, pozuntunun riskə səbəb olması ehtimalı az olduğu hallar istisna olmaqla, AP-yə lazımsız gecikmə olmadan və mümkün olduqda, 72 saat ərzində bildiriş göndərilməlidir. 34-cü maddəyə əsasən, təsirə məruz qalan şəxslərə də risk yüksəkdirsə, məlumat verməlisiniz. Bildirmədiyiniz pozuntular da daxil olmaqla, hər bir pozuntunu daxili olaraq sənədləşdirin.

Məlumatları paylaşan təşkilat olaraq nəyi yoxlamalısınız?

Nəzarətçi olaraq, əsas məsuliyyəti daşıyırsınız və GDPR-in 5(2)-ci maddəsinə uyğunluğu sübut edə bilməlisiniz. Məlumatlar təşkilatınızdan çıxmazdan əvvəl bu məqamları yoxlayın:

• 6-cı maddə üzrə hüquqi əsas müəyyən edilib və qanuni maraqlar naminə balanslaşdırma testi sənəddə mövcuddur.
• Alıcının rolu 30-cu Maddəyə əsasən emal fəaliyyətləri qeydinizdə qeyd olunur.
• 28-ci maddəyə əsasən emal müqaviləsi və ya 26-cı maddəyə əsasən razılaşma imzalanır.
• AİB xaricindəki hər hansı bir köçürmə adekvatlığa və ya SCC-lərə, üstəgəl TIA-ya əsaslanır.
• DPIA müayinəsi aparılmış və sənədləşdirilmişdir.
• Məxfilik bildirişinizdə alıcının və ya onun kateqoriyasının adı göstərilir.

Məlumatların alıcısı olaraq nəyi yoxlamalısınız?

Prosessor və ya qəbuledici nəzarətçi kimi sizin öz öhdəlikləriniz var və birbaşa GDPR-in 83-cü maddəsinə əsasən cərimə oluna bilərsiniz. Məlumatları qəbul etməzdən əvvəl bu məqamları yoxlayın:

• Yalnız təlimatlara əsasən hərəkət etməyinizdən (prosessor) və ya məlumatları öz məqsədləriniz üçün istifadə etməyinizdən (nəzarətçi).
• Emal müqaviləsindəki təlimatların məlumatlarla əslində nə etdiyinizə uyğun olub-olmaması.
• Alt prosessorlarınızın 28(2)-ci maddəyə əsasən yazılı şəkildə səlahiyyətləndirilib-səlahiyyətləndirilməməsi.
• Təhlükəsizlik tədbirlərinizin 32-ci maddəyə uyğun olub-olmaması və pozuntular barədə nəzarətçiyə gecikmədən məlumat verə bilməyiniz (33(2)-ci maddə).
• 30(2)-ci maddəyə əsasən öz emal qeydlərinizi aparıb-saxlamamağınız.

GDPR məlumat mübadiləsi ilə sizin üçün nə edə bilərik?

İT hüquq komandamız təchizatçı, qrup və tərəfdaş razılaşmalarının məlumatların qorunması tərəfi ilə məşğul olur. Konkret olaraq:

• Məlumat axınlarınızı xəritələşdiririk və hər bir alıcı üçün prosessor, birgə nəzarətçi və ya müstəqil nəzarətçi olub olmadığını müəyyən edirik.
• Biz 28-ci maddəyə əsasən emal müqavilələrini və 26-cı maddəyə əsasən birgə nəzarətçi razılaşmalarını hazırlayırıq və ya nəzərdən keçiririk.
• Biz AİB xaricindəki köçürmələri qiymətləndirir, DPF sertifikatlarını yoxlayır və köçürmə təsirinin qiymətləndirilməsini hazırlayırıq.
• Biz DPIA müayinəsini və DPIA-nın özünü həyata keçirir və ya nəzərdən keçiririk.
• Alıcıların və köçürmələrin düzgün adlandırılması üçün məxfilik bildirişinizi yeniləyirik.
• 72 saatlıq son tarix ərzində sizə AP araşdırmasında və ya pozuntu barədə bildiriş göndərməkdə kömək edirik.

xülasə

• Şəxsi məlumatların hər paylaşılması üçün GDPR-in 6-cı maddəsinə əsasən hüquqi əsas tələb olunur; kommersiya səbəbi kifayət deyil.
• Hər bir alıcı üçün onun prosessor, birgə nəzarətçi və ya müstəqil nəzarətçi olduğunu müəyyən edin və sənədləşdirin.
• 28-ci maddəyə əsasən emal müqaviləsi emalçılar üçün məcburidir; bu müqavilə olmadan ilk gündən müqaviləni pozmuş hesab olunursunuz.
• AİB xaricindəki köçürmələr üçün adekvatlıq (məsələn, DPF sertifikatı) və ya təhlükəsizlik tədbirləri, eləcə də köçürmə təsirinin qiymətləndirilməsi tələb olunur.
• Təxəllüslü məlumatlar açarı saxlayan hər kəs üçün şəxsi məlumat olaraq qalır və məxfilik bildirişinizdə alıcıların adları dəqiq göstərilməlidir.

Tez-tez soruşulan suallar