DBOa franchise-sareetan: izendapen partekatua, indibiduala eta erantzukizunen banaketa

Franchise-sare batek galdera bikoitza planteatzen du Datuen Babeserako Ordezkariarekin lotuta: behartuta al dago franchise-emailea? Behartuta al daude franchise-hartzaileak? Eta, biotako batek erantzun baiezkoa badu, DBO bakar bat egon al daiteke sare osorako? Enpresa-intuizioak sinplifikaziorantz bultzatzen du: marka osorako DBO komun bat. Araudia ñabarduradunagoa da eta kasuz kasu aztertzera behartzen du.

Artikulu honek aplikatu beharreko arauak azaltzen ditu: RGPD 37. art. izendapenaren betebeharrari buruz, RGPD 37.2 art. enpresa-taldeko DBO bakarrari buruz, LOPDGDD 34. art. espainiar zuzenbideko eszenatoki gehigarriei buruz, eta 38. art. eta 39. art.-ko figurak jarrera eta funtzioei buruz.

Noiz da nahitaezkoa DBOa: RGPD 37. art. eta LOPDGDD 34. art.

RGPD 37.1 art.-ak DBO izendatzera behartzen du hiru eszenatokitan:

• Arduraduna edo eragilea agintaritza edo erakunde publikoa denean (ez dagokio franchise pribatuari).
• Jarduera nagusiek, beren izaera, hedadura edo helburuengatik, interesdunen behaketa ohikoa eta sistematikoa eskala handian eskatzen duten tratamenduak inplikatzen dituztenean.
• Jarduera nagusiek RGPD 9. art.-ko kategoria bereziak (osasuna, etab.) edo 10. art.-ko datuak (zigorrak eta arau-hausteak) eskala handian tratatzen dituztenean.

LOPDGDD (3/2018) 34. art.-ak RGPD osatzen du Espainian izendapena nahitaezkoa den eszenatoki-zerrenda gehigarri batekin (entitate finantzarioak, historia klinikoa eramatera behartutako osasun-zentroak, energia-banatzaileak, eskala handian profilak egiten dituzten informazio-gizarteko zerbitzu-emaileak, besteak beste).

Franchise-sare batean, galdera bikoiztu egiten da: franchise-emailearen eta franchise-hartzaile bakoitzaren egoera bereiz aztertu behar dira, juridikoki desberdinak diren enpresak baitira tratamendu desberdinekin.

Noiz behar duen tipikoki franchise-emaileak

Franchise-emaileak maiz zentralizatzen ditu franchise-hartzaile bakoitzean isolatuta existitzen ez diren eskala handiko tratamenduak: milioika deskargako kontsumitzaile-app-a, fidelizazio-programa nazionala, CRM bateratua, bezeroen profilatzea, analitika aurreratua, kanpaina masiboak. Tratamendu horiek franchise-emailearen sozietatearen (edo taldeko zerbitzu-sozietatearen) jarduera nagusi bat osatzen dutenean, DBO izendapena tipikoki nahitaezkoa da RGPD 37.1.b art. aplikatuz.

Markak kategoria bereziak modu zentralean tratatzen diren sektoreetan jarduten badu (adibidez, osasun-zerbitzuetako franchise bat), RGPD 37.1.c art. ere aktibatzen da.

Noiz behar duen tipikoki franchise-hartzaileak

Franchise-hartzaileak, bere eskala lokalagatik, ez ditu eskuarki RGPD 37.1.b art.-ko betebehar orokorra aktibatzen duten eskala handiko tratamendurik egiten. Betebeharra agertzen da franchise-sektorea LOPDGDD 34. art.-koetako bat denean edo, indibidualki, franchise-hartzaileak bere kontura tratamendu masiboak egiten dituenean. Sektore orokorretan (jatetxegintza, txikizkako merkataritza, zerbitzu estandarizatuak), franchise-hartzaile indibiduala oso gutxitan dago behartuta.

Hau sektoreko arau orokorra bada ere, azken eskakizuna entitate bakoitzaren tratamenduen eskala, bolumen eta tipologia zehatzaren araberakoa izango da. Kasu bakoitzak banakako azterketa eskatzen du.

RGPD 37.2 art.: DBO bakarra enpresa-taldean

RGPD 37.2 art.-ak baimentzen du enpresa-talde batek DBO bakar bat izendatzea, betiere establezimendu bakoitzetik erraz eskuragarria bada. Galdera operatiboa da: franchise-sare bat enpresa-talde bat al da RGPD 37.2 art.-aren ondorioetarako?

Praktikako formula: DBO kanpoko komuna banaka kontratatua

Behartutako franchise-sareetan hedatuena dagoen irtenbidea izendapen koordinatua da: franchise-emaileak bere DBO izendatzen du (barnekoa edo kanpokoa), eta behartuta dagoen franchise-hartzaile bakoitzak banaka kontratatzen du franchise-emailearen DBO kanpoko bera. Enpresa bakoitzak bere izendapen propioa, AEPDri bere jakinarazpen propioa eta bere kontratu propioa egiten ditu.

Abantaila operatiboak: DBOk sarea, prozedura komunak, hornitzaileak eta tresnak ezagutzen ditu; franchise-hartzaileek markaren estandarretik onura ateratzen dute; intzidentzien koordinazioa errazagoa da. Aldatzen ez dena da enpresa bakoitzak bere betetzearen arduradun autonomo izaten jarraitzen duela eta DBOk bakoitzarekin lan egiten duela harreman bilateralean, RGPD 38.3 art.-ko independentzia funtzionalarekin.

DBOaren jarrera eta funtzioak (RGPD 38. art. eta 39. art.)

Hautatutako eredua edozein dela ere, sareko edozein enpresatan izendatutako DBOak RGPD 38. art.-ko bermeak izan behar ditu: datuen babesari buruzko kontuetan inplikazio egokia eta goiztiarra, funtzioak betetzeko baliabide nahikoak, funtzioen jardunari buruzko jarraibiderik eza, bere jarduteagatik zigorgarria ez izatea, jerarkikoki mailarik altuenaren mende egotea eta sekretu-betebeharra.

Bere funtzioak, RGPD 39. art.-aren arabera, hauek dira:

• Arduraduna, eragilea eta beren langileak RGPDren betebeharrei buruz informatu eta aholkatu.
• RGPDren eta barne-politiken betetzea gainbegiratu, erantzukizunen esleipena, langileriaren kontzientziazio eta prestakuntza eta dagozkien auditoriak barne.
• Inpaktu-ebaluazioarekin lotuta aholkatu eta bere aplikazioa gainbegiratu.
• Kontrol-agintaritzarekin lankidetzan aritu (Espainian AEPD).
• Tratamenduei eta aurretiazko kontsultei lotutako kontrol-agintaritzaren harremanetarako puntu gisa jardun.

DBOaren izendapen boluntarioa

RGPD 37.4 art.-ak baimentzen du behartuta ez dagoen edozein arduradunek DBO borondatez izendatzea. Egiten badu, RGPD 38. art.-ko eta 39. art.-ko arau guztiak DBO nahitaezko bati bezala aplikatzen zaizkio: ez da bigarren mailako DBO bat. AEPDk izendapen boluntarioa onartzen du RGPD 24. art.-ko erantzukizun proaktiboaren printzipioaren ebidentzia gisa.

Franchisean, izendapen boluntarioak zentzua izan dezake franchise-hartzaileak teknikoki behartuta ez daudenean baina markaren estandarrarekin lerrokatu nahi dutenean arrazoi erreputazionalengatik, kontraktualengatik (franchise-kontratuak hala eskatzen dio) edo barne-antolaketakoengatik.

AEPDri jakinarazpena

RGPD 37.7 art.-ak DBOaren harremanetarako datuak argitaratzera eta kontrol-agintaritzari komunikatzera behartzen du. Espainian jakinarazpena AEPDren sede elektronikoaren bidez egiten da. DBO izendatzen duen enpresa bakoitzak bere jakinarazpen propioa egiten du, baita hainbati komuna den DBO kanpoko bat denean ere.

Sareko DBO banaketarako checklist-a

• Franchise-emailearen egoera bereiz aztertu, bere tratamenduen eskala eta zentralizazioaren arabera.
• Franchise-hartzaile bakoitzaren egoera bereiz aztertu (edo, gutxienez, profil tipikoak modelatu: franchise-hartzaile txikia, ertaina, handia).
• Egiaztatu franchise-sektoreak LOPDGDD 34. art.-ko eszenatokirik aktibatzen duen.
• Franchise-emailea behartuta badago: DBO izendatu, AEPDri jakinarazi, baliabidez eta independentziaz hornitu.
• Franchise-hartzaile batzuk behartuta badaude: DBO kanpoko bera kontratatzeko aukera eskaini (banaka koordinatutako izendapena).
• DBO beharrik ez dagoela ondorioztatzen denean, ez-betebeharreko analisia dokumentatu erantzukizun proaktiboaren ebidentzia gisa.
• Franchise-kontratuan franchise-hartzailearen konpromisoa sartu bere betebeharra ebaluatzeko eta egiten duen izendapena franchise-emaileari komunikatzeko.
• Prozedura komunak (eskubideen artapena, urraketak, prestakuntza) koordinatu baina izendapen bakoitzaren independentzia formala errespetatu.

Ohiko galderak

Eduki hau orientagarria eta dibulgatiboa da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu zehatz bakoitzean aplikatzeak banakako azterketa eskatzen du. Sektoreko araudi autonomikoak betekizunak zabaldu edo aldatu ditzake.