Споразумението трябва да описва действителната обработка
Споразумението за обработка на данни, често наричано DPA, допълва договора за услуга. То става уместно, когато доставчик обработва лични данни от името на своя клиент. Това може да се случи с хостинг, поддръжка, разпространение на бюлетини или облачни приложения. Важно е действителното използване на данните, а не заглавието на документа.
Споразумението трябва да изясни отговорностите. То обяснява, наред с други неща, какви дейности по обработка се извършват, кои инструкции се прилагат и как доставчикът поддържа защитата на данните. Дълъг стандартен текст е неефективен, ако описва напълно различен продукт. Следователно купувачите трябва да прегледат общите условия заедно с офертата, техническата документация и планираната употреба.
Дали съществува обработка на данни от името на администратор и кое споразумение е необходимо зависи от конкретните взаимоотношения и приложимото законодателство. Общ контролен списък не може да замести тази правна класификация. В случаи на неясни роли, чувствителни данни или необичайни дейности по обработка трябва да се потърси експертен съвет. Добре дефинираните потоци от данни, отговорности и договорни подробности осигуряват надеждна фактическа основа за това.
Администраторите и обработващите лични данни имат различни роли.
Администраторът определя целите и основните средства за обработка. Обработващият обработва лични данни от тяхно име и съгласно техните документирани инструкции. Тези термини описват ролите за защита на данните и не установяват обща йерархия между компаниите. Голям доставчик на платформа може да бъде обработващ, докато малък клиент действа като администратор за въпросната обработка.
Ролите могат да се различават в зависимост от функцията. Доставчик може да обработва клиентски данни от името на друга страна, но да използва определени договорни или фактуриращи данни за свои собствени цели. В такива случаи той трябва да обясни коя роля поема за кои процеси. Общо твърдение, че всички данни се обработват само от името на друга страна, не е много полезно, ако описанието на продукта или известието за поверителност също споменават неговите собствени употреби.
Договорът не може да променя действителните роли просто чрез промяна на етикета си. Следователно е важно да се разбере кой решава за използването на данните преди подписването му. Ако доставчикът определи нова цел независимо от клиента, това може да попадне извън обхвата на договореното споразумение за обработка на данни. Такива граници изискват разбираемо обяснение, така че отговорностите, информацията за субектите на данни и други правни основания да могат да бъдат правилно оценени.
Предметът, продължителността и видовете данни изискват конкретни подробности.
Споразумението трябва ясно да определя коя услуга се предоставя и кои лични данни се обработват. Общи формулировки като „предоставяне на договорените услуги“ често са недостатъчни, за да се разбере потокът от данни. В система за поддръжка данните за контакт, съдържанието на съобщенията и данните за техническото използване могат да бъдат засегнати. Категориите субекти на данни, като клиенти, служители или кандидати, също трябва да съответстват на действителното използване.
Видът и целта на обработката са еднакво важни. Съхранението, предаването, оценяването и изтриването описват различни процеси. Целта обяснява защо те се извършват, например за обработка на заявки за поддръжка или за работа на клиентска платформа. Колкото по-точно е описана тази връзка, толкова по-лесно е да се определи по-късно дали нова функция на продукта все още е обхваната от договора или изисква ново решение.
Продължителността трябва да е подходяща за услугата и процеса на изтриване. Понякога обработката продължава през целия договорен период, докато резервните копия остават за ограничено време. Това не трябва да се замъглява от неопределено съхранение. Купувачите се нуждаят от реалистична картина за това кога се премахват активните данни, колко дълго се запазват техническите копия и какви правни задължения могат да предотвратят незабавното изтриване.
Инструкциите трябва действително да работят на практика.
Обработващите данни трябва да обработват лични данни съгласно документирани инструкции, освен ако законово задължение не изисква друго. В стандартния софтуер голяма част от тази инструкция вече е вградена в основния договор, избора на продукт и настройките. Споразумението за обработка на данни (DPA) трябва да е в съответствие с това. Обща клауза за произволни индивидуални инструкции е от малка полза, ако никой не знае чрез кой контакт и в рамките на каква техническа рамка могат да бъдат внедрени.
Уточнете кои промени се считат за нови инструкции. Активирането на аналитична функция, ново място за съхранение или по-дълги периоди на съхранение могат да променят обработката. Някои настройки се контролират от клиента, други - само от доставчика. Купувачите трябва да разбират кои опции са налични и какви са техните последици. Договорът не може да компенсира липсващи или подвеждащи контроли на продукта с абстрактни права.
Съгласно Общия регламент относно защитата на данните (ОРЗД), доставчикът трябва да посочи дали счита дадена инструкция за незаконна. Споразумението трябва да очертае практическа процедура за такива случаи. Кой ще бъде информиран, какво се случва, докато въпросът бъде решен, и кои дейности по обработка могат да бъдат спрени? Ясно определените лица за контакт и канали за ескалация са по-ценни от формулировка, която просто повтаря правния принцип.
Поверителността и сигурността трябва да бъдат съизмерими с риска
Лицата, обработващи данни за доставчика, трябва да бъдат обвързани със задължения за поверителност или да подлежат на съответно законово задължение. Важно е също така купувачите да разбират как достъпът е ограничен при ежедневна употреба. Изисква ли поддръжката стандартен достъп до съдържание или достъпът се предоставя само за специфични случаи? Ролите, разрешенията и регистрирането трябва да са в съответствие с обещаната услуга.
Техническите и организационните мерки описват защитата на обработката на данни. Те могат да включват контрол на достъпа, криптиране, архивиране, възстановяване и редовни одити. Един обикновен списък с добре познати термини за сигурност не казва много за тяхното приложение. Купувачите трябва да могат да разберат кои данни са защитени и кога, кой контролира ключовете или достъпа и кои мерки действително се прилагат за избрания продукт.
Сигурността не е статичен актив. Системите и рисковете се развиват, когато доставчиците адаптират своята инфраструктура. Споразумението трябва да позволява значителни подобрения, без едва доловимо да се намалява договореното ниво на защита. Клиентите се нуждаят от достатъчна информация относно значителните промени. Какво представлява значителна промяна зависи от услугата, но може да включва нови места за съхранение, различни методи за достъп или премахване на централна мярка за сигурност.
Другите доставчици на услуги не трябва да остават невидими.
Много доставчици не предоставят услугите си самостоятелно. Те използват центрове за данни, имейл услуги или компании за поддръжка, които могат да действат като допълнителни обработващи данни. Споразумението за обработка на данни (DPA) трябва да уточнява дали се прилага специфично или общо разрешение. При общо разрешение клиентите трябва да бъдат информирани за всички планирани промени и да им се даде реална възможност да възразят.
Списъкът с допълнителни обработващи данни е полезен само ако остане разбираем. Името, ролята и мястото на обработка помагат да се оцени коя част от услугата се обработва от компанията. Самото събиране на имена на компании без функция замъглява потока от данни. Трябва също така да е ясно къде може да се намери актуална информация и как клиентите ще бъдат уведомявани за нови или заменени доставчици.
Основният доставчик остава отговорен за налагането по същество на същите задължения за защита на данните на допълнителните обработващи данни. Купувачите не е необходимо сами да договарят всеки подизпълнител, но се нуждаят от достатъчна гаранция по цялата верига. Възражението срещу нов доставчик не трябва да бъде само теоретично. Договорните последици, възможните алтернативи и всяко право на прекратяване трябва да бъдат ясно обяснени в контекста на основния договор.
Трябва да има леснодостъпна поддръжка за правата и инцидентите на субекта на данни.
Физическите лица могат да упражняват права по отношение на личните си данни. Администраторът на данни остава отговорен за обработката, но често се нуждае от подкрепа от доставчика на услуги. Договорът трябва да описва как данните могат да бъдат намерени, коригирани, експортирани или изтрити. За функция за самообслужване е важно да се изясни дали тя обхваща всички съответни данни или са необходими допълнителни заявки към доставчика.
В случай на нарушение на сигурността на личните данни, обработващият данни трябва да информира администратора на данни без ненужно забавяне, след като е узнал за него. За купувача информацията, която получава, и начинът, по който я получава, са от решаващо значение. Труднооткриваем формуляр за поддръжка може да загуби ценно време. Определените контакти за спешни случаи и текущите актуализации помагат за оценка на въздействието, засегнатите данни и предприетите мерки.
Може да се изисква поддръжка и за оценки на въздействието върху защитата на данните и запитвания от надзорни органи. Обхватът и практическите ограничения зависят от услугата и наличната информация. Следователно, общите обещания за поддръжка трябва да бъдат съобразени с условията за поддръжка и потенциалните разходи. Купувачите трябва да могат да разбират какви доказателства се предоставят стандартно и кога ще бъде договорено отделно специално разследване или експертна помощ.
Изтриването, връщането и преразглеждането изискват реалистичен процес.
След приключване на услугата, личните данни трябва да бъдат изтрити или върнати по преценка на администратора на данни, освен ако няма законово задължение за тяхното съхранение. Този избор трябва да бъде технически осъществим. Купувачите трябва да знаят формата на данните, които ще получат, колко дълго остава наличен експортът и кога активните системи се изтриват. Нечетливият формат на експорт прави официалното право на връщане практически безполезно.
Резервните копия често не могат да бъдат незабавно почистени поотделно. В такива случаи са необходими ограничено съхранение, защита от нормална употреба и проследима рутина за изтриване. Декларациите относно по-късно премахване в рамките на стандартния цикъл трябва да посочват разбираем срок. Също така трябва да е ясно дали регистрационните файлове, прикачените файлове за поддръжка и тестовите копия следват същите правила или се съхраняват по-дълго поради други задължения.
Доставчикът трябва да предостави информация, за да демонстрира спазването на задълженията си и да улесни одитите. В широко използваните облачни услуги за тази цел често се използват независими доклади, сертификати и стандартизирани оповестявания. Те могат да бъдат информативни, ако обхватът, периодът от време и засегнатата услуга са подходящи. По-цялостното право на одит остава важно, но следва да отчита сигурността на другите клиенти, поверителността и пропорционалния процес.
Споразумението за обработка на данни (DPA) не разрешава автоматично международните трансфери на данни
Ако данните се обработват извън Европейското икономическо пространство (ЕИП) или се предоставят достъп оттам, възникват допълнителни въпроси. DPA съгласно член 28 не е автоматично пълното правно основание за това. Купувачите трябва да са наясно с местата за обработка, потенциалния отдалечен достъп и участващите компании. Простото посочване на „хостинг в ЕС“ е недостатъчно, ако поддръжката или администрирането могат редовно да се извършват от трета държава.
В зависимост от държавата и конкретните обстоятелства, решение за адекватност, стандартни договорни клаузи или други инструменти може да са от значение. Подходящото правно основание и всички необходими допълнителни мерки трябва да бъдат оценени за всяко конкретно прехвърляне на данни. Договорът не трябва да смесва различни документи с подобни съкращения. Споразумението за обработка на данни (DPA) урежда обработката на данни от името на администратор, докато стандартните договорни клаузи разглеждат различни въпроси, свързани с прехвърлянето на данни, в зависимост от приложението.
Промените също трябва да се вземат предвид. Нов подизпълнител или място за поддръжка може да промени предишна оценка. Следователно клиентите се нуждаят от информация преди началото на новата обработка и достатъчно време за правилен преглед. Правният съвет е особено препоръчителен за сложни вериги за прехвърляне на данни. Ясните подробности по договора установяват фактическата основа, но не заместват необходимата правна оценка.
Доброто споразумение може да бъде обяснено с помощта на продукта като пример.
Преди подписването, компетентно лице трябва да може да опише потока от данни с прости думи. Какви данни достигат до доставчика, за какво се използват, кой има достъп до тях и кога се изтриват? Отговорите трябва да са последователни в целия продукт, основния договор, споразумението за обработка на данни (DPA) и документацията за сигурност. Несъответствията изискват изясняване, а не предположението, че по-специфичното приложение автоматично ще реши всичко.
Включете защитата на данните, информационната сигурност, обществените поръчки и отговорния отдел според нивото на риск. Всяка перспектива идентифицира различни пропуски: правни роли, предпазни мерки, договорни последици или неподходяща функция на продукта. За малка услуга с нисък риск прегледът може да остане управляем. Обширната или чувствителна обработка изисква по-задълбочен анализ. Ключът е подходящ преглед, а не едно и също количество документация за всеки доставчик.
Ясното и разбираемо DPA не гарантира сигурност само по себе си, но прави проверимите очаквания прозрачни. Той свързва възложената обработка с инструкции, предпазни мерки, поддръжка, подизпълнители и край на използването на данните. Ако тези твърдения точно отразяват действителната услуга, купувачите могат по-добре да оценят отговорностите и да идентифицират промените по-рано. Всички останали правни въпроси следва да бъдат разгледани чрез квалифицирана правна консултация, а не чрез разчитане на предположения за стандартни клаузи.