Smlouva musí popisovat skutečné zpracování
Smlouva o zpracování dat, často nazývaná DPA, doplňuje smlouvu o poskytování služeb. Stává se relevantní, když poskytovatel zpracovává osobní údaje jménem svého klienta. To se může stát u hostingu, podpory, distribuce newsletterů nebo cloudových aplikací. Důležité je skutečné použití dat, nikoli název dokumentu.
Smlouva by měla vyjasnit odpovědnosti. Vysvětluje mimo jiné, jaké činnosti zpracování se provádějí, jaké pokyny se vztahují a jak poskytovatel podporuje ochranu údajů. Dlouhý standardní text je neúčinný, pokud popisuje zcela jiný produkt. Kupující by si proto měli prostudovat obchodní podmínky spolu s nabídkou, technickou dokumentací a plánovaným použitím.
Zda existuje zpracování dat jménem správce a jaká smlouva je vyžadována, závisí na konkrétním vztahu a platných právních předpisech. Obecný kontrolní seznam nemůže tuto právní klasifikaci nahradit. V případech nejasných rolí, citlivých údajů nebo neobvyklých činností zpracování je třeba vyhledat odbornou pomoc. Dobře definované toky dat, odpovědnosti a smluvní podrobnosti poskytují pro to spolehlivý faktický základ.
Správci a zpracovatelé mají různé role.
Správce určuje účely a základní prostředky zpracování. Zpracovatel zpracovává osobní údaje jménem a podle jeho zdokumentovaných pokynů. Tyto pojmy popisují role v oblasti ochrany osobních údajů a nestanovují obecnou hierarchii mezi společnostmi. Velký poskytovatel platformy může být zpracovatelem, zatímco malý zákazník jedná jako správce pro dané zpracování.
Role se mohou lišit v závislosti na funkci. Poskytovatel může zpracovávat zákaznická data jménem jiné strany, ale určité smluvní nebo fakturační údaje používat pro své vlastní účely. V takových případech by měl vysvětlit, jakou roli pro které procesy přebírá. Všeobecné prohlášení, že všechna data jsou zpracovávána pouze jménem jiné strany, není příliš užitečné, pokud popis produktu nebo oznámení o ochraně osobních údajů také zmiňuje jeho vlastní použití.
Smlouva nemůže změnit skutečné role pouhou změnou svého označení. Proto je nezbytné pochopit, kdo rozhoduje o použití údajů před podpisem. Pokud poskytovatel definuje nový účel nezávisle na zákazníkovi, může to spadat mimo rámec dohodnuté smlouvy o zpracování údajů. Takové hranice vyžadují srozumitelné vysvětlení, aby bylo možné správně posoudit odpovědnosti, informace pro subjekty údajů a další právní základy.
Předmět, doba trvání a typy údajů vyžadují specifické podrobnosti.
Smlouva by měla jasně definovat, která služba je poskytována a které osobní údaje jsou zpracovávány. Obecné formulace jako „poskytování dohodnutých služeb“ často nestačí k pochopení toku dat. V systému podpory by to mohlo ovlivnit kontaktní údaje, obsah zpráv a technické údaje o užívání. Kategorie subjektů údajů, jako jsou zákazníci, zaměstnanci nebo uchazeči, by měly také odpovídat skutečnému užívání.
Stejně důležité jsou i typ a účel zpracování. Ukládání, přenos, vyhodnocování a mazání popisují různé procesy. Účel vysvětluje, proč k nim dochází, například ke zpracování požadavků na podporu nebo k provozování zákaznické platformy. Čím přesněji je toto spojení popsáno, tím snadněji je později určit, zda se na novou funkci produktu stále vztahuje smlouva, nebo zda vyžaduje nové rozhodnutí.
Doba trvání musí být přiměřená službě a procesu mazání. Někdy zpracování pokračuje po celou dobu trvání smlouvy, zatímco záložní kopie zůstávají po omezenou dobu. To by nemělo být zastíněno neomezeným uchováváním. Kupující potřebují realistickou představu o tom, kdy jsou aktivní data odstraněna, jak dlouho technické kopie přetrvávají a jaké právní povinnosti by mohly bránit okamžitému smazání.
Pokyny musí v praxi skutečně fungovat.
Zpracovatelé údajů by měli zpracovávat osobní údaje podle zdokumentovaných pokynů, pokud zákonná povinnost nevyžaduje jinak. Ve standardním softwaru je velká část těchto pokynů již zabudována v hlavní smlouvě, výběru produktu a nastavení. Smlouva o zpracování dat (DPA) by s tím měla být v souladu. Obecná klauzule o libovolných individuálních pokynech je málo užitečná, pokud nikdo neví, prostřednictvím kterého kontaktu a v jakém technickém rámci je lze implementovat.
Vyjasněte, které změny se považují za nové pokyny. Aktivace analytické funkce, nové úložiště nebo delší doby uchovávání mohou změnit zpracování. Některá nastavení jsou řízena zákazníkem, jiná pouze poskytovatelem. Kupující by měli rozumět tomu, jaké možnosti jsou k dispozici a jaké jsou jejich důsledky. Smlouva nemůže kompenzovat chybějící nebo zavádějící kontroly produktu abstraktními právy.
Podle obecného nařízení o ochraně osobních údajů (GDPR) musí poskytovatel uvést, zda považuje pokyn za nezákonný. Smlouva by měla stanovit praktický postup pro takové případy. Kdo bude informován, co se bude dít, dokud nebude záležitost vyřešena, a které činnosti zpracování lze pozastavit? Jasně definované kontaktní osoby a eskalační kanály jsou cennější než formulace, která pouze opakuje právní princip.
Důvěrnost a zabezpečení musí být úměrné riziku.
Jednotlivci zpracovávající data pro poskytovatele musí být vázáni povinností mlčenlivosti nebo musí podléhat odpovídající zákonné povinnosti. Je také důležité, aby kupující chápali, jak je přístup omezen při každodenním používání. Vyžaduje podpora standardní přístup k obsahu, nebo je přístup udělen pouze pro specifické případy? Role, oprávnění a protokolování by měly být v souladu se slíbenou službou.
Technická a organizační opatření popisují ochranu zpracování údajů. Může se jednat o řízení přístupu, šifrování, zálohování, obnovu a pravidelné audity. Pouhý seznam známých bezpečnostních termínů vypovídá jen málo o jejich aplikaci. Kupující by měli být schopni pochopit, která data jsou chráněna a kdy, kdo ovládá klíče nebo přístup a která opatření se skutečně vztahují na vybraný produkt.
Zabezpečení není statické aktivum. Systémy a rizika se vyvíjejí s tím, jak poskytovatelé přizpůsobují svou infrastrukturu. Dohoda by měla umožnit smysluplná vylepšení, aniž by se nenápadně snižovala dohodnutá úroveň ochrany. Zákazníci potřebují dostatek informací o významných změnách. Co představuje významnou změnu, závisí na službě, ale může zahrnovat nová úložiště, různé metody přístupu nebo odstranění centrálního bezpečnostního opatření.
Ostatní poskytovatelé služeb nesmí zůstat neviditelní.
Mnoho poskytovatelů neposkytuje své služby sami. Využívají datová centra, e-mailové služby nebo podpůrné společnosti, které mohou působit jako další zpracovatelé údajů. Smlouva o zpracování údajů (DPA) by měla objasnit, zda se uplatňuje specifické nebo obecné oprávnění. V případě obecného oprávnění musí být zákazníci informováni o všech zamýšlených změnách a musí mít skutečnou možnost vznést námitku.
Seznam dalších zpracovatelů údajů je užitečný pouze tehdy, pokud je srozumitelný. Název, role a místo zpracování pomáhají posoudit, jakou část služby společnost zpracovává. Pouhý soubor názvů společností bez funkce zakrývá tok dat. Mělo by být také jasné, kde lze nalézt aktuální informace a jak budou zákazníci informováni o nových nebo nahrazených poskytovatelích.
Hlavní poskytovatel zůstává odpovědný za uložení v podstatě stejných povinností v oblasti ochrany údajů svým dalším zpracovatelům údajů. Kupující nemusí sami vyjednávat každou subdodávku, ale potřebují dostatečnou záruku v celém řetězci. Námitka vůči novému poskytovateli by neměla být pouze teoretická. Smluvní důsledky, možné alternativy a jakékoli právo na ukončení musí být jasně vysvětleny v kontextu hlavní smlouvy.
Podpora musí být snadno dostupná pro práva subjektu údajů a incidenty.
Jednotlivci mohou uplatňovat práva týkající se jejich osobních údajů. Správce údajů zůstává odpovědný za zpracování, ale často vyžaduje podporu od poskytovatele služeb. Smlouva by měla popisovat, jak lze data vyhledávat, opravovat, exportovat nebo mazat. U samoobslužné funkce je důležité objasnit, zda se vztahuje na všechny relevantní údaje, nebo zda jsou nutné další žádosti adresované poskytovateli.
V případě narušení bezpečnosti osobních údajů musí zpracovatel údajů informovat správce údajů bez zbytečného odkladu poté, co se o něm dozví. Pro kupujícího jsou informace, které obdrží, a způsob, jakým je obdrží, klíčové. Obtížně dostupný formulář podpory může vést ke ztrátě drahocenného času. Určené kontaktní osoby pro případ nouze a průběžné aktualizace pomáhají posoudit dopad, dotčené údaje a přijatá opatření.
Podpora může být vyžadována také pro posouzení dopadu na ochranu osobních údajů a pro dotazy ze strany dozorových orgánů. Rozsah a praktická omezení závisí na službě a dostupných informacích. Proto by všeobecné sliby podpory měly být v souladu s podmínkami podpory a potenciálními náklady. Kupující musí být schopni pochopit, jaké důkazy jsou standardně poskytovány a kdy bude samostatně dohodnuto zvláštní šetření nebo odborná pomoc.
Výmaz, vrácení a přezkum vyžadují realistický proces.
Po dokončení služby by měly být osobní údaje smazány nebo vráceny dle uvážení správce údajů, pokud neexistuje zákonná povinnost je uchovávat. Tato volba musí být technicky proveditelná. Kupující by měli znát formát dat, který obdrží, jak dlouho je export k dispozici a kdy jsou aktivní systémy vymazány. Nečitelný formát exportu činí formální právo na vrácení prakticky bezcenným.
Záložní kopie často nelze individuálně okamžitě vyčistit. V takových případech je nutné omezené úložiště, ochrana před běžným používáním a sledovatelná rutina mazání. Prohlášení týkající se pozdějšího odstranění v rámci standardního cyklu by měla specifikovat srozumitelný časový rámec. Mělo by být také jasné, zda se protokoly, podpůrné přílohy a testovací kopie řídí stejnými pravidly, nebo jsou uchovávány déle z důvodu jiných povinností.
Poskytovatel musí poskytnout informace prokazující splnění svých povinností a usnadňující audity. V široce používaných cloudových službách se k tomuto účelu často používají nezávislé zprávy, certifikáty a standardizované informace. Ty mohou být informativní, pokud je rozsah, časové období a dotčená služba vhodná. Komplexnější právo na audit zůstává důležité, ale mělo by zohledňovat bezpečnost ostatních zákazníků, důvěrnost a přiměřený proces.
Dohoda o zpracování dat (DPA) automaticky neřeší mezinárodní přenosy dat
Pokud jsou data zpracovávána mimo Evropský hospodářský prostor (EHP) nebo jsou odtud zpřístupněna, vyvstávají další otázky. Dohoda o zpracování dat podle článku 28 není automaticky úplným právním základem pro tento účel. Kupující by si měli být vědomi míst zpracování, možného vzdáleného přístupu a zúčastněných společností. Pouhé uvedení „hostingu v EU“ nestačí, pokud lze podporu nebo správu pravidelně provádět ze třetí země.
V závislosti na zemi a konkrétních okolnostech může být relevantní rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo jiné nástroje. Pro každý konkrétní přenos údajů musí být posouzen vhodný právní základ a veškerá další požadovaná opatření. Smlouva by neměla kombinovat různé dokumenty s podobnými zkratkami. Zpracování údajů jménem správce upravuje smlouva o zpracování údajů (DPA), zatímco standardní smluvní doložky řeší různé otázky přenosu údajů v závislosti na aplikaci.
Je třeba zvážit i změny. Nový subdodavatel nebo místo podpory může změnit předchozí posouzení. Zákazníci proto potřebují informace před zahájením nového zpracování a dostatek času na řádné přezkoumání. Právní poradenství je obzvláště vhodné u složitých řetězců přenosu údajů. Jasné podrobnosti smlouvy stanoví skutkový základ, ale nenahrazují nezbytné právní posouzení.
Dobrou smlouvu lze vysvětlit na příkladu produktu.
Před podpisem by měla být znalá osoba schopna jednoduše popsat tok dat. Jaká data se dostanou k poskytovateli, k čemu se používají, kdo k nim má přístup a kdy jsou smazána? Odpovědi musí být konzistentní napříč produktem, hlavní smlouvou, dohodou o zpracování dat (DPA) a bezpečnostní dokumentací. Nesrovnalosti si vyžadují objasnění, nikoli předpoklad, že konkrétnější dodatek vše automaticky vyřeší.
Zahrňte ochranu dat, informační bezpečnost, zadávání veřejných zakázek a odpovědné oddělení podle úrovně rizika. Každá perspektiva identifikuje různé mezery: právní role, ochranná opatření, smluvní důsledky nebo nevhodnou funkci produktu. U malé služby s nízkým rizikem může přezkum zůstat zvládnutelný. Rozsáhlé nebo citlivé zpracování vyžaduje hloubkovou analýzu. Klíčem je vhodný přezkum, nikoli stejné množství dokumentace pro každého poskytovatele.
Jasná a srozumitelná dohoda o zpracování dat sama o sobě nezaručuje bezpečnost, ale transparentně zprostředkovává ověřitelná očekávání. Propojuje zadané zpracování s pokyny, zárukami, podporou, subdodavateli a ukončením používání údajů. Pokud tato prohlášení přesně odrážejí skutečnou službu, mohou kupující lépe posoudit odpovědnosti a dříve identifikovat změny. Veškeré zbývající právní otázky by pak měly být řešeny prostřednictvím kvalifikovaného právního poradenství, nikoli spoléháním se na předpoklady o standardních doložkách.