Η Συμφωνία Πρέπει να Περιγράφει την Πραγματική Επεξεργασία
Μια συμφωνία επεξεργασίας δεδομένων, που συχνά ονομάζεται DPA, συμπληρώνει τη σύμβαση παροχής υπηρεσιών. Αποκτά σημασία όταν ένας πάροχος επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του πελάτη του. Αυτό μπορεί να συμβαίνει με τη φιλοξενία, την υποστήριξη, τη διανομή ενημερωτικών δελτίων ή μια εφαρμογή cloud. Η πραγματική χρήση των δεδομένων είναι αυτό που έχει σημασία, όχι ο τίτλος του εγγράφου.
Η συμφωνία θα πρέπει να διευκρινίζει τις ευθύνες. Μεταξύ άλλων, εξηγεί ποια επεξεργασία ανατίθεται, ποιες οδηγίες ισχύουν και πώς ο πάροχος υποστηρίζει την προστασία δεδομένων. Ένα μακροσκελές τυποποιημένο κείμενο είναι αναποτελεσματικό εάν περιγράφει ένα εντελώς διαφορετικό προϊόν. Συνεπώς, οι αγοραστές θα πρέπει να διαβάσουν τους όρους και τις προϋποθέσεις μαζί με την προσφορά, την τεχνική τεκμηρίωση και τις πληροφορίες σχετικά με την προβλεπόμενη χρήση.
Το εάν εμπλέκεται επεξεργασία δεδομένων για λογαριασμό ενός υπεύθυνου επεξεργασίας και ποιοι συγκεκριμένοι όροι απαιτούνται εξαρτάται από την ατομική σχέση και την ισχύουσα νομοθεσία. Μια γενική λίστα ελέγχου δεν μπορεί να αντικαταστήσει αυτήν τη νομική αξιολόγηση. Θα πρέπει να ζητείται η συμβουλή ειδικού σε περιπτώσεις ασαφών ρόλων, ευαίσθητων δεδομένων ή ασυνήθιστων δραστηριοτήτων επεξεργασίας. Οι σαφώς καθορισμένες ροές δεδομένων, οι ευθύνες και οι συμβατικές λεπτομέρειες παρέχουν μια αξιόπιστη πραγματική βάση για αυτό.
Οι υπεύθυνοι επεξεργασίας και οι επεξεργαστές έχουν διαφορετικούς ρόλους.
Ο υπεύθυνος επεξεργασίας δεδομένων καθορίζει τους σκοπούς και τα βασικά μέσα επεξεργασίας. Ο επεξεργαστής δεδομένων επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του και σύμφωνα με τις τεκμηριωμένες οδηγίες του. Αυτοί οι όροι περιγράφουν ρόλους βάσει της νομοθεσίας περί προστασίας δεδομένων και δεν καθορίζουν μια γενική ιεραρχία μεταξύ των εταιρειών. Ένας μεγάλος πάροχος πλατφόρμας μπορεί να είναι επεξεργαστής δεδομένων, ενώ ένας μικρός πελάτης ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων για την εν λόγω επεξεργασία.
Οι ρόλοι μπορεί να ποικίλλουν ανάλογα με τη λειτουργία. Ένας πάροχος μπορεί να επεξεργάζεται δεδομένα πελατών για λογαριασμό άλλου μέρους, αλλά να χρησιμοποιεί ορισμένα δεδομένα σύμβασης ή χρέωσης για τους δικούς του σκοπούς. Σε τέτοιες περιπτώσεις, θα πρέπει να εξηγεί ποιον ρόλο αναλαμβάνει για ποιες διαδικασίες. Μια γενική δήλωση ότι όλα τα δεδομένα υποβάλλονται σε επεξεργασία μόνο για λογαριασμό άλλου μέρους δεν είναι πολύ χρήσιμη εάν οι περιγραφές προϊόντων ή οι ειδοποιήσεις απορρήτου αναφέρουν επίσης τις δικές του χρήσεις.
Μια σύμβαση δεν μπορεί να αλλάξει τους πραγματικούς ρόλους απλώς αλλάζοντας την ετικέτα. Επομένως, θα πρέπει να είναι σαφές πριν από την υπογραφή ποιος αποφασίζει για τη χρήση των δεδομένων. Εάν ο πάροχος καθορίσει έναν νέο σκοπό ανεξάρτητα από τον πελάτη, αυτό μπορεί να εμπίπτει στο πεδίο εφαρμογής της συμφωνημένης επεξεργασίας δεδομένων. Τέτοια όρια απαιτούν μια κατανοητή εξήγηση, ώστε να μπορούν να αξιολογηθούν σωστά οι ευθύνες, οι πληροφορίες για τα υποκείμενα των δεδομένων και άλλες νομικές βάσεις.
Το αντικείμενο, η διάρκεια και οι τύποι δεδομένων απαιτούν συγκεκριμένες λεπτομέρειες.
Η συμφωνία θα πρέπει να προσδιορίζει με σαφήνεια ποιες υπηρεσίες παρέχονται και ποια προσωπικά δεδομένα υποβάλλονται σε επεξεργασία. Γενικές δηλώσεις όπως «παροχή των συμφωνημένων υπηρεσιών» συχνά δεν επαρκούν για την κατανόηση της ροής δεδομένων. Για ένα σύστημα υποστήριξης, τα στοιχεία επικοινωνίας, το περιεχόμενο του μηνύματος και τα τεχνικά δεδομένα χρήσης θα μπορούσαν να επηρεαστούν. Οι κατηγορίες των υποκειμένων των δεδομένων, όπως πελάτες, εργαζόμενοι ή αιτούντες, θα πρέπει επίσης να αντιστοιχούν στην πραγματική χρήση.
Ο τύπος και ο σκοπός της επεξεργασίας είναι εξίσου σημαντικοί. Η αποθήκευση, η μετάδοση, η αξιολόγηση και η διαγραφή περιγράφουν διαφορετικές διαδικασίες. Ο σκοπός εξηγεί γιατί λαμβάνουν χώρα, για παράδειγμα, για την επεξεργασία αιτημάτων υποστήριξης ή για τη λειτουργία μιας πλατφόρμας πελατών. Όσο ακριβέστερα περιγράφεται αυτή η σύνδεση, τόσο πιο εύκολο είναι να προσδιοριστεί αργότερα εάν ένα νέο χαρακτηριστικό προϊόντος εξακολουθεί να καλύπτεται από τη σύμβαση ή απαιτεί νέα απόφαση.
Η διάρκεια πρέπει να είναι κατάλληλη για την υπηρεσία και τη διαδικασία διαγραφής. Μερικές φορές η επεξεργασία συνεχίζεται καθ' όλη τη διάρκεια της σύμβασης, ενώ τα αντίγραφα ασφαλείας παραμένουν για περιορισμένο χρονικό διάστημα. Αυτό δεν πρέπει να επισκιάζεται από την αόριστη διατήρηση. Οι αγοραστές χρειάζονται μια ρεαλιστική εικόνα για το πότε αφαιρούνται τα ενεργά δεδομένα, για πόσο καιρό παραμένουν τα τεχνικά αντίγραφα και ποιες νομικές υποχρεώσεις ενδέχεται να εμποδίσουν την άμεση διαγραφή.
Οι οδηγίες πρέπει να λειτουργούν στην πράξη.
Οι επεξεργαστές δεδομένων θα πρέπει να επεξεργάζονται τα προσωπικά δεδομένα σύμφωνα με τεκμηριωμένες οδηγίες, εκτός εάν μια νομική υποχρέωση απαιτεί διαφορετικά. Στο τυπικό λογισμικό, ένα μεγάλο μέρος αυτών των οδηγιών είναι ήδη ενσωματωμένο στην κύρια σύμβαση, την επιλογή προϊόντος και τις ρυθμίσεις. Η συμφωνία επεξεργασίας δεδομένων (DPA) θα πρέπει να αντικατοπτρίζει αυτό. Μια γενική ρήτρα σχετικά με τις αυθαίρετες μεμονωμένες οδηγίες είναι ελάχιστα χρήσιμη εάν κανείς δεν γνωρίζει μέσω ποιας επαφής και εντός ποιου τεχνικού πλαισίου μπορούν να εφαρμοστούν.
Διευκρινίστε ποιες αλλαγές συνιστούν μια νέα εντολή. Η ενεργοποίηση μιας λειτουργίας ανάλυσης, η αλλαγή της τοποθεσίας αποθήκευσης ή η παράταση της περιόδου διατήρησης μπορεί να αλλάξει την επεξεργασία. Ορισμένες ρυθμίσεις ελέγχονται από τον πελάτη, άλλες μόνο από τον πάροχο. Οι αγοραστές θα πρέπει να κατανοούν ποιες επιλογές είναι διαθέσιμες και ποιες είναι οι συνέπειές τους. Μια σύμβαση δεν μπορεί να αντισταθμίσει τα ελλείποντα ή παραπλανητικά στοιχεία ελέγχου προϊόντος με αφηρημένα δικαιώματα.
Σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR), ο πάροχος πρέπει να αναφέρει εάν θεωρεί μια εντολή παράνομη. Η συμφωνία θα πρέπει να περιγράφει μια πρακτική διαδικασία για τέτοιες περιπτώσεις. Ποιος θα ενημερώνεται, τι συμβαίνει μέχρι να επιλυθεί το ζήτημα και ποιες δραστηριότητες επεξεργασίας μπορούν να ανασταλούν; Τα σαφώς καθορισμένα πρόσωπα επικοινωνίας και τα κανάλια κλιμάκωσης είναι πιο πολύτιμα από μια διατύπωση που απλώς επαναλαμβάνει τη νομική αρχή.
Η εμπιστευτικότητα και η ασφάλεια πρέπει να είναι ανάλογες με τον κίνδυνο.
Τα άτομα που επεξεργάζονται δεδομένα για τον πάροχο πρέπει να δεσμεύονται από συμφωνίες εμπιστευτικότητας ή να υπόκεινται σε αντίστοιχη νομική υποχρέωση. Για τους αγοραστές, είναι επίσης σημαντικό να κατανοήσουν πώς περιορίζεται η πρόσβαση στην καθημερινή χρήση. Απαιτεί η υποστήριξη τυπική πρόσβαση στο περιεχόμενο ή η πρόσβαση χορηγείται μόνο για συγκεκριμένες περιπτώσεις; Οι ρόλοι, τα δικαιώματα και η καταγραφή θα πρέπει να ευθυγραμμίζονται με την υποσχεθείσα υπηρεσία.
Τα τεχνικά και οργανωτικά μέτρα περιγράφουν την προστασία της επεξεργασίας δεδομένων. Αυτά μπορούν να περιλαμβάνουν έλεγχο πρόσβασης, κρυπτογράφηση, αντίγραφα ασφαλείας, ανάκτηση και τακτικούς ελέγχους. Μια απλή λίστα γνωστών όρων ασφαλείας λέει λίγα για την πρακτική τους εφαρμογή. Οι αγοραστές θα πρέπει να είναι σε θέση να βλέπουν ποια δεδομένα προστατεύονται και πότε, ποιος ελέγχει τα κλειδιά ή την πρόσβαση και ποια μέτρα ισχύουν στην πραγματικότητα για το επιλεγμένο προϊόν.
Η ασφάλεια δεν είναι ένα στατικό περιουσιακό στοιχείο. Τα συστήματα και οι κίνδυνοι εξελίσσονται καθώς οι πάροχοι προσαρμόζουν την υποδομή τους. Η συμφωνία θα πρέπει να επιτρέπει ουσιαστικές βελτιώσεις χωρίς να μειώνει διακριτικά το συμφωνημένο επίπεδο προστασίας. Οι πελάτες χρειάζονται επαρκείς πληροφορίες σχετικά με σημαντικές αλλαγές. Το τι συνιστά σημαντική αλλαγή εξαρτάται από την υπηρεσία, αλλά θα μπορούσε να περιλαμβάνει νέες τοποθεσίες αποθήκευσης, διαφορετικές μεθόδους πρόσβασης ή την κατάργηση ενός κεντρικού μέτρου ασφαλείας.
Οι άλλοι πάροχοι υπηρεσιών δεν πρέπει να παραμένουν αόρατοι.
Πολλοί πάροχοι δεν παρέχουν τις υπηρεσίες τους μόνοι τους. Χρησιμοποιούν κέντρα δεδομένων, υπηρεσίες email ή εταιρείες υποστήριξης που μπορούν να λειτουργήσουν ως πρόσθετοι επεξεργαστές δεδομένων. Η συμφωνία επεξεργασίας δεδομένων (DPA) θα πρέπει να διευκρινίζει εάν ισχύει ειδική ή γενική εξουσιοδότηση. Με μια γενική εξουσιοδότηση, οι πελάτες πρέπει να ενημερώνονται για τυχόν σκοπούμενες αλλαγές και να τους δίνεται μια πραγματική ευκαιρία να υποβάλουν ένσταση.
Μια λίστα πρόσθετων επεξεργαστών δεδομένων είναι χρήσιμη μόνο εάν παραμένει κατανοητή. Το όνομα, ο ρόλος και η τοποθεσία επεξεργασίας βοηθούν στην αξιολόγηση του μέρους της υπηρεσίας που χειρίζεται η εταιρεία. Μια απλή συλλογή ονομάτων εταιρειών χωρίς καμία εξήγηση αποκρύπτει τη ροή των δεδομένων. Θα πρέπει επίσης να είναι σαφές πού μπορούν να βρεθούν οι τρέχουσες πληροφορίες και πώς οι πελάτες θα ειδοποιούνται για νέους ή αντικατεστημένους παρόχους.
Ο κύριος πάροχος παραμένει υπεύθυνος για την επιβολή ουσιαστικά των ίδιων υποχρεώσεων προστασίας δεδομένων στους πρόσθετους επεξεργαστές δεδομένων του. Οι αγοραστές δεν χρειάζεται να διαπραγματεύονται οι ίδιοι κάθε υπεργολαβία, αλλά χρειάζονται επαρκή διασφάλιση σχετικά με την αλυσίδα. Η αντίρρηση σε έναν νέο πάροχο δεν πρέπει να είναι απλώς θεωρητική. Οι συμβατικές συνέπειες, οι πιθανές εναλλακτικές λύσεις και, εάν ισχύει, το δικαίωμα καταγγελίας πρέπει να εξηγούνται με σαφήνεια στο πλαίσιο της κύριας σύμβασης.
Η υποστήριξη για τα δικαιώματα των υποκειμένων των δεδομένων και για περιστατικά προστασίας δεδομένων πρέπει να είναι προσβάσιμη.
Τα άτομα μπορούν να ασκήσουν τα δικαιώματά τους σχετικά με τα προσωπικά τους δεδομένα. Ο υπεύθυνος επεξεργασίας δεδομένων παραμένει υπεύθυνος για την επεξεργασία, αλλά συχνά απαιτεί υποστήριξη από τον πάροχο υπηρεσιών. Η σύμβαση θα πρέπει να περιγράφει τον τρόπο με τον οποίο μπορούν να βρεθούν, να διορθωθούν, να εξαχθούν ή να διαγραφούν τα δεδομένα. Για μια λειτουργία αυτοεξυπηρέτησης, είναι σημαντικό να διευκρινιστεί εάν καλύπτει όλα τα σχετικά δεδομένα ή εάν απαιτούνται πρόσθετα αιτήματα προς τον πάροχο.
Σε περίπτωση παραβίασης προσωπικών δεδομένων, ο επεξεργαστής δεδομένων πρέπει να ενημερώσει τον υπεύθυνο επεξεργασίας δεδομένων χωρίς αδικαιολόγητη καθυστέρηση, αφού το αντιληφθεί. Για τον αγοραστή, οι πληροφορίες που λαμβάνει και ο τρόπος με τον οποίο τις λαμβάνει είναι ζωτικής σημασίας. Μια φόρμα υποστήριξης που είναι δύσκολο να βρεθεί μπορεί να σπαταλήσει πολύτιμο χρόνο. Οι καθορισμένες επαφές έκτακτης ανάγκης και οι συνεχείς ενημερώσεις βοηθούν στην αξιολόγηση του αντίκτυπου, των δεδομένων που επηρεάζονται και των μέτρων που έχουν ληφθεί.
Ενδέχεται επίσης να απαιτείται υποστήριξη για εκτιμήσεις επιπτώσεων στην προστασία δεδομένων και ερωτήματα από εποπτικές αρχές. Το πεδίο εφαρμογής και οι πρακτικοί περιορισμοί εξαρτώνται από την υπηρεσία και τις διαθέσιμες πληροφορίες. Επομένως, οι γενικές υποσχέσεις υποστήριξης θα πρέπει να ευθυγραμμίζονται με τους όρους υποστήριξης και το πιθανό κόστος. Οι αγοραστές πρέπει να είναι σε θέση να κατανοήσουν ποια αποδεικτικά στοιχεία παρέχονται ως πρότυπο και πότε θα συμφωνηθεί ξεχωριστά μια ειδική έρευνα ή βοήθεια από ειδικούς.
Η διαγραφή, η επιστροφή και ο έλεγχος απαιτούν μια ρεαλιστική διαδικασία.
Μετά τη λήξη της υπηρεσίας, τα προσωπικά δεδομένα θα πρέπει να διαγράφονται ή να επιστρέφονται κατά την κρίση του υπευθύνου επεξεργασίας δεδομένων, εκτός εάν υπάρχει νομική υποχρέωση διατήρησής τους. Αυτή η επιλογή πρέπει να είναι τεχνικά εφικτή. Οι αγοραστές θα πρέπει να γνωρίζουν τη μορφή δεδομένων στην οποία θα τα λάβουν, για πόσο καιρό παραμένει διαθέσιμη μια εξαγωγή και πότε αδειάζουν τα ενεργά συστήματα. Μια μη αναγνώσιμη μορφή εξαγωγής καθιστά πρακτικά άχρηστο ένα επίσημο δικαίωμα επιστροφής.
Τα αντίγραφα ασφαλείας συχνά δεν μπορούν να καθαριστούν άμεσα μεμονωμένα. Σε τέτοιες περιπτώσεις, είναι απαραίτητος ο περιορισμένος χώρος αποθήκευσης, η προστασία από την κανονική χρήση και μια ρουτίνα διαγραφής με δυνατότητα ανίχνευσης. Οι δηλώσεις σχετικά με την μεταγενέστερη αφαίρεση εντός του κανονικού κύκλου θα πρέπει να καθορίζουν ένα κατανοητό χρονικό πλαίσιο. Θα πρέπει επίσης να είναι σαφές εάν τα αρχεία καταγραφής, τα συνημμένα υποστήριξης και τα δοκιμαστικά αντίγραφα ακολουθούν τους ίδιους κανόνες ή αποθηκεύονται για μεγαλύτερα χρονικά διαστήματα λόγω άλλων υποχρεώσεων.
Ο πάροχος πρέπει να παρέχει πληροφορίες για να αποδείξει τη συμμόρφωση με τις υποχρεώσεις του και να διευκολύνει τους ελέγχους. Σε ευρέως χρησιμοποιούμενες υπηρεσίες cloud, συχνά χρησιμοποιούνται ανεξάρτητες εκθέσεις, πιστοποιητικά και τυποποιημένες γνωστοποιήσεις για τον σκοπό αυτό. Αυτά μπορούν να είναι ενημερωτικά εάν το πεδίο εφαρμογής, το χρονικό πλαίσιο και η επηρεαζόμενη υπηρεσία είναι κατάλληλα. Ένα πιο ολοκληρωμένο δικαίωμα ελέγχου παραμένει σημαντικό, αλλά θα πρέπει να λαμβάνει υπόψη την ασφάλεια άλλων πελατών, την εμπιστευτικότητα και μια αναλογική διαδικασία.
Μια Συμφωνία Επεξεργασίας Δεδομένων (DPA) από μόνη της δεν επιλύει τις διεθνείς μεταφορές δεδομένων.
Εάν τα δεδομένα υποβάλλονται σε επεξεργασία εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ) ή καθίστανται προσβάσιμα από εκεί, προκύπτουν πρόσθετα ερωτήματα. Μια DPA σύμφωνα με το Άρθρο 28 δεν επαρκεί αυτόματα. Οι αγοραστές θα πρέπει να γνωρίζουν τις τοποθεσίες επεξεργασίας, την πιθανή απομακρυσμένη πρόσβαση και τις εμπλεκόμενες εταιρείες. Η απλή αναφορά "φιλοξενία στην ΕΕ" δεν επαρκεί εάν η υποστήριξη ή η διαχείριση μπορούν να εκτελούνται τακτικά από τρίτη χώρα.
Ανάλογα με τη χώρα και τις συγκεκριμένες περιστάσεις, μια απόφαση επάρκειας, τυποποιημένες συμβατικές ρήτρες ή άλλα μέσα μπορεί να είναι σχετικά. Η κατάλληλη νομική βάση και τυχόν πρόσθετα μέτρα που απαιτούνται πρέπει να αξιολογούνται για κάθε μεμονωμένη μεταφορά. Η σύμβαση δεν πρέπει να συγχέει διαφορετικά έγγραφα με παρόμοιες συντομογραφίες. Μια Συμφωνία Επεξεργασίας Δεδομένων (DPA) διέπει την επεξεργασία δεδομένων για λογαριασμό ενός υπεύθυνου επεξεργασίας, ενώ οι τυποποιημένες συμβατικές ρήτρες αντιμετωπίζουν διαφορετικά ζητήματα μεταφοράς δεδομένων ανάλογα με την εφαρμογή.
Πρέπει επίσης να ληφθούν υπόψη οι αλλαγές. Ένας νέος υπεργολάβος ή τοποθεσία υποστήριξης μπορεί να τροποποιήσει μια υπάρχουσα αξιολόγηση. Συνεπώς, οι πελάτες χρειάζονται πληροφορίες πριν από την έναρξη της νέας επεξεργασίας και επαρκή χρόνο για μια σωστή αναθεώρηση. Οι νομικές συμβουλές είναι ιδιαίτερα σκόπιμες για πολύπλοκες αλυσίδες μεταφοράς δεδομένων. Οι σαφείς συμβατικές πληροφορίες καθορίζουν την πραγματική βάση, αλλά δεν αντικαθιστούν την απαραίτητη νομική αξιολόγηση.
Μια καλή συμφωνία μπορεί να εξηγηθεί χρησιμοποιώντας το ίδιο το προϊόν.
Πριν από την υπογραφή, ένα έμπειρο άτομο θα πρέπει να είναι σε θέση να περιγράψει τη ροή δεδομένων με απλούς όρους. Ποια δεδομένα φτάνουν στον πάροχο, για ποιο λόγο χρησιμοποιούνται, ποιος έχει πρόσβαση σε αυτά και πότε διαγράφονται; Οι απαντήσεις πρέπει να είναι συνεπείς σε όλο το προϊόν, την κύρια σύμβαση, τη συμφωνία επεξεργασίας δεδομένων (DPA) και την τεκμηρίωση ασφαλείας. Οι ασυνέπειες απαιτούν διευκρίνιση, όχι την υπόθεση ότι ένα πιο συγκεκριμένο παράρτημα θα επιλύσει αυτόματα τα πάντα.
Περιλαμβάνουν την προστασία δεδομένων, την ασφάλεια των πληροφοριών, τις προμήθειες και το αρμόδιο τμήμα ανάλογα με το επίπεδο κινδύνου. Κάθε οπτική γωνία εντοπίζει διαφορετικά κενά: νομικούς ρόλους, διασφαλίσεις, συμβατικές συνέπειες ή ένα ακατάλληλο χαρακτηριστικό προϊόντος. Για μια μικρή υπηρεσία χαμηλού κινδύνου, η αναθεώρηση μπορεί να παραμείνει διαχειρίσιμη. Η εκτεταμένη ή ευαίσθητη επεξεργασία απαιτεί πιο εις βάθος ανάλυση. Το κλειδί είναι μια κατάλληλη αναθεώρηση, όχι η ίδια ποσότητα τεκμηρίωσης για κάθε πάροχο.
Μια σαφής και κατανοητή DPA δεν εγγυάται την ασφάλεια από μόνη της, αλλά καθιστά διαφανείς τις επαληθεύσιμες προσδοκίες. Συνδέει την ανατεθείσα επεξεργασία με οδηγίες, διασφαλίσεις, υποστήριξη, υπεργολάβους και το τέλος χρήσης. Όταν αυτές οι δηλώσεις αντικατοπτρίζουν με ακρίβεια την πραγματική υπηρεσία, οι αγοραστές μπορούν να αξιολογήσουν καλύτερα τις ευθύνες και να εντοπίσουν αλλαγές νωρίτερα. Τα ανοιχτά νομικά ερωτήματα θα πρέπει να αντιμετωπίζονται μέσω εξειδικευμένων νομικών συμβουλών και όχι βασιζόμενα σε υποθέσεις σχετικά με τυποποιημένες συμβατικές ρήτρες.
Έγκυρες πηγές
- EUR-Lex: Γενικός Κανονισμός για την Προστασία Δεδομένων, Κανονισμός (ΕΕ) 2016/679
- EDPB: Κατευθυντήριες γραμμές 07/2020 σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ
- Ευρωπαϊκή Επιτροπή: Τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και επεξεργαστών