Leping peab kirjeldama tegelikku töötlemist
Andmetöötlusleping, mida sageli nimetatakse andmetöötluslepinguks (DPA), täiendab teenuselepingut. See muutub asjakohaseks, kui teenusepakkuja töötleb oma kliendi nimel isikuandmeid. See võib olla nii majutuse, toe, uudiskirjade levitamise või pilverakenduse puhul. Oluline on andmete tegelik kasutamine, mitte dokumendi pealkiri.
Leping peaks selgitama vastutust. Muuhulgas selgitab see, millist töötlemist tellitakse, millised juhised kehtivad ja kuidas teenusepakkuja toetab andmekaitset. Pikk standardtekst on ebaefektiivne, kui see kirjeldab täiesti erinevat toodet. Seetõttu peaksid ostjad lugema tingimusi koos pakkumise, tehnilise dokumentatsiooni ja kavandatud kasutuse teabega.
See, kas tegemist on vastutava töötleja nimel toimuva andmetöötlusega ja millised konkreetsed tingimused on vajalikud, sõltub konkreetsest suhtest ja kohaldatavast õigusest. Üldine kontroll-leht ei saa seda õiguslikku hinnangut asendada. Ebaselgete rollide, tundlike andmete või ebatavaliste töötlemistegevuste korral tuleks pöörduda eksperdi poole. Selleks pakuvad usaldusväärset faktilist alust täpselt määratletud andmevood, vastutus ja lepingulised üksikasjad.
Vastutavatel ja volitatud töötlejatel on erinevad rollid.
Andmetöötleja määrab töötlemise eesmärgid ja olulised vahendid. Andmetöötleja töötleb isikuandmeid tema nimel ja vastavalt tema dokumenteeritud juhistele. Need terminid kirjeldavad andmekaitseseadustes sätestatud rolle ega loo üldist hierarhiat ettevõtete vahel. Suur platvormipakkuja võib olla andmetöötleja, samas kui väike klient tegutseb kõnealuse töötlemise puhul andmetöötlejana.
Rollid võivad funktsioonist olenevalt erineda. Pakkuja võib töödelda kliendiandmeid teise osapoole nimel, kuid kasutada teatud lepingu- või arveldusandmeid oma eesmärkidel. Sellistel juhtudel peaks ta selgitama, millist rolli ta milliste protsesside puhul võtab. Üldine avaldus, et kõiki andmeid töödeldakse ainult teise osapoole nimel, ei ole eriti kasulik, kui tootekirjeldustes või privaatsusteates mainitakse ka tema enda kasutusviise.
Leping ei saa tegelikke rolle muuta lihtsalt sildi muutmisega. Seetõttu peaks enne allkirjastamist olema selge, kes otsustab andmete kasutamise üle. Kui pakkuja määrab uue eesmärgi kliendist sõltumatult, võib see jääda kokkulepitud andmetöötluse ulatusest välja. Sellised piirid vajavad arusaadavat selgitust, et vastutust, andmesubjektidele antavat teavet ja muid õiguslikke aluseid saaks õigesti hinnata.
Andmete teema, kestus ja liigid nõuavad täpsemat kirjeldust.
Leping peaks selgelt määratlema, milliseid teenuseid osutatakse ja milliseid isikuandmeid töödeldakse. Üldised väited, näiteks „kokkulepitud teenuste osutamine”, ei ole andmevoo mõistmiseks sageli piisavad. Tugisüsteemi puhul võivad mõjutatud olla kontaktandmed, sõnumite sisu ja tehnilised kasutusandmed. Andmesubjektide kategooriad, näiteks kliendid, töötajad või kandidaadid, peaksid samuti vastama tegelikule kasutusele.
Töötlemise liik ja eesmärk on võrdselt olulised. Salvestamine, edastamine, hindamine ja kustutamine kirjeldavad erinevaid protsesse. Eesmärk selgitab, miks need toimuvad, näiteks tugipäringute töötlemiseks või kliendiplatvormi haldamiseks. Mida täpsemalt seda seost kirjeldatakse, seda lihtsam on hiljem kindlaks teha, kas uus tootefunktsioon on endiselt lepinguga hõlmatud või nõuab uut otsust.
Kestus peab olema teenuse ja kustutamisprotsessi jaoks sobiv. Mõnikord jätkub töötlemine kogu lepinguperioodi vältel, samas kui varukoopiad jäävad piiratud ajaks. Seda ei tohiks piiramatu säilitamisega varjata. Ostjatel on vaja realistlikku pilti sellest, millal aktiivsed andmed eemaldatakse, kui kaua tehnilised koopiad säilivad ja millised juriidilised kohustused võivad takistada kohest kustutamist.
Juhised peavad praktikas tegelikult toimima.
Andmetöötlejad peaksid töötlema isikuandmeid vastavalt dokumenteeritud juhistele, välja arvatud juhul, kui juriidilisest kohustusest tuleneb teisiti nõue. Standardtarkvaras on suur osa sellest juhisest juba põhilepingusse, tootevalikusse ja sätetesse sisse põimitud. Andmetöötlusleping (DPA) peaks seda kajastama. Üldklauslist suvaliste individuaalsete juhiste kohta on vähe kasu, kui keegi ei tea, millise kontakti kaudu ja millises tehnilises raamistikus neid rakendada saab.
Selgitage, millised muudatused moodustavad uue juhise. Analüütikafunktsiooni aktiveerimine, salvestuskoha muutmine või säilitusperioodi pikendamine võib töötlemist muuta. Mõnda seadet kontrollib klient, teisi ainult teenusepakkuja. Ostjad peaksid aru saama, millised valikud on saadaval ja millised on nende tagajärjed. Leping ei saa kompenseerida puuduvaid või eksitavaid tootekontrolle abstraktsete õigustega.
Isikuandmete kaitse üldmääruse (GDPR) kohaselt peab teenusepakkuja märkima, kas ta peab juhist ebaseaduslikuks. Lepingus peaks olema välja toodud praktiline kord selliste juhtumite jaoks. Keda teavitatakse, mis juhtub kuni asja lahendamiseni ja milliseid töötlemistoiminguid saab peatada? Selgelt määratletud kontaktisikud ja eskalatsioonikanalid on väärtuslikumad kui sõnastus, mis lihtsalt kordab õiguspõhimõtet.
Konfidentsiaalsus ja turvalisus peavad olema vastavuses riskiga.
Teenusepakkuja jaoks andmeid töötlevad isikud peavad olema seotud konfidentsiaalsuslepingutega või vastama vastavale juriidilisele kohustusele. Ostjate jaoks on oluline mõista ka seda, kuidas juurdepääs on igapäevases kasutuses piiratud. Kas tugi nõuab standardset juurdepääsu sisule või antakse juurdepääs ainult konkreetsetel juhtudel? Rollid, load ja logimine peaksid olema kooskõlas lubatud teenusega.
Tehnilised ja korralduslikud meetmed kirjeldavad andmetöötluse kaitset. Nende hulka võivad kuuluda juurdepääsu kontroll, krüpteerimine, varukoopiad, taastamine ja regulaarsed auditid. Pelgalt tuntud turvaterminite loetelu ei ütle nende praktilise rakendamise kohta palju. Ostjatel peaks olema võimalik näha, milliseid andmeid ja millal kaitstakse, kes kontrollib võtmeid või juurdepääsu ning millised meetmed valitud tootele tegelikult kehtivad.
Turvalisus ei ole staatiline vara. Süsteemid ja riskid arenevad koos teenusepakkujatega, kes oma infrastruktuuri kohandavad. Leping peaks võimaldama olulisi täiustusi ilma kokkulepitud kaitsetaset märkamatult alandamata. Kliendid vajavad oluliste muudatuste kohta piisavalt teavet. See, mis loetakse oluliseks muudatuseks, sõltub teenusest, kuid võib hõlmata uusi salvestuskohti, erinevaid juurdepääsumeetodeid või keskse turvameetme eemaldamist.
Teised teenusepakkujad ei tohi jääda nähtamatuks.
Paljud teenusepakkujad ei osuta oma teenuseid üksi. Nad kasutavad andmekeskusi, e-posti teenuseid või tugiteenuseid pakkuvaid ettevõtteid, mis võivad tegutseda täiendavate andmetöötlejatena. Andmetöötlusleping (DPA) peaks selgitama, kas kehtib konkreetne või üldine volitus. Üldvolituse korral tuleb kliente teavitada kõigist kavandatud muudatustest ja anda neile reaalne võimalus vastuväidete esitamiseks.
Täiendavate andmetöötlejate loend on kasulik ainult siis, kui see jääb arusaadavaks. Nimi, roll ja töötlemiskoht aitavad hinnata, millist teenuseosa ettevõte käsitleb. Pelgalt ettevõtete nimede kogum ilma igasuguse selgituseta hägustab andmevoogu. Samuti peaks olema selge, kust leida ajakohast teavet ja kuidas kliente uutest või asendatud teenusepakkujatest teavitatakse.
Peamine teenusepakkuja vastutab sisuliselt samade andmekaitsekohustuste kehtestamise eest oma täiendavatele andmetöötlejatele. Ostjad ei pea ise iga alltöövõtulepingut läbi rääkima, kuid vajavad piisavat kindlust ahela kohta. Uue teenusepakkuja vastuväide ei tohiks olla pelgalt teoreetiline. Lepingulised tagajärjed, võimalikud alternatiivid ja vajaduse korral ka lõpetamisõigus tuleb põhilepingu kontekstis selgelt selgitada.
Andmesubjektide õiguste ja andmekaitseintsidentide tugi peab olema kättesaadav.
Inimesed saavad oma isikuandmetega seotud õigusi teostada. Andmetöötleja vastutab endiselt töötlemise eest, kuid vajab sageli teenusepakkuja tuge. Lepingus tuleks kirjeldada, kuidas andmeid saab leida, parandada, eksportida või kustutada. Iseteenindusfunktsiooni puhul on oluline selgitada, kas see hõlmab kõiki asjakohaseid andmeid või on vaja teenusepakkujale esitada täiendavaid taotlusi.
Isikuandmete rikkumise korral peab andmetöötleja pärast rikkumisest teadasaamist viivitamata teavitama andmetöötlejat. Ostja jaoks on ülioluline, millist teavet nad saavad ja kuidas nad seda saavad. Raskesti leitav tugivorm võib raisata väärtuslikku aega. Hädaolukorra kontaktid ja pidevad värskendused aitavad hinnata mõju, mõjutatud andmeid ja võetud meetmeid.
Tuge võib vaja minna ka andmekaitsealase mõjuhinnangu ja järelevalveasutuste päringute jaoks. Ulatus ja praktilised piirangud sõltuvad teenusest ja kättesaadavast teabest. Seetõttu peaksid üldised tugilubadused olema kooskõlas tugiteenuste tingimuste ja võimalike kuludega. Ostjad peavad saama aru, milliseid tõendeid esitatakse standardselt ja millal lepitakse eraldi kokku eriuurimises või eksperdiabis.
Kustutamine, tagastamine ja auditeerimine nõuavad realistlikku protsessi.
Pärast teenuse lõppu tuleks isikuandmed kustutada või tagastada andmetöötleja äranägemisel, välja arvatud juhul, kui on olemas seaduslik kohustus neid säilitada. See valik peab olema tehniliselt teostatav. Ostjad peaksid teadma andmevormingut, milles nad andmeid saavad, kui kaua eksport on saadaval ja millal aktiivsed süsteemid tühjendatakse. Loetamatu ekspordivorming muudab ametliku tagastusõiguse praktiliselt väärtusetuks.
Varukoopiaid ei saa sageli kohe eraldi puhastada. Sellistel juhtudel on vajalik piiratud salvestusruum, kaitse tavapärase kasutamise eest ja jälgitav kustutamisrutiin. Tavapärase tsükli jooksul hilisema eemaldamise kohta käivates avaldustes tuleks määrata arusaadav ajavahemik. Samuti peaks olema selge, kas logid, tugimanused ja testkoopiad järgivad samu reegleid või säilitatakse neid muude kohustuste tõttu pikema aja jooksul.
Teenusepakkuja peab esitama teavet oma kohustuste täitmise tõendamiseks ja auditite hõlbustamiseks. Laialdaselt kasutatavates pilveteenustes kasutatakse selleks sageli sõltumatuid aruandeid, sertifikaate ja standardiseeritud avalikustamisdokumente. Need võivad olla informatiivsed, kui ulatus, ajakava ja mõjutatud teenus on sobivad. Põhjalikum auditeerimisõigus on endiselt oluline, kuid peaks arvestama teiste klientide turvalisuse, konfidentsiaalsuse ja proportsionaalse protsessiga.
Andmetöötlusleping (DPA) üksi ei lahenda rahvusvahelisi andmeedastusi.
Kui andmeid töödeldakse väljaspool Euroopa Majanduspiirkonda (EMP) või tehakse need sealt kättesaadavaks, tekivad lisaküsimused. Artikli 28 kohane DPA ei ole automaatselt piisav. Ostjad peaksid olema teadlikud töötlemiskohtadest, võimalikust kaugjuurdepääsust ja kaasatud ettevõtetest. Lihtsalt "EL-i majutuse" märkimisest ei piisa, kui tuge või haldust saab regulaarselt teostada kolmandast riigist.
Sõltuvalt riigist ja konkreetsetest asjaoludest võivad asjakohased olla piisavusotsus, lepingu tüüptingimused või muud dokumendid. Iga üksiku edastuse puhul tuleb hinnata sobivat õiguslikku alust ja kõiki vajalikke lisameetmeid. Lepingus ei tohiks segi ajada erinevaid dokumente sarnaste lühenditega. Andmetöötlusleping (DPA) reguleerib vastutava töötleja nimel toimuvat andmetöötlust, samas kui standardsed lepingutingimused käsitlevad erinevaid andmeedastusega seotud küsimusi olenevalt rakendusest.
Samuti tuleb arvestada muudatustega. Uus alltöövõtja või tugiteenuse asukoht võib muuta olemasolevat hinnangut. Seetõttu vajavad kliendid enne uue töötlemise algust teavet ja piisavalt aega nõuetekohaseks läbivaatamiseks. Õigusnõustamine on eriti soovitatav keerukate andmeedastusahelate puhul. Selge lepinguline teave loob faktilise aluse, kuid ei asenda vajalikku õiguslikku hinnangut.
Hea lepingu saab selgitada toote enda abil.
Enne allkirjastamist peaks teadlik inimene suutma andmevoogu lihtsalt kirjeldada. Millised andmed jõuavad teenusepakkujani, milleks neid kasutatakse, kellel on neile juurdepääs ja millal need kustutatakse? Vastused peavad olema ühtsed kogu toote, põhilepingu, andmetöötluslepingu (DPA) ja turvadokumentatsiooni lõikes. Ebakõlad vajavad selgitamist, mitte eeldamist, et täpsem lisa lahendab kõik automaatselt.
Kaasake andmekaitset, infoturvet, hankeid ja vastutavat osakonda vastavalt riskitasemele. Iga perspektiiv tuvastab erinevad lüngad: õiguslikud rollid, kaitsemeetmed, lepingulised tagajärjed või sobimatu tootefunktsioon. Väikese ja madala riskiga teenuse puhul võib ülevaade jääda hallatavaks. Ulatuslik või tundlik töötlemine nõuab põhjalikumat analüüsi. Võti on asjakohane ülevaade, mitte iga teenusepakkuja jaoks sama palju dokumentatsiooni.
Selge ja arusaadav DPA ei taga iseenesest turvalisust, kuid muudab kontrollitavad ootused läbipaistvaks. See seob tellitud töötlemise juhiste, kaitsemeetmete, toe, alltöövõtjate ja kasutuse lõpuga. Kui need avaldused kajastavad täpselt tegelikku teenust, saavad ostjad paremini hinnata vastutust ja tuvastada muudatusi varem. Lahtised õigusküsimused tuleks lahendada kvalifitseeritud õigusnõustamise kaudu, mitte tuginedes eeldustele tüüptingimuste kohta.