Ugovor mora opisati stvarnu obradu
Ugovor o obradi podataka, često nazvan DPA, nadopunjuje ugovor o pružanju usluge. Postaje relevantan kada pružatelj usluga obrađuje osobne podatke u ime svog klijenta. To može biti slučaj s hostingom, podrškom, distribucijom biltena ili aplikacijom u oblaku. Važna je stvarna upotreba podataka, a ne naziv dokumenta.
Ugovor bi trebao razjasniti odgovornosti. Između ostalog, objašnjava koja se obrada naručuje, koje se upute primjenjuju i kako pružatelj usluga podržava zaštitu podataka. Dugačak standardni tekst je beskoristan ako opisuje potpuno drugačiji proizvod. Kupci bi stoga trebali pročitati uvjete i odredbe zajedno s ponudom, tehničkom dokumentacijom i informacijama o namjeravanoj uporabi.
Postoji li obrada podataka u ime kontrolora i koji su propisi potrebni ovisi o specifičnom odnosu i primjenjivom pravu. Opći kontrolni popis ne može zamijeniti ovu pravnu klasifikaciju. Stoga treba potražiti stručni savjet u slučajevima nejasnih uloga, osjetljivih podataka ili neuobičajenih aktivnosti obrade. Dobro dokumentirani tokovi podataka, odgovornosti i ugovorni detalji pružaju pouzdanu činjeničnu osnovu za to.
Voditelji i obrađivači imaju različite uloge.
Voditelj odlučuje o svrhama i bitnim sredstvima obrade. Obrađivač obrađuje osobne podatke u ime kontrolora i prema njegovim dokumentiranim uputama. Ovi pojmovi opisuju uloge zaštite podataka i ne predstavljaju opću hijerarhiju između tvrtki. Veliki pružatelj platforme može biti obrađivač, dok mali kupac djeluje kao kontrolor za dotičnu obradu.
Uloge se mogu razlikovati ovisno o funkciji. Pružatelj usluga može obrađivati podatke o kupcima u ime kontrolora, ali koristiti određene ugovorne ili podatke o naplati za vlastite svrhe. U takvim slučajevima trebao bi objasniti koju ulogu preuzima za koje procese. Opća izjava da se svi podaci obrađuju samo u ime kontrolora nije baš korisna ako opis proizvoda ili politika privatnosti također spominju vlastite upotrebe kontrolora.
Ugovor ne može promijeniti stvarne uloge jednostavnom promjenom oznake. Stoga, prije potpisivanja, treba biti jasno tko odlučuje o korištenju podataka. Ako pružatelj usluga neovisno o kupcu definira novu svrhu, to može biti izvan opsega dogovorenog ugovora o obradi podataka. Takve granice zahtijevaju razumljivo objašnjenje kako bi se odgovornosti, informacije za ispitanike i druge pravne osnove mogle ispravno procijeniti.
Predmet, trajanje i vrste podataka zahtijevaju specifične detalje.
U ugovoru treba jasno navesti koja se usluga pruža s kojim osobnim podacima. Opće formulacije poput "pružanja dogovorenih usluga" često nisu dovoljne za razumijevanje toka podataka. U sustavu podrške mogu biti pogođeni kontaktni podaci, sadržaj poruka i podaci o tehničkoj upotrebi. Kategorije ispitanika, kao što su kupci, zaposlenici ili podnositelji zahtjeva, također bi trebale odgovarati stvarnoj upotrebi.
Vrsta i svrha obrade jednako su važni. Pohranjivanje, prijenos, evaluacija i brisanje opisuju različite procese. Svrha objašnjava zašto se odvijaju, na primjer, za obradu zahtjeva za podršku ili za upravljanje platformom za korisnike. Što je ta veza preciznije opisana, to je lakše kasnije utvrditi je li nova značajka proizvoda još uvijek obuhvaćena sporazumom ili zahtijeva novu odluku.
Razdoblje čuvanja mora biti primjereno usluzi i postupku brisanja. Ponekad se obrada nastavlja tijekom cijelog ugovornog razdoblja, dok sigurnosne kopije ostaju ograničeno vrijeme. To ne bi trebalo biti zasjenjeno neograničenim pohranjivanjem. Kupci trebaju realno razumijevanje kada se aktivni podaci brišu, koliko dugo tehničke kopije traju i koje zakonske obveze mogu spriječiti trenutno brisanje.
Upute moraju stvarno funkcionirati u praksi.
Obrađivači podataka trebali bi obrađivati osobne podatke prema dokumentiranim uputama, osim ako zakonska obveza ne zahtijeva drugačije. U standardnom softveru, veliki dio ovih uputa već je ugrađen u glavni ugovor, odabir proizvoda i postavke. Ugovor o obradi podataka (DPA) trebao bi to odražavati. Opća klauzula o proizvoljnim pojedinačnim uputama od male je koristi ako nitko ne zna putem kojeg kontakta i unutar kojeg tehničkog okvira se mogu provesti.
Pojasnite koje promjene predstavljaju novu uputu. Aktiviranje analitičke funkcije, nove lokacije pohrane ili duljeg razdoblja čuvanja može promijeniti obradu. Neke postavke kontrolira kupac, a druge samo pružatelj usluga. Kupci bi trebali razumjeti koje su opcije dostupne i koje su njihove posljedice. Ugovor ne može nadoknaditi nedostajuće ili obmanjujuće kontrole proizvoda putem apstraktnih prava.
Prema Općoj uredbi o zaštiti podataka (GDPR), pružatelj usluga mora naznačiti smatra li da je uputa nezakonita. Ugovor bi trebao ocrtati praktičan postupak za takve slučajeve. Tko će biti obaviješten, što se događa dok se stvar ne riješi i koje se aktivnosti obrade mogu obustaviti? Jasno definirane kontakt osobe i kanali eskalacije vrijedniji su od formulacije koja samo ponavlja pravno načelo.
Povjerljivost i sigurnost moraju biti sukladni riziku.
Pojedinci koji obrađuju podatke za pružatelja usluga moraju biti obvezani ugovorima o povjerljivosti ili podlijegati odgovarajućoj zakonskoj obvezi. Za kupce je također važno razumjeti kako je pristup ograničen u svakodnevnoj upotrebi. Zahtijeva li podrška standardni pristup sadržaju ili se pristup odobrava samo za određene slučajeve? Uloge, dopuštenja i evidentiranje trebaju biti usklađeni s obećanom uslugom.
Tehničke i organizacijske mjere opisuju zaštitu obrade podataka. To može uključivati kontrolu pristupa, šifriranje, sigurnosne kopije, oporavak i redovite revizije. Puki popis poznatih sigurnosnih pojmova malo govori o njihovoj praktičnoj primjeni. Kupci bi trebali moći vidjeti koji su podaci zaštićeni i kada, tko kontrolira ključeve ili pristup te koje se mjere zapravo primjenjuju na odabrani proizvod.
Sigurnost nije statična imovina. Sustavi i rizici se razvijaju kako pružatelji usluga prilagođavaju svoju infrastrukturu. Ugovor bi trebao omogućiti značajna poboljšanja bez suptilnog snižavanja dogovorene razine zaštite. Korisnicima su potrebne dovoljne informacije o značajnim promjenama. Što predstavlja značajnu promjenu ovisi o usluzi, ali može uključivati nove lokacije za pohranu, različite metode pristupa ili uklanjanje centralne sigurnosne mjere.
Drugi pružatelji usluga ne smiju ostati nevidljivi.
Mnogi pružatelji usluga ne pružaju svoje usluge sami. Koriste podatkovne centre, usluge e-pošte ili tvrtke za podršku, koje mogu djelovati kao dodatni obrađivači podataka. Ugovor o obradi podataka (DPA) trebao bi pojasniti primjenjuje li se posebno ili opće ovlaštenje. U slučaju općeg ovlaštenja, korisnici moraju biti obaviješteni o planiranim promjenama i imati stvarnu priliku za prigovor.
Popis drugih obrađivača podataka koristan je samo ako ostane razumljiv. Naziv, uloga i lokacija obrade pomažu korisnicima da procijene kojim dijelom usluge tvrtka upravlja. Samo prikupljanje naziva tvrtki bez ikakvog objašnjenja zamagljuje protok podataka. Također bi trebalo biti jasno gdje se mogu pronaći trenutne informacije i kako će korisnici biti obaviješteni o novim ili zamijenjenim pružateljima usluga.
Primarni pružatelj usluga ostaje odgovoran za nametanje u biti istih obveza zaštite podataka svojim podizvršiteljima obrade. Kupci ne moraju sami pregovarati o svakom podugovoru, ali im je potrebna dovoljna sigurnost u cijelom lancu. Prigovor na novog pružatelja usluga ne bi trebao biti isključivo teoretski. Ugovorne posljedice, moguće alternative i sva prava na raskid ugovora moraju biti jasno objašnjeni u kontekstu primarnog ugovora.
Podrška za prava ispitanika i incidente mora biti lako dostupna.
Pojedinci mogu ostvarivati prava u vezi sa svojim osobnim podacima. Kontrolor podataka ostaje odgovoran za obradu, ali često zahtijeva podršku pružatelja usluga. Ugovor bi trebao opisati kako se podaci mogu pronaći, ispraviti, izvesti ili izbrisati. Ako se koristi funkcija samoposluživanja, važno je razjasniti pokriva li ona sve relevantne podatke ili su potrebni dodatni zahtjevi pružatelju usluga.
U slučaju povrede osobnih podataka, obrađivač podataka mora obavijestiti kontrolora podataka bez nepotrebnog odgađanja nakon što sazna za nju. Za kupca je ključno koje informacije primaju i kako ih primaju. Teško dostupan obrazac za podršku može gubiti dragocjeno vrijeme. Određeni kontakti za hitne slučajeve i kontinuirana ažuriranja pomažu u procjeni utjecaja, pogođenih podataka i poduzetih mjera.
Podrška može biti potrebna i za procjene utjecaja na zaštitu podataka i upite nadzornih tijela. Opseg i praktična ograničenja ovise o usluzi i dostupnim informacijama. Stoga bi opća obećanja podrške trebala biti usklađena s uvjetima podrške i potencijalnim troškovima. Kupci moraju moći vidjeti koja se dokumentacija pruža standardno i kada se posebno dogovara posebna istraga ili stručna pomoć.
Brisanje, vraćanje i pregled zahtijevaju realističan pristup
Nakon završetka usluge, osobne podatke treba izbrisati ili vratiti prema diskreciji kontrolora, pod uvjetom da ne postoji zakonska obveza njihovog čuvanja. Ovaj izbor mora biti tehnički izvediv. Kupci bi trebali znati format podataka koji će primiti, koliko dugo izvoz ostaje dostupan i kada se aktivni sustavi prazne. Nečitljiv format izvoza čini formalno pravo na povrat praktički bezvrijednim.
Sigurnosne kopije često se ne mogu odmah pojedinačno očistiti. U takvim slučajevima potrebni su ograničena pohrana, zaštita od normalne upotrebe i transparentna rutina brisanja. Izjave o naknadnom uklanjanju unutar standardnog ciklusa trebale bi odrediti razuman vremenski okvir. Također bi trebalo biti jasno slijede li zapisnici, prilozi za podršku i testne kopije ista pravila ili se pohranjuju dulje zbog drugih obveza.
Pružatelj usluga mora pružiti informacije kako bi dokazao usklađenost sa svojim obvezama i olakšao revizije. U široko korištenim uslugama u oblaku, u tu se svrhu često koriste neovisna izvješća, certifikati i standardizirane objave. One mogu biti informativne ako su opseg, vremenski okvir i pogođena usluga primjereni. Sveobuhvatnije pravo na reviziju ostaje važno, ali treba uzeti u obzir sigurnost drugih korisnika, povjerljivost i proporcionalan postupak.
Sam Ugovor o obradi podataka (DPA) ne rješava međunarodni prijenos podataka.
Ako se podaci obrađuju izvan Europskog gospodarskog prostora (EGP) ili im se odatle daje pristup, postavljaju se dodatna pitanja. DPA prema članku 28. nije automatski dovoljan. Kupci bi trebali biti svjesni lokacija obrade, potencijalnog udaljenog pristupa i uključenih tvrtki. Jednostavno navođenje "EU hostinga" nije dovoljno ako se podrška ili administracija redovito mogu obavljati iz treće zemlje.
Ovisno o zemlji i specifičnim okolnostima, relevantni mogu biti odluka o adekvatnosti, standardne ugovorne klauzule ili drugi instrumenti. Odgovarajuća pravna osnova i sve dodatne potrebne mjere moraju se procijeniti za svaki pojedinačni prijenos. Ugovor ne bi trebao spajati različite dokumente sa sličnim kraticama. Ugovor o obradi podataka regulira obradu podataka, dok standardne ugovorne klauzule rješavaju različita pitanja prijenosa podataka ovisno o njihovoj upotrebi.
Također se moraju uzeti u obzir promjene. Novi podizvođač ili lokacija podrške mogu izmijeniti postojeću procjenu. Stoga kupcima trebaju informacije prije početka nove obrade i dovoljno vremena za pravilan pregled. Pravni savjet posebno je preporučljiv za složene lance prijenosa podataka. Jasni detalji ugovora utvrđuju činjeničnu osnovu, ali ne zamjenjuju potrebnu pravnu procjenu.
Dobar ugovor može se objasniti korištenjem proizvoda.
Prije potpisivanja, upućena osoba trebala bi biti u stanju opisati tok podataka jednostavnim riječima. Koji se podaci prenose pružatelju usluga, za što se koriste, tko im ima pristup i kada se brišu? Odgovori moraju biti dosljedni u cijelom proizvodu, glavnom ugovoru, ugovoru o obradi podataka (DPA) i sigurnosnoj dokumentaciji. Nedosljednosti zahtijevaju pojašnjenje, a ne pretpostavku da će specifičniji dodatak automatski sve riješiti.
Uključite zaštitu podataka, sigurnost informacija, nabavu i odgovorni odjel prema razini rizika. Svaka perspektiva identificira različite praznine: pravne uloge, zaštitne mjere, ugovorne posljedice ili neprikladnu funkciju proizvoda. Za malu uslugu niskog rizika, pregled može ostati upravljiv. Opsežna ili osjetljiva obrada zahtijeva dublju analizu. Važan je odgovarajući pregled, a ne ista količina dokumentacije za svakog pružatelja usluga.
Jasan i razumljiv ugovor o obradi podataka (DPA) sam po sebi ne jamči pravnu sigurnost, ali čini provjerljiva očekivanja transparentnima. Povezuje naručenu obradu podataka s uputama, zaštitom, podrškom, podizvođačima i prestankom korištenja podataka. Kada te izjave točno odražavaju stvarnu uslugu, kupci mogu bolje procijeniti odgovornosti i ranije prepoznati promjene. Sva preostala pravna pitanja treba riješiti putem kvalificiranog pravnog savjeta, a ne oslanjanjem na pretpostavke o standardnim klauzulama.