A megállapodásnak le kell írnia a tényleges feldolgozást
Az adatfeldolgozási megállapodás, amelyet gyakran DPA-nak is neveznek, kiegészíti a szolgáltatási szerződést. Akkor válik relevánssá, amikor egy szolgáltató személyes adatokat dolgoz fel az ügyfele nevében. Ez lehet a helyzet a tárhely, a támogatás, a hírlevélküldés vagy egy felhőalkalmazás esetében. Az adatok tényleges felhasználása számít, nem a dokumentum címe.
A megállapodásnak tisztáznia kell a felelősségi köröket. Többek között elmagyarázza, hogy milyen feldolgozási tevékenységeket bíznak meg, mely utasítások vonatkoznak rájuk, és hogyan támogatja a szolgáltató az adatvédelmet. Egy hosszú szabványszöveg hatástalan, ha egy teljesen más terméket ír le. Ezért a vásárlóknak a feltételeket az ajánlattal, a műszaki dokumentációval és a tervezett felhasználással együtt kell áttekinteniük.
Az, hogy történik-e adatfeldolgozás, és melyik megállapodás szükséges, az adott kapcsolattól és az alkalmazandó jogtól függ. Egy általános ellenőrzőlista nem helyettesítheti ezt a jogi besorolást. Nem egyértelmű szerepkörök, érzékeny adatok vagy szokatlan feldolgozási tevékenységek esetén szakértői tanácsot kell kérni. A jól meghatározott adatútvonalak, felelősségi körök és szerződéses részletek megbízható ténybeli alapot nyújtanak ehhez.
Az adatkezelő és az adatfeldolgozó szerepe eltérő
Az adatkezelő határozza meg a feldolgozás céljait és alapvető eszközeit. Az adatfeldolgozó a személyes adatokat az ő nevükben és dokumentált utasításaik szerint dolgozza fel. Ezek a kifejezések az adatvédelmi szerepköröket írják le, és nem képviselnek általános hierarchiát a vállalatok között. Egy nagy platformszolgáltató lehet adatfeldolgozó, míg egy kis ügyfél adatkezelőként jár el a szóban forgó adatfeldolgozás tekintetében.
A szerepkörök a funkciótól függően változhatnak. Egy szolgáltató feldolgozhatja az ügyféladatokat egy ügyfél nevében, de bizonyos szerződéses vagy számlázási adatokat saját céljaira használhat fel. Ilyen esetekben el kell magyaráznia, hogy melyik szerepet vállalja az egyes folyamatokhoz. Az az általános kijelentés, hogy minden adatot csak egy ügyfél nevében dolgoznak fel, nem túl hasznos, ha a termékleírás vagy az adatvédelmi irányelvek a saját felhasználási módjait is megemlítik.
Egy szerződés nem változtathatja meg a tényleges szerepköröket egyszerűen a címke megváltoztatásával. Ezért aláírás előtt egyértelműnek kell lennie, hogy ki dönt az adatok felhasználásáról. Ha a szolgáltató az ügyféltől függetlenül új célt határoz meg, az kívül eshet a megállapodás szerinti adatfeldolgozás hatókörén. Az ilyen határok érthető magyarázatot igényelnek, hogy a felelősségek, az érintettek tájékoztatása és egyéb jogalapok helyesen értékelhetők legyenek.
Az adatok tárgya, időtartama és típusai konkrét részleteket igényelnek.
A megállapodásnak egyértelműen meg kell határoznia, hogy melyik szolgáltatást mely személyes adatok felhasználásával nyújtják. Az olyan általános kifejezések, mint a „megállapodott szolgáltatások nyújtása”, gyakran nem elegendőek az adatáramlás megértéséhez. Egy támogató rendszerben az elérhetőségek, az üzenetek tartalma és a technikai használati adatok is érintettek lehetnek. Az érintettek kategóriáinak, például az ügyfeleknek, alkalmazottaknak vagy jelentkezőknek is meg kell felelniük a tényleges használatnak.
Ugyanilyen fontos a feldolgozás típusa és célja. A tárolás, továbbítás, kiértékelés és törlés különböző folyamatokat ír le. A cél megmagyarázza, hogy miért történnek ezek, például a támogatási kérelmek feldolgozása vagy egy ügyfélplatform működtetése. Minél pontosabban van leírva ez a kapcsolat, annál könnyebb később megállapítani, hogy egy új termékfunkció továbbra is a szerződés hatálya alá tartozik-e, vagy új döntést igényel.
Az időtartamnak meg kell felelnie a szolgáltatásnak és a törlési folyamatnak. Előfordul, hogy a feldolgozás a szerződés időtartama alatt folytatódik, míg a biztonsági másolatok korlátozott ideig megmaradnak. Ezt nem szabad elhomályosítani a határozatlan idejű megőrzéssel. A vásárlóknak reális képre van szükségük arról, hogy mikor távolítják el az aktív adatokat, mennyi ideig őrzik meg a technikai másolatokat, és milyen jogi kötelezettségek akadályozhatják meg az azonnali törlést.
Az utasításoknak a mindennapi gyakorlatban is ténylegesen működniük kell
Az adatfeldolgozóknak a személyes adatokat dokumentált utasításoknak megfelelően kell feldolgozniuk, kivéve, ha jogi kötelezettség másként rendelkezik. A standard szoftverekben ezeknek az utasításoknak a nagy része már be van ágyazva a fő szerződésbe, a termékválasztásba és a beállításokba. Az adatfeldolgozási megállapodásnak (DPA) összhangban kell lennie ezzel. Az önkényes egyedi utasításokról szóló általános záradék kevéssé hasznos, ha senki sem tudja, hogy milyen kapcsolattartón keresztül és milyen technikai keretrendszeren belül lehet azokat megvalósítani.
Tisztázza, hogy mely változtatások minősülnek új utasításnak. Egy analitikai funkció aktiválása, a tárolási hely megváltoztatása vagy a megőrzési időszak meghosszabbítása módosíthatja a feldolgozást. Egyes beállításokat az ügyfél, másokat csak a szolgáltató vezérel. A vevőknek meg kell érteniük, hogy mely lehetőségek állnak rendelkezésre, és milyen következményekkel járnak. Egy szerződés nem kompenzálhatja a hiányzó vagy félrevezető termékellenőrzéseket absztrakt jogokkal.
A szolgáltatónak az Általános Adatvédelmi Rendelet (GDPR) értelmében tájékoztatnia kell az ügyfelet, ha egy utasítást jogellenesnek tart. A megállapodásnak fel kell vázolnia egy gyakorlati eljárást erre az esetre. Kit tájékoztatnak, mi történik, amíg az ügyet megoldják, és mely feldolgozás függeszthető fel? A világosan meghatározott kapcsolattartó személyek és eszkalációs eljárások értékesebbek, mint egy olyan megfogalmazás, amely csupán a jogi elvet ismétli meg.
A titoktartásnak és a biztonságnak arányosnak kell lennie a kockázattal.
A szolgáltató számára adatokat feldolgozó személyeknek titoktartási megállapodásoknak kell megfelelniük, vagy megfelelő jogi kötelezettségnek kell megfelelniük. A vásárlók számára fontos megérteni azt is, hogy a hozzáférés hogyan korlátozott a mindennapi használat során. A támogatáshoz szabványos hozzáférés szükséges a tartalomhoz, vagy csak bizonyos esetekben biztosítják a hozzáférést? A szerepköröknek, engedélyeknek és naplózásnak összhangban kell lenniük az ígért szolgáltatással.
A technikai és szervezési intézkedések leírják az adatfeldolgozás védelmét. Ezek magukban foglalhatják a hozzáférés-vezérlést, a titkosítást, a biztonsági mentéseket, a helyreállítást és a rendszeres auditokat. A jól ismert biztonsági kifejezések puszta listája keveset mond az alkalmazásukról. A vásárlóknak látniuk kell, hogy mely adatok és mikor védettek, ki kezeli a kulcsokat vagy a hozzáférést, és mely intézkedések vonatkoznak ténylegesen a kiválasztott termékre.
A biztonság nem statikus eszköz. A rendszerek és a kockázatok fejlődnek, ahogy a szolgáltatók adaptálják infrastruktúrájukat. A megállapodásnak lehetővé kell tennie az érdemi fejlesztéseket anélkül, hogy finoman csökkentené a megállapodott védelmi szintet. Az ügyfeleknek elegendő információra van szükségük a jelentős változásokról. Az, hogy mi minősül jelentős változásnak, a szolgáltatástól függ, de magában foglalhatja az új tárolási helyeket, az eltérő hozzáférési módszereket vagy egy központi biztonsági intézkedés eltávolítását.
Más szolgáltatók nem maradhatnak láthatatlanok
Sok szolgáltató nem önállóan nyújtja szolgáltatásait. Adatközpontokat, e-mail szolgáltatásokat vagy támogató cégeket vesznek igénybe, amelyek további adatfeldolgozóként járhatnak el. Az adatfeldolgozási megállapodásnak (DPA) tisztáznia kell, hogy konkrét vagy általános felhatalmazás vonatkozik-e rá. Általános felhatalmazás esetén az ügyfeleket tájékoztatni kell minden tervezett változtatásról, és valódi lehetőséget kell biztosítani számukra a kifogás benyújtására.
A további adatfeldolgozók listája csak akkor hasznos, ha érthető marad. A név, a szerepkör és a feldolgozási hely segít felmérni, hogy a szolgáltatás mely részét kezeli a vállalat. A cégnevek puszta gyűjteménye funkció nélkül elhomályosítja az adatáramlást. Azt is világosnak kell lennie, hogy hol találhatók az aktuális információk, és hogyan értesítik az ügyfeleket az új vagy lecserélt szolgáltatókról.
Az elsődleges szolgáltató továbbra is felelős azért, hogy lényegében ugyanazokat az adatvédelmi kötelezettségeket szabja meg a többi adatfeldolgozójára. A vevőknek nem kell minden alvállalkozói szerződést maguknak tárgyalniuk, de megfelelő biztonságra van szükségük a teljes láncban. Az új szolgáltatóval szembeni kifogás nem lehet pusztán elméleti. A szerződéses következményeknek, a lehetséges alternatíváknak és adott esetben a felmondási jognak érthetőnek kell lennie az elsődleges szerződés kontextusában.
Az érintettek jogaival és incidenseivel kapcsolatban támogatást kell biztosítani.
Az emberek gyakorolhatják a személyes adataikkal kapcsolatos jogaikat. Az adatkezelő továbbra is felelős a feldolgozásért, de gyakran támogatásra szorul a szolgáltatótól. A szerződésnek le kell írnia, hogyan lehet az adatokat megtalálni, javítani, exportálni vagy törölni. Önkiszolgáló funkció esetén fontos tisztázni, hogy az minden releváns adatra kiterjed-e, vagy további kérésekre van szükség a szolgáltatóhoz.
Személyes adatok védelmének megsértése esetén az adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell az adatkezelőt, miután tudomást szerzett róla. A vevő számára kulcsfontosságú, hogy milyen információkat kap és hogyan kapja meg azokat. A nehezen megtalálható támogatási űrlap értékes időt pazarolhat. A kijelölt vészhelyzeti kapcsolattartók és a folyamatos frissítések segítenek a hatás, az érintett adatok és a megtett intézkedések felmérésében.
Támogatásra lehet szükség az adatvédelmi hatásvizsgálatokhoz és a felügyeleti hatóságoktól érkező megkeresésekhez is. A terjedelem és a gyakorlati korlátok a szolgáltatástól és a rendelkezésre álló információktól függenek. Ezért az általános támogatási ígéreteket össze kell hangolni a támogatási feltételekkel és a lehetséges költségekkel. A vevőknek meg kell érteniük, hogy milyen bizonyítékokat szolgáltatnak alapértelmezés szerint, és mikor van szükség különleges vizsgálatra vagy szakértői segítségre.
A törlés, a visszaküldés és az ellenőrzés realisztikus megközelítést igényel.
A szolgáltatás befejezése után a személyes adatokat az adatkezelő belátása szerint törölni vagy visszaküldeni kell, feltéve, hogy nincs jogi kötelezettség a megőrzésükre. Ennek a választásnak technikailag megvalósíthatónak kell lennie. A vásárlóknak ismerniük kell az adatformátumot, amelyben megkapják az adatokat, mennyi ideig marad elérhető az exportált adatok, és mikor ürülnek ki az aktív rendszerek. Az olvashatatlan exportált formátum gyakorlatilag értéktelenné teszi a hivatalos visszaküldési jogot.
A biztonsági mentések gyakran nem törölhetők azonnal egyenként. Ezért korlátozott megőrzési időre, a normál használattól való védelemre és nyomon követhető törlési rutinra van szükség. A szokásos cikluson belüli későbbi eltávolításra vonatkozó nyilatkozatoknak érthető időkeretet kell meghatározniuk. Azt is világossá kell tenni, hogy a naplók, a támogatási mellékletek és a tesztpéldányok ugyanazokat a szabályokat követik-e, vagy egyéb kötelezettségek miatt hosszabb ideig tárolják őket.
A szolgáltatónak információkat kell szolgáltatnia a megfelelés igazolására és az auditok lehetővé tételére. A gyakori felhőszolgáltatásokban erre a célra gyakran használnak független jelentéseket, tanúsítványokat és szabványosított közzétételeket. Ezek informatívak lehetnek, ha a hatókör, az időkeret és az érintett szolgáltatás megfelelő. A szélesebb körű auditálási jog továbbra is fontos, de figyelembe kell vennie a többi ügyfél biztonságát, a titoktartást és az arányos folyamatot.
Egy adatfeldolgozási megállapodás (DPA) önmagában nem oldja meg a nemzetközi adatátvitelt.
Ha az adatokat az Európai Gazdasági Térségen (EGT) kívül dolgozzák fel, vagy onnan teszik elérhetővé, további kérdések merülnek fel. A 28. cikk szerinti adatvédelmi megállapodás (DPA) nem automatikusan képezi ennek teljes alapját. A vevőknek tisztában kell lenniük a feldolgozási helyszínekkel, a lehetséges távoli hozzáféréssel és az érintett vállalatokkal. Az „EU-s tárhely” kijelentés nem elegendő, ha a támogatás vagy az adminisztráció rendszeresen elvégezhető egy harmadik országból.
Az országtól és a konkrét körülményektől függően megfelelőségi határozat, általános szerződési záradékok vagy egyéb eszközök lehetnek relevánsak. Az adott adattovábbítás esetében meg kell vizsgálni, hogy melyik alap alkalmazandó, és milyen további intézkedések szükségesek. A szerződésben nem keverhetők össze hasonló rövidítésekkel rendelkező különböző dokumentumok. Az adatfeldolgozási megállapodás (DPA) szabályozza az adatkezelő nevében történő adatfeldolgozást, míg az általános szerződési záradékok az alkalmazásuktól függően különböző adattovábbítási kérdéseket kezelnek.
A változásokat is figyelembe kell venni. Egy új alvállalkozó vagy támogatási helyszín megváltoztathatja a meglévő értékelést. Az ügyfeleknek ezért információkra van szükségük az új feldolgozás megkezdése előtt, és elegendő időre a megfelelő felülvizsgálathoz. A jogi tanácsadás különösen ajánlott az összetett adatátviteli láncok esetében. A világos szerződési részletek megalapozzák a ténybeli alapot, de nem helyettesítik a szükséges jogi értékelést.
Egy jó megállapodás a termék használatával magyarázható el.
Aláírás előtt egy hozzáértő személynek képesnek kell lennie egyszerű szavakkal leírni az adatfolyamot. Milyen adatok kerülnek továbbításra a szolgáltatóhoz, mire használják azokat, ki férhet hozzájuk, és mikor törlik azokat? A válaszoknak következeteseknek kell lenniük a termékben, a fő szerződésben, az adatfeldolgozási megállapodásban (DPA) és a biztonsági dokumentációban. Az ellentmondások tisztázást indokolnak, nem pedig azt a feltételezést, hogy egy konkrétabb függelék automatikusan mindent megold.
A kockázatnak megfelelően vonja be az adatvédelmet, az információbiztonságot, a beszerzést és a felelős osztályt. Minden perspektíva különböző hiányosságokat azonosít: jogi szerepek, biztosítékok, szerződéses következmények vagy nem megfelelő termékjellemzők. Egy kis, alacsony kockázatú szolgáltatás esetében a felülvizsgálat kezelhető maradhat. A kiterjedt vagy érzékeny feldolgozás alaposabb elemzést igényel. A kulcs a megfelelő felülvizsgálat, nem pedig az, hogy minden szolgáltató esetében azonos mennyiségű dokumentáció álljon rendelkezésre.
Egy egyértelmű adatfeldolgozási megállapodás (DPA) önmagában nem teremt biztonságot, de átláthatóvá teszi az ellenőrizhető elvárásokat. Összekapcsolja a megbízott feldolgozást az utasításokkal, a biztosítékokkal, a támogatással, az alvállalkozókkal és a felhasználás végével. Ha ezek a nyilatkozatok pontosan tükrözik a tényleges szolgáltatást, a vásárlók jobban fel tudják mérni a felelősségeket, és korábban azonosíthatják a változásokat. A fennmaradó jogi kérdéseket ezután képzett jogi tanácsadóval kell megbeszélni, nem pedig a standard záradékokkal kapcsolatos feltételezésekre támaszkodva.