Sutartyje turi būti aprašytas faktinis tvarkymas
Duomenų tvarkymo sutartis, dažnai vadinama DPA, papildo paslaugų teikimo sutartį. Ji tampa aktuali, kai paslaugų teikėjas tvarko asmens duomenis savo kliento vardu. Tai gali būti susiję su talpinimu, palaikymu, naujienlaiškių platinimu ar debesijos programomis. Svarbus yra faktinis duomenų naudojimas, o ne dokumento pavadinimas.
Sutartyje turėtų būti aiškiai apibrėžtos atsakomybės. Be kita ko, joje paaiškinama, kokie duomenys tvarkomi, kokie nurodymai taikomi ir kaip paslaugų teikėjas užtikrina duomenų apsaugą. Ilgas standartinis tekstas yra neveiksmingas, jei jame aprašomas visiškai kitas produktas. Todėl pirkėjai turėtų peržiūrėti sąlygas ir nuostatas kartu su pasiūlymu, technine dokumentacija ir numatytu jų naudojimu.
Ar duomenys tvarkomi duomenų valdytojo vardu ir kokie reglamentai reikalingi, priklauso nuo konkrečių santykių ir taikytinos teisės. Bendras kontrolinis sąrašas negali pakeisti šios teisinės klasifikacijos. Todėl neaiškių vaidmenų, jautrių duomenų ar neįprastos tvarkymo veiklos atvejais reikėtų kreiptis į ekspertus. Gerai dokumentuoti duomenų srautai, atsakomybė ir sutartinės detalės suteikia patikimą faktinį pagrindą.
Duomenų valdytojai ir tvarkytojai atlieka skirtingus vaidmenis.
Duomenų valdytojas nustato tvarkymo tikslus ir esmines priemones. Tvarkytojas tvarko asmens duomenis duomenų valdytojo vardu ir pagal jo dokumentuotas instrukcijas. Šie terminai apibūdina duomenų apsaugos vaidmenis ir neatspindi bendros hierarchijos tarp įmonių. Didelis platformos teikėjas gali būti duomenų tvarkytojas, o mažas klientas veikia kaip atitinkamo tvarkymo duomenų valdytojas.
Vaidmenys gali skirtis priklausomai nuo funkcijos. Paslaugų teikėjas gali tvarkyti klientų duomenis duomenų valdytojo vardu, tačiau naudoti tam tikrus sutarties ar atsiskaitymo duomenis savo tikslais. Tada jis turėtų paaiškinti, kokį vaidmenį atlieka kuriuose procesuose. Bendras teiginys, kad visi duomenys tvarkomi tik kitų vardu, nėra labai naudingas, jei produktų aprašymuose ar privatumo pranešimuose taip pat minimi jo paties naudojimo būdai.
Sutartis negali pakeisti faktinių vaidmenų vien pakeitus žymą. Todėl prieš pasirašant turėtų būti aišku, kas priima sprendimus dėl duomenų naudojimo. Jei paslaugų teikėjas apibrėžia naują tikslą nepriklausomai nuo kliento, tai gali nepatekti į sutartyje numatytos duomenų tvarkymo sutarties taikymo sritį. Tokioms riboms reikalingas suprantamas paaiškinimas, kad būtų galima teisingai įvertinti atsakomybę, informaciją duomenų subjektams ir kitus teisinius pagrindus.
Duomenų temai, trukmei ir tipams reikia konkrečių detalių.
Sutartyje turėtų būti aiškiai nurodyta, kokia paslauga teikiama su kokiais asmens duomenimis. Bendros formuluotės, tokios kaip „sutartų paslaugų teikimas“, dažnai yra nepakankamos, kad būtų galima suprasti duomenų srautą. Pagalbos sistemoje gali būti paveikti kontaktiniai duomenys, pranešimų turinys ir techniniai naudojimo duomenys. Duomenų subjektų kategorijos, pvz., klientai, darbuotojai ar pareiškėjai, taip pat turėtų atitikti faktinį naudojimą.
Apdorojimo tipas ir tikslas yra vienodai svarbūs. Saugojimas, perdavimas, vertinimas ir ištrynimas apibūdina skirtingus procesus. Tikslas paaiškina, kodėl šie procesai vyksta, pavyzdžiui, norint tvarkyti pagalbos užklausas arba valdyti klientų platformą. Kuo tiksliau aprašomas šis ryšys, tuo lengviau vėliau nustatyti, ar nauja produkto funkcija vis dar patenka į pradinės sutarties taikymo sritį, ar jai reikia naujo sprendimo.
Saugojimo laikotarpis turi būti tinkamas paslaugai ir ištrynimo procesui. Kartais apdorojimas tęsiasi visą sutarties laikotarpį, o atsarginės kopijos išlieka ribotą laiką. To neturėtų užgožti neribotas saugojimas. Pirkėjams reikia realaus vaizdo, kada pašalinami aktyvūs duomenys, kiek laiko išlieka techninės kopijos ir kokie teisiniai įsipareigojimai gali užkirsti kelią nedelsiant juos ištrinti.
Instrukcijos turi iš tikrųjų veikti praktikoje.
Duomenų tvarkytojai turėtų tvarkyti asmens duomenis pagal dokumentuotas instrukcijas, nebent teisinis įsipareigojimas reikalauja kitaip. Standartinėje programinėje įrangoje didelė šių instrukcijų dalis jau yra įterpta į pagrindinę sutartį, produkto pasirinkimą ir nustatymus. Duomenų tvarkymo sutartis (DPA) turėtų atitikti tai. Bendroji nuostata dėl savavališkų individualių nurodymų yra mažai naudinga, jei niekas nežino, per kokį kontaktą ir kokioje techninėje sistemoje jie gali būti įgyvendinti.
Paaiškinkite, kurie pakeitimai laikomi naujais nurodymais. Analizės funkcijos aktyvavimas, saugojimo vietos keitimas arba saugojimo laikotarpio pratęsimas gali pakeisti apdorojimą. Kai kuriuos nustatymus kontroliuoja klientas, kitus – tik paslaugų teikėjas. Pirkėjai turėtų suprasti, kokios parinktys yra prieinamos ir kokios jų pasekmės. Sutartis negali kompensuoti trūkstamų ar klaidinančių produktų kontrolės priemonių taikant abstrakčias teises.
Pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) paslaugų teikėjas privalo informuoti vartotojus, jei jie mano, kad nurodymas yra neteisėtas. Susitarime turėtų būti numatytas praktinis tokių atvejų sprendimas. Kas bus informuotas, kas vyksta, kol klausimas bus išspręstas, ir kokias tvarkymo veiklas galima sustabdyti? Aiškiai apibrėžti kontaktiniai asmenys ir eskalavimo procedūros yra vertingesnės nei formuluotė, kuri tik pakartoja teisinį principą.
Konfidencialumas ir saugumas turi atitikti riziką.
Asmenys, tvarkantys duomenis paslaugų teikėjo vardu, turi būti saistomi konfidencialumo įsipareigojimų arba jiems turi būti taikoma atitinkama teisinė pareiga. Pirkėjams taip pat svarbu suprasti, kaip prieiga yra ribojama kasdien naudojant. Ar palaikymui reikalinga standartinė prieiga prie turinio, ar prieiga suteikiama tik konkrečiais atvejais? Vaidmenys, leidimai ir registravimas turėtų atitikti žadėtą paslaugą.
Techninės ir organizacinės priemonės apibūdina duomenų tvarkymo apsaugą. Tai gali apimti prieigos kontrolę, šifravimą, atsargines kopijas, atkūrimą ir reguliarius auditus. Vien gerai žinomų saugumo terminų sąrašas mažai ką pasako apie jų taikymą. Pirkėjai turėtų suprasti, kurie duomenys ir kada yra apsaugoti, kas kontroliuoja raktus ar prieigą ir kokios priemonės iš tikrųjų taikomos pasirinktam produktui.
Saugumas nėra statiškas turtas. Sistemos ir rizikos kinta, paslaugų teikėjams pritaikant savo infrastruktūrą. Susitarimas turėtų leisti atlikti reikšmingus patobulinimus, subtiliai nesumažinant sutarto apsaugos lygio. Klientams reikia pakankamai informacijos apie reikšmingus pakeitimus. Tai, kas laikoma reikšmingu pakeitimu, priklauso nuo paslaugos, tačiau gali apimti naujas saugojimo vietas, skirtingus prieigos būdus arba centrinės saugumo priemonės pašalinimą.
Kiti paslaugų teikėjai neturi likti nematomi.
Daugelis paslaugų teikėjų neteikia savo paslaugų vieni. Jie naudojasi duomenų centrais, el. pašto paslaugomis arba palaikymo įmonėmis, kurios gali veikti kaip papildomi duomenų tvarkytojai. Duomenų tvarkymo sutartyje (DPA) turėtų būti paaiškinta, ar taikomas konkretus, ar bendrasis įgaliojimas. Bendrojo įgaliojimo atveju klientai turi būti informuoti apie numatomus pakeitimus ir suteikti jiems realią galimybę prieštarauti.
Papildomų duomenų tvarkytojų sąrašas naudingas tik tuo atveju, jei jis išlieka suprantamas. Vardas, pavardė, funkcija ir tvarkymo vieta padeda įvertinti, kurią paslaugos dalį įmonė tvarko. Vien įmonių pavadinimų rinkinys be jokių funkcijų nurodymų trukdo duomenų srautui. Taip pat turėtų būti aišku, kur galima rasti naujausią informaciją ir kaip klientai informuojami apie naujus ar pakeistus paslaugų teikėjus.
Pagrindinis tiekėjas išlieka atsakingas už iš esmės tų pačių duomenų apsaugos įsipareigojimų taikymą kitiems duomenų tvarkytojams. Pirkėjams nereikia patiems derėtis dėl kiekvienos subrangos sutarties, tačiau jiems reikalingas pakankamas saugumas visoje tiekimo grandinėje. Prieštaravimas naujam tiekėjui neturėtų būti tik teorinis. Sutartinės pasekmės, galimos alternatyvos ir bet kokios nutraukimo teisės turi būti aiškiai paaiškintos pagrindinės sutarties kontekste.
Duomenų subjekto teisių ir incidentų atveju turi būti lengvai prieinama pagalba.
Asmenys gali naudotis teisėmis, susijusiomis su savo asmens duomenimis. Duomenų valdytojas išlieka atsakingas už tvarkymą, tačiau dažnai jam reikalinga paslaugų teikėjo pagalba. Sutartyje turėtų būti aprašyta, kaip duomenis galima rasti, ištaisyti, eksportuoti arba ištrinti. Savitarnos funkcijai svarbu išsiaiškinti, ar ji apima visus atitinkamus duomenis, ar reikia pateikti papildomų prašymų teikėjui.
Asmens duomenų saugumo pažeidimo atveju duomenų tvarkytojas privalo nedelsdamas informuoti duomenų valdytoją po to, kai apie tai sužino. Pirkėjui labai svarbu, kokią informaciją jis gauna ir kaip ją gauna. Sunkiai randama pagalbos forma gali gaišti brangų laiką. Paskirti kontaktai nelaimės atveju ir nuolatiniai atnaujinimai padeda įvertinti poveikį, paveiktus duomenis ir taikomas priemones.
Pagalbos taip pat gali prireikti atliekant duomenų apsaugos poveikio vertinimus ir priežiūros institucijų užklausas. Apimtis ir praktiniai apribojimai priklauso nuo paslaugos ir turimos informacijos. Todėl bendri palaikymo pažadai turėtų būti suderinti su palaikymo sąlygomis ir galimomis išlaidomis. Pirkėjai turi galėti matyti, kurie dokumentai pateikiami pagal numatytuosius nustatymus ir kada bus atskirai susitarta dėl specialaus tyrimo ar ekspertų pagalbos.
Ištrynimas, grąžinimas ir peržiūra reikalauja realistinio požiūrio.
Pasibaigus paslaugos teikimui, asmens duomenys turėtų būti ištrinti arba grąžinti duomenų valdytojo nuožiūra, jei nėra teisinės prievolės juos saugoti. Šis pasirinkimas turi būti techniškai įmanomas. Pirkėjai turėtų žinoti duomenų formatą, kuriuo jie juos gaus, kiek laiko eksportas lieka prieinamas ir kada aktyvios sistemos ištuštinamos. Neįskaitomas eksporto formatas oficialią grąžinimo teisę paverčia praktiškai beverte.
Atsarginių kopijų dažnai negalima iš karto išvalyti atskirai. Tuomet būtinas ribotas saugojimas, apsauga nuo įprasto naudojimo ir atsekama ištrynimo tvarka. Pareiškimuose dėl vėlesnio pašalinimo įprastu ciklu turėtų būti nurodytas suprantamas laikotarpis. Taip pat turėtų būti aišku, ar žurnalai, palaikymo priedai ir bandomosios kopijos laikosi tų pačių taisyklių, ar yra saugomi ilgiau dėl kitų įsipareigojimų.
Paslaugų teikėjas privalo pateikti informaciją, įrodančią, kad laikosi savo įsipareigojimų ir leidžia atlikti auditus. Plačiai naudojamose debesijos paslaugose šiam tikslui dažnai naudojamos nepriklausomos ataskaitos, sertifikatai ir standartizuoti informacijos atskleidimo dokumentai. Jie gali būti informatyvūs, jei tinkama apimtis, laikotarpis ir susijusi paslauga. Išsamesnė teisė atlikti auditą išlieka svarbi, tačiau reikėtų atsižvelgti į kitų klientų saugumą, konfidencialumą ir proporcingą procesą.
Duomenų tvarkymo sutartis (DPA) automatiškai neišsprendžia tarptautinio duomenų perdavimo.
Jei duomenys tvarkomi už Europos ekonominės erdvės (EEE) ribų arba yra prieinami iš ten, kyla papildomų klausimų. DPA pagal 28 straipsnį automatiškai nėra pilnas šio proceso pagrindas. Pirkėjai turėtų žinoti apie tvarkymo vietas, galimą nuotolinę prieigą ir dalyvaujančias įmones. Tiesiog nurodyti „ES talpinimas“ nepakanka, jei palaikymą ar administravimą galima reguliariai atlikti iš trečiosios šalies.
Priklausomai nuo šalies ir aplinkybių, gali būti tinkamas sprendimas dėl tinkamumo, standartinės sutarčių sąlygos ar kiti dokumentai. Reikia įvertinti, koks teisinis pagrindas taikomas ir kokių papildomų priemonių reikia imtis konkrečiam duomenų perdavimui. Sutartyje neturėtų būti vartojami skirtingi dokumentai su panašiomis santrumpomis. Duomenų tvarkymo sutartis (DTS) reglamentuoja duomenų tvarkymą duomenų valdytojo vardu, o standartinės sutarčių sąlygos sprendžia skirtingus perdavimo klausimus, priklausomai nuo jų taikymo.
Taip pat reikia atsižvelgti į pakeitimus. Naujas subrangovas arba palaikymo vieta gali pakeisti esamą vertinimą. Todėl klientams reikia informacijos prieš pradedant naują tvarkymą ir pakankamai laiko tinkamai peržiūrai. Teisinė konsultacija ypač rekomenduojama sudėtingoms duomenų perdavimo grandinėms. Aiški sutarties informacija suteikia faktinį pagrindą, bet nepakeičia būtino teisinio vertinimo.
Gerą susitarimą galima paaiškinti naudojant produktą.
Prieš pasirašydamas, išmanantis asmuo turėtų mokėti paprastai apibūdinti duomenų srautą. Kokie duomenys perduodami teikėjui, kam jie naudojami, kas turi prieigą prie jų ir kada jie ištrinami? Atsakymai turi būti nuoseklūs visame produkte, pagrindinėje sutartyje, duomenų tvarkymo sutartyje (DPA) ir saugumo dokumentuose. Neatitikimai reikalauja paaiškinimo, o ne prielaidos, kad konkretesnis priedas automatiškai viską išspręs.
Įtraukite duomenų apsaugą, informacijos saugumą, pirkimus ir atsakingą skyrių pagal rizikos lygį. Kiekvienas požiūris nustato skirtingus trūkumus: teisinius vaidmenis, apsaugos priemones, sutartines pasekmes arba netinkamą produkto funkciją. Mažos, mažos rizikos paslaugos atveju peržiūra gali būti įveikiama. Didelio masto arba jautrus duomenų tvarkymas reikalauja išsamesnio tyrimo. Svarbiausias veiksnys yra tinkama peržiūra, o ne vienodas dokumentų kiekis kiekvienam paslaugų teikėjui.
Aiški ir suprantama duomenų tvarkymo sutartis (DPA) pati savaime negarantuoja saugumo, tačiau ji užtikrina patikrinamų lūkesčių skaidrumą. Ji susieja užsakytą tvarkymą su instrukcijomis, apsauga, palaikymu, subrangovais ir naudojimo pabaiga. Kai šie teiginiai tiksliai atspindi faktinę paslaugą, pirkėjai gali geriau įvertinti atsakomybę ir anksčiau nustatyti pakeitimus. Visi likę teisiniai klausimai turėtų būti sprendžiami pasitelkiant kvalifikuotas teisines konsultacijas, o ne remiantis prielaidomis apie standartines sąlygas.