Līgumā ir jāapraksta faktiskā apstrāde
Datu apstrādes līgums, ko bieži sauc par DPA, papildina pakalpojumu līgumu. Tas kļūst aktuāls, kad pakalpojumu sniedzējs apstrādā personas datus sava klienta vārdā. Tas var attiekties uz mitināšanu, atbalstu, informatīvo biļetenu izplatīšanu vai mākoņlietojumprogrammu. Svarīga ir faktiskā datu izmantošana, nevis dokumenta nosaukums.
Līgumā jāprecizē atbildība. Cita starpā tajā jāpaskaidro, kāda datu apstrāde tiek veikta, kādi norādījumi ir piemērojami un kā pakalpojumu sniedzējs atbalsta datu aizsardzību. Garš standarta teksts ir neefektīvs, ja tajā aprakstīts pilnīgi cits produkts. Tāpēc pircējiem jāpārskata noteikumi un nosacījumi kopā ar piedāvājumu, tehnisko dokumentāciju un paredzēto lietojumu.
Tas, vai datu apstrāde notiek pārziņa vārdā un kādi noteikumi ir nepieciešami, ir atkarīgs no konkrētajām attiecībām un piemērojamajiem tiesību aktiem. Vispārīgs kontrolsaraksts nevar aizstāt šo juridisko klasifikāciju. Tāpēc neskaidru lomu, sensitīvu datu vai neparastu apstrādes darbību gadījumos jāmeklē eksperta padoms. Labi dokumentētas datu plūsmas, atbildība un līguma detaļas sniedz tam ticamu faktisko pamatu.
Pārziņiem un apstrādātājiem ir atšķirīgas lomas.
Pārzinis nosaka apstrādes mērķus un būtiskos līdzekļus. Apstrādātājs apstrādā personas datus pārziņa vārdā un saskaņā ar tā dokumentētajiem norādījumiem. Šie termini apraksta datu aizsardzības lomas un neatspoguļo vispārēju hierarhiju starp uzņēmumiem. Liels platformas pakalpojumu sniedzējs var būt apstrādātājs, savukārt mazs klients darbojas kā pārzinis attiecīgajai apstrādei.
Lomas var atšķirties atkarībā no funkcijas. Pakalpojumu sniedzējs var apstrādāt klientu datus pārziņa vārdā, bet izmantot noteiktus līguma vai rēķinu datus saviem mērķiem. Pēc tam viņam jāpaskaidro, kāda ir viņa loma konkrētos procesos. Vispārīgs apgalvojums, ka visi dati tiek apstrādāti tikai citu vārdā, nav īpaši noderīgs, ja produktu aprakstos vai paziņojumos par konfidencialitāti ir minēti arī viņa paša lietojumi.
Līgums nevar mainīt faktiskās lomas, vienkārši mainot nosaukumu. Tāpēc pirms parakstīšanas ir jābūt skaidram, kurš lemj par datu izmantošanu. Ja pakalpojumu sniedzējs definē jaunu mērķi neatkarīgi no klienta, tas var neietilpt saskaņotā datu apstrādes līguma darbības jomā. Šādām robežām ir nepieciešams saprotams skaidrojums, lai varētu pareizi novērtēt atbildību, informāciju datu subjektiem un citus juridiskos pamatus.
Datu priekšmetam, ilgumam un veidiem ir nepieciešama īpaša informācija.
Līgumā ir skaidri jānorāda, kurš pakalpojums tiek sniegts ar kādiem personas datiem. Vispārīgi formulējumi, piemēram, "saskaņoto pakalpojumu sniegšana", bieži vien nav pietiekami, lai izprastu datu plūsmu. Atbalsta sistēmā var tikt ietekmēta kontaktinformācija, ziņojumu saturs un tehniskie lietošanas dati. Arī datu subjektu kategorijām, piemēram, klientiem, darbiniekiem vai pretendentiem, ir jāatbilst faktiskajam lietojumam.
Apstrādes veids un mērķis ir vienlīdz svarīgi. Saglabāšana, pārsūtīšana, novērtēšana un dzēšana apraksta dažādus procesus. Mērķis izskaidro, kāpēc šie procesi notiek, piemēram, lai apstrādātu atbalsta pieprasījumus vai pārvaldītu klientu platformu. Jo precīzāk šī saistība ir aprakstīta, jo vieglāk vēlāk ir noteikt, vai jauna produkta funkcija joprojām ir iekļauta sākotnējā līgumā vai arī tai ir nepieciešams jauns lēmums.
Saglabāšanas periodam jābūt atbilstošam pakalpojumam un dzēšanas procesam. Dažreiz apstrāde turpinās visā līguma darbības laikā, savukārt rezerves kopijas tiek saglabātas ierobežotu laiku. To nevajadzētu aizēnot ar nenoteiktu glabāšanu. Pircējiem ir nepieciešams reālistisks priekšstats par to, kad aktīvie dati tiek noņemti, cik ilgi saglabājas tehniskās kopijas un kādi juridiskie pienākumi varētu liegt tūlītēju dzēšanu.
Norādījumiem ir jādarbojas praksē.
Datu apstrādātājiem personas dati jāapstrādā saskaņā ar dokumentētiem norādījumiem, ja vien juridisks pienākums neparedz citādi. Standarta programmatūrā liela daļa no šiem norādījumiem jau ir iestrādāta galvenajā līgumā, produkta izvēlē un iestatījumos. Datu apstrādes līgumam (DPA) jābūt saskaņā ar šo. Vispārīga klauzula par patvaļīgiem individuāliem norādījumiem ir maz noderīga, ja neviens nezina, caur kuru kontaktpersonu un kādā tehniskajā ietvarā tos var ieviest.
Precizējiet, kuras izmaiņas tiek uzskatītas par jauniem norādījumiem. Analītikas funkcijas aktivizēšana, glabāšanas vietas maiņa vai glabāšanas perioda pagarināšana var mainīt apstrādi. Dažus iestatījumus kontrolē klients, citus - tikai pakalpojumu sniedzējs. Pircējiem ir jāsaprot, kādas iespējas ir pieejamas un kādas ir to sekas. Līgums nevar kompensēt trūkstošas vai maldinošas produktu kontroles, izmantojot abstraktas tiesības.
Saskaņā ar Vispārīgo datu aizsardzības regulu (VDAR) pakalpojumu sniedzējam ir jāinformē lietotāji, ja viņi uzskata, ka norādījums ir nelikumīgs. Līgumā jāiekļauj praktisks risinājums šādiem gadījumiem. Kas tiks informēts, kas notiks, līdz jautājums tiks atrisināts, un kuras apstrādes darbības var apturēt? Skaidri definētas kontaktpersonas un eskalācijas procedūras ir vērtīgākas nekā formulējums, kas tikai atkārto juridisko principu.
Konfidencialitātei un drošībai jābūt samērīgai ar risku.
Personām, kas apstrādā datus pakalpojumu sniedzēja vārdā, ir jāievēro konfidencialitātes saistības vai tām ir jābūt pakļautām atbilstošam juridiskam pienākumam. Pircējiem ir arī svarīgi saprast, kā piekļuve ir ierobežota ikdienas lietošanā. Vai atbalstam ir nepieciešama standarta piekļuve saturam, vai piekļuve tiek piešķirta tikai īpašos gadījumos? Lomām, atļaujām un reģistrēšanai ir jāatbilst solītajam pakalpojumam.
Tehniskie un organizatoriskie pasākumi apraksta datu apstrādes aizsardzību. Tas var ietvert piekļuves kontroli, šifrēšanu, dublēšanu, atkopšanu un regulāras revīzijas. Vienkāršs labi zināmu drošības terminu saraksts maz ko pasaka par to pielietojumu. Pircējiem vajadzētu būt iespējai saprast, kuri dati un kad tiek aizsargāti, kas kontrolē atslēgas vai piekļuvi un kādi pasākumi faktiski attiecas uz izvēlēto produktu.
Drošība nav statisks aktīvs. Sistēmas un riski attīstās, pakalpojumu sniedzējiem pielāgojot savu infrastruktūru. Līgumam vajadzētu ļaut veikt jēgpilnus uzlabojumus, nemanāmi nepazeminot saskaņoto aizsardzības līmeni. Klientiem ir nepieciešama pietiekama informācija par būtiskām izmaiņām. Tas, kas tiek uzskatīts par būtisku izmaiņu, ir atkarīgs no pakalpojuma, bet var ietvert jaunas glabāšanas vietas, dažādas piekļuves metodes vai centrālā drošības pasākuma atcelšanu.
Citiem pakalpojumu sniedzējiem nevajadzētu palikt neredzamiem.
Daudzi pakalpojumu sniedzēji nesniedz savus pakalpojumus vieni paši. Viņi izmanto datu centrus, e-pasta pakalpojumus vai atbalsta uzņēmumus, kas var darboties kā papildu datu apstrādātāji. Datu apstrādes līgumā (DPA) jāprecizē, vai ir piemērojama īpaša vai vispārēja atļauja. Vispārējas atļaujas gadījumā klienti ir jāinformē par paredzētajām izmaiņām un jādod reāla iespēja iebilst.
Papildu datu apstrādātāju saraksts ir noderīgs tikai tad, ja tas ir saprotams. Nosaukums, funkcija un apstrādes vieta palīdz novērtēt, kuru pakalpojuma daļu uzņēmums apstrādā. Vienkārša uzņēmumu nosaukumu apkopošana bez jebkādas funkcijas norādes aizsedz datu plūsmu. Jābūt arī skaidram, kur var atrast aktuālo informāciju un kā klienti tiek informēti par jauniem vai aizstātiem pakalpojumu sniedzējiem.
Galvenais pakalpojumu sniedzējs joprojām ir atbildīgs par būtībā tādu pašu datu aizsardzības pienākumu uzlikšanu citiem datu apstrādātājiem. Pircējiem pašiem nav jāvienojas par katru apakšuzņēmuma līgumu, taču viņiem ir nepieciešama pietiekama drošība visā piegādes ķēdē. Iebildums pret jaunu pakalpojumu sniedzēju nedrīkst būt tikai teorētisks. Līgumiskās sekas, iespējamās alternatīvas un jebkādas līguma izbeigšanas tiesības ir skaidri jāizskaidro primārā līguma kontekstā.
Datu subjekta tiesību un incidentu atbalstam ir jābūt viegli pieejamam.
Personas var īstenot tiesības attiecībā uz saviem personas datiem. Datu pārzinis joprojām ir atbildīgs par apstrādi, taču bieži vien ir nepieciešams pakalpojumu sniedzēja atbalsts. Līgumā jāapraksta, kā datus var atrast, labot, eksportēt vai dzēst. Pašapkalpošanās funkcijas gadījumā ir svarīgi precizēt, vai tas attiecas uz visiem attiecīgajiem datiem vai arī ir nepieciešami papildu pieprasījumi pakalpojumu sniedzējam.
Personas datu pārkāpuma gadījumā datu apstrādātājam bez liekas kavēšanās ir jāinformē datu pārzinis pēc tam, kad par to ir kļuvis zināms. Pircējam ir ļoti svarīgi, kādu informāciju un kā viņš to saņem. Grūti atrodama atbalsta veidlapa var tērēt vērtīgu laiku. Norādītas ārkārtas kontaktpersonas un pastāvīgi atjauninājumi palīdz novērtēt ietekmi, skartos datus un veiktos pasākumus.
Atbalsts var būt nepieciešams arī datu aizsardzības ietekmes novērtējumiem un uzraudzības iestāžu pieprasījumiem. Apjoms un praktiskie ierobežojumi ir atkarīgi no pakalpojuma un pieejamās informācijas. Tāpēc vispārējiem atbalsta solījumiem jābūt saskaņotiem ar atbalsta noteikumiem un iespējamām izmaksām. Pircējiem ir jābūt iespējai redzēt, kura dokumentācija tiek nodrošināta pēc noklusējuma un kad tiks atsevišķi saskaņota īpaša izmeklēšana vai eksperta palīdzība.
Dzēšanai, atgriešanai un pārskatīšanai ir nepieciešama reālistiska pieeja.
Pēc pakalpojuma beigām personas dati ir jādzēš vai jāatdod pēc pārziņa ieskatiem, ja vien nav juridiska pienākuma tos saglabāt. Šai izvēlei ir jābūt tehniski iespējamai. Pircējiem ir jāzina datu formāts, kādā viņi tos saņems, cik ilgi eksports ir pieejams un kad aktīvās sistēmas tiek iztukšotas. Nelasāms eksporta formāts padara oficiālas atgriešanas tiesības praktiski bezvērtīgas.
Rezerves kopijas bieži vien nevar nekavējoties individuāli iztīrīt. Tad ir nepieciešama ierobežota glabāšana, aizsardzība pret normālu lietošanu un izsekojama dzēšanas kārtība. Paziņojumiem par vēlāku dzēšanu parastajā ciklā jānorāda saprotams laika grafiks. Jābūt arī skaidram, vai žurnāli, atbalsta pielikumi un testa kopijas atbilst tiem pašiem noteikumiem vai arī tiek glabāti ilgāk citu saistību dēļ.
Pakalpojumu sniedzējam ir jāsniedz informācija, lai pierādītu atbilstību savām saistībām un nodrošinātu auditus. Plaši izmantotajos mākoņpakalpojumos šim nolūkam bieži tiek izmantoti neatkarīgi ziņojumi, sertifikāti un standartizētas informācijas atklāšanas veidlapas. Tās var būt informatīvas, ja darbības joma, laika periods un attiecīgais pakalpojums ir atbilstošs. Plašākas tiesības uz auditu joprojām ir svarīgas, taču tajās jāņem vērā citu klientu drošība, konfidencialitāte un samērīgs process.
Datu apstrādes līgums (DPA) automātiski neatrisina starptautisko datu pārsūtīšanu.
Ja dati tiek apstrādāti ārpus Eiropas Ekonomikas zonas (EEZ) vai padarīti pieejami no turienes, rodas papildu jautājumi. DPA saskaņā ar 28. pantu automātiski nav pilnīgs pamats šim nolūkam. Pircējiem jāzina apstrādes vietas, iespējamā attālā piekļuve un iesaistītie uzņēmumi. Vienkārši norādīt "ES mitināšana" nav pietiekami, ja atbalstu vai administrēšanu var regulāri veikt no trešās valsts.
Atkarībā no valsts un apstākļiem var būt piemērojams lēmums par atbilstību, standarta līguma klauzulas vai citi instrumenti. Konkrētajai pārsūtīšanai ir jāizvērtē, kurš juridiskais pamats ir piemērojams un kādi papildu pasākumi ir nepieciešami. Līgumā nedrīkst jaukt dažādus dokumentus ar līdzīgiem saīsinājumiem. Datu apstrādes līgums (DPA) regulē datu apstrādi pārziņa vārdā, savukārt standarta līguma klauzulas risina dažādus pārsūtīšanas jautājumus atkarībā no to piemērošanas.
Jāņem vērā arī izmaiņas. Jauns apakšuzņēmējs vai atbalsta vieta var mainīt esošo novērtējumu. Tāpēc klientiem ir nepieciešama informācija pirms jaunās apstrādes sākuma un pietiekami daudz laika pienācīgai pārskatīšanai. Juridiska konsultācija ir īpaši ieteicama sarežģītu datu pārsūtīšanas ķēžu gadījumā. Skaidras līguma detaļas nodrošina faktisko pamatu, bet neaizstāj nepieciešamo juridisko novērtējumu.
Labu līgumu var izskaidrot, izmantojot produktu.
Pirms parakstīšanas zinošai personai jāspēj vienkāršā valodā aprakstīt datu plūsmu. Kādi dati tiek pārsūtīti pakalpojumu sniedzējam, kam tie tiek izmantoti, kam ir piekļuve tiem un kad tie tiek dzēsti? Atbildēm jābūt konsekventām visā produktā, galvenajā līgumā, datu apstrādes līgumā (DPA) un drošības dokumentācijā. Neatbilstības prasa skaidrojumu, nevis pieņēmumu, ka konkrētāks pielikums automātiski visu atrisinās.
Atbilstoši riska līmenim jāiesaista datu aizsardzība, informācijas drošība, iepirkumi un atbildīgā nodaļa. Katrā perspektīvā ir identificētas dažādas nepilnības: juridiskās lomas, drošības pasākumi, līgumsaistības vai nepiemērota produkta funkcija. Neliela, zema riska pakalpojuma gadījumā pārskatīšana var palikt pārvaldāma. Plaša vai sensitīva apstrāde prasa padziļinātāku pārbaudi. Izšķirošais faktors ir atbilstoša pārskatīšana, nevis vienāds dokumentācijas apjoms katram pakalpojumu sniedzējam.
Skaidrs un saprotams datu apstrādes līgums (DPA) pats par sevi negarantē drošību, bet gan padara pārbaudāmas cerības pārredzamas. Tas saista pasūtīto apstrādi ar norādījumiem, aizsardzību, atbalstu, apakšuzņēmējiem un lietošanas beigām. Ja šie apgalvojumi precīzi atspoguļo faktisko pakalpojumu, pircēji var labāk novērtēt atbildību un agrāk identificēt izmaiņas. Visi atlikušie juridiskie jautājumi jārisina, izmantojot kvalificētu juridisko konsultāciju, nevis paļaujoties uz pieņēmumiem par standarta klauzulām.