Il-kuntratt irid jiddeskrivi l-ipproċessar attwali.
Ftehim dwar l-ipproċessar tad-dejta, ħafna drabi msejjaħ DPA, jissupplimenta l-kuntratt tas-servizz. Dan isir rilevanti meta fornitur jipproċessa dejta personali f'isem il-klijent tiegħu. Dan jista' jkun il-każ bil-hosting, l-appoġġ, id-distribuzzjoni ta' newsletters, jew applikazzjoni cloud. Il-fattur deċiżiv huwa l-użu attwali tad-dejta, mhux it-titlu tad-dokument.
Il-ftehim għandu jiċċara r-responsabbiltajiet. Fost affarijiet oħra, jispjega liema pproċessar qed jiġi kkummissjonat, liema struzzjonijiet japplikaw, u kif il-fornitur jappoġġja l-protezzjoni tad-dejta. Test standard twil ma jissodisfax l-iskop tiegħu jekk jiddeskrivi prodott kompletament differenti. Għalhekk, ix-xerrejja għandhom jaqraw it-termini u l-kundizzjonijiet flimkien mal-offerta, id-dokumentazzjoni teknika, u l-użu maħsub tagħhom.
Jekk jeżistix ipproċessar ta' dejta f'isem kontrollur u liema regolamenti huma meħtieġa jiddependi mir-relazzjoni speċifika u l-liġi applikabbli. Lista ta' kontroll ġenerali ma tistax tissostitwixxi din il-klassifikazzjoni legali. Għalhekk, għandu jintalab parir espert f'każijiet ta' rwoli mhux ċari, dejta sensittiva, jew attivitajiet ta' pproċessar mhux tas-soltu. Flussi ta' dejta dokumentati sew, responsabbiltajiet, u dettalji kuntrattwali jipprovdu bażi fattwali affidabbli għal dan.
Il-kontrollur u l-proċessur għandhom rwoli differenti
Il-kontrollur jiddetermina l-għanijiet u l-mezzi essenzjali tal-ipproċessar. Il-proċessur jipproċessa dejta personali f'isem il-kontrollur u skont l-istruzzjonijiet dokumentati tagħhom. Dawn it-termini jiddeskrivu rwoli ta' protezzjoni tad-dejta u ma jistabbilixxux ġerarkija ġenerali bejn il-kumpaniji. Fornitur ta' pjattaforma kbira jista' jkun proċessur, filwaqt li klijent żgħir jaġixxi bħala l-kontrollur għall-ipproċessar inkwistjoni.
Ir-rwoli jistgħu jvarjaw skont il-funzjoni. Fornitur jista' jipproċessa dejta tal-klijent f'isem parti oħra iżda juża ċerta dejta kuntrattwali jew tal-kontijiet għall-għanijiet tiegħu stess. F'dan il-każ, għandu jispjega liema rwol jassumi għal liema proċessi. Dikjarazzjoni ġenerali li d-dejta kollha hija pproċessata biss f'isem parti oħra mhijiex utli ħafna jekk id-deskrizzjoni tal-prodott jew l-avviż tal-privatezza jsemmi wkoll l-użi tal-fornitur stess.
Kuntratt ma jistax ibiddel ir-rwoli attwali sempliċement billi jibdel it-tikketta. Għalhekk, qabel ma jiġi ffirmat, għandu jkun ċar min jiddeċiedi dwar l-użu tad-dejta. Jekk il-fornitur jiddefinixxi skop ġdid indipendentement mill-klijent, dan jista' jaqa' barra mill-ambitu tal-ftehim miftiehem dwar l-ipproċessar tad-dejta. Tali konfini jeħtieġu spjegazzjoni komprensibbli sabiex ir-responsabbiltajiet, l-informazzjoni għas-suġġetti tad-dejta, u bażijiet legali oħra jkunu jistgħu jiġu vvalutati b'mod korrett.
Is-suġġett, it-tul, u t-tipi ta' dejta jeħtieġu dettalji speċifiċi.
Il-ftehim għandu jiddikjara b'mod ċar liema servizz huwa pprovdut b'liema dejta personali. Formulazzjonijiet ġenerali bħal "provvista tas-servizzi miftiehma" ħafna drabi mhumiex biżżejjed biex jinftiehem il-fluss tad-dejta. F'sistema ta' appoġġ, id-dettalji ta' kuntatt, il-kontenut tal-messaġġi, u d-dejta dwar l-użu tekniku jistgħu jiġu affettwati. Il-kategoriji tas-suġġetti tad-dejta, bħal klijenti, impjegati, jew applikanti, għandhom jikkorrispondu wkoll mal-użu attwali.
It-tip u l-iskop tal-ipproċessar huma ugwalment importanti. Il-ħażna, it-trażmissjoni, l-evalwazzjoni, u t-tħassir jiddeskrivu proċessi differenti. L-iskop jispjega għaliex iseħħu, pereżempju, biex jiġu pproċessati talbiet għal appoġġ jew biex titħaddem pjattaforma tal-klijenti. Iktar ma din il-konnessjoni tkun deskritta b'mod preċiż, iktar ikun faċli li jiġi determinat aktar tard jekk karatteristika ġdida tal-prodott għadhiex koperta mill-kuntratt jew teħtieġx deċiżjoni ġdida.
It-tul ta' żmien irid ikun xieraq għas-servizz u l-proċess tat-tħassir. Kultant l-ipproċessar ikompli matul il-perjodu tal-kuntratt, filwaqt li l-kopji ta' backup jibqgħu għal żmien limitat. Dan m'għandux jiġi mgħotti minn perjodu ta' żamma indefinit. Ix-xerrejja jeħtieġu stampa realistika ta’ meta titneħħa d-dejta attiva, kemm idumu jippersistu l-kopji tekniċi, u liema obbligi legali jistgħu jipprevjenu t-tħassir immedjat.
L-istruzzjonijiet iridu fil-fatt jaħdmu fil-prattika ta' kuljum
Il-proċessuri tad-dejta għandhom jipproċessaw id-dejta personali skont struzzjonijiet dokumentati, sakemm ma jkunx hemm obbligu legali li jirrikjedi mod ieħor. Fis-softwer standard, parti kbira minn din l-istruzzjoni diġà hija inkorporata fil-kuntratt prinċipali, l-għażla tal-prodott, u s-settings. Il-ftehim tal-ipproċessar tad-dejta (DPA) għandu jkun konsistenti ma' dan. Klawżola ġenerali dwar struzzjonijiet individwali arbitrarji hija ta' ftit użu jekk ħadd ma jaf permezz ta' liema kuntatt u f'liema qafas tekniku jistgħu jiġu implimentati.
Iċċara liema bidliet huma kkunsidrati bħala struzzjonijiet ġodda. L-attivazzjoni ta' funzjoni analitika, post ġdid ta' ħażna, jew perjodu itwal ta' żamma jistgħu jibdlu l-ipproċessar. Xi settings huma kkontrollati mill-klijent, oħrajn biss mill-fornitur. Ix-xerrejja għandhom jifhmu liema għażliet huma disponibbli u x'inhuma l-konsegwenzi. Kuntratt ma jistax jikkumpensa għal kontrolli tal-prodott neqsin jew qarrieqa bi drittijiet astratti.
Il-fornitur irid, skont ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR), jindika jekk jikkunsidrax li istruzzjoni hija illegali. Il-ftehim għandu jiddeskrivi proċedura prattika għal din l-eventwalità. Min se jiġi infurmat, x'jiġri sakemm il-kwistjoni tiġi solvuta, u liema attivitajiet ta' pproċessar jistgħu jiġu sospiżi? Persuni ta' kuntatt u kanali ta' eskalazzjoni definiti b'mod ċar huma aktar siewja minn formulazzjoni li sempliċement ittenni l-prinċipju legali.
Il-kunfidenzjalità u s-sigurtà għandhom ikunu proporzjonati mar-riskju.
Individwi li jipproċessaw id-data għall-fornitur għandhom ikunu marbuta b'obbligi ta' kunfidenzjalità jew soġġetti għal dmir legali korrispondenti. Huwa importanti wkoll li x-xerrejja jifhmu kif l-aċċess huwa limitat fl-użu ta' kuljum. L-appoġġ jeħtieġ aċċess standard għall-kontenut, jew l-aċċess jingħata biss għal każijiet speċifiċi? Ir-rwoli, il-permessi, u l-logging għandhom ikunu allinjati mas-servizz imwiegħed.
Il-miżuri tekniċi u organizzattivi jiddeskrivu l-protezzjoni tal-ipproċessar tad-dejta. Dawn jistgħu jinkludu kontroll tal-aċċess, encryption, backups, irkupru, u verifiki regolari. Lista sempliċi ta' termini ta' sigurtà magħrufa sew tgħid ftit dwar l-applikazzjoni tagħhom. Ix-xerrejja għandhom ikunu jistgħu jifhmu liema dejta hija protetta u meta, min jikkontrolla ċ-ċwievet jew l-aċċess, u liema miżuri fil-fatt japplikaw għall-prodott magħżul.
Is-sigurtà mhijiex assi statiku. Is-sistemi u r-riskji jevolvu hekk kif il-fornituri jadattaw l-infrastruttura tagħhom. Il-ftehim għandu jippermetti titjib sinifikanti mingħajr ma jbaxxi b'mod aċċidentali l-livell ta' protezzjoni miftiehem. Il-klijenti jeħtieġu informazzjoni suffiċjenti dwar bidliet sinifikanti. Dak li jikkostitwixxi bidla sinifikanti jiddependi mis-servizz iżda jista' jinkludi, pereżempju, postijiet ġodda ta' ħażna, metodi ta' aċċess differenti, jew it-tneħħija ta' miżura ċentrali ta' sigurtà.
Fornituri oħra ta' servizzi m'għandhomx jibqgħu inviżibbli
Ħafna fornituri ma jwasslux is-servizzi tagħhom waħedhom. Huma jużaw ċentri tad-dejta, servizzi tal-email, jew kumpaniji ta' appoġġ li jistgħu jaġixxu bħala proċessuri tad-dejta addizzjonali. Il-ftehim tal-ipproċessar tad-dejta (DPA) għandu jispjega jekk tapplikax awtorizzazzjoni speċifika jew ġenerali. Fil-każ ta' awtorizzazzjoni ġenerali, il-klijenti għandhom jiġu infurmati dwar kwalunkwe bidla maħsuba u jingħataw opportunità ġenwina li joġġezzjonaw.
Lista ta' proċessuri tad-dejta addizzjonali hija utli biss jekk tibqa' tinftiehem. L-isem, ir-rwol, u l-post tal-ipproċessar jgħinu biex jiġi vvalutat liema parti tas-servizz tittratta l-kumpanija. Ġabra sempliċi ta' ismijiet ta' kumpaniji mingħajr ebda spjegazzjoni tal-funzjoni tagħhom toskura l-fluss tad-dejta. Għandu jkun ċar ukoll fejn tista' tinstab informazzjoni attwali u kif il-klijenti se jiġu nnotifikati dwar fornituri ġodda jew sostitwiti.
Il-fornitur ewlieni jibqa' responsabbli biex jimponi essenzjalment l-istess obbligi ta' protezzjoni tad-dejta fuq il-proċessuri tad-dejta l-oħra tiegħu. Ix-xerrejja m'għandhomx għalfejn jinnegozjaw kull sottokuntratt huma stess, iżda jeħtieġu sigurtà suffiċjenti tul il-katina. Oġġezzjoni għal fornitur ġdid m'għandhiex tkun sempliċement teoretika. Il-konsegwenzi kuntrattwali, l-alternattivi possibbli, u, jekk applikabbli, dritt ta' terminazzjoni għandhom ikunu komprensibbli fil-kuntest tal-kuntratt ewlieni.
L-appoġġ għandu jkun aċċessibbli għad-drittijiet u l-inċidenti tas-suġġett tad-dejta.
L-individwi jistgħu jeżerċitaw drittijiet rigward id-dejta personali tagħhom. Il-kontrollur tad-dejta jibqa' responsabbli għall-ipproċessar iżda ħafna drabi jeħtieġ appoġġ mill-fornitur tas-servizz. Il-kuntratt għandu jiddeskrivi kif id-dejta tista' tinstab, tiġi kkoreġuta, esportata, jew imħassra. Għal funzjoni ta' self-service, huwa importanti li jiġi ċċarat jekk tkoprix id-dejta rilevanti kollha jew jekk humiex meħtieġa talbiet addizzjonali lill-fornitur.
Fil-każ ta' ksur ta' dejta personali, il-proċessur tad-dejta għandu jinforma lill-kontrollur tad-dejta mingħajr dewmien żejjed wara li jsir jaf bih. Għax-xerrej, liema informazzjoni jirċievi u kif jirċeviha hija kruċjali. Formola ta' appoġġ li tkun diffiċli biex tinstab tista' taħli ħin prezzjuż. Kuntatti ta' emerġenza magħżula u aġġornamenti kontinwi jgħinu biex jiġi vvalutat l-impatt, id-dejta affettwata, u l-miżuri meħuda.
Jista' jkun meħtieġ ukoll appoġġ għal valutazzjonijiet tal-impatt fuq il-protezzjoni tad-dejta u inkjesti mill-awtoritajiet superviżorji. L-ambitu u l-limitazzjonijiet prattiċi jiddependu mis-servizz u l-informazzjoni disponibbli. Għalhekk, wegħdiet ġenerali ta' appoġġ għandhom ikunu allinjati mat-termini tal-appoġġ u l-ispejjeż potenzjali. Ix-xerrejja għandhom ikunu jistgħu jifhmu liema evidenza tiġi pprovduta bħala standard u meta tkun meħtieġa investigazzjoni speċjali jew assistenza esperta.
Tħassir, ritorn, u reviżjoni jeħtieġu approċċ realistiku
Wara li jkun intemm is-servizz, id-dejta personali għandha titħassar jew tiġi rritornata fid-diskrezzjoni tal-kontrollur, sakemm ma jkun hemm l-ebda obbligu legali li tinżamm. Din l-għażla trid tkun teknikament fattibbli. Ix-xerrejja għandhom ikunu jafu l-format tad-dejta li fih jirċevuha, kemm iddum disponibbli esportazzjoni, u meta s-sistemi attivi jitbattlu. Format ta' esportazzjoni li ma jinqarax jagħmel dritt formali ta' ritorn prattikament bla valur.
Kopji ta' backup ħafna drabi ma jistgħux jitħassru individwalment immedjatament. F'każijiet bħal dawn, huma meħtieġa ħażna limitata, protezzjoni minn użu normali, u rutina ta' tħassir traċċabbli. Dikjarazzjonijiet dwar tneħħija sussegwenti fiċ-ċiklu standard għandhom jispeċifikaw perjodu ta' żmien li jinftiehem. Għandu jkun ċar ukoll jekk il-logs, l-annessi ta' appoġġ, u l-kopji tat-test isegwux l-istess regoli jew humiex maħżuna għal perjodi itwal minħabba obbligi oħra.
Il-fornitur irid jipprovdi informazzjoni biex juri l-konformità mal-obbligi tiegħu u jippermetti verifiki. Servizzi komuni tal-cloud spiss jużaw rapporti indipendenti, ċertifikati, u informazzjoni standardizzata għal dan il-għan. Dawn jistgħu jkunu informattivi jekk l-ambitu, il-perjodu ta' żmien, u s-servizz affettwat ikunu xierqa. Dritt aktar estensiv ta' verifiki jibqa' importanti iżda għandu jikkunsidra s-sigurtà ta' klijenti oħra, il-kunfidenzjalità, u proċess proporzjonat.
Ftehim dwar l-ipproċessar tad-dejta (DPA) waħdu ma jsolvix it-trasferimenti internazzjonali tad-dejta.
Jekk id-dejta tiġi pproċessata barra ż-Żona Ekonomika Ewropea jew issir aċċessibbli minn hemm, jinqalgħu mistoqsijiet addizzjonali. DPA skont l-Artikolu 28 mhuwiex awtomatikament il-bażi kompluta għal dan. Ix-xerrejja għandhom ikunu konxji tal-postijiet tal-ipproċessar, l-aċċess remot potenzjali, u l-kumpaniji involuti. Li sempliċement tiddikjara "hosting tal-UE" mhuwiex biżżejjed jekk l-appoġġ jew l-amministrazzjoni jistgħu jsiru regolarment minn pajjiż terz.
Skont il-pajjiż u ċ-ċirkostanzi speċifiċi, deċiżjoni ta' adegwatezza, klawżoli kuntrattwali standard, jew strumenti oħra jistgħu jkunu rilevanti. Il-bażi legali xierqa u kwalunkwe miżura addizzjonali meħtieġa għandhom jiġu vvalutati għal kull trasferiment individwali. Il-kuntratt m'għandux iħallat diversi dokumenti b'abbrevjazzjonijiet simili. Ftehim dwar l-Ipproċessar tad-Data (DPA) jirregola l-ipproċessar tad-data f'isem kontrollur, filwaqt li klawżoli kuntrattwali standard jindirizzaw kwistjonijiet differenti ta' trasferiment skont l-applikazzjoni tagħhom.
Iridu jiġu kkunsidrati wkoll bidliet. Sottokuntrattur jew post ta' appoġġ ġdid jista' jbiddel valutazzjoni preċedenti. Għalhekk, il-klijenti jeħtieġu informazzjoni qabel ma jibda l-ipproċessar il-ġdid u ħin biżżejjed għal reviżjoni xierqa. Parir legali huwa partikolarment rakkomandabbli għal ktajjen kumplessi ta' trasferiment tad-data. Dettalji kuntrattwali li jinftiehmu joħolqu l-bażi fattwali, iżda ma jissostitwixxux il-valutazzjoni legali meħtieġa.
Ftehim tajjeb jista' jiġi spjegat bl-użu tal-prodott.
Qabel ma tiffirma, persuna infurmata għandha tkun tista' tiddeskrivi l-fluss tad-dejta f'termini sempliċi. Liema dejta tasal għand il-fornitur, għal xiex tintuża, min jista' jaċċessaha, u meta titħassar? It-tweġibiet għandhom ikunu konsistenti fil-prodott kollu, fil-kuntratt prinċipali, fil-ftehim tal-ipproċessar tad-dejta (DPA), u fid-dokumentazzjoni tas-sigurtà. L-inkonsistenzi jiġġustifikaw kjarifika, mhux is-suppożizzjoni li appendiċi aktar speċifika awtomatikament se ssolvi kollox.
Involvi l-protezzjoni tad-dejta, is-sigurtà tal-informazzjoni, l-akkwist, u d-dipartiment responsabbli skont ir-riskju. Kull perspettiva tidentifika lakuni differenti: rwoli legali, salvagwardji, konsegwenzi kuntrattwali, jew karatteristika tal-prodott mhux xierqa. Għal servizz żgħir u b'riskju baxx, ir-reviżjoni tista' tibqa' maniġġabbli. Ipproċessar estensiv jew sensittiv jiġġustifika analiżi aktar fil-fond. Dak li jimporta hija reviżjoni xierqa, mhux l-istess ammont ta’ dokumentazzjoni għal kull fornitur.
Ftehim dwar l-ipproċessar tad-dejta (DPA) ċar u li jinftiehem ma jiggarantixxix is-sigurtà waħdu, iżda jagħmel l-aspettattivi verifikabbli trasparenti. Dan jgħaqqad l-ipproċessar tad-dejta kkummissjonat ma' struzzjonijiet, protezzjoni, appoġġ, sottokuntratturi, u t-tmiem tal-ftehim dwar l-ipproċessar tad-dejta. Jekk dawn id-dikjarazzjonijiet jirriflettu b'mod preċiż is-servizz attwali, ix-xerrejja jistgħu jivvalutaw aħjar ir-responsabbiltajiet u jidentifikaw il-bidliet aktar kmieni. Kwalunkwe mistoqsija legali li fadal għandha mbagħad tiġi indirizzata permezz ta' parir legali kwalifikat, mhux billi wieħed jiddependi fuq suppożizzjonijiet dwar klawżoli standard.