Acordul trebuie să descrie prelucrarea reală
Un acord de prelucrare a datelor, adesea numit DPA, completează contractul de servicii. Devine relevant atunci când un furnizor prelucrează date cu caracter personal în numele clientului său. Acesta poate fi cazul găzduirii, asistenței, distribuției de newslettere sau unei aplicații cloud. Important este utilizarea efectivă a datelor, nu titlul documentului.
Acordul ar trebui să clarifice responsabilitățile. Printre altele, explică ce fel de prelucrare a datelor se efectuează, ce instrucțiuni se aplică și cum oferă furnizorul sprijin pentru protecția datelor. Un text standard lung este ineficient dacă descrie un produs complet diferit. Prin urmare, cumpărătorii ar trebui să revizuiască termenii și condițiile împreună cu oferta, documentația tehnică și utilizarea preconizată a acestora.
Există sau nu prelucrarea datelor în numele unui operator și reglementările necesare depind de relația specifică și de legislația aplicabilă. O listă de verificare generală nu poate înlocui această clasificare juridică. Prin urmare, ar trebui solicitat sfatul experților în cazurile de roluri neclare, date sensibile sau activități de prelucrare neobișnuite. Fluxurile de date, responsabilitățile și detaliile contractuale bine documentate oferă o bază factuală fiabilă pentru aceasta.
Operatorii și persoanele împuternicite de operatori au roluri diferite.
Operatorul stabilește scopurile și mijloacele esențiale de prelucrare. Persoana împuternicită de operator prelucrează datele cu caracter personal în numele operatorului și conform instrucțiunilor documentate ale acestuia. Acești termeni descriu rolurile de protecție a datelor și nu reprezintă o ierarhie generală între companii. Un furnizor mare de platformă poate fi o persoană împuternicită de operator, în timp ce un client mic acționează ca operator pentru prelucrarea în cauză.
Rolurile pot diferi în funcție de funcție. Un furnizor poate prelucra datele clienților în numele unui operator, dar poate utiliza anumite date contractuale sau de facturare în scopuri proprii. Apoi, ar trebui să explice ce rol joacă în fiecare proces. O declarație generală conform căreia toate datele sunt prelucrate doar în numele altora nu este foarte utilă dacă descrierile produselor sau notificările de confidențialitate menționează și propriile utilizări.
Un contract nu poate schimba rolurile reale prin simpla schimbare a etichetei. Prin urmare, înainte de semnare, ar trebui să fie clar cine decide cu privire la utilizarea datelor. Dacă furnizorul definește un nou scop independent de client, acesta poate cădea în afara domeniului de aplicare al acordului de prelucrare a datelor convenit. Astfel de limite necesită o explicație comprehensibilă, astfel încât responsabilitățile, informațiile pentru persoanele vizate și alte temeiuri juridice să poată fi evaluate corect.
Obiectul, durata și tipurile de date necesită detalii specifice.
Acordul ar trebui să precizeze clar ce serviciu este furnizat cu ce date personale. Formulările generale, cum ar fi „furnizarea serviciilor convenite”, sunt adesea insuficiente pentru a înțelege fluxul de date. Într-un sistem de asistență, datele de contact, conținutul mesajelor și datele de utilizare tehnică ar putea fi afectate. Categoriile de persoane vizate, cum ar fi clienții, angajații sau candidații, ar trebui să corespundă, de asemenea, utilizării reale.
Tipul și scopul prelucrării sunt la fel de importante. Stocarea, transmiterea, evaluarea și ștergerea descriu diferite procese. Scopul explică de ce au loc aceste procese, de exemplu, pentru a gestiona solicitările de asistență sau pentru a opera o platformă pentru clienți. Cu cât această conexiune este descrisă mai precis, cu atât este mai ușor de stabilit ulterior dacă o nouă caracteristică a produsului este încă acoperită de contractul inițial sau necesită o nouă decizie.
Perioada de păstrare trebuie să fie adecvată pentru serviciu și procesul de ștergere. Uneori, prelucrarea continuă pe toată durata contractului, în timp ce copiile de rezervă rămân pentru o perioadă limitată de timp. Acest lucru nu ar trebui să fie ascuns de stocarea pe termen nelimitat. Cumpărătorii au nevoie de o imagine realistă a momentului în care datele active sunt eliminate, cât timp persistă copiile tehnice și ce obligații legale ar putea împiedica ștergerea imediată.
Instrucțiunile trebuie să funcționeze în practică.
Persoanele împuternicite de operatori de date ar trebui să prelucreze datele cu caracter personal conform instrucțiunilor documentate, cu excepția cazului în care o obligație legală prevede altfel. În software-ul standard, o mare parte a acestor instrucțiuni este deja încorporată în contractul principal, selecția produsului și setări. Acordul de prelucrare a datelor (DPA) ar trebui să fie în concordanță cu aceasta. O clauză generală despre instrucțiunile individuale arbitrare este de puțin folos dacă nimeni nu știe prin ce contact și în ce cadru tehnic pot fi implementate.
Clarificați ce modificări sunt considerate instrucțiuni noi. Activarea unei funcții de analiză, modificarea locației de stocare sau extinderea perioadei de păstrare pot modifica procesarea. Unele setări sunt controlate de client, altele doar de furnizor. Cumpărătorii ar trebui să înțeleagă ce opțiuni sunt disponibile și care sunt consecințele acestora. Un contract nu poate compensa lipsa sau utilizarea înșelătoare a controalelor produsului prin drepturi abstracte.
Furnizorul trebuie, în conformitate cu Regulamentul general privind protecția datelor (GDPR), să informeze utilizatorii dacă consideră că o instrucțiune este ilegală. Acordul ar trebui să contureze o soluție practică pentru astfel de cazuri. Cine va fi informat, ce se întâmplă până la rezolvarea problemei și ce activități de prelucrare pot fi suspendate? Persoanele de contact clar definite și procedurile de escaladare sunt mai valoroase decât o formulare care doar reiterează principiul legal.
Confidențialitatea și securitatea trebuie să fie proporționale cu riscul.
Persoanele care prelucrează date pentru furnizor trebuie să fie obligate de confidențialitate sau supuse unei obligații legale corespunzătoare. De asemenea, este important ca cumpărătorii să înțeleagă cum este limitat accesul în utilizarea zilnică. Asistența necesită acces standard la conținut sau accesul este acordat doar pentru cazuri specifice? Rolurile, permisiunile și înregistrarea în jurnal ar trebui să fie aliniate cu serviciul promis.
Măsurile tehnice și organizatorice descriu protecția prelucrării datelor. Aceasta poate include controlul accesului, criptarea, copiile de rezervă, recuperarea datelor și auditurile regulate. O simplă listă de termeni de securitate cunoscuți spune puțin despre aplicarea lor. Cumpărătorii ar trebui să poată înțelege ce date sunt protejate și când, cine controlează cheile sau accesul și ce măsuri se aplică efectiv produsului ales.
Securitatea nu este un activ static. Sistemele și riscurile evoluează pe măsură ce furnizorii își adaptează infrastructura. Acordul ar trebui să permită îmbunătățiri semnificative fără a reduce subtil nivelul de protecție convenit. Clienții au nevoie de informații suficiente cu privire la modificările semnificative. Ceea ce constituie o modificare semnificativă depinde de serviciu, dar ar putea include noi locații de stocare, metode de acces diferite sau eliminarea unei măsuri centrale de securitate.
Alți furnizori de servicii nu trebuie să rămână invizibili.
Mulți furnizori nu își furnizează serviciile singuri. Aceștia utilizează centre de date, servicii de e-mail sau companii de asistență care pot acționa ca procesatori de date suplimentari. Acordul de prelucrare a datelor (DPA) ar trebui să clarifice dacă se aplică o autorizație specifică sau generală. În cazul unei autorizații generale, clienții trebuie să fie informați despre modificările intenționate și să li se ofere o oportunitate reală de a obiecta.
O listă de procesatori de date suplimentari este utilă numai dacă rămâne ușor de înțeles. Numele, funcția și locația de prelucrare ajută la evaluarea părții serviciului pe care o gestionează compania. O simplă colecție de nume de companii, fără nicio indicație a funcției, obscurează fluxul de date. De asemenea, ar trebui să fie clar unde pot fi găsite informațiile actuale și cum sunt notificați clienții cu privire la furnizorii noi sau înlocuiți.
Furnizorul principal rămâne responsabil pentru impunerea, în esență, a acelorași obligații de protecție a datelor asupra celorlalți procesatori de date. Cumpărătorii nu trebuie să negocieze fiecare subcontract, dar au nevoie de o securitate suficientă pe întregul lanț de aprovizionare. O obiecție față de un nou furnizor nu ar trebui să fie doar teoretică. Consecințele contractuale, alternativele posibile și orice drepturi de reziliere trebuie explicate clar în contextul contractului principal.
Asistența trebuie să fie disponibilă imediat pentru drepturile și incidentele persoanelor vizate.
Persoanele fizice își pot exercita drepturile cu privire la datele lor cu caracter personal. Operatorul de date rămâne responsabil pentru prelucrare, dar adesea necesită asistență din partea furnizorului de servicii. Contractul ar trebui să descrie modul în care datele pot fi găsite, corectate, exportate sau șterse. Pentru o funcție de autoservire, este important să se clarifice dacă aceasta acoperă toate datele relevante sau dacă sunt necesare solicitări suplimentare către furnizor.
În cazul unei încălcări a securității datelor cu caracter personal, persoana împuternicită de operator trebuie să informeze operatorul de date fără întârzieri nejustificate după ce ia cunoștință de aceasta. Pentru cumpărător, este crucial să știe ce informații primește și cum le primește. Un formular de asistență greu de găsit poate pierde timp prețios. Contactele de urgență desemnate și actualizările continue ajută la evaluarea impactului, a datelor afectate și a măsurilor luate.
De asemenea, poate fi necesar asistență pentru evaluările impactului asupra protecției datelor și pentru solicitările de informații din partea autorităților de supraveghere. Domeniul de aplicare și limitările practice depind de serviciu și de informațiile disponibile. Prin urmare, promisiunile generale de asistență ar trebui să fie aliniate cu termenii de asistență și costurile potențiale. Cumpărătorii trebuie să poată vedea ce documentație este furnizată în mod implicit și când se va conveni separat o investigație specială sau asistență de specialitate.
Ștergerea, returnarea și revizuirea necesită o abordare realistă.
După încheierea serviciului, datele cu caracter personal ar trebui șterse sau returnate la discreția operatorului, cu condiția să nu existe nicio obligație legală de a le păstra. Această alegere trebuie să fie fezabilă din punct de vedere tehnic. Cumpărătorii ar trebui să cunoască formatul de date în care le vor primi, cât timp rămâne disponibil un export și când sunt golite sistemele active. Un format de export ilizibil face ca un drept formal de returnare să fie practic lipsit de valoare.
Copiile de rezervă adesea nu pot fi curățate individual imediat. Apoi, sunt necesare stocare limitată, protecție împotriva utilizării normale și o rutină de ștergere trasabilă. Declarațiile privind eliminarea ulterioară în cadrul ciclului obișnuit ar trebui să specifice un interval de timp ușor de înțeles. De asemenea, ar trebui să fie clar dacă jurnalele, atașamentele de asistență și copiile de test respectă aceleași reguli sau sunt stocate mai mult timp din cauza altor obligații.
Furnizorul trebuie să furnizeze informații pentru a demonstra respectarea obligațiilor sale și pentru a permite auditurile. În serviciile cloud utilizate pe scară largă, rapoartele independente, certificatele și dezvăluirile standardizate sunt adesea utilizate în acest scop. Acestea pot fi informative dacă domeniul de aplicare, perioada de timp și serviciul afectat sunt adecvate. Un drept mai cuprinzător la audit rămâne important, dar ar trebui să ia în considerare securitatea altor clienți, confidențialitatea și un proces proporțional.
Un acord de prelucrare a datelor (DPA) nu rezolvă automat transferurile internaționale de date.
Dacă datele sunt prelucrate în afara Spațiului Economic European (SEE) sau sunt accesibile de acolo, apar întrebări suplimentare. Un DPA conform articolului 28 nu reprezintă automat baza completă pentru acest lucru. Cumpărătorii ar trebui să fie conștienți de locațiile de prelucrare, de accesul potențial la distanță și de companiile implicate. Simpla afirmație „găzduire UE” este insuficientă dacă asistența sau administrarea pot fi efectuate în mod regulat dintr-o țară terță.
În funcție de țară și circumstanțe, pot fi relevante o decizie privind caracterul adecvat, clauze contractuale standard sau alte instrumente. Trebuie evaluat ce temei juridic se aplică și ce măsuri suplimentare sunt necesare pentru transferul specific. Contractul nu trebuie să combine diferite documente cu abrevieri similare. Un Acord de Prelucrare a Datelor (DPA) reglementează prelucrarea datelor în numele unui operator, în timp ce clauzele contractuale standard abordează diferite aspecte legate de transfer, în funcție de aplicarea lor.
De asemenea, trebuie luate în considerare modificările. Un nou subcontractant sau o nouă locație de asistență poate modifica o evaluare existentă. Prin urmare, clienții au nevoie de informații înainte de începerea noii procesări și de suficient timp pentru o revizuire adecvată. Consultanța juridică este recomandată în special pentru lanțurile complexe de transfer de date. Detaliile clare ale contractului oferă baza factuală, dar nu înlocuiesc evaluarea juridică necesară.
Un acord bun poate fi explicat folosind produsul.
Înainte de semnare, o persoană cu cunoștințe ar trebui să poată descrie fluxul de date în termeni simpli. Ce date sunt transferate furnizorului, la ce sunt utilizate, cine are acces la ele și când sunt șterse? Răspunsurile trebuie să fie consecvente în cadrul produsului, al contractului principal, al acordului de prelucrare a datelor (DPA) și al documentației de securitate. Inconsecvențele justifică clarificări, nu presupunerea că anexa mai specifică va rezolva automat totul.
Implică protecția datelor, securitatea informațiilor, achizițiile și departamentul responsabil în funcție de nivelul de risc. Fiecare perspectivă identifică lacune diferite: roluri legale, garanții, consecințe contractuale sau o funcție a produsului nepotrivită. Pentru un serviciu mic, cu risc scăzut, revizuirea poate rămâne gestionabilă. Prelucrarea extinsă sau sensibilă necesită o examinare mai aprofundată. Factorul crucial este o revizuire adecvată, nu aceeași cantitate de documentație pentru fiecare furnizor.
Un acord de prelucrare a datelor (DPA) clar și ușor de înțeles nu garantează securitatea în sine, dar face transparente așteptările verificabile. Acesta leagă prelucrarea comandată de instrucțiuni, protecție, asistență, subcontractanți și sfârșitul utilizării. Atunci când aceste declarații reflectă cu acuratețe serviciul real, cumpărătorii pot evalua mai bine responsabilitățile și pot identifica modificările mai devreme. Orice întrebări juridice rămase ar trebui abordate prin consultanță juridică calificată, nu bazându-se pe presupuneri despre clauze standard.