Zmluva musí popisovať skutočné spracovanie
Zmluva o spracovaní údajov, často nazývaná DPA, dopĺňa zmluvu o poskytovaní služieb. Je relevantná, keď poskytovateľ spracováva osobné údaje v mene svojho klienta. Môže to byť prípad hostingu, podpory, distribúcie newslettera alebo cloudovej aplikácie. Dôležité je skutočné použitie údajov, nie názov dokumentu.
Zmluva by mala objasniť zodpovednosti. Okrem iného vysvetľuje, aké spracovanie údajov sa vykonáva, ktoré pokyny sa uplatňujú a ako poskytovateľ podporuje ochranu údajov. Dlhý štandardný text je neúčinný, ak opisuje úplne iný produkt. Kupujúci by si preto mali preštudovať zmluvné podmienky spolu s ponukou, technickou dokumentáciou a ich zamýšľaným použitím.
Existuje spracovanie údajov v mene prevádzkovateľa a aké predpisy sú potrebné, závisí od konkrétneho vzťahu a platných právnych predpisov. Všeobecný kontrolný zoznam nemôže nahradiť túto právnu klasifikáciu. Preto by sa v prípadoch nejasných úloh, citlivých údajov alebo nezvyčajných činností spracovania malo vyhľadať odborné poradenstvo. Dobre zdokumentované toky údajov, zodpovednosti a zmluvné podrobnosti poskytujú spoľahlivý skutkový základ.
Prevádzkovatelia a spracovatelia majú rôzne úlohy.
Prevádzkovateľ určuje účely a základné prostriedky spracovania. Spracovateľ spracúva osobné údaje v mene prevádzkovateľa a podľa jeho zdokumentovaných pokynov. Tieto pojmy opisujú úlohy v oblasti ochrany údajov a nepredstavujú všeobecnú hierarchiu medzi spoločnosťami. Veľký poskytovateľ platformy môže byť spracovateľom, zatiaľ čo malý zákazník koná ako prevádzkovateľ pre dané spracovanie.
Úlohy sa môžu líšiť v závislosti od funkcie. Poskytovateľ môže spracúvať údaje o zákazníkoch v mene prevádzkovateľa, ale určité zmluvné alebo fakturačné údaje môže použiť na svoje vlastné účely. Potom by mal vysvetliť, akú úlohu zohráva v ktorých procesoch. Všeobecné vyhlásenie, že všetky údaje sa spracovávajú iba v mene iných, nie je veľmi užitočné, ak sa v popisoch produktov alebo oznámeniach o ochrane osobných údajov spomínajú aj jeho vlastné použitia.
Zmluva nemôže zmeniť skutočné úlohy len zmenou označenia. Preto by pred podpisom malo byť jasné, kto rozhoduje o použití údajov. Ak poskytovateľ definuje nový účel nezávisle od zákazníka, môže to spadať mimo rozsahu dohodnutej zmluvy o spracovaní údajov. Takéto hranice si vyžadujú zrozumiteľné vysvetlenie, aby bolo možné správne posúdiť zodpovednosti, informácie pre dotknuté osoby a ďalšie právne základy.
Predmet, trvanie a typy údajov si vyžadujú konkrétne podrobnosti.
Zmluva by mala jasne uvádzať, ktorá služba sa poskytuje s ktorými osobnými údajmi. Všeobecné formulácie ako „poskytovanie dohodnutých služieb“ často nestačia na pochopenie toku údajov. V systéme podpory by to mohlo ovplyvniť kontaktné údaje, obsah správ a technické údaje o používaní. Kategórie dotknutých osôb, ako sú zákazníci, zamestnanci alebo uchádzači, by mali tiež zodpovedať skutočnému použitiu.
Typ a účel spracovania sú rovnako dôležité. Ukladanie, prenos, vyhodnocovanie a mazanie opisujú rôzne procesy. Účel vysvetľuje, prečo k týmto procesom dochádza, napríklad na spracovanie žiadostí o podporu alebo na prevádzkovanie zákazníckej platformy. Čím presnejšie je toto prepojenie opísané, tým ľahšie je neskôr určiť, či sa na novú funkciu produktu stále vzťahuje pôvodná zmluva alebo či si vyžaduje nové rozhodnutie.
Doba uchovávania musí byť primeraná službe a procesu vymazania. Niekedy spracovanie pokračuje počas celej doby trvania zmluvy, zatiaľ čo záložné kópie zostávajú obmedzený čas. Toto by nemalo byť zakryté neobmedzeným uchovávaním. Kupujúci potrebujú realistický obraz o tom, kedy sa aktívne údaje odstránia, ako dlho pretrvávajú technické kópie a aké právne záväzky môžu brániť okamžitému vymazaniu.
Pokyny musia skutočne fungovať v praxi.
Spracovatelia údajov by mali spracovávať osobné údaje podľa zdokumentovaných pokynov, pokiaľ si to právna povinnosť nevyžaduje inak. V štandardnom softvéri je veľká časť týchto pokynov už zakotvená v hlavnej zmluve, výbere produktu a nastaveniach. Zmluva o spracovaní údajov (DPA) by s tým mala byť v súlade. Všeobecná klauzula o ľubovoľných individuálnych pokynoch je málo užitočná, ak nikto nevie, prostredníctvom ktorého kontaktu a v rámci akého technického rámca ich možno implementovať.
Objasnite, ktoré zmeny sa považujú za nové pokyny. Aktivácia analytickej funkcie, zmena miesta uloženia alebo predĺženie doby uchovávania môže zmeniť spracovanie. Niektoré nastavenia riadi zákazník, iné iba poskytovateľ. Kupujúci by mali pochopiť, ktoré možnosti sú k dispozícii a aké sú ich dôsledky. Zmluva nemôže kompenzovať chýbajúce alebo zavádzajúce kontroly produktu prostredníctvom abstraktných práv.
Poskytovateľ musí podľa všeobecného nariadenia o ochrane údajov (GDPR) informovať používateľov, ak považujú pokyn za nezákonný. Zmluva by mala načrtnúť praktické riešenie pre takéto prípady. Kto bude informovaný, čo sa stane, kým sa záležitosť nevyrieši, a ktoré spracovateľské činnosti možno pozastaviť? Jasne definované kontaktné osoby a eskalačné postupy sú cennejšie ako formulácia, ktorá iba opakuje právnu zásadu.
Dôvernosť a bezpečnosť musia byť primerané riziku.
Jednotlivci spracúvajúci údaje pre poskytovateľa musia byť viazaní povinnosťami mlčanlivosti alebo musia podliehať zodpovedajúcej zákonnej povinnosti. Je tiež dôležité, aby kupujúci pochopili, ako je prístup obmedzený pri každodennom používaní. Vyžaduje si podpora štandardný prístup k obsahu alebo je prístup udelený iba v špecifických prípadoch? Úlohy, povolenia a protokolovanie by mali byť v súlade so sľúbenou službou.
Technické a organizačné opatrenia opisujú ochranu spracovania údajov. Môže to zahŕňať riadenie prístupu, šifrovanie, zálohovanie, obnovu a pravidelné audity. Samotný zoznam známych bezpečnostných pojmov hovorí len málo o ich použití. Kupujúci by mali byť schopní pochopiť, ktoré údaje sú chránené a kedy, kto kontroluje kľúče alebo prístup a ktoré opatrenia sa skutočne vzťahujú na vybraný produkt.
Bezpečnosť nie je statické aktívum. Systémy a riziká sa vyvíjajú, keď poskytovatelia prispôsobujú svoju infraštruktúru. Dohoda by mala umožniť zmysluplné vylepšenia bez toho, aby sa nenápadne znížila dohodnutá úroveň ochrany. Zákazníci potrebujú dostatočné informácie o významných zmenách. Čo predstavuje významnú zmenu, závisí od služby, ale môže zahŕňať nové úložiská, rôzne metódy prístupu alebo odstránenie centrálneho bezpečnostného opatrenia.
Ostatní poskytovatelia služieb nesmú zostať neviditeľní.
Mnoho poskytovateľov neposkytuje svoje služby samostatne. Využívajú dátové centrá, e-mailové služby alebo podporné spoločnosti, ktoré môžu pôsobiť ako ďalší spracovatelia údajov. Dohoda o spracovaní údajov (DPA) by mala objasniť, či sa uplatňuje špecifické alebo všeobecné oprávnenie. V prípade všeobecného oprávnenia musia byť zákazníci informovaní o zamýšľaných zmenách a musia mať skutočnú možnosť namietať.
Zoznam ďalších spracovateľov údajov je užitočný iba vtedy, ak zostane zrozumiteľný. Názov, funkcia a miesto spracovania pomáhajú posúdiť, ktorú časť služby spoločnosť spracováva. Samotný súbor názvov spoločností bez akéhokoľvek uvedenia funkcie zakrýva tok údajov. Malo by byť tiež jasné, kde možno nájsť aktuálne informácie a ako sú zákazníci informovaní o nových alebo nahradených poskytovateľoch.
Hlavný poskytovateľ zostáva zodpovedný za uloženie v podstate rovnakých povinností v oblasti ochrany údajov svojim ostatným spracovateľom údajov. Kupujúci nemusia sami vyjednávať každú subdodávateľskú zmluvu, ale potrebujú dostatočné zabezpečenie v celom dodávateľskom reťazci. Námietka voči novému poskytovateľovi by nemala byť len teoretická. Zmluvné dôsledky, možné alternatívy a akékoľvek práva na ukončenie zmluvy musia byť jasne vysvetlené v kontexte primárnej zmluvy.
Podpora musí byť ľahko dostupná pre práva a incidenty dotknutých osôb.
Jednotlivci si môžu uplatňovať práva týkajúce sa svojich osobných údajov. Prevádzkovateľ údajov zostáva zodpovedný za spracovanie, ale často vyžaduje podporu od poskytovateľa služieb. Zmluva by mala popisovať, ako je možné údaje nájsť, opraviť, exportovať alebo vymazať. V prípade samoobslužnej funkcie je dôležité objasniť, či sa vzťahuje na všetky relevantné údaje alebo či sú potrebné ďalšie žiadosti adresované poskytovateľovi.
V prípade porušenia ochrany osobných údajov musí spracovateľ bez zbytočného odkladu po tom, čo sa o ňom dozvie, informovať prevádzkovateľa. Pre kupujúceho je kľúčové, aké informácie dostáva a ako ich dostáva. Ťažko dostupný formulár podpory môže viesť k strate drahocenného času. Určené kontaktné osoby v prípade núdze a priebežné aktualizácie pomáhajú posúdiť vplyv, dotknuté údaje a prijaté opatrenia.
Podpora môže byť potrebná aj pre posúdenia vplyvu na ochranu údajov a vyšetrovania od dozorných orgánov. Rozsah a praktické obmedzenia závisia od služby a dostupných informácií. Preto by všeobecné sľuby podpory mali byť zosúladené s podmienkami podpory a potenciálnymi nákladmi. Kupujúci musia mať možnosť vidieť, ktorá dokumentácia sa poskytuje štandardne a kedy sa osobitné vyšetrovanie alebo odborná pomoc dohodnú samostatne.
Vymazanie, vrátenie a preskúmanie si vyžadujú realistický prístup.
Po ukončení služby by sa osobné údaje mali vymazať alebo vrátiť podľa uváženia prevádzkovateľa, za predpokladu, že neexistuje žiadna zákonná povinnosť ich uchovávať. Táto voľba musí byť technicky uskutočniteľná. Kupujúci by mali poznať formát údajov, v ktorom ich dostanú, ako dlho zostáva export k dispozícii a kedy sa aktívne systémy vyprázdnia. Nečitateľný formát exportu robí formálne právo na vrátenie prakticky bezcenným.
Zálohy často nie je možné okamžite jednotlivo vyčistiť. Potom je potrebné obmedzené ukladanie, ochrana pred bežným používaním a sledovateľný postup mazania. Vyhlásenia týkajúce sa neskoršieho odstránenia v rámci bežného cyklu by mali špecifikovať zrozumiteľný časový rámec. Malo by tiež byť jasné, či sa protokoly, prílohy podpory a testovacie kópie riadia rovnakými pravidlami alebo sa uchovávajú dlhšie z dôvodu iných povinností.
Poskytovateľ musí poskytnúť informácie na preukázanie súladu so svojimi povinnosťami a umožnenie auditov. V široko používaných cloudových službách sa na tento účel často používajú nezávislé správy, certifikáty a štandardizované zverejnenia. Tieto môžu byť informatívne, ak je rozsah, časové obdobie a dotknutá služba primeraná. Komplexnejšie právo na audit zostáva dôležité, ale malo by zohľadňovať bezpečnosť ostatných zákazníkov, dôvernosť a primeraný proces.
Zmluva o spracovaní údajov (DPA) automaticky nerieši medzinárodné prenosy údajov.
Ak sa údaje spracovávajú mimo Európskeho hospodárskeho priestoru (EHP) alebo sa odtiaľ sprístupňujú, vznikajú ďalšie otázky. DPA podľa článku 28 nie je automaticky úplným základom pre toto. Kupujúci by si mali byť vedomí miest spracovania, možného vzdialeného prístupu a zúčastnených spoločností. Jednoduché uvedenie „hostingu v EÚ“ nestačí, ak je možné podporu alebo správu pravidelne vykonávať z tretej krajiny.
V závislosti od krajiny a okolností môže byť relevantné rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iné nástroje. Pre konkrétny prenos je potrebné posúdiť, ktorý právny základ sa uplatňuje a aké ďalšie opatrenia sú potrebné. Zmluva by nemala kombinovať rôzne dokumenty s podobnými skratkami. Spracovanie údajov v mene prevádzkovateľa upravuje zmluva o spracovaní údajov, zatiaľ čo štandardné zmluvné doložky riešia rôzne otázky prenosu v závislosti od ich uplatnenia.
Je potrebné zvážiť aj zmeny. Nový subdodávateľ alebo miesto podpory môže zmeniť existujúce posúdenie. Zákazníci preto potrebujú informácie pred začiatkom nového spracovania a dostatok času na riadne preskúmanie. Právne poradenstvo je obzvlášť vhodné pre zložité reťazce prenosu údajov. Jasné podrobnosti zmluvy poskytujú faktický základ, ale nenahrádzajú potrebné právne posúdenie.
Dobrú zmluvu je možné vysvetliť pomocou produktu.
Pred podpisom by mala byť informovaná osoba schopná jednoduchými slovami opísať tok údajov. Aké údaje sa prenášajú poskytovateľovi, na čo sa používajú, kto k nim má prístup a kedy sa vymažú? Odpovede musia byť konzistentné v celom produkte, hlavnej zmluve, zmluve o spracovaní údajov (DPA) a bezpečnostnej dokumentácii. Nezrovnalosti si vyžadujú objasnenie, nie predpoklad, že konkrétnejší dodatok automaticky všetko vyrieši.
Zahrňte ochranu údajov, informačnú bezpečnosť, obstarávanie a zodpovedné oddelenie podľa úrovne rizika. Každá perspektíva identifikuje rôzne medzery: právne úlohy, záruky, zmluvné dôsledky alebo nevhodnú funkciu produktu. V prípade malej služby s nízkym rizikom môže byť preskúmanie zvládnuteľné. Rozsiahle alebo citlivé spracovanie si vyžaduje hlbšiu kontrolu. Kľúčovým faktorom je vhodné preskúmanie, nie rovnaké množstvo dokumentácie pre každého poskytovateľa.
Jasná a zrozumiteľná zmluva o spracovaní údajov (DPA) sama o sebe nezaručuje bezpečnosť, ale transparentne sprehľadňuje overiteľné očakávania. Spája zadané spracovanie s pokynmi, ochranou, podporou, subdodávateľmi a ukončením používania. Keď tieto vyhlásenia presne odrážajú skutočnú službu, kupujúci môžu lepšie posúdiť zodpovednosti a skôr identifikovať zmeny. Všetky zostávajúce právne otázky by sa potom mali riešiť prostredníctvom kvalifikovaného právneho poradenstva, nie spoliehaním sa na predpoklady o štandardných doložkách.