Sporazum mora opisati dejansko obdelavo
Sporazum o obdelavi podatkov, pogosto imenovan DPA, dopolnjuje pogodbo o storitvi. Pomemben postane, ko ponudnik obdeluje osebne podatke v imenu svoje stranke. To je lahko primer gostovanja, podpore, distribucije glasil ali aplikacije v oblaku. Pomembna je dejanska uporaba podatkov, ne naslov dokumenta.
Pogodba mora pojasniti odgovornosti. Med drugim pojasnjuje, katera obdelava podatkov se izvaja, katera navodila veljajo in kako ponudnik podpira varstvo podatkov. Dolgo standardno besedilo je neučinkovito, če opisuje popolnoma drug izdelek. Zato bi morali kupci pregledati pogoje poslovanja skupaj s ponudbo, tehnično dokumentacijo in njihovo predvideno uporabo.
Ali obstaja obdelava podatkov v imenu upravljavca in kateri predpisi so potrebni, je odvisno od konkretnega razmerja in veljavne zakonodaje. Splošni kontrolni seznam ne more nadomestiti te pravne klasifikacije. Zato je treba v primerih nejasnih vlog, občutljivih podatkov ali nenavadnih dejavnosti obdelave poiskati strokovni nasvet. Dobro dokumentirani tokovi podatkov, odgovornosti in pogodbene podrobnosti zagotavljajo zanesljivo dejansko podlago za to.
Upravljavci in obdelovalci imajo različne vloge.
Upravljavec določa namene in bistvena sredstva obdelave. Obdelovalec obdeluje osebne podatke v imenu upravljavca in v skladu z njegovimi dokumentiranimi navodili. Ti izrazi opisujejo vloge varstva podatkov in ne predstavljajo splošne hierarhije med podjetji. Velik ponudnik platforme je lahko obdelovalec, medtem ko majhna stranka deluje kot upravljavec za zadevno obdelavo.
Vloge se lahko razlikujejo glede na funkcijo. Ponudnik lahko obdeluje podatke strank v imenu upravljavca, vendar uporablja določene pogodbene ali obračunske podatke za lastne namene. Nato naj pojasni, kakšno vlogo ima v katerih procesih. Splošna izjava, da se vsi podatki obdelujejo le v imenu drugih, ni zelo koristna, če opisi izdelkov ali obvestila o zasebnosti omenjajo tudi njegovo lastno uporabo.
Pogodba ne more spremeniti dejanskih vlog zgolj s spremembo oznake. Zato mora biti pred podpisom jasno, kdo odloča o uporabi podatkov. Če ponudnik neodvisno od stranke opredeli nov namen, lahko to ne spada v obseg dogovorjene pogodbe o obdelavi podatkov. Takšne meje zahtevajo razumljivo razlago, da se lahko pravilno ocenijo odgovornosti, informacije za posameznike, na katere se nanašajo osebni podatki, in druge pravne podlage.
Vsebina, trajanje in vrste podatkov zahtevajo posebne podrobnosti.
Pogodba mora jasno navajati, katera storitev se zagotavlja s katerimi osebnimi podatki. Splošne formulacije, kot je "zagotavljanje dogovorjenih storitev", pogosto ne zadostujejo za razumevanje pretoka podatkov. V sistemu podpore bi to lahko vplivalo na kontaktne podatke, vsebino sporočil in podatke o tehnični uporabi. Kategorije posameznikov, na katere se nanašajo osebni podatki, kot so stranke, zaposleni ali kandidati, bi morale ustrezati tudi dejanski uporabi.
Vrsta in namen obdelave sta enako pomembna. Shranjevanje, prenos, vrednotenje in brisanje opisujejo različne procese. Namen pojasnjuje, zakaj se ti procesi izvajajo, na primer za obravnavo zahtevkov za podporo ali za delovanje platforme za stranke. Bolj ko je ta povezava opisana, lažje je kasneje ugotoviti, ali je nova funkcija izdelka še vedno zajeta v prvotni pogodbi ali zahteva novo odločitev.
Obdobje hrambe mora biti primerno za storitev in postopek brisanja. Včasih se obdelava nadaljuje skozi celotno pogodbeno obdobje, medtem ko varnostne kopije ostanejo omejen čas. Tega ne sme zakriti nedoločen čas shranjevanja. Kupci potrebujejo realno sliko o tem, kdaj se aktivni podatki odstranijo, kako dolgo trajajo tehnične kopije in katere pravne obveznosti lahko preprečijo takojšen izbris.
Navodila morajo dejansko delovati v praksi.
Obdelovalci podatkov bi morali obdelovati osebne podatke v skladu z dokumentiranimi navodili, razen če zakonska obveznost zahteva drugače. V standardni programski opremi je velik del teh navodil že vgrajen v glavno pogodbo, izbiro izdelka in nastavitve. Sporazum o obdelavi podatkov (DPA) bi moral biti skladen s tem. Splošna klavzula o poljubnih posameznih navodilih je malo uporabna, če nihče ne ve, prek katerega stika in v katerem tehničnem okviru jih je mogoče izvesti.
Pojasnite, katere spremembe se štejejo za nova navodila. Aktiviranje analitične funkcije, sprememba lokacije shranjevanja ali podaljšanje obdobja hrambe lahko spremeni obdelavo. Nekatere nastavitve nadzoruje stranka, druge pa le ponudnik. Kupci morajo razumeti, katere možnosti so na voljo in kakšne so njihove posledice. Pogodba ne more nadomestiti manjkajočih ali zavajajočih kontrol izdelkov z abstraktnimi pravicami.
Ponudnik mora v skladu s Splošno uredbo o varstvu podatkov (GDPR) obvestiti uporabnike, če menijo, da je navodilo nezakonito. Sporazum mora za takšne primere opredeliti praktično rešitev. Kdo bo obveščen, kaj se zgodi, dokler zadeva ni rešena, in katere dejavnosti obdelave se lahko začasno ustavijo? Jasno opredeljene kontaktne osebe in postopki eskalacije so dragocenejši od formulacije, ki zgolj ponavlja pravno načelo.
Zaupnost in varnost morata biti sorazmerni s tveganjem.
Posamezniki, ki obdelujejo podatke za ponudnika, morajo biti vezani na obveznosti zaupnosti ali podvrženi ustrezni zakonski dolžnosti. Pomembno je tudi, da kupci razumejo, kako je dostop omejen pri vsakodnevni uporabi. Ali podpora zahteva standardni dostop do vsebine ali je dostop odobren le za posebne primere? Vloge, dovoljenja in beleženje morajo biti usklajeni z obljubljeno storitvijo.
Tehnični in organizacijski ukrepi opisujejo zaščito obdelave podatkov. To lahko vključuje nadzor dostopa, šifriranje, varnostne kopije, obnovitev in redne preglede. Zgolj seznam znanih varnostnih izrazov pove le malo o njihovi uporabi. Kupci bi morali biti sposobni razumeti, kateri podatki so zaščiteni in kdaj, kdo nadzoruje ključe ali dostop ter kateri ukrepi dejansko veljajo za izbrani izdelek.
Varnost ni statično sredstvo. Sistemi in tveganja se razvijajo, ko ponudniki prilagajajo svojo infrastrukturo. Sporazum bi moral omogočati smiselne izboljšave, ne da bi pri tem subtilno znižal dogovorjeno raven zaščite. Stranke potrebujejo dovolj informacij o pomembnih spremembah. Kaj pomeni pomembna sprememba, je odvisno od storitve, lahko pa vključuje nove lokacije shranjevanja, različne načine dostopa ali odstranitev centralnega varnostnega ukrepa.
Drugi ponudniki storitev ne smejo ostati nevidni.
Mnogi ponudniki svojih storitev ne zagotavljajo sami. Uporabljajo podatkovne centre, e-poštne storitve ali podporna podjetja, ki lahko delujejo kot dodatni obdelovalci podatkov. Sporazum o obdelavi podatkov (DPA) bi moral pojasniti, ali velja posebno ali splošno pooblastilo. V primeru splošnega pooblastila morajo biti stranke obveščene o predvidenih spremembah in jim dati resnično možnost ugovora.
Seznam dodatnih obdelovalcev podatkov je uporaben le, če ostane razumljiv. Ime, funkcija in lokacija obdelave pomagajo oceniti, kateri del storitve podjetje obravnava. Zgolj zbirka imen podjetij brez kakršne koli navedbe funkcije zamegljuje pretok podatkov. Prav tako bi moralo biti jasno, kje je mogoče najti trenutne informacije in kako so stranke obveščene o novih ali zamenjanih ponudnikih.
Primarni ponudnik ostaja odgovoren za naložitev v bistvu enakih obveznosti varstva podatkov svojim drugim obdelovalcem podatkov. Kupcem se ni treba sami pogajati o vsaki podizvajalski pogodbi, vendar potrebujejo zadostno varnost v celotni dobavni verigi. Ugovor zoper novega ponudnika ne sme biti zgolj teoretičen. Pogodbene posledice, možne alternative in vse pravice do odpovedi morajo biti jasno pojasnjene v okviru primarne pogodbe.
Podpora mora biti zlahka dostopna za pravice in incidente posameznikov, na katere se nanašajo osebni podatki.
Posamezniki lahko uveljavljajo pravice v zvezi s svojimi osebnimi podatki. Upravljavec podatkov ostaja odgovoren za obdelavo, vendar pogosto potrebuje podporo ponudnika storitev. Pogodba mora opisati, kako je mogoče najti, popraviti, izvoziti ali izbrisati podatke. Za funkcijo samopostrežbe je pomembno pojasniti, ali zajema vse ustrezne podatke ali so potrebne dodatne zahteve ponudniku.
V primeru kršitve varstva osebnih podatkov mora obdelovalec podatkov o tem brez nepotrebnega odlašanja obvestiti upravljavca podatkov. Za kupca je ključnega pomena, katere informacije prejme in kako jih prejme. Težko najdljiv obrazec za podporo lahko izgublja dragoceni čas. Določeni stiki za nujne primere in stalne posodobitve pomagajo oceniti vpliv, prizadete podatke in sprejete ukrepe.
Podpora je lahko potrebna tudi za ocene vpliva na varstvo podatkov in poizvedbe nadzornih organov. Obseg in praktične omejitve so odvisne od storitve in razpoložljivih informacij. Zato je treba splošne obljube o podpori uskladiti s pogoji podpore in morebitnimi stroški. Kupci morajo imeti možnost videti, katera dokumentacija je privzeto zagotovljena in kdaj bo ločeno dogovorjena posebna preiskava ali strokovna pomoč.
Brisanje, vračilo in pregled zahtevajo realističen pristop.
Po koncu storitve je treba osebne podatke izbrisati ali vrniti po presoji upravljavca, če ni zakonske obveznosti njihove hrambe. Ta izbira mora biti tehnično izvedljiva. Kupci morajo vedeti, v kakšni obliki podatkov jih bodo prejeli, kako dolgo je izvoz na voljo in kdaj so aktivni sistemi izpraznjeni. Neberljiva oblika izvoza praktično onemogoča formalno pravico do vračila.
Varnostnih kopij pogosto ni mogoče takoj posamično očistiti. Potem so potrebni omejeno shranjevanje, zaščita pred običajno uporabo in sledljiva rutina brisanja. Izjave o kasnejši odstranitvi znotraj običajnega cikla morajo določati razumljiv časovni okvir. Prav tako mora biti jasno, ali dnevniki, podporne priloge in testne kopije sledijo enakim pravilom ali se zaradi drugih obveznosti hranijo dlje.
Ponudnik mora zagotoviti informacije, ki dokazujejo skladnost s svojimi obveznostmi in omogočajo revizije. V široko uporabljenih storitvah v oblaku se za ta namen pogosto uporabljajo neodvisna poročila, potrdila in standardizirana razkritja. Ta so lahko informativna, če so obseg, časovno obdobje in prizadeta storitev ustrezni. Celovitejša pravica do revizije ostaja pomembna, vendar mora upoštevati varnost drugih strank, zaupnost in sorazmeren postopek.
Sporazum o obdelavi podatkov (DPA) ne rešuje samodejno mednarodnih prenosov podatkov.
Če se podatki obdelujejo zunaj Evropskega gospodarskega prostora (EGP) ali so dostopni od tam, se pojavijo dodatna vprašanja. DPA v skladu s členom 28 ni samodejno popolna podlaga za to. Kupci se morajo zavedati lokacij obdelave, morebitnega oddaljenega dostopa in vpletenih podjetij. Preprosta navedba "gostovanje v EU" ni zadostna, če je mogoče podporo ali administracijo redno izvajati iz tretje države.
Odvisno od države in okoliščin so lahko pomembni sklep o ustreznosti, standardne pogodbene klavzule ali drugi instrumenti. Za posamezen prenos je treba oceniti, katera pravna podlaga se uporablja in kateri dodatni ukrepi so potrebni. Pogodba ne sme mešati različnih dokumentov s podobnimi okrajšavami. Obdelavo podatkov v imenu upravljavca ureja sporazum o obdelavi podatkov, medtem ko standardne pogodbene klavzule obravnavajo različna vprašanja prenosa, odvisno od njihove uporabe.
Upoštevati je treba tudi spremembe. Nov podizvajalec ali lokacija za podporo lahko spremeni obstoječo oceno. Stranke zato potrebujejo informacije, preden se začne nova obdelava, in dovolj časa za ustrezen pregled. Pravni nasvet je še posebej priporočljiv za kompleksne verige prenosa podatkov. Jasne podrobnosti pogodbe zagotavljajo dejansko podlago, vendar ne nadomeščajo potrebne pravne ocene.
Dober sporazum je mogoče razložiti z uporabo izdelka.
Pred podpisom bi morala biti dobro podkovana oseba sposobna opisati pretok podatkov na preprost način. Kateri podatki se prenesejo ponudniku, za kaj se uporabljajo, kdo ima dostop do njih in kdaj se izbrišejo? Odgovori morajo biti dosledni v celotnem izdelku, glavni pogodbi, sporazumu o obdelavi podatkov (DPA) in varnostni dokumentaciji. Nedoslednosti zahtevajo pojasnilo, ne pa predpostavke, da bo bolj specifičen dodatek samodejno rešil vse.
Vključite varstvo podatkov, informacijsko varnost, nabavo in odgovorni oddelek glede na stopnjo tveganja. Vsaka perspektiva prepoznava različne vrzeli: pravne vloge, zaščitne ukrepe, pogodbene posledice ali neprimerno funkcijo izdelka. Pri majhni storitvi z nizkim tveganjem je pregled lahko obvladljiv. Obsežna ali občutljiva obdelava zahteva poglobljen pregled. Ključni dejavnik je ustrezen pregled, ne pa enaka količina dokumentacije za vsakega ponudnika.
Jasen in razumljiv sporazum o obdelavi podatkov (DPA) sam po sebi ne zagotavlja varnosti, vendar omogoča preglednost preverljivih pričakovanj. Povezuje naročeno obdelavo z navodili, zaščito, podporo, podizvajalci in koncem uporabe. Ko te izjave natančno odražajo dejansko storitev, lahko kupci bolje ocenijo odgovornosti in prej prepoznajo spremembe. Vsa preostala pravna vprašanja je treba nato obravnavati s kvalificiranim pravnim svetovanjem, ne pa z zanašanjem na predpostavke o standardnih klavzulah.