какво се случва, ако нямам договор за обработка на данни с моя доставчик

Без договор на преработвач не отговаряте на член 28 GDPR

Ако доставчик преработва лични данни от ваше име и няма договор на преработвач, това само по себе си е нарушение на GDPR — независимо дали има други проблеми с тези данни. Член 28 GDPR предвижда, че ангажирането на преработвач се фиксира в договор или друго правно действие; без това документиране липсва правната база за сътрудничество, дори ако доставчикът сам работи внимателно с данните.

Това е актуално например при софтуер, в който попадат данни на клиенти, служители или фактури: счетоводни пакети, инструменти за разпръскване на съобщения, хостинг доставчици. Ако не сте сигурни дали определен инструмент попада под това задължение, можете да го проверите с помощта на как да узная дали софтуерът, който използвам, е в съответствие с GDPR да се уверите; и въпросът дали това важи и за счетоводител се връща при трябва ли да сключа договор за обработка на данни с моя счетоводител. Отсъствието на договор обикновено не се появява сам по себе си, докато не има пробив на данни, жалба на клиент или проверка — и тогава се оказва, че договореностите липсват.

Откъде произтича това от член 28 GDPR

Член 28 GDPR предвижда, че преработката от преработвач се регулира чрез договор, който фиксира редица теми задължително, като целта на преработката, продължителността и задълженията на преработвача; кои точно са тези теми е описано в какво трябва да стои в договор на преработвач. Задължението да има такъв договор лежи както на администратора на данни, така и на преработвача, и е приложимо в целия ЕС директно от Регламента; кой трябва да наблюдава съответствието варира по държави — в Нидерландия е това Управление по защита на данните, в други държави-членки органът по надзор на тази държава. Повече за органа по надзор можете да намерите чрез Управление по защита на данните.