може ли договор за обработка на данни да бъде договорен устно или чрез имейл

Устно или по имейл е недостатъчно

Не, устно споразумение или поръчена имейл кореспонденция не е достатъчна като договор за обработка на данни. Член 28 на GDPR предписва, че споразуменията между администратор на данни и обработвател трябва да бъдат определени в договор или друго правно действие, което е в писмена форма, като писмената форма може да бъде и електронна. Телефонно обещание или устно споразумение по време на разговор не попадат в тази категория: те не са фиксирани по начин, който може да бъде проверен впоследствие.

Имейл кореспонденцията е някъде по средата. Отделни имейли, в които страните споменават някои споразумения относно обработка на данни, обикновено не представляват пълноценен договор за обработка на данни сами по себе си, тъй като GDPR поставя изисквания към съдържанието, което обикновено не е напълно представено в такава имейл кореспонденция. Писмен или електронен документ, който напълно уреждат това съдържание — и който е също така обменен по имейл и е приет — може да се счита за договор за обработка на данни. Следователно не е въпрос на самия носител, а на въпроса дали всички задължителни части са включени и дали е установено, че обе страни се съгласяват. Какво точно трябва да бъде в него, е описано на какво трябва да стои в договор на преработвач.

Откъде произтича това от член 28 GDPR

Член 28, параграф 3 на GDPR определя, че обработката от страна на обработвател се регулира чрез договор или друго правно действие, което обвързва страните, и че това трябва да бъде определено в писмена форма, включително в електронна форма. Това изискване е еднакво във всички държави членки на ЕС, тъй като GDPR е регламент, който действа преки мощно; на тази точка няма място за различна национална интерпретация. Всеки, който се колебае дали съществуващото споразумение с доставчик отговаря на това изискване, може да го провери чрез проверката на или софтуерът, използван за обработка на данни, отговаря на GDPR; за справка относно последствията от липсата на такъв договор съществува страницата за какво се случва без договор за обработка на данни с доставчик. За официалния текст на самия член, местоположението е GDPR на EUR-Lex, а за интерпретация от холандския надзорен орган е Autoriteit Persoonsgegevens подходящия източник.