Какво трябва да съдържа договорът за обработка на данни?

Какво трябва да урегулира договорът за обработка на данни

Договорът за обработка на данни трябва да описва какво прави обработвателят на данни за отговорния за обработката с личните данни и при какви условия. Това започва с основното: предметът и продължителността на обработката, характерът и целта й, видът на личните данни, които се отнасят, и категориите на засегнатите лица. Без такова описание не може да се установи дали доставчикът спазва договореностите.

Освен това договорът трябва да включва редица задължения, които произтичат право от GDPR. Обработвателят на данни обработва данни само на базата на писмени инструкции от отговорния за обработката, гарантира, че лицата, които обработват данните, са обвързани от задължение за поверителност, и прилага подходящи защитни мерки. Трябва също да бъде уредено какво се случва, когато обработвателят ангажира трета страна (подобработвател), как обработвателят помага при искания от засегнатите лица и при докладване на нарушения на данни, и какво се случва с данните след прекратяване на услугата — унищожаване или връщане. Често се предвижда и че отговорният за обработката има право да проверява дали договореностите се спазват, например чрез одит.

Откъде произтича това: член 28 на GDPR

Този преглед следва право от член 28 на GDPR, който конкретно описва какво трябва да съдържа договорът за обработка на данни, когато отговорният за обработката ангажира обработвател. Ръководството на EDPB дава допълнително пояснение как тези разпоредби могат да бъдат приложени на практика, например при оценката на защитните мерки или ангажирането на подобработватели. За точната формулировка на всяко задължение текстът на член 28 остава отправна точка.