Договор за обработка е писмена договорка между две страни: тази, която определя защо и как се обработват личните данни, и тази, която го прави от нейно име. Първата се нарича в GDPR контролер на данни, втората – обработчик на данни. Имате нужда от такава договорка, веднага щом поверите обработката на личните данни на друго предприятие, например счетоводна фирма, хостинг услуга или SaaS-инструмент, в който се съхраняват данни на клиентите.
Основното е просто: законът налага тази договорка, защото контролерът на данни остава отговорен за това, което се случва с данните, дори ако друго предприятие извършва техническата работа. Без ясни договорки не е определено какво може и не може да прави другата страна с данните, колко дълго се съхраняват и какво се случва при нарушение на данни. Договорът за обработка прави този дял видим.
Кога има обработчик на данни
Не всяка партньорска страна, с която работите, е обработчик на данни. Счетоводител, който изготвя годишния ви доклад със своя собствена професионална отговорност, обикновено е сам контролер на данни за тази задача. Облачна услуга, която съхранява и обработва вашия клиентски архив в съответствие с вашите инструкции, обикновено е обработчик на данни. Разликата се крие във въпроса кой определя целта и средствата на обработката. Ако се съмнявате дали дадена страна е обработчик на данни, ръководството на Органа за защита на данните дава насоки по този въпрос, и можете да го проверите и според вашата конкретна ситуация в ръководство с теми на GDPR по ситуация.
Какво трябва минимално да съдържа
GDPR назовава редица теми, които трябва да бъдат уредени в договора за обработка: предметът и продължителността на обработката, нейния характер и цел, видът лични данни и категориите на субектите на данни, задълженията и правата на контролера на данни, както и договорки относно защитата, поверителността, подизпълнителите и начина на сътрудничество при проверки. В договора се включва и как се поступва при възможно нарушение на данни в обработчика, и какво се случва с данните, когато сътрудничеството приключи.
Този преглед е буквално в самата разпоредба; ако желаете да прочетете точната формулировка, ще я намерите в EUR-Lex. Надзорните органи, като EDPB, са публикували и ръководства относно това, как тези положения се тълкуват на практика, например по отношение на въпроса кога подизпълнител трябва да бъде уведомен предварително.
Кой съставя договорката
На практика често по-голямата страна предоставя шаблон: софтуерен доставчик изпраща своя собствена договорка за обработка при подписване на абонамент, или клиент ви я изпраща, защото обработвате данни за него. Това не означава, че трябва просто да подпишете предостављения текст. Препоръчително е да проверите дали всички посочени теми са включени, дали споразуменията относно защитата съответстват на очакванията си от другата страна, и дали отговорността е разпределена разумно. При съмнения относно конкретна клауза е разумно да я представите на юрист.
Защо това е повече от подпис
Договорът за обработка не е формалност, която се уреди веднъж и след това се забрави. Веднага щом доставчик на инструмент се смени, включите подизпълнител извън ЕС, или характерът на обработката на данни се промени, съществуващият договор може да застари. Предприятията, които работят с множество SaaS-инструменти, скоро имат десет до двадесет такива договорки, всеки със своя собствена продължителност и собствени договорки. Проследяване на това кои договорки съществуват, кои са застарели и кои липсват, е отделна работа наред с ежедневните бизнес операции.
Споразуменията за защита, включени в договорката, също заслужават внимание: те казват нещо за това как обработчикът на данни се отнася към достъпа, криптирането и уведомленията при инциденти. Повече информация относно това, което е важно тук, прочетете на страницата за защита на личните данни при обработчиците на данни.
Какво можете да направите сами
При всяко ново сътрудничество проверете дали се споделят лични данни и ако да, дали е необходимо и налично споразумение за обработка на данни. Съхранявайте тези споразумения в прегледен вид, заедно с регистъра на дейностите по обработка, в който е указано кои инструменти обработват кои данни. Ако се съмнявате дали конкретно споразумение е пълно, можете да го проверите безплатно на най-важните компоненти. За често задавани въпроси по този предмет, като например какво се случва, ако доставчикът откаже да подпише споразумението, има преглед на страницата с често задавани въпроси за GDPR.
Искате ли да узнаете как това отговаря на вашата собствена ситуация, например колко споразумения за обработка на данни вероятно са ви необходими и кои от тях изискват внимание? Направете безплатното бързо сканиране или регистрирайте служебен профил, за да можете да следите обзорът. Така можете да видите в няколко минути къде стойте, без да сте веднага облицевани с някакво задължение.