co se stane, pokud s mým dodavatelem nemám smlouvu se zpracovatelem

Bez smlouvy s příkazníkem pro zpracování nedodržujete článek 28 GDPR

Pokud prodejce zpracovává osobní údaje jménem vás a neexistuje smlouva s příkazníkem pro zpracování, je to samo o sobě porušením GDPR — bez ohledu na to, zda se s těmito údaji stane něco dalšího. Článek 28 GDPR stanoví, že použití zpracovatele musí být stanoveno ve smlouvě nebo v jiném právním jednání; bez tohoto zakotvení chybí právní základ pro spolupráci, i když se prodejce sám s údaji zachází pečlivě.

To platí například v případě softwaru, do kterého se dostanou údaje o zákaznících, údaje o zaměstnancích nebo údaje o fakturách: účetní balíčky, mailové nástroje, hostingové společnosti. Kdo si není jistý, zda určitý nástroj podléhá této povinnosti, může to ověřit pomocí jak vím, zda software, který používám, splňuje požadavky GDPR zkontrolovat; a otázka, zda to platí také pro účetního, se vrací k musím uzavřít smlouvu se zpracovatelem se svým účetním. Absence smlouvy obvykle není něco, co by se samo od sebe objevilo, dokud nedojde k porušení zabezpečení dat, stížnosti zákazníka nebo kontrole — a pak se ukáže, že dohody chybí.

Odkud to vyplývá z článku 28 GDPR

Článek 28 GDPR stanoví, že zpracování zpracovatelem je upraveno smlouvou, která musí zakotvit řadu témat, jako je účel zpracování, doba trvání a povinnosti zpracovatele; která témata to přesně jsou, je popsáno v co musí být v smlouvě s příkazníkem pro zpracování obsaženo. Povinnost mít tuto smlouvu leží jak na správci údajů, tak na zpracovateli, a platí v celé EU přímo z nařízení; kdo má dohlížet na soulad se liší podle země — v Nizozemsku je to Autorité Persoonsgegevens, v jiných členských státech příslušný dozorový orgán daného státu. Více o dozorčím orgánu naleznete prostřednictvím Autorité Persoonsgegevens.