Musím podepsat smlouvu o zpracování, kterou mi pošle můj zákazník?

Podepisování není povinnost, kontrola ano

Ne, neexistuje žádná právní povinnost podepsat dohodu o zpracování jen proto, že vám ji zákazník dodá. Dohoda o zpracování je dohodou mezi dvěma stranami a jako u každé smlouvy platí: nejdřív se podíváte, co v ní je, než se podepíšete. Zákazník, který dohodu posílá, automaticky neurčuje její obsah — ten obsah musí splňovat určité požadavky, a to je něco jiného než "musím tento dokument přijmout".

Co je relevantní: pokud jako zpracovatel zpracováváte osobní údaje na pokyn tohoto zákazníka, pak GDPR předepisuje, aby tam byla dohoda o zpracování s řadou povinných součástí. Nejde tedy o to, zda se podepisujete, ale zda text, který dostanete, pokrývá tyto součásti a odpovídá tomu, co se v praxi děje. Koncept, který je příliš široko formulován, upravuje věci, které neodpovídají skutečné poskytované službě, nebo chybí mu součásti, je důvodem k úpravě nebo návrhu vlastní verze — ne k automatickému podepsání bez dalšího zvážení.

Co na to říká článek 28 GDPR

Článek 28 GDPR stanoví, že zpracování zpracovatelem se musí upravit v dohodě nebo jiném právním aktu, a vyjmenovává, jaká témata v něm musí být — mimo jiné předmět a dobu zpracování, povahu a účel, druh osobních údajů a kategorie subjektů údajů, povinnosti a práva správce údajů. Tento článek neříká nic o tom, kdo dokument vypracuje nebo dodá; říká jen, co v něm musí být. Úplný text naleznete v samotné vyhlášce, a pokud si nejste jisti konkrétním textem, může vám pomoci jako pozadí vědomostní základna Úřadu pro ochranu osobních údajů — ačkoli se tento úřad nezabývá posuzováním jednotlivých smluv.