může být smlouva se zpracovatelem dojednána také ústně nebo e-mailem

Ústně nebo e-mailem nestačí

Ne, ústní dohoda nebo volná výměna e-mailů nestačí jako smlouva o zpracování. Článek 28 GDPR stanoví, že dohody mezi správcem a zpracovatelem musí být zakotveny v písemné smlouvě nebo jiném právním úkonu, a to písemně, což může být i elektronické. Telefonické zustalování nebo ústní dohoda během rozhovoru mimo to spadá: není zaznamenáno způsobem, který lze později kontrolovat.

Výměna e-mailů se pohybuje někde uprostřed. Jednotlivé e-maily, v nichž si strany domluví nějaké dohody týkající se zpracování dat, samy o sobě obvykle nejsou úplnou smlouvou o zpracování, protože GDPR klade požadavky na obsah, který v takové výměně e-mailů obvykle není zcela obsažen. Písemný nebo elektronický dokument, který tento obsah zcela upravuje — a který byl také prostřednictvím e-mailu vyměňován a schválen — může být považován za smlouvu o zpracování. Není tedy důležité médium samo, ale otázka, zda v něm jsou všechny povinné části a zda je jasné, že s ním oba subjekty souhlasí. Co tam přesně musí být, je popsáno na co musí být v smlouvě s příkazníkem pro zpracování obsaženo.

Odkud to vyplývá z článku 28 GDPR

Článek 28, odstavec 3 GDPR stanoví, že zpracování provedené zpracovatelem se řídí smlouvou nebo jiným právním úkonem vážícím strany, a to musí být zaznamenáno písemně, včetně elektronické formy. Tato povinnost platí v celé EU stejně, protože GDPR je nařízení přímé účinnosti; na tomto místě není prostor pro odlišné národní zpracování. Kdo si není jistý, zda existující dohoda se dodavatelem splňuje tuto povinnost, může ji ověřit prostřednictvím kontroly na nebo zda používaný software splňuje GDPR; na základní informace o důsledcích chybění takové smlouvy existuje stránka o co se děje bez smlouvy o zpracování s dodavatelem. Oficiální text samotného článku najdete na EUR-Lex v GDPR, a pro výklad od nizozemského dozoru je Autoriteit Persoonsgegevens příslušným zdrojem.