Co musí obsahovat smlouva o zpracování?

Co musí smlouva o zpracování údajů v každém případě zahrnovat

Smlouva o zpracování údajů by měla popisovat, co zpracovatel dělá pro správce údajů s osobními údaji a za jakých podmínek. To začíná základy: předmět a doba zpracování, povaha a účel, typ osobních údajů, kterých se týká, a kategorie subjektů údajů, jichž se to týká. Bez tohoto popisu nelze určit, zda dodavatel dodržuje dohody.

Kromě toho by měla obsahovat řadu povinností, které přímo vyplývají z GDPR. Zpracovatel zpracovává údaje pouze na základě písemných pokynů správce údajů, zajišťuje, že osoby zpracovávající údaje jsou vázány mlčenlivostí, a přijímá příslušná bezpečnostní opatření. Mělo by být také dohodnuto, co se děje, když zpracovatel zapojí třetí stranu (subdodavatele), jak zpracovatel pomáhá s žádostmi subjektů údajů a při oznamování porušení údajů, a co se stane s údaji, když skončí poskytování služeb — zničení nebo vrácení. Často se v tom uvádí také, že správce údajů může kontrolovat, zda se dohody dodržují, například prostřednictvím auditu.

Kde to vychází: článek 28 GDPR

Tato výčet přímo vychází z článku 28 GDPR, který konkrétně popisuje, co musí smlouva o zpracování údajů obsahovat, když správce údajů zapojí zpracovatele. Pokyny EDPB poskytují další pokyny k tomu, jak lze tato ustanovení v praxi naplnit, například při posuzování bezpečnostních opatření nebo zapojení subdodavatelů. Pro přesné znění každé povinnosti zůstává text článku 28 samotného výchozím bodem.