Ano, můžete si sami zpracovat smlouvu se zpracovatelem. GDPR nepředepisuje žádný povinný formát: neexistuje žádný oficiální model, který musíte použít, pouze řada témat, která musí smlouva v každém případě upravit. Pro jednoduché vztahy s jednou jasně definovanou službou bez subdodavatelů a bez dat, která by opouštěla EU, je vlastní vypracování často zvládnutelný úkol na jedno odpoledne.
Otázka není tolik to, zda to je dovoleno, ale zda je situace dostatečně jednoduchá na to, aby se bez pomoci dala správně zvládnout. Jakmile je v řetězci více stran, zpracovávají se citlivá data nebo druga strana pošle svůj vlastní návrh smlouvy, který se liší od toho, co potřebujete, stává se vlastní vypracování obtížnějším. Pak je právní porada nebo alespoň strukturovaná kontrola rozumnější než vyplnit šablonu a doufat, že je to správně.
Co v každém případě musí být obsaženo
Bez ohledu na to, kdo smlouvu vypracovává, upravuje smlouva se zpracovatelem pevnou sadu témat. Obsahuje, jaký je předmět a doba zpracování, jaké kategorie osobních údajů a subjektů se týkají, a jaký je účel zpracování. Mimo to smlouva stanoví, že zpracovatel pracuje pouze na pokyn správce údajů, že zaměstnanci zpracovatele jsou vázáni povinností mlčenlivosti, jaká bezpečnostní opatření platí, jak jsou zapojeni a hlášeni subdodavatelé, jak zpracovatel spolupracuje na žádostech subjektů údajů a na hlášení porušení dat a co se s údaji stane po skončení smlouvy. Tyto prvky jsou doslova v samotném nařízení; kdo je v konceptu postrádá, postrádá něco, co tam mělo být.
Kdy vlastní vypracování prakticky funguje
Vlastní vypracování dobře funguje, když je vztah přehledný: sami jste správcem údajů, zapojíte jednoho dodavatele pro jednu vymezené službu, nejsou žádní známí subdodavatelé mimo EU a údaje nejsou obzvláště citlivé. Pomyslete na účetní balík, e-mailový nástroj nebo plánovací systém, jehož dodavatel již nabízí standardní verzi. V tom případě je vaše práce především zkontrolovat, zda standardní text pokryje pevné prvky a zda učiněné dohody odpovídají tomu, co nástroj skutečně dělá. Kdo si chce tento přehled udržet pro nástroje, které se denně používají, najde si jej v znalostní bázi se pevnými prvky na situaci strukturu, na kterou lze položit.
Kdy je vhodnější outsourcing
Hranice se posouvá, jakmile se řetězec stává složitějším: více subdodavatelů, přenos dat do zemí mimo EU, zpracování údajů o zdravotním stavu, biometrických údajů nebo údajů o nezletilých nebo protistrana dodá svůj vlastní koncept, který se liší od toho, co jste čekali. V těchto případech riziko není v tom, že smlouvu nemáte, ale v tom, že ji podepíšete nebo vypracujete bez toho, aby pokryla to, co se skutečně děje. Právník nebo specializovaný poradce pak může posoudit, zda se dohody shodují se skutečným tokem údajů, něco, co vám šablona neudělá.
Použití šablony se liší od vlastního vypracování
Existuje rozdíl mezi použitím šablony jako výchozího bodu a kompletním napsáním smlouvy sami. Šablona vás přiměje, abyste si prošli pevné prvky, ale automaticky je pro vaši situaci správně nevyplní. Stejně to funguje i opačně pro smlouvu, kterou vám pošle zákazník nebo dodavatel: může vypadat kompletně a přesto postrádá prvek nebo obsahuje dohodu, která neodpovídá tomu, co se v praxi děje. Odpovědi na často kladené otázky na toto téma, například co si zákazník může rozumně nárokovat a co ne, jsou shromážděny v často kladené otázky o smlouvách se zpracovateli.
Co gdpria.eu v tom dělá
Kontrola smlouvy o zpracování, kterou vám někdo pošle, a vyhledávání stálých částí v databázi znalostí je zdarma a bez účtu. Systém kolem ní — sada dokumentů se šablonami, monitorování probíhajících smluv a lhůty s ní spojené — je součástí předplatného. Co v něm je, je přehledně uvedeno v přehledu forem předplatného. Přitom poskytujeme vyjasnění a strukturu, nikoli právní rady: sami se rozhodujete, zda si sami vytvoříte, použijete šablonu, nebo si najměte právníka.
Chcete si nejdřív prohlédnout, jak to v praxi vypadá, než něco vytvoříte? Projděte si témata v databázi znalostí, nebo vytvořte si obchodní účet aby jste si nastavili registr a monitorování svých vlastních smluv o zpracování.