Nejčastější chyba při posuzování smlouvy se zpracovatelem spočívá v tom, že společnosti podpisují dokument bez kontroly, jakou roli má která strana v daném vztahu. Smlouva se zpracovatelem upravuje dohody mezi správcem údajů, který určuje proč a jak se údaje zpracovávají, a zpracovatelem, který to provádí na jeho pokyn. Pokud se toto rozdělení rolí nekontroluje, někdy podepíšete dokument, který na vaši situaci vůbec není použitelný, nebo vám naopak chybí smlouva, která by tam být měla.
Kromě toho se často vyskytují problémy ve třech dalších bodech: pododpovědní zpracovatelé, kteří nejsou jmenováni, bezpečnostní opatření, která jsou popsána pouze v obecných termínech, a žádná dohoda o tom, co se stane s údaji jakmile spolupráce skončí. Nejde o malé detaily, ale o podstatu toho, k čemu je smlouva se zpracovatelem určena: stanovit, kdo za co odpovídá, po dobu trvání spolupráce a také poté.
Nekontrolovat rozdělení rolí
Smlouva se zpracovatelem vychází z pevného rozdělení: jedna strana určuje účel a prostředky zpracování, druhá toto zpracování provádí podle pokynů. V praxi se tyto role někdy mění podle jednotlivých úkolů. Účetní kancelář je zpracovatelem pro mzdovou agendu své klientely, ale správcem údajů pro své vlastní personální údaje. Kdo podepíše smlouvu bez určení této role, si není jistý, zda je podepsán správný dokument. Samotný GDPR popisuje toto rozdělení rolí a směrnice EDPB se jím podrobně zabývají.
Pododpovědní zpracovatelé, kteří zůstávají nejmenováni
Mnoho nástrojů SaaS zase zapojuje další strany, například pro hosting nebo zákaznický servis. Smlouva se zpracovatelem by měla uvádět, zda je to povoleno, za jakých podmínek a zda budete předem informováni. Chybí-li toto ustanovení, jednoduše nevíte, které strany mají v praxi přístup k údajům, které poskytujete. Právě o tento druh informací jde. můžete se podívat v naší znalostní bázi podle tématu než podepíšete.
Bezpečnost popsaná pouze v obecných termínech
Věta jako "budou přijata vhodná technická a organizační opatření" sama o sobě není příliš výmluvná. Smlouva, která jde dále, konkrétně uvádí, co tato opatření znamenají: šifrování, správa přístupu, zálohy, postupy hlášení incidentů. Čím konkrétněji je to fixováno, tím je jasnější, co dodavatel skutečně dělá. Srovnání: na naší stránce o tom, jak my sami pracujeme s údaji a bezpečností vidíte, jak takové vysvětlení může v praxi vypadat.
Bez dohody o skončení spolupráce
Co se stane s údaji jakmile smlouva skončí? Budou vráceny, zničeny nebo zůstanou někde? Toto je jeden z bodů, který se nejčastěji vynechává, zatímco je obtížné sjednat dohodu až po skončení spolupráce. Smlouva se zpracovatelem, která o tom nic neříká, vás nechá s mezerou v dokumentaci přesně v okamžiku, kdy ji nejméně potřebujete.
Jak se tomu vyhnout
Většina těchto chyb nevzniká ze špatné vůle, ale z nedostatku času: smlouva se zpracovatelem je považována za formalitu, zatímco jde v podstatě o čtyři nebo pět konkrétních bodů. Zkontrolujte tyto body před podpisem a zeptejte se dodavatele, pokud něco chybí nebo je vágně formulováno. Pokud si nejste jistí konkrétním ustanovením, poraďte se s právníkem nebo, máte-li otázky týkající se výkladu samotného GDPR, s příslušným orgánem ochrany osobních údajů. Odpovědi na často kladené otázky o podobných dokumentech najdete také v Často kladené otázky o smlouvách o zpracování.
Toto vysvětlení je určeno k tomu, aby vám pomohlo orientovat se v tom, co by měla obsahovat smlouva o zpracování, ne abychom posoudili, zda konkrétní dokument, který jste obdrželi, vyhovuje. Jak jsme k těmto informacím dospěli a jaké zdroje jsou jejich základem, si přečtěte na stránce o tom, jak to funguje.
Chcete rychle vidět, v jaké situaci se vaše společnost nachází? Proveďte bezplatnou rychlou kontrolu nebo si prohlédněte témata v databázi znalostí a podívejte se, který krok je relevantní pro vaši situaci.