Smlouva o zpracování je písemná dohoda mezi dvěma stranami: mezi tou, která určuje, proč a jak se budou osobní údaje zpracovávat, a tou, která to provádí jejím jménem. První se v GDPR nazývá správce údajů, druhá zpracovatel. Takovou smlouvu potřebujete, jakmile svěříte zpracování osobních údajů jinému podniku – například účetní kanceláři, poskytovateli hostingu nebo SaaS nástroji, ve kterém jsou údaje zákazníků.
Podstata je jednoduchá: zákon tuto dohodu vyžaduje, protože správce údajů zůstává odpovědný za to, co se s údaji děje, i když technickou práci provádí jiný podnik. Bez jasných dohod není zaznamenáno, co si ta druhá strana s údaji může dovolit, jak dlouho se budou uchovávat a co se stane při porušení ochrany údajů. Smlouva o zpracování činí toto rozdělení viditelným.
Kdy se jedná o zpracovatele
Ne každá strana, se kterou spolupracujete, je zpracovatelem. Účetní, který vypracovává vaši roční zprávu s vlastní profesionální odpovědností, je obvykle sám správcem údajů pro daný úkol. Cloudová služba, která ukládá a zpracovává seznam vašich zákazníků podle vašich pokynů, je obvykle zpracovatelem. Rozdíl spočívá v tom, kdo určuje cíl a prostředky zpracování. Pokud si nejste jisti, zda je některá strana zpracovatelem, vědecká sekce Úřadu pro ochranu osobních údajů vám v tom poskytne orientaci a můžete si tuto situaci prověřit v vědecké sekci s tématy GDPR podle situace.
Co musí smlouva obsahovat minimálně
GDPR uvádí několik témat, která musí být v smluvě o zpracování upravena: předmět a doba trvání zpracování, jeho povaha a účel, druh osobních údajů a kategorie subjektů údajů, povinnosti a práva správce údajů, dohody o zabezpečení, utajení, subdodavatelích a způsobu spolupráce při kontrolách. Obsahuje také, jak se při zpracovateli zvládá případné porušení ochrany údajů a co se s údaji stane po skončení spolupráce.
Tento výčet stojí doslova v samotné vyhlášce; chcete-li si přesné znění znovu přečíst, najdete jej na EUR-Lex. Dohledové orgány, jako je EDPB, také zveřejnily pokyny k tomu, jak se tato ustanovení v praxi vykládají – například ohledně otázky, kdy musí být subdodavatel oznámen předem.
Kdo smlouvu uzavře
V praxi často větší strana poskytuje šablonu: poskytovatel softwaru zasílá svou vlastní smlouvu o zpracování při uzavření předplatného, nebo vám ji zašle zákazník, protože pro něj zpracováváte údaje. To neznamená, že musíte přijatý text prostě podepsat. Doporučuje se zkontrolovat, zda jsou v něm uvedena všechna témata, zda se bezpečnostní dohody shodují s tím, co od druhé strany očekáváte, a zda je odpovědnost rozdělena rozumně. V případě pochybností o konkrétní klauzuli je rozumné ji předložit právníkovi.
Proč je to víc než podpis
Smlouva o zpracování není formalita, kterou jednoho dne vyřídíte a pak na ni zapomenete. Jakmile se změní dodavatel nástroje, zapojíte subdodavatele mimo EU nebo se změní povaha zpracování údajů, může se stávající smlouva stát zastaralou. Podniky, které pracují s více SaaS nástroji, mají snadno deset až dvacet takových smluv, každá se svou dobou trvání a vlastními dohodami. Přehled o tom, které smlouvy existují, které jsou zastaralé a které chybí, je samostatný úkol vedle běžného provozu firmy.
Bezpečnostní dohody, které jsou v smluvě uvedeny, také zaslouží pozornost: říkají něco o tom, jak si zpracovatel hlídá přístup, šifrování a hlášení při incidentech. Více o tom, co je v tom relevantní, si přečtěte na stránce o zabezpečení osobních údajů u zpracovatelů.
Co můžete udělat sami
Při každé nové spolupráci zkontrolujte, zda se sdílí osobní údaje, a pokud ano, zda je třeba a přítomna smlouva o zpracování. Tyto smlouvy si uchovávejte přehledně spolu s rejstříkem zpracování, který obsahuje informace o tom, která nástroj které údaje zpracovává. Pokud si nejste jisti, zda je konkrétní smlouva úplná, můžete ji nechat zdarma zkontrolovat na nejdůležitější části. Často kladené otázky na toto téma, například co se stane, pokud se dodavatel nechce smlouvu podepsat, najdete v přehledu na stránce s často kladenými otázkami týkajícími se GDPR.
Chcete vědět, jak se to hodí do vaší vlastní situace, například kolik smluv o zpracování asi budete potřebovat a které z nich vyžadují pozornost? Proveďte bezplatné rychlé prověření nebo zaregistrujte si obchodní účet, aby byl přehled veden automaticky. Během několika minut tak uvidíte, kde stojíte, aniž byste se hned k něčemu zavázali.