τι συμβαίνει αν δεν έχω σύμβαση επεξεργασίας με τον προμηθευτή μου

Χωρίς σύμβαση επεξεργασίας δεν συμμορφώνεστε με το άρθρο 28 GDPR

Εάν ένας προμηθευτής επεξεργάζεται δεδομένα προσώπων για λογαριασμό σας και δεν υπάρχει σύμβαση επεξεργασίας, τότε αυτό καθαυτό αποτελεί ήδη παραβίαση του GDPR — ανεξάρτητα από το ερώτημα αν συμβεί κάτι άλλο λάθος με εκείνα τα δεδομένα. Το άρθρο 28 GDPR ορίζει ότι η ανάθεση σε έναν επεξεργαστή καθορίζεται σε μια σύμβαση ή άλλη νομική ενέργεια· χωρίς αυτή τη ρύθμιση, λείπει το νομικό θεμέλιο για τη συνεργασία, ακόμη κι αν ο προμηθευτής ο ίδιος χειρίζεται προσεκτικά τα δεδομένα.

Αυτό συμβαίνει για παράδειγμα σε λογισμικό στο οποίο καταλήγουν δεδομένα πελατών, δεδομένα προσωπικού ή δεδομένα τιμολογίων: πακέτα λογιστικής, εργαλεία αποστολής μηνυμάτων, φιλοξενίας. Όποιος δεν είναι σίγουρος εάν ένα συγκεκριμένο εργαλείο εμπίπτει σε αυτή την υποχρέωση, μπορεί να το εξετάσει μέσω πώς ξέρω αν το λογισμικό που χρησιμοποιώ συμμορφώνεται με το GDPR να ελέγξει· και το ερώτημα αν ισχύει επίσης για έναν λογιστή επανέρχεται στο πρέπει να συνάψω σύμβαση επεξεργασίας με τον λογιστή μου. Η απουσία μιας σύμβασης συνήθως δεν είναι κάτι που αποκαλύπτεται από μόνο του, έως ότου υπάρξει ένα διάρρηξη δεδομένων, μια παράπονο ενός πελάτη ή έλεγχος — και τότε αποδεικνύεται ότι οι συμφωνίες δεν υπάρχουν.

Από όπου προκύπτει αυτό από το άρθρο 28 GDPR

Το άρθρο 28 GDPR ορίζει ότι η επεξεργασία από έναν επεξεργαστή ρυθμίζεται με σύμβαση που καθορίζει υποχρεωτικά έναν αριθμό θεμάτων, όπως σκοπός της επεξεργασίας, διάρκεια και οι υποχρεώσεις του επεξεργαστή· τα ακριβή θέματα περιγράφονται στο τι πρέπει να περιέχεται σε μια σύμβαση επεξεργασίας. Η υποχρέωση να έχετε αυτή τη σύμβαση ισχύει τόσο για τον υπεύθυνο επεξεργασίας όσο και για τον επεξεργαστή, και ισχύει σε ολόκληρη την ΕΕ απευθείας από τον κανονισμό· το ποιος πρέπει να παρακολουθήσει τη συμμόρφωση διαφέρει ανά χώρα — στην Ολλανδία είναι η Αρχή Προστασίας Δεδομένων, σε άλλα κράτη μέλη ο εποπτικός φορέας εκείνης της χώρας. Περισσότερα σχετικά με τον εποπτικό φορέα βρίσκονται μέσω της Αρχής Προστασίας Δεδομένων.