Τι πρέπει να περιέχει μια συμφωνία επεξεργασίας δεδομένων;

Τι ρυθμίζει σε κάθε περίπτωση μια σύμβαση επεξεργασίας δεδομένων

Μια σύμβαση επεξεργασίας δεδομένων θα πρέπει να περιγράφει τι κάνει ο επεξεργαστής για τον υπεύθυνο επεξεργασίας με τα προσωπικά δεδομένα και υπό ποιες προϋποθέσεις. Αυτό ξεκινά με τα βασικά: το αντικείμενο και η διάρκεια της επεξεργασίας, η φύση και ο σκοπός της, το είδος των προσωπικών δεδομένων που εμπλέκονται και οι κατηγορίες των υποκειμένων δεδομένων για τους οποίους πρόκειται. Χωρίς αυτή την περιγραφή, δεν είναι δυνατόν να προσδιοριστεί αν ένας προμηθευτής τηρεί τις συμφωνηθείσες όρους.

Επιπλέον, πρέπει να περιέχονται ορισμένες υποχρεώσεις που προκύπτουν απευθείας από τον GDPR. Ο επεξεργαστής επεξεργάζεται δεδομένα μόνο βάσει γραπτών οδηγιών από τον υπεύθυνο επεξεργασίας, διασφαλίζει ότι τα άτομα που επεξεργάζονται τα δεδομένα υπόκεινται σε υποχρέωση εμπιστευτικότητας και λαμβάνει κατάλληλα μέτρα ασφάλειας. Θα πρέπει επίσης να ρυθμίζεται τι συμβαίνει εάν ο επεξεργαστής προσλαμβάνει άλλο μέρος (ένα υπο-επεξεργαστή), πώς ο επεξεργαστής βοηθά σε αιτήματα υποκειμένων δεδομένων και σε αναφορές παραβιάσεων δεδομένων, και τι γίνεται με τα δεδομένα όταν η παροχή υπηρεσιών τερματιστεί — διαγραφή ή επιστροφή. Συχνά περιέχεται επίσης ότι ο υπεύθυνος επεξεργασίας μπορεί να ελέγξει εάν οι όροι τηρούνται, για παράδειγμα μέσω ελέγχου.

Από πού προκύπτει αυτό: άρθρο 28 του GDPR

Αυτή η αναφορά προέρχεται απευθείας από το άρθρο 28 του GDPR, το οποίο περιγράφει ειδικά τι πρέπει να περιέχει μια σύμβαση επεξεργασίας δεδομένων όταν ένας υπεύθυνος επεξεργασίας προσλαμβάνει έναν επεξεργαστή. Οι κατευθυντήριες γραμμές του EDPB παρέχουν περαιτέρω διευκρίνιση σχετικά με το πώς αυτές οι διατάξεις μπορούν να εφαρμοστούν στην πράξη, για παράδειγμα κατά την αξιολόγηση των μέτρων ασφάλειας ή την προσέλκυση υπο-επεξεργαστών. Για την ακριβή διατύπωση κάθε υποχρέωσης, ο ίδιος ο κείμενος του άρθρου 28 παραμένει το σημείο αναφοράς.