Μια σύμβαση επεξεργασίας δεδομένων είναι μια γραπτή συμφωνία μεταξύ δύο μερών: του μέρους που καθορίζει το σκοπό και τον τρόπο επεξεργασίας των προσωπικών δεδομένων, και του μέρους που το εκτελεί εξ ονόματός του. Το πρώτο ονομάζεται στον GDPR υπεύθυνος επεξεργασίας, το δεύτερο επεξεργαζόμενος. Χρειάζεστε μια τέτοια σύμβαση μόλις ανατίθεστε σε τρίτο έργα την επεξεργασία προσωπικών δεδομένων, για παράδειγμα σε ένα γραφείο διαχείρισης μισθοδοσίας, σε έναν πάροχο φιλοξενίας ή σε ένα εργαλείο SaaS που περιέχει δεδομένα πελατών.
Το κύριο σημείο είναι απλό: ο νόμος επιβάλλει αυτή τη συμφωνία επειδή ο υπεύθυνος επεξεργασίας παραμένει υπεύθυνος για ό,τι συμβαίνει με τα δεδομένα, ακόμη και αν ένας τρίτος φορέας εκτελεί το τεχνικό έργο. Χωρίς σαφείς συμφωνίες, δεν είναι καθορισμένο τι μπορεί και τι δεν μπορεί να κάνει το άλλο μέρος με τα δεδομένα, πόσο καιρό διατηρούνται και τι συμβαίνει σε περίπτωση παραβίασης δεδομένων. Μια σύμβαση επεξεργασίας δεδομένων καθιστά αυτή την διάταξη ορατή.
Πότε υπάρχει επεξεργαζόμενος
Δεν είναι κάθε μέρος με την οποία συνεργάζεστε επεξεργαζόμενος. Ένας λογιστής που συντάσσει τον ετήσιο λογαριασμό σας με δική του επαγγελματική ευθύνη, είναι συνήθως ο ίδιος υπεύθυνος επεξεργασίας για αυτό το έργο. Μια υπηρεσία cloud που αποθηκεύει και επεξεργάζεται τη βάση πελατών σας σύμφωνα με τις οδηγίες σας, είναι συνήθως επεξεργαζόμενος. Η διάκριση έγκειται στο ερώτημα ποιος καθορίζει το σκοπό και τα μέσα της επεξεργασίας. Εάν δεν είστε σίγουρος αν ένα μέρος είναι επεξεργαζόμενος, η γνωσιακή βάση της Αρχής Προστασίας Δεδομένων σας δίνει κατεύθυνση, και μπορείτε επίσης να το ελέγξετε ανά κατάσταση στο γνωσιακή βάση με θέματα GDPR ανά κατάσταση.
Τι πρέπει να περιέχει στο ελάχιστο
Ο GDPR αναφέρει έναν αριθμό θεμάτων που πρέπει να ρυθμιστούν σε μια σύμβαση επεξεργασίας δεδομένων: το θέμα και η διάρκεια της επεξεργασίας, η φύση και ο σκοπός της, ο τύπος προσωπικών δεδομένων και κατηγορίες υποκειμένων δεδομένων, οι υποχρεώσεις και δικαιώματα του υπευθύνου επεξεργασίας, και συμφωνίες σχετικά με την ασφάλεια, την εμπιστευτικότητα, τους υπεργολάβους και τον τρόπο συμμετοχής σε ελέγχους. Περιέχει επίσης τον τρόπο αντιμετώπισης πιθανής παραβίασης δεδομένων στον επεξεργαζόμενο και τι συμβαίνει με τα δεδομένα μόλις σταματήσει η συνεργασία.
Αυτή η απαρίθμηση περιέχεται κατά λέξη στην ίδια τη διάταξη. Εάν θέλετε να ξαναδιαβάσετε τη σωστή διατύπωση, θα τη βρείτε στο EUR-Lex. Οι εποπτικές αρχές όπως η EDPB έχουν επίσης δημοσιεύσει κατευθυντήριες γραμμές σχετικά με τον τρόπο ερμηνείας αυτών των διατάξεων στην πράξη, για παράδειγμα σχετικά με την ερώτηση πότε ένας υπεργολάβος πρέπει ή όχι να γνωστοποιηθεί εκ των προτέρων.
Ποιος συντάσσει τη σύμβαση
Στην πράξη, συχνά το μεγαλύτερο μέρος παρέχει το πρότυπο: ένας προμηθευτής λογισμικού στέλνει τη δική του σύμβαση επεξεργασίας δεδομένων μαζί με τη δημιουργία μιας συνδρομής, ή ένας πελάτης σας τη στέλνει επειδή επεξεργάζεστε δεδομένα για λογαριασμό του. Αυτό δεν σημαίνει ότι πρέπει να υπογράψετε απλώς ένα παρεχόμενο κείμενο. Συνιστάται να ελέγξετε εάν όλα τα αναφερόμενα θέματα περιέχονται, εάν οι συμφωνίες ασφάλειας συμφωνούν με ό,τι περιμένετε από το άλλο μέρος, και εάν η ευθύνη κατανέμεται λογικά. Σε περίπτωση αμφιβολίας σχετικά με μια συγκεκριμένη ρήτρα, είναι σκόπιμο να τη συμβουλευθείτε σε έναν νομικό σύμβουλο.
Γιατί αυτό είναι περισσότερα από μια υπογραφή
Μια σύμβαση επεξεργασίας δεδομένων δεν είναι μια τυπικότητα που ρυθμίζετε μόνο μία φορά και στη συνέχεια ξεχνάτε. Μόλις αλλάξετε έναν προμηθευτή εργαλείου, προσλάβετε έναν υπεργολάβο έξω από την ΕΕ, ή αλλάξει η φύση της επεξεργασίας δεδομένων, η υπάρχουσα σύμβαση μπορεί να καταστεί παρωχημένη. Τα κιόλας που εργάζονται με πολλαπλά εργαλεία SaaS, έχουν γρήγορα δέκα έως είκοσι από αυτές τις συμβάσεις σε εξέλιξη, καθεμία με τη δική της διάρκεια και τις δικές της συμφωνίες. Το να παρακολουθείτε ποιες συμβάσεις υπάρχουν, ποιες είναι παρωχημένες και ποιες λείπουν, είναι ένα ξεχωριστό έργο πέρα από τη καθημερινή εργασία της επιχείρησης.
Επίσης, οι συμφωνίες ασφάλειας που περιέχονται στη σύμβαση, αξίζουν προσοχής: δίνουν ενδείξεις για τον τρόπο που ένας επεξεργαζόμενος αντιμετωπίζει την πρόσβαση, την κρυπτογράφηση και τις ειδοποιήσεις σε περιστατικά. Περισσότερα σχετικά με το τι είναι σχετικό εδώ, διαβάστε στη σελίδα σχετικά με ασφάλεια προσωπικών δεδομένων κατά την επεξεργασία.
Τι μπορείτε να κάνετε μόνοι σας
Ελέγξτε σε κάθε νέα συνεργασία εάν υπάρχει κοινή χρήση δεδομένων προσώπων, και αν ναι, εάν υπάρχει ανάγκη και είναι παρούσα μια σύμβαση επεξεργασίας. Φυλάξτε αυτές τις συμβάσεις με σαφή τρόπο, μαζί με το μητρώο επεξεργασίας που δείχνει ποιο εργαλείο επεξεργάζεται ποια δεδομένα. Εάν αμφιβάλλετε εάν μια συγκεκριμένη σύμβαση είναι πλήρης, μπορείτε να την ελέγξετε δωρεάν για τα σημαντικότερα στοιχεία. Για συχνές ερωτήσεις σχετικά με αυτό το θέμα, όπως τι συμβαίνει εάν ένας προμηθευτής αρνηθεί να υπογράψει μια σύμβαση, υπάρχει μια επισκόπηση στη σελίδα με συχνές ερωτήσεις σχετικά με τον GDPR.
Θέλετε να μάθετε πώς αυτό ταιριάζει στη δική σας κατάσταση, για παράδειγμα πόσες συμβάσεις επεξεργασίας θα χρειαστείτε πιθανώς και ποιες από αυτές απαιτούν προσοχή; Κάντε τη δωρεάν γρήγορη σάρωση ή εγγραφείτε ένα λογαριασμό επιχείρησης για να ακολουθήσει η επισκόπηση. Με αυτόν τον τρόπο θα δείτε σε λίγα λεπτά που βρίσκεστε, χωρίς να υποχρεούστε αμέσως για κάτι.