mis juhtub, kui mul ei ole andmehalduri lepingut oma tarnijaga

Ilma andmetöötluslepinguta ei täida te artiklit 28 GDPR

Kui tarnija töötleb teie nimel isikuandmeid ja andmetöötlusleping puudub, siis see on juba omaette GDPR rikkumine — sõltumata sellest, kas andmetega juhtub midagi muud valesti. Artikkel 28 GDPR näeb ette, et andmetöötleja kaasamine kirjutatakse lepingu või muu õigustoimingu kaudu; ilma selle dokumentatsioonita puudub koostöö seaduslik alus, isegi kui tarnija käsitleb andmeid ise ettevaatlikult.

See kehtib näiteks tarkvarasse, kuhu satuvad kliendiandmed, töötajate andmed või arveandmed: raamatupidamisprogrammid, meilingtuurud, hostingi pakkujad. Kes ei ole kindel, kas teatud tööriist selle kohustuse alla kuulub, saab seda kontrollida: kuidas teada, kas kasutatud tarkvara vastab GDPR-ile kontrollida; ja küsimus, kas see kehtib ka raamatupidaja puhul, tuleb uuesti käsitlemisele: kas pean sõlmima andmehalduri lepingu oma raamatupidajaga. Lepingu puudumine on tavaliselt asi, mis ei tule iseenesest välja enne andmelekke, kliendi kaebust või kontrolli — ja siis selgub, et lepinguid pole.

Kuidas see artiklist 28 GDPR tuleneb

Artikkel 28 GDPR sätestab, et andmetöötleja andmete töötlemist reguleerib leping, mis fikseerib rida kohustuslikke aineosi, nagu töötlemise eesmärk, kestus ja andmetöötleja kohustused; millised teemad täpselt on, kirjeldatakse jaotises mis peab andmetöötluslepingus olema. Kohustus selle lepingu sõlmimiseks lasub nii andmekoguja kui ka andmetöötlejal, ja see kehtib kogu EL-is otse määrusest; kes peab järelevalvet pidama, erineb liikmesriigiti — Hollandis on see Autoriteit Persoonsgegevens, teistes liikmesriikides selle riigi järelevalveasutus. Lisateave järelevalveasutuse kohta on leitav Autoriteit Persoonsgegevens kaudu.