Kas peaksin tegema ja allkirjastama andmetöötlemise lepingu, mille mu klient saadab?

Allkirjastamine ei ole kohustus, kontroll on

Ei, pole mingit seadusest tulenevat kohustust allkirjastada andmetöötleja lepingut ainult sellepärast, et klient selle esitab. Andmetöötleja leping on kahe poole vaheline kokkulepe ja nagu iga lepingu puhul kehtib: enne allkirja panemist vaatad esmalt, mis seal kirjas on. Lepingu esitav klient ei määra automaatselt selle sisu — see sisu peab vastama teatud nõuetele ja see on midagi muud kui "kas ma pean selle dokumendi vastu võtma".

Mis aga on asjakohane: kui sa andmetöötlejana töödelead isikuandmeid selle kliendi ülesandel, siis määrab GDPR ette, et andmetöötleja leping peab olema, millel on mitmeid kohustuslikke osi. Seega ei käi see selle kohta, kas sa allkirjastad, vaid kas sinu saadud tekst need osad katab ja vastab sellele, mis praktikas juhtub. Kontseptsioon, mis on liiga laialt sõnastatud, reguleerib asju, mis ei vasta tegeliku teenuse osutamisega, või jäetakse osad vahele — see on põhjus muuta või esitada oma versioon, mitte lihtsalt allkirjastada.

Mida GDPR 28. artikkel sellest ette näeb

GDPR 28. artikkel määrab, et andmetöötleja andmetöötlus peab olema reguleeritud lepinguga või muu õigustoiminguga, ja loetleb üles, milliseid teemasid selles käsitleda tuleb — muuhulgas andmetöötluse aine ja kestus, iseloom ja eesmärk, isikuandmete liik ja registriüksuste kategooriad, andmekaitsealuse kohustused ja õigused. See artikkel ei ütle midagi selle kohta, kes dokumenti koostab või esitab; see ütleb ainult, mida selles sisalduma peab. Täielike tekstide puhul on määrus ise allikaks ja kahtluste korral konkreetse teksti kohta võib andmekaitseametis olev teadmusbaas tausta pakkuda — kuigi see asutus ei otsusta üksikute lepingute üle.