Mis peab andmetöötlemise lepingus olema?

Mis määrab andmehaldusleping kindlasti ära

Andmehaldusleping peab kirjeldama, mida töötleja andmekogule ja andmete vastutava isiku heaks andmetega teeb ning millistel tingimustel. See algab põhialustega: töötlemise teema ja kestus, selle olemus ja eesmärk, andmete liik, millega tegemist on, ja isikute kategooriad, kellega on seotud. Ilma selline kirjelduseta pole võimalik kindlaks teha, kas tarnija peab lepingutingimusi.

Lisaks peab lepingus olema rida kohustusi, mis tulevad otse GDPR-ist. Töötleja töötleb andmeid üksnes andmete vastutava isiku kirjalike juhiste alusel, tagab, et andmeid töötlevad isikud on salajasuse suhtes kohustatud, ja rakendab asjakohaseid turvameetmeid. Samuti peab olema reguleeritud, mis juhtub siis, kui töötleja kaasab teise osapoole (alamtöötleja), kuidas töötleja aitab isikute taotlustel ja andmepuudutuste teatamisel, ja mis juhtub andmetega pärast teenuse lõpetamist — kustutamine või tagastamine. Sageli on lepingus ka see, et andmete vastutav isik võib kontrollida, kas lepingutingimusi järgitakse, näiteks auditi kaudu.

Kust see tuleneb: GDPR 28. artikkel

See loend tuleneb otse GDPR-i artiklist 28, mis määrab konkreetselt ära, mida andmehalduslepingus peab sisaldama, kui andmete vastutav isik kaasab töötleja. EDPB-i juhised annavad selleks lisaselgituse, kuidas neid sätteid praktikas rakendada, näiteks turvameetmete hindamisel või alamtöötlejate kaasamisel. Iga kohustuse täpse sõnastuse osas jääb artikli 28 tekst ise lähtepunktiks.