Kõige levinuem viga andmetöötluse lepingu hindamisel on see, et ettevõtted allkirjastavad dokumendi ilma kontrollimata, kes antud suhtes millise rolli omab. Andmetöötluse lepe reguleerib kokkuleppeid andmete vastutava isiku vahel, kes määrab, miks ja kuidas andmeid töödeldakse, ja andmetöötleja vahel, kes seda tema juhendamise alusel teeb. Kui seda rolli jaotust ei kontrollita, võite te mõnikord alla kirjutada dokumendi, mis teie olukorda üldse ei kehti, või te jätte vahele lepingu, mis peaks olema.
Lisaks läheb sageli valesti kolmel muul punktil: alltöötlejad, kes pole märgitud, turvameetmed, mis on kirjeldatud ainult üldistes terminites, ja ühtegi kokkulepet selle kohta, mis andmetega juhtub, kui koostöö lõpeb. Need ei ole väikesed üksikasjad, vaid see, milleks andmetöötluse lepe on mõeldud: määrata, kes millise eest vastutab, kuigi koostöö kestab ja ka pärast seda.
Rolli jaotuse mittekontrollimine
Andmetöötluse lepe eeldab fikseeritud jaotust: üks pool määrab töötlemise eesmärgi ja vahendid, teine teostab seda töötlemist juhendamise alusel. Praktikas vahetuvad need rollid mõnikord ülesande kaupa. Raamatupidamiskontor on andmetöötleja kliendi palgahaldusele, kuid vastutav isik oma personaliga seotud andmete puhul. Kes lepet allkirjastab ilma seda rolli määramata, pole kindel, kas õige dokument allkirjastatakse. AVG ise kirjeldab seda rolli jaotust ja EDPB juhendid käsitlevad seda põhjalikult.
Alltöötlejad, kes nimetamata jäävad
Paljud SaaS-vahendid kaasavad oma omakorda teisi osapooli, näiteks hostingu või klienditeeninduse jaoks. Andmetöötluse leppes peaks olema märgitud, kas see on lubatud, millistel tingimustel ja kas teid sellest enne teavitatakse. Kui see määratlus puudub, te lihtsalt ei tea, millistel osapooltel on praktikas juurdepääs andmetele, mille te edastate. See on täpselt selline teave, mida saate teada saada teemakaupa meie teadusandmebaasist enne kui alla kirjutate.
Turvalisus, mis on kirjeldatud ainult üldistes terminites
Lause nagu "võetakse kasutusele asjakohased tehilised ja organisatsioonilised meetmed" ütleb omaette vähe. Lepe, mis edasi läheb, nimetab konkreetselt, mida need meetmed tähendavad: krüpteerimine, juurdepääsukontrool, varukoopiad, juhtumise korral teadaandmise protseduurid. Mida spetsiifiline see on fikseeritud, seda selgem on, mida tarnija tegelikult teeb. Võrdluseks: lehel kuidas me ise andmete ja turvalisusega käitume näete, kuidas selline selgitus praktikas välja näha võib.
Lepingust puudub kokkulepe selle lõppemise kohta
Mis andmetega juhtub, kui lepe lõpeb? Kas need tagastatakse, hävitatakse või jäävad nad kuhugi seisma? See on üks punktidest, mis sageli puudub, samas kui just koostöö lõppemise järel on raske kokkuleppeid saavutada. Andmetöötluse lepe, mis selle kohta midagi ei ütle, jätab teid dokumentatsiooniga augu juurde täpselt hetkel, mil te seda kõige vähem kasutada saate.
Kuidas seda vältida
Enamik nendest vigadest ei teki vastumeelsusest, vaid ajanappusest: andmetöötluse lepet nähakse kui vasaraga liigutatud asja, kuigi sisuliselt on tegemist nelja või viie konkreetse punktiga. Kontrollige neid punkte enne allkirjastamist ja küsige tarnijalt, kui miski puudub või on hämara formuleeringuga. Kui kahtlete konkreetse määratluse paikapidavuses, pöörduge jurist poole või AVG enda tõlgendamise küsimustes Andmekaitse Inspektsiooni poole. Vastused sageli esitatavatele küsimustele seda tüüpi dokumentide kohta leiate ka lehelt sagedud küsimused andmetöötleja lepingute kohta.
See selgitus on mõeldud selleks, et aidata teil mõista, mis peaks andmetöötleja lepingus olema, mitte et hinnata, kas teatud dokument, mille te saite, vastab nõuetele. Kuidas me selle teabe juurde jõudsime ja millised allikad sellele aluseks on, leiate lehelt lehekülg kuidas see töötab.
Kas soovite kiiresti näha, kus teie ettevõte asub? Tehke tasuta kiirskann või sirvige teadusbaasi teemasid, et näha, milline samm teie olukorra jaoks asjakohane on.