Andmehaldusleping on kirjalik kokkulepe kahe poole vahel: isik, kes määrab, miks ja kuidas isikuandmeid töödeldakse, ja isik, kes seda tema nimel teostab. Esimest nimetatakse GDPR-s andmekontrollija, teist andmete töötlejat. Teil on selline kokkulepe vaja kohe, kui delegeerite isikuandmete töötlemise teisele ettevõttele, näiteks palgahaldusteenuse pakkujale, hostinguteenuse pakkujale või SaaS-tööriistale, kus klientide andmed asuvad.
Põhimõte on lihtne: seadus nõuab seda kokkulepet, sest andmekontrollija jääb vastutavaks selle eest, mis andmetega juhtub, isegi kui teine ettevõte teeb tehnilist tööd. Ilma selgete kokkulepeteta ei ole määratletud, mida teine osapool andmetega teha võib ja ei tohi, kui kaua neid säilitatakse ja mis juhtumisel andmete rikkumise korral. Andmete töötlemise leping teeb selle jaotuse nähtavaks.
Millal on tegemist andmete töötlejaga
Mitte iga partner, kellega te koostööd teete, ei ole andmete töötleja. Raamatupidaja, kes koostab teie aastaaruande omava professionaalse vastutusega, on tavaliselt ise selle ülesande andmekontrollija. Pilveteenistus, mis teie klientide andmebaasi salvestab ja töötleb teie juhiste kohaselt, on üldjuhul andmete töötleja. Eristus seisneb selles, kes määrab töötlemise eesmärgi ja vahendid. Kui te kahtlete, kas partner on andmete töötleja, annab Andmekaitse Inspektsiooni teadmusjaotis sellele suunda ja saate seda käsitleda olukordade kaupa. teadmusjaotis GDPR-teemade kaupa juhtumi järgi.
Mis peab leppes vähemalt olema
GDPR nimetab mitmeid teemasid, mis andmete töötlemise lepingus reguleerida tuleb: töötlemise ese ja kestus, selle iseloom ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, andmekontrollija kohustused ja õigused ning lepingud turvalisuse, salajasuse, alamtöötlejate ja auditeerimisel koostöö tegemise viisi kohta. Lisaks see, kuidas käsitletakse andmete töötleja võimalikku andmete rikkumist ja mis andmetega juhtub koostöö lõppemisel.
See loetelu on kirjutatud otse määruses endale; kui soovite täpset sõnastust uuesti lugeda, leiate selle EUR-Lexist. Järelevalveasutused, näiteks EDPB, on avaldanud juhised nende määruste praktikas tõlgendamise kohta, näiteks küsimuses, millal tuleb alamtöötleja ette teatada.
Kes lepingu koostab
Praktikas pakub sageli suurem pool malli: tarkvara tarnija saadab kaasa oma andmete töötlemise lepingu tellimusele või klient saadab selle teile, sest töötlete tema andmeid. See ei tähenda, et peaksite allkirjastama esitatud teksti niisama. Soovitatav on kontrollida, kas kõik mainitud teemad on sees, kas turvalisuse kokkulepped vastavad sellele, mida teised poolelt ootate, ja kas vastutus on jaotatud õiglaselt. Kui on kahtlusi konkreetse sätete osas, on mõistlik see juristile esitada.
Miks see rohkem on kui allkiri
Andmete töötlemise leping ei ole formaalsus, mida korratakse üks kord ja siis unustatakse. Kohe kui tarnija tööriistu vahetatakse, kaasatakse alamtöötleja väljaspool ELi või andmete töötlemise iseloom muutub, võib olemasolev kokkulepe vananenud muutuda. Ettevõtted, kes töötavad mitme SaaS-tööriistaga, omavad kiiresti kümme kuni kakskümmend sellist lepingut, igaüks omaenda kestvusega ja omaenda kokkulepped. Jälgimine, millised lepingud on, millised on vananenud ja millised puuduvad, on eraldi ülesanne kõrvuti igapäevase äritegevusega.
Samuti turvalisuse kokkulepped, mis lepingus on, väärivad tähelepanu: nad ütlevad millegi selle kohta, kuidas andmete töötleja käsitleb juurdepääsu, krüpteerimist ja teatamist intsidentidest. Lisateabe saamiseks selle kohta, mis on asjakohane, leiate lehelt andmete turvalisus andmete töötlejatel.
Mida saate ise teha
Kontrollige iga uue koostöö puhul, kas isikuandmeid jagatakse, ja kui jah, kas on vaja andmetöötleja lepingut ja kas see on olemas. Hoidke neid lepinguid ülevaatlikult koos andmetöötlemise registriga, kus on märgitud, milline tööriist milliseid andmeid töötleb. Kui kahtlete, kas konkreetne leping on täielik, saate selle tasuta kontrollida olulisemate osade osas. Sagedamini esitatud küsimuste jaoks selle teema kohta, näiteks mis juhtub, kui tarnija keeldub lepingut allkirjastamast, on ülevaade lehel sagedamini esitatud küsimused GDPR kohta.
Kas soovite teada, kuidas see sobib teie olukorrasse, näiteks kui palju andmetöötleja lepinguid teil tõenäoliselt vaja on ja millised neist nõuavad tähelepanu? Tehke tasuta kiiranalüüs või registreerige ärikonto, et lasta registril kaasa käia. Nii näete paari minutiga, kus te seisate, ilma et te midagi koheselt teha peaksite.