Pitääkö minun allekirjoittaa asiakkaani lähettämä käsittelysopimus?

Allekirjoittaminen ei ole velvoite, tarkistaminen on

Ei, sinulla ei ole lakisääteistä velvoitetta allekirjoittaa tietojenkäsittelijän sopimusta pelkästään siksi, että asiakas toimittaa sellaisen. Tietojenkäsittelijän sopimus on kahden osapuolen välinen sopimus, ja kuten kaikissa sopimuksissa pätee: tarkistat ensin, mitä siinä lukee, ennen kuin laitat allekirjoituksesi. Asiakas, joka lähettää sopimuksen, ei automaattisesti määritä sen sisältöä — sisältö on oltava tiettyjen vaatimusten mukainen, ja se on eri asia kuin "pitääkö minun hyväksyä tämä asiakirja".

Mikä on kuitenkin olennaista: jos toimit tietojenkäsittelijän roolissa ja käsittelet henkilötietoja asiakkaan toimeksiannosta, GDPR edellyttää, että tietojenkäsittelijän sopimus on olemassa ja sisältää useita pakollisia osia. Kyse ei siis ole siitä, allekirjoitatko vai et, vaan siitä, kattaako saamaasi teksti nämä osat ja vastaavatko ne käytännössä tapahtuvaa palveluntuotantoa. Käsite, joka on liian laaja muotoiltu, sääntelee asioita, jotka eivät vastaa todellista palvelun toimittamista, tai joka puuttuu pakollisista osista, on syy muutosten tekemiseen tai oman version ehdottamiseen — ei syy allekirjoittaa sitä ilman muuta.

Mitä GDPR:n 28. artikla tästä sääntelee

GDPR:n 28. artikla säätää, että tietojenkäsittelijän suorittama käsittely on säädeltävä sopimuksella tai muulla oikeustoimin, ja luettelee, mitä aiheita siinä on käsiteltävä — muun muassa käsittelyn aihe ja kesto, luonne ja tarkoitus, henkilötietojen laji ja rekisteröityjen kategoriat sekä päätiedon haltijoiden ja tietojenkäsittelijöiden velvoitteet ja oikeudet. Tämä artikla ei kerro, kuka asiakirjan laati tai toimitti; se vain määrittelee, mitä siinä on oltava. Koko tekstin osalta asetus itsensä on lähde, ja epätietoisuuden tapauksessa tietyn tekstin osalta Tietosuojaviranomaisen tietopankki voi tarjota taustatietoja — vaikka tämä viranomainen ei arvioi yksittäisiä sopimuksia.