Najčešća greška pri ocjeni ugovora o obradi podataka je što poduzeća potpisuju dokument bez provjere tko u tom odnosu ima koju ulogu. Ugovor o obradi podataka uređuje sporazume između nadzornika obrade, koji određuje zašto i kako se podaci obrađuju, i obraditelja, koji to radi po nalogu. Ako se ta raspodjela uloga ne provjeri, ponekad potpišete dokument koji uopće nije primjenjiv na vašu situaciju, ili vam nedostaje upravo ugovor koji je trebao biti na mjestu.
Osim toga, često ide naopako na tri druge točke: podraditelje koji nisu navedeni, mjere sigurnosti koje su opisane samo u općim terminima, i nikakav sporazum o tome što se s podacima gebeura čim suradnja prestane. Ovo nisu mali detalji nego jezgra svrhe ugovora o obradi podataka: utvrditi tko je za što odgovoran, tijekom suradnje i nakon nje.
Neprovjera raspodjele uloga
Ugovor o obradi podataka polazi od fiksne raspodjele: jedna strana određuje svrhu i sredstva obrade, druga izvršava tu obradu prema uputi. U praksi se te uloge ponekad mijenjaju po zadatku. Revizorski ured je obraditelj za registar plaća svog klijenta, ali nadzornik obrade za vlastite podatke o zaposlenicima. Tko potpisuje ugovor bez određivanja te uloge, nije siguran je li potpisan ispravan dokument. Sama Uredba određuje ovu raspodjelu uloga, a smjernice EDPB-a detaljno je obrađuju.
Podraditelji koji ostanu neimenovani
Mnogi SaaS-alati pak aktiviraju druge strane, na primjer za hosting ili za korisnički servis. Ugovor o obradi podataka trebao bi navedati je li to dozvoljeno, pod kojim uvjetima i trebate li biti unaprijed obaviješteni. Ako ta odredba nedostaje, jednostavno ne znate koje strane u praksi imaju pristup podacima koje ste dostavio. To je upravo vrsta informacija koju možete u bazi znanja po temi provjeriti prije nego što potpišete.
Sigurnost koja je opisana samo u općim terminima
Rečenica kao što je "doneće se odgovarajuće tehničke i organizacijske mjere" sama po sebi malo govori. Ugovor koji ide dalje, konkretno navodi što te mjere podrazumijevaju: šifriranje, kontrola pristupa, sigurnosne kopije, postupci obavijesti tijekom incidenta. Što je to preciznije uređeno, to je jasnije što opskrbljivač stvarno radi. Za usporedbu: na stranici o tome kako sami postupamo s podacima i sigurnosti vidite kako takvo objašnjenje može izgledati u praksi.
Bez sporazuma o završetku suradnje
Što se s podacima dogodilo čim ugovor prestane? Vraćaju se, uništavaju ili ostaju negdje zapamćeni? Ovo je jedna od točaka koja najčešće nedostaje, dok je upravo nakon završetka suradnje teško ponovno postići sporazume. Ugovor o obradi podataka koji o tome ništa ne kaže, ostavlja vas sa rupom u evidenciji upravo u trenutku kada je najmanje trebate.
Kako to izbjeći
Većina tih grešaka ne nastaje iz nevolje već iz nedostatka vremena: ugovor o obradi podataka vidi se kao formalni dokument, dok je sadržajno riječ o četiri ili pet konkretnih točaka. Provjerite te točke prije nego što potpišete i raspitajte se kod opskrbljivača ako nešto nedostaje ili je nejasno formulirano. Ako sumnjate u specifičnu odredbu, konzultirajte se sa pravnikom ili, za pitanja o tumačenju samog Uredbe, s Autoritetom za zaštitu podataka. Odgovore na često postavljana pitanja o vrstama takvih dokumenata također ćete pronaći u česta pitanja o ugovorima o obradi podataka.
Ovo objašnjenje ima za cilj da vas upozna sa onim što bi trebalo da se nalazi u ugovoru o obradi podataka, a ne da proceni da li određeni dokument koji ste primili zadovoljava standarde. Kako dolazimo do ovih informacija i koji izvori im služe kao osnova, možete pročitati na stranici o načinu funkcionisanja.
Želite li brzo da vidite gde se vaša kompanija nalazi? Napravite besplatnu brzu analizu ili pregledajte teme u bazi znanja kako biste videli koji korak je bitan za vašu situaciju.