Alá kell írnom egy adatkezelési megállapodást, amelyet az ügyfeleim küldnek?

Az aláírás nem kötelezettség, az ellenőrzés viszont igen

Nem, nincs jogszabályi kötelezettség egy adatfeldolgozási szerződést aláírni csak azért, mert az ügyfél azt benyújtja. Az adatfeldolgozási szerződés két fél közötti megállapodás, és mint minden szerződés esetében: először megnézed, hogy mit tartalmaz, mielőtt aláírnál. Az ügyfél, aki a szerződést elküldi, nem határozza meg automatikusan a tartalmát — a tartalomnak bizonyos feltételeknek kell megfelelnie, és ez más, mint az "el kell fogadnom ezt a dokumentumot".

Amit azonban relevánsnak kell tartani: ha adatfeldolgozóként az ügyfél megbízásából személyes adatokat dolgozol fel, akkor az GDPR előírja, hogy adatfeldolgozási szerződésnek kell lennie, bizonyos kötelező elemekkel. Tehát nem arról van szó, hogy aláírsz-e, hanem arról, hogy a kapott szöveg tartalmazza-e ezeket az elemeket, és összhangban van-e a gyakorlatban történtekkel. Egy túl tág módon megfogalmazott koncepció, olyan dolgokat szabályoz, amelyek nem egyeznek a tényleges szolgáltatásnyújtással, vagy hiányoznak az elemek, ez oka annak, hogy módosítsunk vagy saját verziót javasoljunk — nem azért, hogy egyszerűen aláírjunk.

Mit szabályoz a GDPR 28. cikke

A GDPR 28. cikke meghatározza, hogy az adatfeldolgozást szerződésben vagy más jogi cselekményben kell szabályozni, és felsorolja, hogy mely témaköröknek kell szerepelniük — többek között a feldolgozás tárgya és időtartama, jellege és célja, a személyes adatok típusa és az érintett személyek kategóriái, valamint az adatkezelő kötelezettségei és jogai. Ez a cikk nem azt mondja meg, hogy kí készítette vagy nyújtotta be a dokumentumot; csak azt mondja meg, hogy mit kell benne szerepelnie. A teljes szöveghez maga a rendelet a forrás, és konkrét szöveg kapcsán felmerülő kétség esetén a Nemzeti Adatvédelmi Hivatal tudásbázisa szolgálhat háttérinformációként — bár ez a szervezet nem foglalkozik egyedi szerződések értékelésével.