Mit kell tartalmaznia egy adatkezelési megállapodásnak?

Mit szabályoz egy adatfeldolgozási szerződés legalább

Egy adatfeldolgozási szerződésnek le kell írnia, hogy az adatfeldolgozó mit csinál az adatkezelő számára a személyes adatokkal, és milyen feltételek mellett. Ez az alapokkal kezdődik: a feldolgozás tárgya és időtartama, annak jellege és célja, az érintett személyes adatok típusa, valamint azoknak a személyeknek a kategóriái, akikről szó van. E leírás nélkül nem lehet megállapítani, hogy egy szállító betartja-e a megállapodásokat.

Ezen túlmenően számos olyan kötelezettségnek kell benne lennie, amely közvetlenül az GDPR-ból ered. Az adatfeldolgozó a személyes adatokat csak az adatkezelő írásbeli utasítása alapján dolgozza fel, gondoskodik arról, hogy az adatokat kezelő személyek titoktartásra kötelezettjenek, és megfelelő biztonsági intézkedéseket hoz. Szintén rendezni kell azt, hogy mi történik, ha az adatfeldolgozó egy másik felet von be (egy alfeldolgozót), hogyan segít az adatfeldolgozó az érintett személyek kérelmei és az adatvédelmi incidensek bejelentése során, valamint mit csinálnak az adatokkal, amikor a szolgáltatás véget ér – megsemmisítés vagy visszaadás. Gyakran szerepel az is, hogy az adatkezelő ellenőrizheti, hogy betartják-e a megállapodásokat, például auditálás útján.

Ebből következik: a GDPR 28. cikke

Ez a felsorolás közvetlenül az GDPR 28. cikkéből következik, amely kifejezetten azt írja le, hogy egy adatfeldolgozási szerződésnek mit kell tartalmaznia, amikor egy adatkezelő adatfeldolgozót von be. Az EDPB iránymutatásai további útmutatást nyújtanak arra vonatkozóan, hogy ezek a rendelkezések gyakorlatban hogyan alkalmazhatók, például a biztonsági intézkedések értékelésénél vagy alfeldolgozók bevonásánál. Az egyes kötelezettségek pontos megfogalmazásához továbbra is az GDPR 28. cikke szövege képezi az alapot.