A leggyakoribb hiba egy adatfeldolgozási szerződés értékelésekor az, hogy a vállalatok aláírják a dokumentumot anélkül, hogy ellenőriznék, ki milyen szerepet játszik az adott kapcsolatban. Egy adatfeldolgozási szerződés megállapodásokat rögzít egy adatkezelő (aki meghatározza, hogy miért és hogyan történik az adatok feldolgozása) és egy adatfeldolgozó (aki ezt megbízásból végzi) között. Ha ez a szereposztás nem kerül ellenőrzésre, akkor előfordulhat, hogy aláír egy olyan dokumentumot, amely egyáltalán nem vonatkozik az Ön helyzetére, vagy éppen hiányzik egy szükséges szerződés.
Ezen kívül három másik ponton szokott hiba előfordulni: az alvállalkozók, akik nem szerepelnek, az általános kifejezésekben leírt biztonsági intézkedések, és semmiféle megállapodás arról, hogy mi történik az adatokkal az együttműködés befejezésekor. Ezek nem apróságok, hanem az adatfeldolgozási szerződés lényege: rögzíteni, hogy ki milyen felelősséget visel, mindaddig, amíg az együttműködés tart, és azt követően is.
A szereposztás ellenőrzésének elmulasztása
Egy adatfeldolgozási szerződés egy rögzített elosztásból indul ki: az egyik fél meghatározza a feldolgozás céljait és eszközeit, a másik fél ezeket az utasítások szerint végzi el. A gyakorlatban ezek a szerepek néha felcserélődnek feladatonként. Egy könyvelőiroda feldolgozóként működik egy ügyfél bérszámfejtésében, de adatkezelőként saját személyzeti adataiban. Aki aláír egy szerződést e szerepek meghatározása nélkül, nem lehet biztos abban, hogy a helyes dokumentumot írta alá. Az GDPR maga írja le ezt a szereposztást, és az EDPB iránymutatásai részletesen foglalkoznak vele.
Az alvállalkozók, akik megnevezve maradnak
Sok SaaS-eszköz viszont más feleket is bevon, például a hostinghoz vagy az ügyfélszolgálathoz. Egy adatfeldolgozási szerződésben meg kell említenie, hogy ez megengedett-e, milyen feltételek mellett, és hogy kapnak-e előzetes értesítést erről. Ha ez a meghatározás hiányzik, egyszerűen nem tudja, hogy mely felek férnek hozzá a gyakorlatban az Ön által szolgáltatott adatokhoz. Ez pontosan az a típusú információ, amelyet az a tudásbázisban témánként megtekinthet azelőtt, hogy aláírna.
A biztonsági intézkedések, amelyek csak általános kifejezésekben szerepelnek
Egy olyan mondat, mint az "megfelelő műszaki és szervezeti intézkedéseket fognak megtenni", önmagában nem sokat mond. Egy olyan szerződés, amely továbbléphet, konkrétan leírja, hogy ezek az intézkedések mit jelentenek: titkosítás, hozzáférés-ellenőrzés, biztonsági másolatok, incidensmjelentési eljárások. Minél konkrétabban van rögzítve, annál világosabb, hogy egy szállító mit is tesz valójában. Összehasonlításképp: az oldalunkon arról, hogy mi magunk hogyan kezeljük az adatokat és a biztonságot láthatja, hogy egy ilyen magyarázat a gyakorlatban hogyan néz ki.
Nincs megállapodás az együttműködés végéről
Mi történik az adatokkal, miután a szerződés lejár? Vissza lesznek adva, megsemmisítve, vagy valahol még fenn maradnak? Ez az egyik olyan pont, amely leggyakrabban hiányzik, pedig éppen az együttműködés befejezése után nehéz már további megállapodásokat kötni. Egy olyan adatfeldolgozási szerződés, amely erről nem szól, egy hiánnyal hagyja el Önt a nyilvántartásban, pont akkor, amikor a legkevésbé tudomásul lehet venni.
Hogyan kerülheti el ezt
Ezen hibák többsége nem rossz szándékból, hanem időhiányból keletkezik: egy adatfeldolgozási szerződést kalapácsdarabként kezelnek, míg tartalmilag négy vagy öt konkrét pontról van szó. Ellenőrizze ezeket a pontokat azelőtt, hogy aláír, és kérdezz rá a szállítónál, ha valami hiányzik vagy homályosan van megfogalmazva. Ha egy adott meghatározásban kétségei vannak, forduljon jogászhoz, vagy ha kérdése van az GDPR magyarázatáról, az adatvédelmi hatósághoz. Az ilyen típusú dokumentumokkal kapcsolatos gyakran ismételt kérdésekre adott válaszokat az alábbiak között is találhat: a gyakran ismételt kérdések az adatfeldolgozási szerződésekről.
Ez a magyarázat célja, hogy eligazítsa Önt abban, mi tartozik egy adatfeldolgozási szerződésbe, nem pedig annak megállapítása, hogy egy bizonyos, általa kapott dokumentum megfelel-e. Hogyan jutottunk ehhez az információhoz és mely források szolgálnak alapjául, azt a az oldal arról, hogyan működik.
Szeretné gyorsan meglátni, hogy a vállalata hol áll? Végezze el az ingyenes gyorsértékelést, vagy böngésszen a tudásbázis témái között, hogy megtudja, mely lépés releváns az Ön helyzetében.