Az adatkezelési szerződés egy írásbeli megállapodás két fél között: az, aki meghatározza, hogy miért és hogyan történik a személyes adatok kezelése, és az, aki ezt neki végzi. Az első a GDPR-ben adatkezelőnek, a második adatfeldolgozónak nevezzük. Ilyen szerződésre akkor van szüksége, amikor személyes adatokat bíznak meg egy másik cégre, például egy bérszámfejtési irodára, egy hosting-szolgáltatóra vagy egy SaaS-eszközre, amelyben ügyfélátadatok tárolódnak.
A lényeg egyszerű: a törvény előírja ezt a megállapodást, mert az adatkezelő felelős marad azért, amit az adatokkal történik, még akkor is, ha egy másik cég végzi a technikai munkát. Világos megállapodások nélkül nem rögzített, hogy a másik fél mit tehet és mit nem az adatokkal, meddig őrzik meg azokat, és mi történik adatvédelmi incidens esetén. Az adatkezelési szerződés láthatóvá teszi ezt az elosztást.
Mikor van szó adatfeldolgozóról
Nem minden partnerrel, akivel dolgozik, az adatfeldolgozó. A könyvelő, aki saját szakmai felelősséggel állítja össze az éves beszámolóját, általában maga az adatkezelő ehhez a feladathoz. Az a felhőszolgáltatás, amely az ügyféladatbázisát tárolja és az Ön utasításai szerint feldolgozza, általában adatfeldolgozó. A megkülönböztetés abban van, hogy ki határozza meg a feldolgozás célját és eszközeit. Ha biztos abban, hogy egy fél adatfeldolgozó-e, a Nemzeti Adatvédelmi Hatóság tudásbázisa iránymutatást ad, és ezt szituációnként is végigmegy a tudásbázison, amely GDPR-témákat tartalmaz szituációnként.
Mi a minimum, amit tartalmaznia kell
A GDPR számos olyan témát nevez meg, amelyeket az adatkezelési szerződésben szabályozni kell: a feldolgozás tárgya és időtartama, annak jellege és célja, a személyes adatok típusa és az érintett személyek kategóriái, az adatkezelő kötelezettségei és jogai, valamint az adatbiztonságra, titoktartásra, alvállalkozókra és az ellenőrzésekben való közreműködés módjára vonatkozó megállapodások. Szintén rögzítve van, hogyan kezelik a feldolgozónál az adatvédelmi incidenseket, és az adatokkal mi történik az együttműködés befejeztével.
Ez az enumeráció szó szerint szerepel a rendeletben; ha a pontos szövegezést szeretné újraolvasni, azt az EUR-Lexben találja. A felügyeleti szervek, például az EDPB, ezenkívül közzétettek iránymutatásokat arról, hogy ezeket a rendelkezéseket a gyakorlatban hogyan értelmezik, például az alvállalkozónak a priori bejelentésre vonatkozó kérdés körül.
Ki készíti el a szerződést
A gyakorlatban gyakran a nagyobb fél biztosítja a sablont: egy szoftverfejlesztő saját adatkezelési szerződését csatolja az előfizetés megkötésekor, vagy egy ügyfél elküldi Önnek, mert Ön feldolgozza az adatait. Ez nem jelenti azt, hogy az átadott szöveget simán alá kell írnia. Ajánlott ellenőrizni, hogy az említett témák mind benne vannak-e, hogy a biztonsági megállapodások megfelelnek-e annak, amit a másik féltől vár, és hogy a felelősség helyesen van-e elosztva. Egy adott záradék miatt felmerülő kétségek esetén érdemes azt juristához vinni.
Miért ez többnél, mint egy aláírás
Az adatkezelési szerződés nem egy formalitás, amit egyszer rendelsz és akkor elfeledkezel róla. Amint egy eszközszállító vált, alvállalkozót vonnak be az EU-n kívül, vagy megváltozik az adatfeldolgozás jellegzetessége, a meglévő szerződés elavulttá válhat. A több SaaS-eszközzel dolgozó cégeknek már könnyen tíz-húsz ilyen szerződésük fut, mindegyiknek saját futamideje és megállapodásai. Nyilvántartani, mely szerződések vannak, melyek elavultak, és melyek hiányoznak, a napi tevékenységek mellett egy külön munka.
A szerződésben rögzített biztonsági megállapodások szintén figyelmet érdemelnek: ezek azt mutatják, hogyan kezel egy adatfeldolgozó hozzáférést, titkosítást és értesítéseket incidensek esetén. Az ezzel kapcsolatos relevanciáról többet olvashat a személyes adatok védelme az adatfeldolgozóknál.
Mit tehet Ön
Minden új együttműködésnél ellenőrizze, hogy személyes adatok kerülnek-e megosztásra, és ha igen, szükséges-e és jelen van-e az adatfeldolgozási szerződés. Ezeket a szerződéseket áttekinthetően tárolja, valamint az adatfeldolgozási nyilvántartással együtt, amely rögzíti, hogy mely eszköz mely adatokat feldolgozza. Ha abban kételkedik, hogy egy konkrét szerződés teljes-e, ezt ingyenesen ellenőrizheti a legfontosabb elemekre vonatkozóan. Az e tárgyban felmerülő gyakori kérdésekhez, például ahhoz, hogy mit tehet, ha egy szolgáltató nem akarja aláírni a szerződést, útmutató található az alábbi oldalon: gyakori kérdések az GDPR-ról.
Szeretne-e tudni, hogy ez hogyan illeszkedik a saját helyzetébe, például hány adatfeldolgozási szerződésre van valószínűleg szüksége, és közülük melyekre kell figyelmet fordítani? Végezze el az ingyenes gyorsfelülvizsgálatot vagy regisztráljon vállalati fiókra az áttekintés nyomon követéséhez. így néhány perc alatt láthatja helyzetét, anélkül, hogy azonnal kötelezettségeket vállalna.