kas notiek, ja man nav datu apstrādes līguma ar manu piegādātāju

Bez datu apstrādes līguma jūs neatbilstat Regulas 28. pantam

Ja piegādātājs apstrādā personas datus jūsu vārdā un nav noslēgts datu apstrādes līgums, tad tas pats par sevi jau ir AVG pārkāpums — neatkarīgi no jautājuma, vai ar šiem datiem notiek kaut kas cits nepareizi. Regulas 28. pants nosaka, ka apstrādātāja piesaiste ir jāfiksē līgumā vai citā juridiskā darbībā; bez šī dokumenta trūkst juridiskā pamata sadarbībai, pat ja piegādātājs pats rūpīgi izturas pret datiem.

Tas attiecas, piemēram, uz programmatūru, kurā nonāk klientu dati, darbinieku dati vai rēķinu dati: grāmatvedības paketes, pasta sūtīšanas rīki, mitināšanas pakalpojumu sniedzēji. Kas nav pārliecināts, vai noteikts rīks ietilpst šajā pienākumā, var to pārbaudīt, izmantojot kā es zinu, ka programmatūra, ko es izmantoju, atbilst GDPR to noskaidrot; un jautājums par to, vai tas attiecas arī uz grāmatvedi, tiek atspoguļots sadaļā vai man jāslēdz datu apstrādes līgums ar savu grāmatvedu. Līguma trūkums parasti nav tas, kas tiek atklāts pats no sevis, līdz neiestājas datu drošības pārkāpums, klienta sūdzība vai pārbaude — un tad izrādās, ka vienošanās nav.

Kur tas izriet no Regulas 28. panta

Regulas 28. pants nosaka, ka apstrādātāja veikto apstrādi regulē līgums, kurā obligāti jānosaka vairāki jautājumi, piemēram, apstrādes mērķis, ilgums un apstrādātāja pienākumi; kādi jautājumi tieši tas ir, aprakstīts sadaļā kas jāiekļauj datu apstrādes līgumā. Pienākums noslēgt šo līgumu attiecas uz datu kontrolieri un apstrādātāju, un tas ir spēkā visā ES tieši no Regulas; tas, kam jāuzrauga atbilstība, atšķiras atkarībā no valsts — Nīderlandē to dara Datu personālo datu pārraudzības iestāde, citas dalībvalstis to dara savā pārraudzības iestādē. Vairāk informācijas par pārraudzības iestādi ir pieejams Datu personālo datu pārraudzības iestādes vietnē.