Vai man jāparaksta datu apstrādes līgums, ko sūta mans klients?

Parakstīšana nav pienākums, pārbaude jau ir

Nē, nav likumā noteikta pienākuma parakstīt datu apstrādes līgumu tikai tāpēc, ka klients to iesniedz. Datu apstrādes līgums ir nolīgums starp divām pusēm, un tāpat kā jebkuram nolīgumam — vispirms tu apskatīsi, kas tajā rakstīts, pirms liksi parakstu. Klients, kurš iesniedz nolīgumu, automātiski nenosaka tā saturu — šim saturam ir jāatbilst noteiktām prasībām, un tas ir kas cits nekā "vai man jāpieņem šis dokuments".

Tas, kas tomēr ir svarīgs: ja tu kā apstrādātājs apstrādā personas datus klātienes klātienes uzdevumā, tad GDPR nosaka, ka jābūt datu apstrādes līgumam ar vairākiem obligātiem elementiem. Tāpēc jautājums nav tas, vai tu paraksti, bet tas, vai saņemtais teksts šos elementus sedz un atbilst tam, kas praktiski notiek. Jēdziens, kas formulēts pārāk plaši, jautājumi, kas nesakrīt ar faktisko pakalpojuma sniegšanu, vai trūkstošie elementi, ir iemesls kaut ko pielāgot vai piedāvāt savu versiju — nevis vienkārši parakstīt bez ierunām.

Ko par to nosaka GDPR 28. pants

GDPR 28. pants nosaka, ka datu apstrādes līgumā jāreglamentē datu apstrāde, un uzskaitī, kuri jautājumi tajā jāietver — tostarp apstrādes priekšmets un ilgums, raksturs un mērķis, personas datu veids un datu subjektu kategorijas, un datu vadītāja pienākumi un tiesības. Šis pants neko nesaka par to, kurš dokumentu izstrādā vai iesniedz; tas saka tikai to, kas tajā jāietver. Pilnu tekstu var atrast pašā regulā, un, ja ir šaubas par konkrētu tekstu, Datu aizsardzības iestādes zināšanu bāzi var izmantot kā fonu — lai gan tā instance nerisina atsevišķu līgumu novērtēšanu.