Kas jāiekļauj datu apstrādes līgumā?

Ko datu apstrādes līgumam jānosaka jebkurā gadījumā

Datu apstrādes līgumam jāapraksta, ko datu apstrādātājs dara ar personas datiem datu vadītāja uzdevumā un kādi ir nosacījumi. Tas sākas ar pamatu: apstrādes priekšmets un ilgums, tā raksturs un mērķis, personas datu veids, kas to attiecas, un personu kategorijas, kurām tas ir paredzēts. Bez šāda apraksta nav iespējams noteikt, vai piegādātājs ievēro vienošanās nosacījumus.

Turklāt tajā jāiekļauj vairāki pienākumi, kas tieši izriet no VDAR. Datu apstrādātājs apstrādā datus tikai pamatojoties uz rakstiskiem datu vadītāja norādījumiem, nodrošina, ka personas, kas apstrādā datus, ir saistītas ar konfidencialitāti, un pieņem atbilstošus drošības pasākumus. Tāpat jāreglamentē, kas notiek, ja datu apstrādātājs iesaista citu pusi (apakšapstrādātāju), kā datu apstrādātājs palīdz, reaģējot uz personu pieprasījumiem un datu noplūdes paziņošanai, un kas notiek ar datiem, kad pakalpojuma sniegšana beidzas — iznīcināšana vai atgriešana. Bieži vien tajā ir arī noteikts, ka datu vadītājs var pārbaudīt, vai tiek ievēroti vienošanās noteikumi, piemēram, audita ceļā.

Avots: GDPR 28. pants

Šis uzskaitījums tieši izriet no VDAR 28. panta, kurā tieši aprakstīts, ko datu apstrādes līgumam jāsatur, ja datu vadītājs iesaista datu apstrādātāju. EDPB vadlīnijas sniedz tālāku norādījumu par to, kā šos noteikumus var praktiski piemērot, piemēram, novērtējot drošības pasākumus vai iesaistoties apakšapstrādātājus. Precīzai katra pienākuma formulēšanai par pamatā jāpaliek VDAR 28. panta tekstam.