Visbiežāk pieļautā kļūda, novērtējot datu apstrādes līgumu, ir tā, ka uzņēmumi paraksta dokumentu bez pārbaudes, kurš šajās attiecībās ir kurš lomu. Datu apstrādes līgums nosaka vienošanās starp datu kontrolieri, kurš nosaka, kāpēc un kā dati tiek apstrādāti, un datu apstrādātāju, kurš to dara pēc norādījuma. Ja tā lomu sadalīšana netiek pārbaudīta, tad jūs dažkārt parakstāt dokumentu, kurš pilnīgi neatbilst jūsu situācijai, vai pietrūkst jums overeenkomst, kurai viņiem bija jābūt.
Turklāt bieži vien problēmas rodas trīs citos punktos: apakšapstrādātāji, kuri nav minēti, drošības pasākumi, kuri ir aprakstīti tikai vispārējā veidā, un nav nekādu vienošanos par to, kas ar datiem notiek, kad sadarbība beidzas. Tie nav mazie sīkumi, bet datu apstrādes līguma pamatjēga: noteikt, kurš par ko ir atbildīgs, kamēr sadarbība turpinās, un arī pēc tam.
Lomu sadalīšanas nepārbaudīšana
Datu apstrādes līgums iziet no fiksēta sadalīšanas: viena puse nosaka apstrādes mērķi un līdzekļus, otra veic šo apstrādi pēc norādījuma. Praksē šie lomu dažkārt mainās pēc katras uzdevuma. Grāmatvedības birojs ir datu apstrādātājs algu administrācijas jautājumos savam klientam, bet datu kontrolieris saviem personāla datiem. Kurš paraksta vienošanos bez šā lomu noteikšanas, nav pārliecināts, vai ir parakstīts pareizais dokuments. Pati GDPR apraksta šo lomu sadalīšanu, un EDPB vadlīnijas par to sīki runā.
Apakšapstrādātāji, kuri paliek neminēti
Daudziem SaaS rīkiem pēc kārtas piesaista arī citas puses, piemēram, hostinga vai klientu servisa nolūkos. Datu apstrādes līgumam jāpaskaidro, vai tas ir atļauts, kādi ir nosacījumi un vai jūs par to tiekat informēts iepriekš. Ja šis noteikums pietrūkst, jūs vienkārši nezināt, kuras puses praksē piekļūst datiem, ko jūs sniedzat. Tas ir tieši tāds informācijas veids, ko jūs varat noskaidrot mūsu zināšanu bankā par katru tēmu pirms jūs parakstāt.
Drošība, kas izteikta tikai vispārējā veidā
Teiciens, piemēram, "tiek veikti piemēroti tehniskā un organizatoriska rakstura pasākumi" pats par sevi saka maz. Vienošanās, kas ir vairāk detalizēta, konkrēti nosauc, ko nozīmē šie pasākumi: šifrēšana, piekļuves kontrole, dublēšana, paziņošanas procedūras incidenta gadījumā. Jo konkrētāk tas ir ierakstīts, jo skaidrāk ir, ko piegādātājs patiešu dara. Salīdzināsimam: uz mūsu lapas, kur aprakstīts, kā mēs paši rīkojamies ar datiem un drošību jūs varat redzēt, kā šāds skaidrojums praksē var izskatīties.
Nav vienošanās par sadarbības beigām
Kas notiek ar datiem, kad līgums beidzas? Tiek tie atgriežti, iznīcināti vai viņi joprojām kaut kur paliek? Tā ir viena no pozīcijām, kura visbiežāk pietrūkst, lai gan tas ir īpaši svarīgi pēc sadarbības beigām. Datu apstrādes līgums, kurš par to neko nesaka, atstāj jūs ar vakuumu dokumentācijā tieši tajā brīdī, kad jūs to vismazāk varējāt izmantot.
Kā to novērst
Lielākā daļa no šīm kļūdām rodas nevis no nepatikšanas, bet no laika trūkuma: datu apstrādes līgums tiek uzskatīts par rutīnas lēmumu, bet saturiskā ziņā tas ir tikai četri vai pieci konkrēti punkti. Pārbaudiet šos punktus, pirms parakstāt, un jautājiet piegādātājam, ja kaut kas trūkst vai ir neskaidri formulēts. Ja jums ir šaubas par kādu noteiktu noteikumu, konsultējieties ar juridiskā konsultanta vai, ja jums ir jautājumi par GDPR interpretāciju, Personīgo datu apsardzības iestādi. Atbildes uz bieži uzdotajiem jautājumiem par šāda veida dokumentiem varat atrast arī sadaļā biežāk uzdotie jautājumi par datu apstrādes līgumiem.
Šis skaidrojums ir paredzēts, lai palīdzētu jums saprast, kas jābūt datu apstrādes līgumā, nevis novērtētu, vai konkrēts dokuments, ko saņēmāt, tam atbilst. Kā mēs nonākām pie šīs informācijas un kādi avoti tai ir pamatā, lasiet lapā par to, kā tas darbojas.
Vai vēlaties ātri redzēt, kur atrodas jūsu uzņēmums? Veiciet bezmaksas ātro pārbaudi vai pārlūkojiet tēmas zināšanu bankā, lai redzētu, kura darbība ir svarīga jūsu situācijai.