Datu apstrādes līgums ir rakstisks līgums starp divām pusēm: tādu, kas nosaka, kāpēc un kā tiek apstrādāti personiskie dati, un tādu, kas to viņa vārdā veic. Pirmā puse YDPR ir datu vadītājs, otrā puse ir datu apstrādātājs. Jums ir nepieciešams šāds līgums, tiklīdz jūs personiskos datus nodarbina cita uzņēmuma, piemēram, algu administrācijas birojam, mitināšanas pakalpojuma sniedzējam vai SaaS rīkam, kurā ir klientu dati.
Būtība ir vienkārša: likums nosaka šo līgumu, jo datu vadītājs paliek atbildīgs par to, kas notiek ar datiem, pat ja cits uzņēmums veic tehnisko darbu. Bez skaidriem līgumiem nav noteikts, ko šī otra puse var darīt ar datiem, cik ilgi tie tiek glabāti un kas notiek datu noplūdes gadījumā. Datu apstrādes līgums padara šo sadalījumu redzamu.
Kad ir runa par datu apstrādātāju
Ne katra puse, ar kuru jūs sadarbojas, ir datu apstrādātājs. Grāmatvedis, kas sastāda jūsu gada pārskatu ar savu profesionālo atbildību, parasti ir pats datu vadītājs šim uzdevumam. Mākoņa pakalpojums, kas glabā un apstrādā jūsu klientu datu bāzi saskaņā ar jūsu norādījumiem, parasti ir datu apstrādātājs. Atšķirība ir jautājumā par to, kas nosaka apstrādes mērķi un veidu. Ja jūs neesat drošs, vai puse ir datu apstrādātājs, Personīgo datu apsardzības iestādes zināšanu bāze sniedz norādījumus, un jūs varat arī pārbaudīt šo jautājumu katrai situācijai atbilstošā veidā zināšanu bāze ar YDPR jautājumiem katrai situācijai.
Kas minimāli jāietver
YDPR nosaka vairākus jautājumus, kas jāreglamentē datu apstrādes līgumā: apstrādes priekšmets un ilgums, tās raksturs un mērķis, personiskie dati un datu subjektu kategorijas, datu vadītāja un datu apstrādātāja pienākumi un tiesības, kā arī līgumi par drošību, konfidencialitāti, apakšuzņēmumiem un to, kā sadarboties ar pārkārtojumiem. Tas arī nosaka, kā tiek rīkoties ar iespējamu datu noplūdi apstrādātājam un kas notiek ar datiem, kad sadarbība beidzas.
Šis uzskaitījums ir burtiski norādīts pašā regulā; ja vēlaties pārlasīt precīzu formulējumu, varat to atrast EUR-Lex vietnē. Uzraudzības iestādes, piemēram, EDPB, ir publicējušas pamatnostājas par to, kā šie noteikumi tiek interpretēti praksē, piemēram, saistībā ar jautājumu, kad apakšuzņēmums ir jāpaziņo iepriekš.
Kas sagatavo līgumu
Praksē lielākā puse bieži sniedz savu veidni: programmatūras piegādātājs nosūta savu datu apstrādes līgumu kopā ar abonenta noslēgšanu, vai klients nosūta to jums, jo jūs viņam apstrādājat datus. Tas nenozīmē, ka jums vienkārši jāparaksta saņemtais teksts. Ieteicams pārbaudīt, vai visi minētie jautājumi ir ietverti, vai drošības līgumi atbilst tam, ko jūs sagaidāt no otras puses, un vai atbildība ir saprātīgi sadalīta. Neskaidro punktu gadījumā ieteicams ar konkrētu klauzulu apspriestis ar juristu.
Kāpēc tas ir vairāk nekā paraksts
Datu apstrādes līgums nav formalitāte, ko sakārto vienreiz un pēc tam aizmirst. Tiklīdz mainās rīka piegādātājs, tiek piesaistīts apakšuzņēmums ārpus ES vai mainās datu apstrādes raksturs, esošais līgums var kļūt novecojis. Uzņēmumi, kas strādā ar vairākām SaaS rīkiem, ātri tiek nonāk desmit līdz divdesmit šādu līgumu jūgā, katrs ar savu ilgumu un saviem noteikumiem. Izsekošana tam, kādi līgumi ir, kuri ir novecojuši un kuri trūkst, ir atsevišķs uzdevums papildus ikdienas biznesa norisēm.
Arī drošības līgumiem, kas ietverti datu apstrādes līgumā, ir vērts pievērst uzmanību: tie norāda uz to, kā apstrādātājs rīkojas ar piekļuvi, šifrēšanu un paziņojumiem par incidentiem. Vairāk par to, kas šajā sakarā ir svarīgs, lasiet lapā par personīgo datu drošību apstrādātājiem.
Ko jūs varat darīt pats
Pārbaudiet pie katras jaunas sadarbības, vai tiek kopīgoti personas dati, un, ja jā, vai ir nepieciešams un pieejams datu apstrādes līgums. Glabājiet šos līgumus pārskatāmi, kopā ar apstrādes reģistru, kurā norādīts, kuras datas kurš rīks apstrādā. Ja šaubāties, vai konkrētais līgums ir pilnīgs, varat to bez maksas pārbaudīt pēc svarīgākajiem punktiem. Bieži uzdotie jautājumi par šo tēmu, piemēram, kas notiek, ja piegādātājs nevēlas parakstīt līgumu, ir apkopoti lapā ar bieži uzdotajiem jautājumiem par ĢVDP.
Vai vēlaties uzzināt, kā tas atbilst jūsu situācijai, piemēram, cik datu apstrādes līgumu jums iespējams nepieciešams un kuri no tiem prasa uzmanību? Veiciet bezmaksas ātro pārbaudi vai reģistrējiet uzņēmējdarbības kontu, lai sekotu pārskatam. Tā pēc pāris minūtēm redzēsiet, kur stāvat, bez tiešas saistības ar ko nors.