poate un acord de prelucrare fi convenit și verbal sau prin e-mail

Verbal sau prin e-mail nu este suficient

Nu, un acord verbal sau un schimb de e-mailuri izolate nu satisfac cerințele pentru un contract de prelucrare. Articolul 28 din RGPD prevede că înțelegerile dintre un responsabil de tratare și un operator de prelucrare trebuie să fie consemnate într-un contract sau alt act juridic scris, iar forma scrisă poate fi și electronică. O promisiune telefonică sau un acord verbal într-o conversație nu se încadrează în aceasta: nu este consemnat într-un mod care poate fi verificat ulterior.

Un schimb de e-mailuri se situează undeva la mijloc. E-mailurile izolate în care părțile menționează anumite înțelegeri despre prelucrarea datelor nu constituie, în sine, de obicei un contract complet de prelucrare, deoarece RGPD impune cerințe privind conținutul care de obicei nu apar în întregime într-un astfel de schimb de e-mailuri. Un document scris sau electronic care reglementează complet acel conținut — și care a fost, de asemenea, schimbat prin e-mail și găsit acceptabil de ambele părți — poate fi considerat un contract de prelucrare. Prin urmare, nu contează mediul în sine, ci întrebarea dacă toate componentele obligatorii sunt incluse și dacă este clar că ambele părți sunt de acord cu aceasta. Ce trebuie să fie exact în el este descris pe ce trebuie să conțină un contract de prelucrare.

De unde decurge din articolul 28 RGPD

Articolul 28, alineatul 3 din RGPD prevede că prelucrarea de către un operator de prelucrare este reglementată printr-un contract sau alt act juridic care obligă părțile, iar acesta trebuie să fie consemnat în scris, inclusiv în formă electronică. Această cerință se aplică în același mod în întreaga UE, deoarece RGPD este un regulament care are efect direct; nu există spațiu pentru o interpretare națională diferită pe acest punct. Dacă cineva se întreabă dacă un acord existent cu un furnizor satisface această cerință, poate verifica aceasta prin intermediul verificării pentru dacă software-ul utilizat este conform RGPD; pentru context privind consecințele absenței unui astfel de contract, există pagina despre ce se întâmplă fără un contract de prelucrare cu un furnizor. Pentru textul oficial al articolului în sine, sursa de referință este RGPD pe EUR-Lex, iar pentru clarificări din partea autorității de supraveghere neerlandeze, Autoritatea de Supraveghere privind Protecția Datelor este sursa indicată.