Ce trebuie să conțină un acord de prelucrare?

Ce trebuie să reglementeze în mod obligatoriu un contract de prelucrare

Un contract de prelucrare ar trebui să descrie ce face prelucrătorul pentru responsabilul de prelucrare cu date cu caracter personal, și în ce condiții. Aceasta începe cu elementele fundamentale: obiectul și durata prelucrării, natura și scopul acesteia, tipul de date cu caracter personal în cauză, și categoriile de persoane vizate cu care este vorba. Fără această descriere, nu se poate stabili dacă un furnizor respectă acordurile.

Pe lângă aceasta, trebuie să includă o serie de obligații care decurg direct din RGPD. Prelucrătorul prelucrează datele doar pe baza instrucțiunilor scrise ale responsabilului de prelucrare, se asigură că persoanele care prelucrează datele sunt obligate la confidențialitate, și ia măsurile de securitate corespunzătoare. De asemenea, trebuie să fie reglementat ce se întâmplă dacă prelucrătorul angajează o altă parte (un subprelucrător), cum ajută prelucrătorul la cererile persoanelor vizate și la raportarea încălcărilor de date, și ce se întâmplă cu datele când încetează prestarea serviciilor — distrugere sau restituire. Adesea se prevede și că responsabilul de prelucrare poate verifica dacă acordurile sunt respectate, de exemplu prin audit.

De unde rezultă: articolul 28 din GDPR

Această enumerare decurge direct din articolul 28 al RGPD, care descrie în mod specific ce trebuie să conțină un contract de prelucrare atunci când un responsabil de prelucrare angajează un prelucrător. Liniile directoare ale EDPB oferă o clarificare suplimentară cu privire la modul în care aceste dispoziții pot fi aplicate în practică, de exemplu la evaluarea măsurilor de securitate sau la angajarea de subprocesatori. Pentru formularea exactă a fiecărei obligații, textul articolului 28 însuși rămâne punctul de plecare.