Cea mai frecventă greșeală în evaluarea unui contract de prelucrare este că companiile semnează documentul fără a controla cine are ce rol în relația respectivă. Un contract de prelucrare reglementează acordurile dintre un responsabil al prelucrării, care stabilește de ce și cum se prelucrează datele, și un prelucrător, care o face în executarea instrucțiunilor. Dacă nu se verifică această împărțire a rolurilor, semnați uneori un document care nu se aplică deloc situației dumneavoastră, sau vă lipsește tocmai un contract care ar fi trebuit să existe.
În afară de aceasta, lucrurile se complică adesea în alte trei moduri: subprelucători care nu sunt menționați, măsuri de securitate descrise doar în termeni generali, și nici o prevedere cu privire la ce se întâmplă cu datele odată ce colaborarea încetează. Acestea nu sunt detalii minore, ci esența pentru care servește un contract de prelucrare: a consemna cine este responsabil pentru ce, atât cât durează colaborarea, cât și după.
Necontrolarea împărțirii rolurilor
Un contract de prelucrare se bazează pe o împărțire fixă: o parte stabilește scopul și mijloacele prelucrării, cealaltă execută acea prelucrare conform instrucțiunilor. În practică, aceste roluri se schimbă uneori în funcție de sarcină. Un birou de contabilitate este prelucrător pentru administrarea salariilor unui client, dar responsabil al prelucrării pentru propriile date ale personalului. Cine semnează un contract fără a stabili acest rol nu este sigur dacă documentul corespunzător a fost semnat. Regulamentul privind protecția datelor descrie el însuși această împărțire a rolurilor, iar orientările EDPB se referă la aceasta în detaliu.
Subprelucători care rămân nedezvăluiți
Multe instrumente SaaS implică la rândul lor alte părți, de exemplu pentru găzduire sau pentru servicii de asistență pentru clienți. Un contract de prelucrare ar trebui să menționeze dacă aceasta este permisă, în ce condiții, și dacă sunteți informați în prealabil. Dacă această prevedere lipsește, pur și simplu nu știți ce părți au în practică acces la datele pe care le furnizați. Aceasta este exact tipul de informații pe care le puteți consulta în baza de cunoștințe pe topic înainte de a semna.
Securitate descrisă doar în termeni generali
O propoziție cum ar fi "se vor lua măsuri tehnice și organizatorice corespunzătoare" nu spune prea mult în sine. Un contract care merge mai departe menționează concret ce înseamnă acele măsuri: criptare, control al accesului, copii de siguranță, proceduri de notificare în caz de incident. Cu cât mai specific este consemnat, cu atât mai clar este ce face de fapt un furnizor. Pentru comparație, pe pagina despre cum noi înșine ne comportăm cu datele și securitatea puteți vedea cum poate arăta în practică o astfel de explicație.
Nicio prevedere cu privire la sfârșitul colaborării
Ce se întâmplă cu datele odată ce contractul se termină? Sunt returnate, distruse, sau rămân încă undeva? Acesta este unul dintre punctele care lipsesc cel mai des, în timp ce este tocmai după încheierea unei colaborări că este greu să se facă încă acorduri. Un contract de prelucrare care nu spune nimic despre aceasta vă lasă cu o lacună în evidență exact în momentul în care o puteți folosi cel mai puțin.
Cum evitați acest lucru
Cele mai multe dintre aceste greșeli nu apar din lipsă de voință, ci din lipsă de timp: un contract de prelucrare este privit ca o formalitate, în timp ce în esență se referă la patru sau cinci puncte concrete. Verificați aceste puncte înainte de a semna și solicitați lămuriri furnizorului dacă ceva lipsește sau este formulat vag. Dacă aveți îndoieli cu privire la o anumită prevedere, consultați un jurist sau, pentru întrebări cu privire la interpretarea Regulamentului privind protecția datelor în sine, Autoritatea de Supraveghere a Prelucrării Datelor cu Caracter Personal. Răspunsuri la întrebări frecvente cu privire la acest tip de documente le găsiți și sub întrebările frecvente despre acordurile de prelucrare.
Această explicație este destinată să vă orienteze cu privire la ceea ce ar trebui să conțină un acord de prelucrare, nu să evalueze dacă un document specific pe care l-ați primit este conform. Cum ajungem la aceste informații și care sunt sursele care stau la baza acestora, puteți citi pe pagina despre modul în care funcționează.
Doriți să vedeți rapid unde se află compania dvs.? Efectuați scanarea rapidă gratuită sau răsfoiți subiectele din baza de cunoștințe pentru a vedea care etapă este relevantă pentru situația dvs.