Un contract de prelucrare a datelor este un acord scris între două părți: cea care determină de ce și cum sunt procesate datele cu caracter personal, și cea care execută acest lucru în numele ei. Prima se numește în RGPD responsabil al tratării datelor, a doua prelucrare a datelor. Aveți nevoie de un astfel de contract imediat ce externalizați prelucrarea datelor cu caracter personal către o altă companie, de exemplu o firmă de administrare salarizare, un furnizor de găzduire sau un instrument SaaS care conține date despre clienți.
Esența este simplă: legea impune acest acord deoarece responsabilul tratării datelor rămâne răspunzător pentru ceea ce se întâmplă cu datele, chiar dacă o altă companie efectuează munca tehnică. Fără acorduri clare, nu se stabilește ce poate și nu poate face cealaltă parte cu datele, cât timp se păstrează și ce se întâmplă în caz de încălcare a datelor. Un contract de prelucrare a datelor face această împărțire vizibilă.
Când este vorba de un prelucrare a datelor
Nu fiecare parte cu care colaborați este o prelucrare a datelor. Un contabil care vă pregătește situațiile financiare anuale cu propria responsabilitate profesională este de obicei responsabil al tratării datelor pentru acea sarcină. Un serviciu cloud care vă stochează și procesează baza de date a clienților conform instrucțiunilor dumneavoastră este de obicei o prelucrare a datelor. Distincția constă în întrebarea cine determină scopul și mijloacele tratării. Dacă aveți îndoieli dacă o parte este o prelucrare a datelor, banca de cunoștințe a Autorității pentru Protecția Datelor cu Caracter Personal vă poate oferi orientări și o puteți urmări și pe bază de situație în banca de cunoștințe cu subiecte RGPD pe situație.
Ce trebuie să conțină minim
RGPD menționează o serie de subiecte care trebuie reglementate într-un contract de prelucrare a datelor: subiectul și durata prelucrării, natura și scopul acesteia, tipul datelor cu caracter personal și categoriile de persoane fizice în cauză, obligațiile și drepturile responsabilului tratării datelor, și acorduri privind securitatea, confidențialitatea, subcontractanții și modul de colaborare la controale. De asemenea, se stabilește cum se gestionează o posibilă încălcare a datelor la prelucrare a datelor și ce se întâmplă cu datele după ce colaborarea se încheie.
Această enumerare apare literal în regulament însuși; dacă doriți să recititi formularea exactă, o veți găsi pe EUR-Lex. Autoritățile de supraveghere, cum ar fi EDPB, au publicat, de asemenea, linii directoare privind modul în care aceste prevederi sunt interpretate în practică, de exemplu cu privire la întrebarea când trebuie notificat anterior un subcontractant.
Cine întocmește contractul
În practică, adesea partea mai mare furnizează șablonul: un furnizor de software vă trimite propriul contract de prelucrare a datelor atunci când încheiați un abonament, sau un client vă trimite unul pentru că prelucrați date pentru el. Asta nu înseamnă că trebuie să semnați pur și simplu un text furnizat. Este recomandabil să verificați dacă toate subiectele menționate sunt incluse, dacă acordurile de securitate se aliniază cu ceea ce vă așteptați de la cealaltă parte și dacă răspunderea este împărțită în mod rezonabil. În caz de îndoieli cu privire la o clauză specifică, este înțelept să o prezentați unui jurist.
De ce este mai mult decât o semnătură
Un contract de prelucrare a datelor nu este o formalitate pe care o rezolvați o dată și apoi o uitați. De îndată ce un furnizor de instrument se schimbă, angajați un subcontractant în afara UE, sau natura prelucrării datelor se schimbă, contractul existent poate deveni depășit. Companiile care lucrează cu mai multe instrumente SaaS au deja ușor zece până la douăzeci din aceste contracte care rulează, fiecare cu propria perioadă și propriile acorduri. Ținerea evidenței ce contracte există, care sunt depășite și care lipsesc este o sarcină separată pe lângă funcționarea zilnică a afacerii.
De asemenea, acordurile de securitate menționate în contract merită atenție: ele spun ceva despre modul în care o prelucrare a datelor gestionează accesul, criptarea și notificările în caz de incidente. Citiți mai multe despre ceea ce este relevant în acest sens pe pagina despre securitatea datelor cu caracter personal la prelucrare a datelor.
Ce puteți face dvs. însuși
La fiecare nouă colaborare, verificați dacă sunt partajate date cu caracter personal și, dacă da, dacă este nevoie de un acord de prelucrare și dacă acesta este prezent. Păstrați aceste acorduri într-o manieră organizată, împreună cu registrul de activități de prelucrare în care este menționat ce instrument prelucrează ce date. Dacă aveți îndoieli dacă un anumit acord este complet, puteți face pentru a-l verifica gratuit pe elementele cele mai importante. Pentru întrebări frecvente pe această temă, cum ar fi ce se întâmplă dacă un furnizor nu dorește să semneze un acord, există o prezentare generală pe pagina cu întrebări frecvente despre RGPD.
Doriți să știți cum se potrivește acest lucru în situația dvs. de fapt, de exemplu câte acorduri de prelucrare veți avea probabil nevoie și care dintre ele necesită atenție? Faceți scan-ul rapid gratuit sau înregistrați un cont de afaceri pentru a lăsa prezentarea generală să urmărească. Astfel, vedeți în câteva minute în ce poziție vă aflați, fără a fi imediat obligat la ceva.