čo sa stane, ak nemám spracovateľskú zmluvu so svojím dodávateľom

Bez zmluvy so spracovateľom nespĺňate článok 28 GDPR

Ak dodávateľ spracováva osobné údaje vaším menom a neexistuje zmluva so spracovateľom, je to už samo osebe porušením GDPR — bez ohľadu na to, či sa s týmito údajmi stane ešte niečo iné. Článok 28 GDPR predpisuje, že nasadenie spracovateľa sa musí zafinancovať v zmluve alebo inom právnom úkone; bez tejto fixácie chýba právny základ na spoluprácu, aj keď dodávateľ sám starostlivo zaobchádza s údajmi.

Príkladom sú napríklad softvérové aplikácie, do ktorých sa dostanú údaje zákazníkov, personálne údaje alebo faktúračné údaje: účtovný software, emailingové nástroje, hostingové spoločnosti. Ak si nie ste istí, či sa určitý nástroj vzťahuje na túto povinnosť, môžete to zistiť na základe ako zistím, či softvér, ktorý používam, spĺňa GDPR skontrolovať; a otázka, či to platí aj pre účtovného, sa vracia k musím uzavrieť spracovateľskú zmluvu so svojím účtovníkom. Absenciu zmluvy zvyčajne nie je vidieť hneď, kým nedôjde k úniku údajov, sťažnosti zákazníka alebo kontrole — a potom sa ukáže, že dohody tam nie sú.

Prečo to vyplýva z článku 28 GDPR

Článok 28 GDPR určuje, že spracovanie spracovateľom sa riadi zmluvou, ktorá musí povinne stanoviť početné témy, ako je účel spracovávania, trvanie a povinnosti spracovateľa; ktoré témy to sú presne, je popísané v čo musí obsahovať zmluva so spracovateľom. Povinnosť mať túto zmluvu leží na samotnom prevádzkovateľovi aj na spracovateľovi a platí v celej EÚ priamo z nariadenia; kto musí dohliadať na jej dodržiavanie, sa líši podľa krajiny — v Holandsku je to Autoridad de Protección de Datos, v iných členských štátoch dozorný orgán danej krajiny. Viac o dozornom orgáne nájdete prostredníctvom Autoridad de Protección de Datos.