Musím podpísať dohodu o spracovaní údajov, ktorú mi pošle môj zákazník?

Podpisovanie nie je povinnosťou, kontrola áno

Nie, neexistuje žiadna zákonná povinnosť podpisovať dohodu medzi správcom údajov a spracovateľom len preto, že ju zaslal klient. Dohoda medzi správcom údajov a spracovateľom je dohodou medzi dvoma stranami, a ako pri každej dohode platí: najskôr si prečítate, čo v nej je, predtým, ako ju podpíšete. Klient, ktorý dohodu posiela, automaticky neurčuje jej obsah — ten obsah musí spĺňať určité požiadavky, a to je niečo iné ako "musím tento dokument akceptovať".

Relevantné je však nasledujúce: ak ako spracovateľ spracúvate osobné údaje na príkaz tohto klienta, potom GDPR určuje, že dohoda medzi správcom údajov a spracovateľom musí existovať s určitým počtom povinných prvkov. Nejde teda o to, či podpíšete, ale či text, ktorý dostanete, tieto prvky pokrýva a zodpovedá tomu, čo sa v praxi deje. Koncept, ktorý je formulovaný príliš zriedkavo, reguluje veci, ktoré nezodpovedajú skutočnej poskytovanej službe, alebo im chýbajú jednotlivé prvky, je dôvodom na úpravu alebo návrh vlastnej verzie — nie na bezodkladné podpísanie.

Čo o tom určuje článok 28 GDPR

Článok 28 GDPR určuje, že spracovanie údajov spracovateľom musí byť upravené v zmluve alebo inej právnej úkone, a vymedzuje, ktoré témy v nej musia byť riešené — medzi inými predmet a trvanie spracúvania, povaha a účel, typ osobných údajov a kategórie dotknutých osôb, a záväzky a práva správcu údajov. Tento článok nehovorí o tom, kto dokument vypracuje alebo zaslal; hovorí len o tom, čo v ňom musí byť. Úplný text je v samotnej nariadení, a v prípade pochybností o konkrétnom texte môže poznámková základňa Úradu na ochranu osobných údajov slúžiť ako pozadie — hoci tento orgán nie je zodpovedný za posúdenie jednotlivých zmlúv.