môže sa dohoda medzi správcom a spracovateľom dohodnúť aj ústne alebo e-mailom

Ústne ani emailom nie je dosť

Nie, ústna dohoda alebo voľná e-mailová korešpondencia nie je dostačujúca ako dohoda so spracovateľom. Články 28 nariadenia GDPR stanovuje, že dohody medzi prevádzkovateľom a spracovateľom musia byť zakotvené v zmluve alebo inom právnom úkone, ktorý je písomný, a že písomná forma môže byť aj elektronická. Telefonické záväzky alebo ústne dohody počas rozhovoru sú mimo dosahu: nie sú zaznamenané spôsobom, ktorý je možné neskôr skontrolovať.

E-mailová korešpondencia je niekde uprostred. Jednotlivé e-maily, v ktorých si strany dohodujú niečo o spracovaní údajov, zvyčajne nie sú o sebe plnohodnotnou dohodou so spracovateľom, pretože nariadenie GDPR kladie nároky na obsah, ktorý sa v takejto e-mailovej korešpondencii zvyčajne úplne neobjavuje. Písomný alebo elektronický dokument, ktorý tento obsah úplne upravuje — a ktorý bol tiež vymieňaný e-mailom a schválený — môže platiť ako dohoda so spracovateľom. Nejde teda o samotné médium, ale o to, či v ňom figurujú všetky povinné časti a či je zrejmé, že obe strany s tým súhlasia. Čo presne v tom musí byť, je popísané na čo musí obsahovať zmluva so spracovateľom.

Prečo to vyplýva z článku 28 GDPR

Články 28, odsek 3 nariadenia GDPR stanovuje, že spracovanie spracovateľom sa riadi dohodou alebo iným právnym úkonom, ktorý viazal strany, a že sa musí zaznamenať písomne, vrátane elektronickej formy. Táto požiadavka platí rovnako v celej EÚ, pretože nariadenie GDPR je nariadenie, ktoré pôsobí priamo; na tomto mieste neexistuje priestor na odlišné národné vyplnenie. Kto si nie je istý, či existujúca dohoda s dodávateľom spĺňa túto požiadavku, môže ju overiť prostredníctvom kontroly na alebo či používaný softvér spĺňa nariadenie GDPR; na pozadí následkov absencie takejto dohody existuje stránka o čo sa stane bez dohody so spracovateľom s dodávateľom. Pre oficiálny text samotného článku je zdrojom nariadenie GDPR na EUR-Lexe a pre vysvetlenie od holandského dohľadu je Úrad na ochranu osobných údajov určeným zdrojom.