Čo musí obsahovať dohoda o spracovaní údajov?

Čo musí obsahovať zmluva so spracovateľom v každom prípade

Zmluva so spracovateľom by mala popisovať, čo spracovateľ robí so osobnými údajmi pre správcu údajov a za akých podmienok. To začína základmi: predmetom a trvaním spracúvania, jeho povahou a účelom, druhom osobných údajov, ktoré sa dotýkajú, a kategóriami dotknutých osôb. Bez tohto popisu nie je možné zistiť, či sa dodávateľ drží dohodnutých podmienok.

Okrem toho by zmluva mala obsahovať rad povinností, ktoré priamo vyplývajú z GDPR. Spracovateľ spracúva údaje iba na základe písomných pokynov správcu údajov, zabezpečuje, aby osoby spracúvajúce údaje boli viazané povinnosťou mlčanlivosti, a zavádza vhodné bezpečnostné opatrenia. Mala by byť tiež upravená skutočnosť, čo sa stane, ak spracovateľ zapojí ďalšiu stranu (spodpoddávateľa), ako spracovateľ pomáha pri žiadostiach dotknutých osôb a pri hlásení porušení údajov, a čo sa stane s údajmi po ukončení poskytovania služieb — zničenie alebo vrátenie. V zmluve sa často nachádza aj ustanovenie, že správca údajov smie kontrolovať, či sú dohodnuté podmienky dodržiavané, napríklad prostredníctvom auditu.

Zdroj: článok 28 GDPR

Tento prehľad priamo vychádza z článku 28 GDPR, ktorý konkrétne popisuje, čo musí zmluva so spracovateľom obsahovať, keď správca údajov zapojí spracovateľa. Usmernenia EDPB poskytujú ďalšie objasnenie o tom, ako možno tieto ustanovenia prakticky vyplniť, napríklad pri hodnotení bezpečnostných opatrení alebo pri zapojení spodpoddávateľov. Pre presné znenie každej povinnosti zostáva samotný text článku 28 východzím bodom.