Najčastejšia chyba pri posúdení dohody o spracúvaní spočíva v tom, že podniky podpisujú dokument bez kontroly, kto má v danom vzťahu akú rolu. Dohoda o spracúvaní reguluje dohody medzi prevádzkovateľom, ktorý určuje, prečo a ako sa údaje spracúvajú, a spracovateľom, ktorý to vykonáva v jeho mene. Ak sa táto rozdelenie rolí neoveri, niekedy podpíšete dokument, ktorý sa na vašu situáciu vôbec nevzťahuje, alebo vám chýba práve dohoda, ktorá tam mala byť.
Okrem toho sa často vyskytujú problémy v troch ďalších oblastiach: podspracovateľom, ktorí nie sú uvedení, bezpečnostných opatreniach, ktoré sú opísané len v všeobecných termínoch, a bez akejkoľvek dohody o tom, čo sa s údajmi stane, keď spolupráca skončí. Tieto nie sú malé detaily, ale podstata účelu dohody o spracúvaní: stanoviť, kto je za čo zodpovedný, počas trvania spolupráce a tiež potom.
Neoverenie rozdelenia rolí
Dohoda o spracúvaní vychádza z pevného rozdelenia: jedna strana určuje účel a prostriedky spracovania, druhá toto spracovanie vykonáva podľa pokynov. V praxi sa tieto role niekedy menia podľa jednotlivých úloh. Účtovná kancelária je spracovateľom pre správu miezd svojho klienta, ale prevádzkovateľom pre svoje vlastné osobné údaje zamestnancov. Kto podpíše dohodu bez stanovenia tejto role, si nie je istý, či je podpísaný správny dokument. Samotný GDPR opisuje toto rozdelenie rolí a pokyny EDPB sa mu podrobne venujú.
Podspracovateľom, ktorí zostanú bez mena
Mnohé SaaS nástroje následne zapájajú ďalšie strany, napríklad pre hosting alebo služby zákazníkom. Dohoda o spracúvaní by mala uviesť, či je to dovolené, za akých podmienok a či budete dopredu informovaní. Ak táto podmienka chýba, jednoducho viete, ktoré strany majú v praxi prístup k údajom, ktoré poskytujete. To je presne ten druh informácií, ktoré si môžete pozrieť v našej znalostiach base podľa témry pred tým, ako sa podpíšete.
Bezpečnosť, ktorá je uvedená len v všeobecných termínoch
Veta ako "prijmú sa vhodné technické a organizačné opatrenia" sama o sebe hovorí málo. Dohoda, ktorá ide ďalej, konkrétne uvádza, čo tieto opatrenia znamenajú: šifrovanie, kontrola prístupu, zálohy, postupy hlásenia v prípade incidentu. Čím konkrétnejšie je to stanovené, tým jasnejšie je vidieť, čo dodávateľ skutočne robí. Ako porovnanie: na našej stránke o tom, ako my sami manipulujeme s údajmi a bezpečnosťou vidíte, ako taký popis môže v praxi vyzerať.
Žiadna dohoda o konci spolupráce
Čo sa stane s údajmi, keď sa zmluva skončí? Budú vrátené, zničené alebo budú stále niekde ostávať? Toto je jeden z bodov, ktoré sa najčastejšie vynechávajú, zatiaľ čo je to práve po skončení spolupráce ťažké uzatvoriť dohody. Dohoda o spracúvaní, ktorá na to nič nehovorí, vás nechá s medzerou v dokumentácii presne v čase, keď ju potrebujete najmenej.
Ako tomu predchádzate
Väčšina týchto chýb nevzniká z neochoty, ale z nedostatku času: dohoda o spracúvaní je považovaná za rutinnú záležitosť, zatiaľ čo v podstate ide o štyri alebo päť konkrétnych bodov. Prejdite si tieto body pred podpísaním a pýtajte sa dodávateľa, ak niečo chýba alebo je nejasne formulované. Ak si nie ste istí určitým ustanovením, poraďte sa s právnikom alebo, ak máte otázky o výklade samotného GDPR, s príslušným orgánom na ochranu osobných údajov. Odpovede na často kladené otázky o takých dokumentoch nájdete aj v často kladené otázky o dohodách s procesormi.
Toto vysvetlenie vám má pomôcť pochopiť, čo by mala obsahovať dohoda s procesorom, nie posúdiť, či špecifický dokument, ktorý ste dostali, vyhovuje. Ako sme sa dostali k týmto informáciám a aké zdroje sú im základom, si môžete prečítať na stránka o tom, ako to funguje.
Chcete si rýchlo pozrieť, ako je na tom vaša spoločnosť? Urobte bezplatnú rýchlu kontrolu alebo si prelistujte témy v databáze vedomostí, aby ste zistili, ktorý krok je pre vašu situáciu relevantný.