Dohoda o spracovaní údajov je písomná dohoda medzi dvoma stranami: tou, ktorá určuje, prečo a ako sa spracúvajú osobné údaje, a tou, ktorá to vykonáva v jej mene. Prvá sa v GDPR nazýva správcom údajov, druhá spracovateľ. Takúto dohodu potrebujete vždy, keď externé spracovanie osobných údajov prenesiete na inú spoločnosť, napríklad na kanceláriu miezd, poskytovatela hostingu alebo SaaS-nástroj, v ktorom sú údaje zákazníkov.
Podstata je jednoduchá: zákon vyžaduje túto dohodu, pretože správca údajov zostáva zodpovedný za to, čo sa s údajmi stane, aj keď technickú prácu vykonáva iná spoločnosť. Bez jasných dohôd nie je určené, čo si tá druhá strana s údajmi môže dovoliť, ako dlho sa budú uchovávať a čo sa stane pri narušení bezpečnosti údajov. Dohoda o spracovaní údajov robí toto rozdelenie viditeľným.
Kedy ide o spracovateľa
Nie každá strana, s ktorou spolupracujete, je spracovateľom. Účetný, ktorý spracúva vašu ročnú správu podľa svojej vlastnej profesionálnej zodpovednosti, je zvyčajne sám správcom údajov pre túto činnosť. Cloudová služba, ktorá ukladá a spracúva váš zoznam zákazníkov podľa vašich pokynov, je zvyčajne spracovateľom. Rozlíšenie spočíva v otázke, kto určuje cieľ a prostriedky spracúvania. Ak si nie ste istí, či je strana spracovateľom, smernice Úradu na ochranu osobných údajov vám v tom dajú smer a situáciu si môžete preveriť v vedomostnej základni s témami GDPR podľa situácie.
Čo musí minimálne obsahovať
GDPR uvádza množstvo tém, ktoré musia byť v dohode o spracovaní údajov upravené: predmet a trvanie spracúvania, jeho povahu a účel, typ osobných údajov a kategórie dotknutých osôb, povinnosti a práva správcu údajov, dohody o bezpečnosti, dôvernosti, subdodávateľoch a spôsobe spolupráce pri overeniach. Obsahuje tiež spôsob zaobchádzania s možným narušením bezpečnosti údajov u spracovateľa a čo sa stane s údajmi po ukončení spolupráce.
Tento zoznam sa nachádza doslova v samotnom nariadení; ak chcete prečítať presné znenie, nájdete ho na EUR-Lex. Regulačné orgány, ako je EDPB, následne publikovali usmernenia o tom, ako sa tieto ustanovenia v praxi interpretujú, napríklad ohľadne otázky, kedy má byť subdodávateľ nahlásený vopred.
Kto vypracováva dohodu
V praxi často väčšia strana poskytuje šablónu: softvérový dodávateľ priloží svoju vlastnú dohodu o spracovaní údajov pri uzavretí predplatného alebo vám ju pošle zákazník, pretože pre neho spracúvavate údaje. To neznamená, že musíte bez problémov podpísať poskytnutý text. Odporúča sa skontrolovať, či sú všetky uvedené témy zahrnuté, či sa bezpečnostné dohody zhodujú s tým, čo od druhej strany očakávate, a či je zodpovednosť rozumne rozdelená. Ak máte pochybnosti o konkrétnej klauzule, je rozumné predložiť ju právnikovi.
Prečo ide o viac ako len o podpis
Dohoda o spracovaní údajov nie je formalita, ktorú vyriešite raz a potom zabudnete. Akonáhle si vymeníte dodávateľa nástroja, zapojíte subdodávateľa mimo EÚ alebo sa zmení charakter spracúvania údajov, môže existujúca dohoda zastaraním. Spoločnosti, ktoré pracujú s viacerými SaaS-nástrojmi, majú rýchlo desať až dvadsať takýchto dohôd, každá s vlastnou lehotou a vlastnými dohodami. Sledovanie toho, aké dohody existujú, ktoré sú zastarané a ktoré chýbajú, je samostatná úloha vedľa každodenného podnikania.
Bezpečnostné dohody, ktoré sú v dohode zahrnuté, si tiež zaslúžia pozornosť: hovoria o tom, ako spracovateľ zaobchádza s prístupom, šifrovaním a nahlasovaním incidentov. Viac o tom, čo je v tejto súvislosti relevantné, si prečítajte na stránke o bezpečnosti osobných údajov u spracovateľov.
Čo môžete urobiť sami
Pri každej novej spolupráci skontrolujte, či sa zdieľajú osobné údaje, a ak áno, či je potrebná a prítomná spracovateľská zmluva. Tieto zmluvy uchovávajte prehľadne spolu s registrom spracovateľských činností, v ktorom je uvedené, ktorý nástroj ktoré údaje spracováva. Ak si nie ste istí, či je konkrétna zmluva úplná, môžete ju nechať bezplatne skontrolovať z hľadiska hlavných prvkov. Často kladené otázky na túto tému, napríklad čo sa stane, ak dodávateľ odmietne zmluvu podpísať, nájdete v prehľade na stránke často kladených otázok o GDPR.
Chcete vedieť, ako sa to vzťahuje na vašu vlastnú situáciu, napríklad koľko spracovateľských zmlúv pravdepodobne potrebujete a ktoré z nich si vyžadujú pozornosť? Urobte bezplatné rýchle hodnotenie alebo zaregistrujte si obchodný účet, aby mohol register medzidobý sledovať. Budete tak vedieť za pár minút, kde stojíte, bez toho, aby ste boli okamžite nič povinní.