kaj se zgodi, če nimam pogodbe z obdelavo osebnih podatkov s svojim dobaviteljem

Brez pogodbe s procesorjem ne izpolnjujete članka 28 SPLOŠNE UREDBE

Če dobavitelj obdeluje osebne podatke v vašem imenu in pogodbe s procesorjem ni, je to že samo po sebi kršitev Splošne uredbe — poleg vprašanja, ali se s temi podatki kaj drugega narobe. Člen 28 Splošne uredbe določa, da mora biti vključitev procesorja zapisana v pogodbo ali drugo pravno dejanje; brez tega zapisa manjka zakonska osnova za sodelovanje, čeprav se dobavitelj sam previdno ravna s podatki.

To se dogaja na primer pri programski opremi, v katero pridejo podatki strank, podatki zaposlenih ali podatki računov: računovodski paketi, orodja za e-pošto, ponudniki gostovanja. Kdor ni prepričan, ali je določeno orodje predmet te obveznosti, lahko to preuči z kako vem, ali je programska oprema, ki jo uporabljam, skladna z GDPR ugotovi; in vprašanje, ali to velja tudi za računovodjo, se pojavi pri ali moram skleniti pogodbo z obdelavo osebnih podatkov s svojim računovodjo. Pomanjkanje pogodbe običajno ni nekaj, kar bi bilo samo po sebi vidno, dokler se ne zgodi puščanje podatkov, pritožba stranke ali nadzor — in potem se izkaže, da dogovorov ni.

Kje to izhaja iz članka 28 Splošne uredbe

Člen 28 Splošne uredbe določa, da je obdelava s strani procesorja urejena s pogodbo, ki mora zapisati več zadev, kot so namen obdelave, trajanje in obveznosti procesorja; katere točno stvari so opisane v kaj mora biti v pogodbi s procesorjem. Obveznost imeti to pogodbo velja za upravljavca kot za procesorja, in velja v celotni EU neposredno iz uredbe; kdo mora paziti na spoštovanje pa se razlikuje od zemlje do zemlje — v Nizozemski je to Nadzorna služba, v drugih državah članicah nadzornik te države. Več o nadzorniku je mogoče najti prek Nadzorne službe.