Kaj mora vsebovati pogodba o obdelavi podatkov?

Kaj mora vsebovati pogodba med upravljavcem in obdelovalcem osebnih podatkov

Pogodba med upravljavcem in obdelovalcem osebnih podatkov mora opisati, kaj obdelovalec počne z osebnimi podatki za upravljavca in pod kakšnimi pogoji. To se začne z osnovami: predmet in trajanje obdelave, njena narava in namen, vrsta osebnih podatkov, ki so vpleteni, in kategorije posameznikov, na katere se nanaša. Brez tega opisa ni mogoče ugotoviti, ali se dobavitelj drži sporazuma.

Poleg tega mora pogodba vsebovati številne obveznosti, ki neposredno izhajajo iz GDPR. Obdelovalec osebne podatke obdeluje samo na podlagi pisnih navodil upravljavca, zagotavlja, da so osebe, ki obdelujejo podatke, zavezane na molčečnost, in uvaja ustrezne varnostne ukrepe. Urejena mora biti tudi situacija, ko obdelovalec angažira drugo stranka (podizvajalca), kako obdelovalec pomaga pri zahtevah posameznikov in pri prijavi kršitev varnosti podatkov, ter kaj se zgodi s podatki, ko se storitev zaključi — uničenje ali vrnitev. Pogosto je v pogodbi tudi, da ima upravljavec pravico nadzirati, ali se dogovori izvršujejo, na primer s pomočjo revizije.

Od koder to izhaja: člen 28 GDPR

Ta seznam izhaja neposredno iz člena 28 GDPR, ki posebej opisuje, kaj mora vsebovati pogodba med upravljavcem in obdelovalcem osebnih podatkov, ko upravljavec angažira obdelovalca. Smernice EDPB dajejo nadaljnje pojasnjene o tem, kako se te določbe v praksi lahko uporabijo, na primer pri ocenjevanju varnostnih ukrepov ali angažiranja podizvajalcev. Za natančno besedilo vsake obveznosti je besedilo člena 28 GDPR samo izhodišče.