Najpogostejša napaka pri ocenjevanju pogodbe za obdelavo podatkov je, da podjetja dokument podpišejo brez preverjanja, kdo v tej razmerji ima katero vlogo. Pogodba za obdelavo podatkov ureja dogovore med nadzornikom obdelave, ki odloči, zakaj in kako se podatki obdelujejo, in obdelovalcem, ki to počne na njegov nalog. Če te razdelitve vlog ne preverite, včasih podpišete dokument, ki sploh ne velja za vašo situacijo, ali vam morda manjka prav pogodba, ki bi morala biti na mestu.
Poleg tega pogosto pride do napak na treh drugih točkah: obdelovalci podatkov, ki niso navedeni, varnostni ukrepi, ki so opisani le v splošnih izrazih, in brez dogovora o tem, kaj se s podatki dogodi, takoj ko se sodelovanje konča. To niso majhne podrobnosti, ampak bistvo tega, za kaj je namenjena pogodba za obdelavo podatkov: dolžni ste jasno zabeležiti, kdo je za kaj odgovoren, medtem kot se sodelovanje nadaljuje in tudi po njegovi koncu.
Preverjanje razdelitve vlog
Pogodba za obdelavo podatkov izhaja iz fiksne razdelitve: ena stranka določi namene in sredstva obdelave, druga to obdelavo izvršuje po navodilih. V praksi se te vloge včasih spremenijo za vsak nalog. Računovodski urad je obdelovalec za plačno администracijo svojega stranke, vendar je nadzornik obdelave za lastne kadrovske podatke. Kdor podpiše pogodbo, ne da bi si razjasnил to vlogo, ne ve zagotovo, ali je podpisan pravi dokument. Samo AVG opisuje to razdelitev vlog, smernice EDPB pa jo podrobno obravnavajo.
Obdelovalci podatkov, ki ostanejo nenavedeni
Številna ogrodja SaaS se nato obrnejo tudi na druge stranke, na primer za gostovanje ali za storitve za stranke. Pogodba za obdelavo podatkov bi morala navajati, ali je to dovoljeno, pod kakšnimi pogoji in ali vas o tem vnaprej obvestijo. Če ta določba manjka, preprosto ne veste, katerim stranem v praksi dostopa do podatkov, ki jih zagotovite. To je natanko vrsta informacij, ki jih lahko v bazi znanja po temi pogledate preden podpišete.
Varnost, ki je navedena le v splošnih izrazih
Stavka "sprejeti se bodo ustrezni tehnični in organizacijski ukrepi" sama po sebi ne pove kaj dosti. Pogodba, ki gre dlje, konkretno našteje, kaj ti ukrepi pomenijo: šifriranje, nadzor dostopa, varnostne kopije, postopki obveščanja ob incidentu. Čim bolj specifično je to zabeleženo, tem jasneje je, kaj dobavitelj dejansko počne. Za primerjavo: na strani o tem, kako sami obravnavamo podatke in varnost vidite, kako se lahko tak opis v praksi oblikuje.
Ni dogovora o koncu sodelovanja
Kaj se s podatki dogodi, takoj ko se pogodba konča? Ali se vrnejo, izbrišejo ali ostanejo kje drugje? To je ena od točk, ki ji največkrat manjka, čeprav je prav po koncu sodelovanja težko spet skleniti dogovore. Pogodba za obdelavo podatkov, ki o tem ne pravi ničesar, vas pusti s črno luknjo v administraciji natanko v trenutku, ko jo najmanj potrebujete.
Kako to preprečite
Večina teh napak ne izhaja iz nezainteresiranosti, ampak iz pomanjkanja časa: pogodbo za obdelavo podatkov gledamo kot rutinski dokument, čeprav vsebinsko gre le za štiri ali pet konkretnih točk. Preverite te točke, preden podpišete, in se posvetujte s preskrbovalcem, če kaj manjka ali je nejasno formulirano. Če dvomite o določeni klavzuli, se posvetujte s pravnikom ali, pri vprašanjih o razlagi same AVG, z Nadzorni organ za varstvo podatkov. Odgovore na pogosto zastavljena vprašanja o takih dokumentih najdete tudi v pogosto postavljana vprašanja o pogodbah za obdelavo podatkov.
Ta razlaga je namenjena, da vam pomaga razumeti, kaj mora biti vsebovano v pogodbi za obdelavo podatkov, ne da bi presojali, ali specifičen dokument, ki ste ga prejeli, ustreza zahtevam. Kako smo do teh informacij prišli in kateri viri so osnova zanje, si preberite na strani o tem, kako deluje.
Ali bi radi hitro videli, kako je vaše podjetje postavljeno? Opravite brezplačno hitro preverjanje ali preglejte teme v bazi znanja, da vidite, kateri korak je za vašo situacijo relevanten.