Pogodba za obdelavo podatkov je pisna dogovorjena med dvema stranema: tisto, ki določa zakaj in kako se osebni podatki obdelujejo, in tisto, ki to izvršuje v njenem imenu. Prvo se v GDPR imenuje vodja obdelave, drugo pa obdelovalec. Potrebujete tako pogodbo, takoj ko osebne podatke zaupate drugemu podjetju, na primer računovodski službi, gostujočemu podjetju ali SaaS-orodju, v katerem so podatki strank.
Jedro je preprosto: zakon to pogodbo zahteva, ker vodja obdelave ostane odgovoren za to, kaj se dogaja s podatki, tudi če drugo podjetje opravlja tehnično delo. Brez jasnih dogovorov ni jasno, kaj lahko druga stranka počne s podatki, kako dolgo se hranijo in kaj se zgodi pri kršitvi podatkov. Pogodba za obdelavo podatkov naredi to razdelitev vidno.
Kdaj je stranka obdelovalec
Ni vsaka stranka, s katero sodelujete, obdelovalec. Računovodja, ki pripravi vaš letni obračun s lastno strokovno odgovornostjo, je običajno sam vodja obdelave za to nalogo. Oblačna storitev, ki shranjuje in obdeluje vaš seznam strank po vaših navodilih, je praviloma obdelovalec. Razlika je v tem, kdo določa namen in sredstva obdelave. Če ste negotovi, ali je stranka obdelovalec, vam baza znanja Urada za varstvo podatkov daje smernice, in lahko to pregledате tudi po situaciji v bazi znanja s temami GDPR po situaciji.
Kaj mora biti vsaj vključeno
GDPR navaja vrste zadev, ki jih je treba urediti v pogodbi za obdelavo podatkov: predmet in trajanje obdelave, naravo in namen, vrsto osebnih podatkov in kategorije posameznikov, obveznosti in pravice vodje obdelave, ter dogovore o varnosti, tajnosti, podizvajalcih in načinu sodelovanja pri pregledih. Vključeno je tudi, kako se obravnava morebitna kršitev podatkov pri obdelovalcu, in kaj se zgodi s podatki, ko se sodelovanje zaključi.
Ta naštevanje je doslovno v sami uredbi; če želite ponovno prebrati natančno besedilo, ga najdete na EUR-Lex. Nadzorni organi, kot je EDPB, so nato objavili smernice o tem, kako se te določbe razlagajo v praksi, na primer glede vprašanja, kdaj je treba podizvajalca priglasiti vnaprej.
Kdo pripravi pogodbo
V praksi pogosto večja stranka priloži predlogo: ponudnik programske opreme pošlje svojo pogodbo za obdelavo podatkov ob sklenitvi naročnine, ali kupec jo pošlje vam, ker za njega obdelujete podatke. To ne pomeni, da morate enostavno podpisati priloženo besedilo. Priporočljivo je preveriti, ali so vse navedene točke vključene, ali se varnostni dogovori ujemajo s tem, kaj pričakujete od druge strani, in ali je odgovornost razumno razdeljena. Če dvomite o specifični klavzuli, je pametno, da jo posvetujete s pravnikom.
Zakaj je to več kot samo podpis
Pogodba za obdelavo podatkov ni formalnost, ki jo enkratno uredite in nato pozabite. Čim se zamenja ponudnik orodja, angažirate podizvajalca zunaj EU ali se spremeni narava obdelave podatkov, je obstoječa pogodba lahko zastarela. Podjetja, ki delajo z več SaaS-orodji, imajo hitro deset do dvajset takih pogodb, vsaka s svojo rokom in svojimi dogovori. Spremljanje, katere pogodbe obstajajo, katere so zastarele in katere manjkajo, je ločena naloga poleg vsakodnevnega poslovanja.
Tudi varnostni dogovori v pogodbi si zasluživajo pozornost: kažejo, kako obdelovalec ravna z dostopom, šifriranjem in obvestili v primeru incidentov. Več o tem, kaj je pri tem relevantno, preberite na strani o varnosti osebnih podatkov pri obdelovalcih.
Kaj lahko naredite sami
Pri vsakem novem partnerstvu preverite, ali se osebni podatki delijo, in če je tako, ali je potrebna in prisotna pogodba za obdelovalca. Te pogodbe hranite pregledano skupaj z registrom obdelave, v katerem je navedeno, kateri pripomoček obdeluje katere podatke. Če dvomite, ali je konkretna pogodba v celoti ustrezna, jo lahko brezplačno preverite glede najpomembnejših delov. Za pogosto zastavljana vprašanja na to temo, na primer kaj se zgodi, če dobavitelj ne želi podpisati pogodbe, je na razdelku s pogosto zastavljanimi vprašanji dostopen pregled pogosto zastavljana vprašanja o GDPR.
Želite vedeti, kako se to ujema z vašo lastno situacijo, na primer koliko pogodb za obdelovalca boste verjetno potrebovali in katere med njimi zahtevajo pozornost? Opravite brezplačni hitri pregled ali registrirajte poslovni račun, da bo pregled tekel naprej. Tako v nekaj minutah vidite, kje se nahajate, ne da bi se takoj zavezali čemur koli.