Perjanjian pemprosesan data

Perjanjian pemprosesan data ialah kontrak bertulis di mana pengawal menetapkan terma-terma di mana pemproses mengendalikan data peribadi bagi pihaknya. GDPR mewajibkan kontrak ini sebaik sahaja anda mengalihdayakan pemprosesan dan menetapkan subjek yang mesti diliputi.

Isi kandungan

Asas undang-undang

Kewajipan tersebut terkandung dalam Perkara 28(3) Peraturan Perlindungan Data Umum. Perjanjian tersebut mesti menerangkan perkara pokok, tempoh, sifat dan tujuan pemprosesan, dan mengenal pasti jenis data peribadi dan kategori subjek data. Ia juga mesti mengandungi lapan aku janji khusus: pemprosesan hanya berdasarkan arahan yang didokumenkan, kerahsiaan, keselamatan di bawah Perkara 32 GDPR, syarat untuk melibatkan sub-pemproses, bantuan dengan permintaan subjek data, bantuan dengan pelanggaran dan penilaian impak, pemulangan atau pemadaman selepas penamatan, dan menyediakan maklumat untuk audit. Perkara 28(1) menambah bahawa anda hanya boleh menggunakan pemproses yang menawarkan jaminan yang mencukupi.

Bagaimana ia berfungsi dalam praktik

Hampir setiap pengaturan penyumberan luar telah dikenal pasti: penggajian, pengehosan, pembekal CRM anda, syarikat yang mengoyakkan arkib anda. Kebanyakan pembekal menggunakan templat mereka sendiri, yang dilampirkan sebagai jadual pada kontrak utama. Templat itu boleh dirunding, walaupun dibentangkan sebagai tetap. Beri perhatian khusus kepada jadual yang menerangkan operasi pemprosesan: ia mesti mencerminkan apa yang sebenarnya berlaku, bukan penerangan generik yang sesuai dengan setiap pelanggan. Pemindahan di luar Kawasan Ekonomi Eropah memerlukan asas tambahan, biasanya klausa kontrak standard Suruhanjaya Eropah.

Di mana ia menjadi salah

Tiga kesilapan berulang. Yang pertama ialah menandatangani perjanjian pemprosesan dengan pihak yang sebenarnya bukan pemproses tetapi menentukan tujuan dan cara itu sendiri; yang menjadikannya pengawal bersama, dengan peraturan yang berbeza. Yang kedua ialah kebenaran menyeluruh untuk sub-pemproses, yang bermaksud anda terlepas pandang di mana data anda berada secara fizikal. Yang ketiga ialah jadual keselamatan yang hanya merujuk kepada "langkah yang sesuai" tanpa menamakan satu standard konkrit, yang tidak menawarkan apa-apa untuk dipegang sebaik sahaja insiden berlaku.

Istilah berkaitan

Perjanjian pemprosesan berkait rapat dengan pelanggaran data peribadi , kerana ia harus menetapkan tarikh akhir yang mana pemproses mesti memaklumkan anda, dan penilaian impak perlindungan data , yang mana pemproses mesti memberikan maklumat. Ia juga berinteraksi dengan terma dan syarat umum , kerana ia sering bercanggah dengan had liabiliti dalam kontrak utama.