Pogodba o obdelavi osebnih podatkov in podobdelovalci

Modul 9: Ljudje in pravila · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste znali prebrati pogodbo o obdelavi osebnih podatkov in jo preveriti glede na zahteve GDPR, ter presoditi seznam podobdelovalcev.

Ključni pojmi: pogodba o obdelavi osebnih podatkov (VWO, DPA), člen 28(3) GDPR, pisna navodila, zaupnost, varnostni ukrepi, podobdelovalec, splošno ali posebno dovoljenje, pravica do ugovora, pomoč, vračilo ali izbris, revizija, prenos zunaj EGP, rok za prijavo kršitve varstva podatkov, standardna pogodbena določila za obdelovalce

Zakaj pogodba o obdelavi osebnih podatkov?

V lekciji 1.2 ste spoznali vloge: Bakkerij De Korrel je upravljavec, storitev v oblaku pa je obdelovalec. Člen 28(3) GDPR zahteva, da se obdelava s strani obdelovalca uredi s pogodbo (ali drugim pravnim aktom), ki je sklenjena pisno. Lahko tudi v elektronski obliki. To je pogodba o obdelavi osebnih podatkov, okrajšano VWO; v angleščini Data Processing Agreement (DPA) ali Data Processing Addendum.

Pri velikih storitvah v oblaku dokumenta sami ne podpisujete: pogodba o obdelavi osebnih podatkov je del pogojev, s katerimi soglašate, ali pa v nadzorni plošči obkljukate ustrezno polje. Pri manjših ponudnikih včasih prenesete dokument, vnesete svoje podatke in ga podpišete. V vsakem primeru pa morate kot upravljavec znati pokazati, da pogodba obstaja in kaj vsebuje.

To je pojasnilo in ne pravni nasvet. Če dvomite o svojih lastnih pogodbah, se posvetujte s pravnikom ali s pooblaščeno osebo za varstvo podatkov.

Kaj mora po GDPR vsebovati

Člen 28(3) najprej navaja teme, ki jih mora pogodba opisati: predmet in trajanje obdelave, naravo in namen, vrsto osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter pravice in obveznosti upravljavca. Sledi osem obveznosti obdelovalca (od točke a do h). Spodaj so razložene v preprostem jeziku, z vprašanjem, ki si ga postavite ob branju:

Evropska komisija je objavila tudi standardna pogodbena določila za obdelovalce (Izvedbeni sklep (EU) 2021/915). Ta lahko uporabite kot pogodbo o obdelavi osebnih podatkov; vsebujejo vse obvezne točke. Mnogi manjši ponudniki uporabljajo lasten vzorec, na Nizozemskem pogosto zasnovan na vzorcu panožnih združenj.

Podobdelovalci: kdo stoji za Vašim ponudnikom?

Vaša storitev v oblaku ne opravi vsega sama. Podobdelovalec je stranka, ki jo obdelovalec vključi in ki ima dostop do Vaših podatkov, na primer:

• podatkovni center (če ta ni last ponudnika samega);
• ponudnik hrambe varnostnih kopij;
• podjetje, ki filtrira pošto zaradi neželene pošte ali virusov;
• podporna stranka ali razvijalec, ki na daljavo dostopa do sistema;
• storitev UI, če ponudnik nudi funkcijo UI.

Člen 28(2) določa: obdelovalec ne vključi podobdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca. Pri splošnem dovoljenju mora obdelovalec obveščati o novih ali zamenjanih podobdelovalcih, tako da lahko ugovarjate. V praksi to poteka tako: ponudnik objavi seznam, sporoča spremembe (po e-pošti ali na strani, ki jo lahko spremljate), Vi pa imate na voljo rok za ugovor. Če ugovarjate in rešitev ni najdena, lahko pogosto odpoveste pogodbo.

Po odstavku 4 mora podobdelovalec prevzeti enake obveznosti, obdelovalec pa ostaja do Vas v celoti odgovoren.

Na kaj bodite posebej pozorni pri prehodu na evropsko storitev

Pri prehodu na evropsko storitev pri seznamu podobdelovalcev bodite pozorni predvsem na dve stvari:

1. Kje so podobdelovalci? Evropski ponudnik, ki pošto filtrira prek ameriške storitve ali hrani varnostne kopije pri ameriškem oblaku, Vaše podatke vseeno izpostavi veljavnosti CLOUD Act (lekcija 1.3). Preverite državo in matično podjetje vsakega podobdelovalca.
2. Kaj počnejo? Register domen, ki pozna le Vaše ime in naslov kot imetnika domene, je nekaj drugega kot stranka, ki hrani Vaše poštne predale.

Preberite tudi članek o prenosu podatkov. Dobra evropska pogodba o obdelavi osebnih podatkov določa, da se podatki obdelujejo znotraj EU ali EGP in da je prenos zunaj tega območja dovoljen le z Vašim predhodnim dovoljenjem. Če piše "podatke lahko obdelujemo po vsem svetu z ustreznimi zaščitnimi ukrepi", veste, da je prenos mogoč.

Opozorilni znaki, na katere bodite pozorni

• Ni na voljo pogodbe o obdelavi osebnih podatkov pri storitvi za poslovno uporabo: slaba izbira.
• Zastarel seznam podobdelovalcev, ki ne ustreza temu, kar ponudnik navaja drugje (na primer drug podatkovni center): prosite za pojasnilo.
• Rok za prijavo kršitve varstva podatkov, ki je tako dolg, da sami ne morete izpolniti svojega 72-urnega roka (člen 33). Mnoge pogodbe o obdelavi osebnih podatkov navajajo 24 ali 48 ur.
• Odgovornost, ki je v celoti izključena. To je do neke mere običajno, vendar pove nekaj o tem, kako prepričan je ponudnik vase.
• Ni ureditve za konec sodelovanja: kaj se zgodi z Vašimi podatki po odpovedi in ali dobite potrdilo o izbrisu?

Kdo podpiše in kje ga hranite?

Pri De Korrel pogodbo podpiše Sanne kot lastnica. Hrani jo skupaj z evidenco dejavnosti obdelave (lekcija 9.3), z datumom in različico. Če ponudnik spremeni pogodbo o obdelavi osebnih podatkov ali seznam podobdelovalcev, hrani tudi to obvestilo. Ob nadzoru s strani Informacijskega pooblaščenca ali ob vprašanju stranke ("kako ravnate z mojimi podatki?") lahko to brez težav pokaže.

V praksi: tako je videti pri ponudniku

WebOké ima standardno pogodbo o obdelavi osebnih podatkov s prilogo, v kateri so navedene vključene tretje strani in v kateri je določeno, da obdelava poteka znotraj EU in da je prenos zunaj tega dovoljen le s pisnim dovoljenjem. V pogostih vprašanjih priročnika za Nextcloud je navedeno, kdaj jo potrebujete. Pri drugih ponudnikih se dokument pogosto imenuje "Data Processing Agreement", seznam podobdelovalcev pa je na ločeni strani ("Subprocessors"). Primerjajte ta seznam s tem, kar ponudnik na svoji spletni strani navaja o podatkovnih centrih in podpori.

Povzetek

• Člen 28(3) GDPR zahteva pisno pogodbo o obdelavi osebnih podatkov z določenimi temami in osmimi obveznostmi obdelovalca.
• Preverite predvsem: brez lastnih namenov, varnost, podobdelovalce, pomoč pri kršitvah varstva podatkov, vračilo ali izbris po koncu ter revizije.
• Podobdelovalci le z Vašim dovoljenjem; pri splošnem dovoljenju morate biti obveščeni o spremembah in imeti možnost ugovora.
• Pri prehodu na evropsko storitev na seznamu podobdelovalcev preverite državo in matično podjetje vsake stranke.
• Pogodbo o obdelavi osebnih podatkov in obvestila o spremembah hranite skupaj z evidenco dejavnosti obdelave.

Kviz

Naloga

Naloga E9.2: Preverite pogodbo o obdelavi osebnih podatkov. Vzemite pogodbo o obdelavi osebnih podatkov svoje trenutne ali nove storitve v oblaku. Preglejte osem točk od a do h in za vsako zabeležite: ali je navedeno (da, ne, nejasno) in kje. Ocenite seznam podobdelovalcev: za vsakega podobdelovalca zabeležite državo, matično podjetje in kaj počne.

Za nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
• Priročnik za Nextcloud 14.8: Asistent UI v Vašem Nextcloud
• Uredba (EU) 2016/679 (GDPR), člen 28, na EUR-Lex
• Izvedbeni sklep (EU) 2021/915 (standardna pogodbena določila med upravljavci in obdelovalci), na EUR-Lex
• Informacijski pooblaščenec, tema "Pogodba o obdelavi osebnih podatkov": https://www.autoriteitpersoonsgegevens.nl