მონაცემთა დამუშავების ხელშეკრულება არის წერილობითი ხელშეკრულება, რომელშიც კონტროლერი ადგენს პირობებს, რომლითაც დამმუშავებელი მისი სახელით ამუშავებს პერსონალურ მონაცემებს. GDPR ამ ხელშეკრულებას სავალდებულოს ხდის, როგორც კი თქვენ გადასცემთ დამუშავებას სხვა პირს და განსაზღვრავს იმ თემებს, რომლებიც მან უნდა მოიცვას.
სამართლებრივი საფუძველი
ვალდებულება მოცემულია მონაცემთა დაცვის ზოგადი რეგულაციის 28(3) მუხლში. შეთანხმება უნდა აღწერდეს დამუშავების საგანს, ხანგრძლივობას, ბუნებას და მიზანს, ასევე უნდა განსაზღვრავდეს პერსონალური მონაცემების ტიპებს და მონაცემთა სუბიექტების კატეგორიებს. იგი ასევე უნდა შეიცავდეს რვა კონკრეტულ ვალდებულებას: დამუშავება მხოლოდ დოკუმენტირებული ინსტრუქციების შესაბამისად, კონფიდენციალურობა, უსაფრთხოება GDPR-ის 32-ე მუხლის შესაბამისად, სუბ-დამმუშავებლების ჩართვის პირობები, დახმარება მონაცემთა სუბიექტების მოთხოვნებთან დაკავშირებით, დახმარება დარღვევებისა და ზემოქმედების შეფასებებთან დაკავშირებით, დაბრუნება ან წაშლა შეწყვეტის შემდეგ და ინფორმაციის აუდიტისთვის ხელმისაწვდომობა. 28(1) მუხლი დასძენს, რომ თქვენ შეგიძლიათ გამოიყენოთ მხოლოდ ის დამმუშავებლები, რომლებიც საკმარის გარანტიებს გვთავაზობენ.
როგორ მუშაობს ეს პრაქტიკაში
თითქმის ყველა აუთსორსინგის შეთანხმება ირღვევა: ხელფასები, ჰოსტინგი, თქვენი CRM მიმწოდებელი, კომპანია, რომელიც თქვენს არქივებს ანადგურებს. მომწოდებლების უმეტესობა იყენებს საკუთარ შაბლონს, რომელიც ძირითად კონტრაქტს თან ერთვის გრაფიკის სახით. ეს შაბლონი შეთანხმებით სარგებლობს, მაშინაც კი, როდესაც წარმოდგენილია როგორც ფიქსირებული. განსაკუთრებული ყურადღება მიაქციეთ დამუშავების ოპერაციების აღმწერ გრაფიკს: ის უნდა ასახავდეს რეალურად მიმდინარე მოვლენებს და არა ზოგად აღწერას, რომელიც ყველა მომხმარებელს მოერგება. ევროპის ეკონომიკური ზონის გარეთ გადარიცხვებს დამატებითი საფუძველი სჭირდება, როგორც წესი, ევროკომისიის სტანდარტული სახელშეკრულებო პუნქტები.
სად მიდის არასწორი გზა
სამი შეცდომა მეორდება. პირველი არის დამუშავების ხელშეკრულების ხელმოწერა მხარესთან, რომელიც სინამდვილეში არ არის დამმუშავებელი, არამედ თავად განსაზღვრავს მიზნებსა და საშუალებებს; რაც მას ერთობლივ კონტროლერად აქცევს განსხვავებული წესებით. მეორე არის სუბ-დამმუშავებლებისთვის ზოგადი ავტორიზაცია, რაც ნიშნავს, რომ თქვენ კარგავთ თქვენი მონაცემების ფიზიკურ ადგილს. მესამე არის უსაფრთხოების გრაფიკი, რომელიც მხოლოდ „შესაბამის ზომებს“ ეხება ერთი კონკრეტული სტანდარტის დასახელების გარეშე, რომელიც ინციდენტის შემდეგ ვერაფერს შემოგთავაზებთ.
დაკავშირებული ტერმინები
დამუშავების შეთანხმება მჭიდრო კავშირშია პერსონალური მონაცემების დარღვევასთან , რადგან მასში უნდა განისაზღვროს ვადა, რომლის განმავლობაშიც დამმუშავებელმა უნდა მოგაწოდოთ ინფორმაცია და მონაცემთა დაცვაზე ზემოქმედების შეფასება , რომლის შესახებაც დამმუშავებელმა უნდა მოგაწოდოთ ინფორმაცია. ის ასევე ურთიერთქმედებს ზოგად წესებთან და პირობებთან , რადგან ხშირად ეწინააღმდეგება ძირითად ხელშეკრულებაში პასუხისმგებლობის ლიმიტს.
შემდგომი მოსმენით
დამატებითი ინფორმაცია ამ თემაზე: მონაცემთა დამუშავების შესახებ შეთანხმება (verwerkersovereenkomst) GDPR-ის შესაბამისად: ჰოლანდიური პრაქტიკული სახელმძღვანელო.
გსურთ თქვენი დამუშავების ხელშეკრულებების გადახედვა? ჩვენი IT იურისტები აფასებენ მათ და საჭიროების შემთხვევაში მოლაპარაკებებს აწარმოებენ.
