Zmluva so sprostredkovateľom a subdodávatelia spracovania

Modul 9: Ľudia a pravidlá · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete prečítať a skontrolovať zmluvu so sprostredkovateľom z hľadiska bodov, ktoré vyžaduje GDPR, a posúdiť zoznam subdodávateľov spracovania.

Kľúčové pojmy: zmluva so sprostredkovateľom (DPA), čl. 28 ods. 3 GDPR, písomné pokyny, mlčanlivosť, bezpečnostné opatrenia, subdodávateľ spracovania, všeobecný alebo osobitný súhlas, právo namietať, súčinnosť, vrátenie alebo vymazanie, audit, prenos mimo EHP, lehota na oznámenie porušenia ochrany osobných údajov, štandardné zmluvné doložky pre sprostredkovateľov

Prečo zmluva so sprostredkovateľom?

V lekcii 1.2 ste videli roly: Bakkerij De Korrel je prevádzkovateľ, cloudová služba je sprostredkovateľ. Článok 28 ods. 3 GDPR vyžaduje, aby spracúvanie sprostredkovateľom upravovala zmluva (alebo iný právny akt), ktorá je písomne zaznamenaná. Elektronická forma je tiež možná. Je to zmluva so sprostredkovateľom, po anglicky Data Processing Agreement (DPA) alebo Data Processing Addendum.

Pri veľkých cloudových službách sami nepodpisujete žiadny dokument: zmluva so sprostredkovateľom je súčasťou podmienok, s ktorými súhlasíte, alebo zaškrtnete políčko v správcovskom rozhraní. Pri menších poskytovateľoch si niekedy stiahnete dokument, vyplníte svoje údaje a podpíšete ho. Tak či onak, ako prevádzkovateľ musíte vedieť preukázať, že zmluva so sprostredkovateľom existuje a čo obsahuje.

Toto je vysvetlenie, nie právne poradenstvo. Pri pochybnostiach o vlastných zmluvách sa obráťte na právnika alebo na svoju zodpovednú osobu.

Čo musí podľa GDPR obsahovať

Článok 28 ods. 3 najprv uvádza témy, ktoré musí zmluva opisovať: predmet a trvanie spracúvania, povahu a účel, druh osobných údajov, kategórie dotknutých osôb a práva a povinnosti prevádzkovateľa. Potom nasleduje osem povinností sprostredkovateľa (písm. a až h). Nižšie v bežnej reči, spolu s otázkou, ktorú si pri čítaní kladiete:

Európska komisia tiež zverejnila štandardné zmluvné doložky pre sprostredkovateľov (vykonávacie rozhodnutie (EÚ) 2021/915). Môžete ich použiť ako zmluvu so sprostredkovateľom; obsahujú všetky povinné body. Mnohí menší poskytovatelia používajú vlastný vzor, v Holandsku často založený na vzore odvetvových organizácií.

Subdodávatelia spracovania: kto stojí za vaším poskytovateľom?

Vaša cloudová služba nerobí všetko sama. Subdodávateľ spracovania je strana, ktorú sprostredkovateľ zapája a ktorá má prístup k vašim údajom, napríklad:

• dátové centrum (ak nepatrí samotnému poskytovateľovi);
• dodávateľ zálohovacieho úložiska;
• spoločnosť, ktorá filtruje poštu na spam alebo vírusy;
• podporná strana alebo vývojár, ktorý vzdialene nahliada;
• AI služba, ak poskytovateľ ponúka funkciu AI.

Článok 28 ods. 2 hovorí: sprostredkovateľ nezapojí žiadneho subdodávateľa spracovania bez predchádzajúceho osobitného alebo všeobecného písomného súhlasu prevádzkovateľa. Pri všeobecnom súhlase musí sprostredkovateľ informovať o nových alebo nahradených subdodávateľoch, aby ste mohli podať námietku. V praxi to funguje tak, že poskytovateľ zverejní zoznam, oznamuje zmeny (e mailom alebo na stránke, ktorú môžete sledovať) a vy máte lehotu na podanie námietky. Ak podáte námietku a nenájde sa riešenie, často môžete zmluvu vypovedať.

Podľa odseku 4 musí subdodávateľ spracovania dostať rovnaké povinnosti a sprostredkovateľ zostáva voči vám plne zodpovedný.

Na čo si dať pri prechode na európsku službu extra pozor

Pri prechode na európsku službu sa v zozname subdodávateľov spracovania pozeráte najmä na dve veci:

1. Kde sa nachádzajú subdodávatelia spracovania? Európsky poskytovateľ, ktorý si poštu necháva filtrovať americkou službou alebo ukladá zálohy do amerického cloudu, aj tak vystavuje vaše údaje CLOUD Act (lekcia 1.3). Pozrite si krajinu aj materskú spoločnosť každého subdodávateľa spracovania.
2. Čo robia? Správca domén, ktorý pozná iba vaše meno a adresu ako držiteľa domény, je niečo iné ako strana, ktorá ukladá vaše poštové schránky.

Prečítajte si aj článok o prenose. Dobrá európska zmluva so sprostredkovateľom uvádza, že údaje sa spracúvajú v rámci EÚ alebo EHP a že prenos mimo tohto územia je možný iba s vaším predchádzajúcim súhlasom. Ak je tam napísané „môžeme spracúvať údaje celosvetovo s primeranými zárukami“, viete, že prenos je možný.

Signály, na ktoré si dať pozor

• Žiadna dostupná zmluva so sprostredkovateľom pri službe na podnikateľské použitie: nie je to dobrá voľba.
• Zastaraný zoznam subdodávateľov spracovania, ktorý nesúhlasí s tým, čo poskytovateľ uvádza inde (napríklad iné dátové centrum): požiadajte o vysvetlenie.
• Lehota na oznámenie porušenia ochrany osobných údajov, ktorá je taká dlhá, že vy nestihnete svoju vlastnú lehotu 72 hodín (čl. 33). Mnohé zmluvy uvádzajú 24 alebo 48 hodín.
• Zodpovednosť, ktorá je úplne vylúčená. To je do istej miery bežné, ale vypovedá to niečo o tom, ako si je poskytovateľ sám sebou istý.
• Žiadna úprava pre koniec spolupráce: čo sa stane s vašimi údajmi po ukončení a dostanete potvrdenie o vymazaní?

Kto podpisuje a kde ho uchovávate?

V De Korrel podpisuje Sanne ako majiteľka. Zmluvu so sprostredkovateľom uchováva spolu so záznamami o spracovateľských činnostiach (lekcia 9.3), spolu s dátumom a verziou. Ak poskytovateľ zmení zmluvu alebo subdodávateľov spracovania, uchováva aj toto oznámenie. Pri kontrole dozorného orgánu alebo pri otázke klienta („ako zaobchádzate s mojimi údajmi?“) to môže takto ukázať.

V praxi: ako to vyzerá u poskytovateľa

WebOké má štandardnú zmluvu so sprostredkovateľom s prílohou so zapojenými tretími stranami, v ktorej je uvedené, že spracúvanie prebieha v rámci EÚ a prenos mimo nej je možný iba s písomným súhlasom. V často kladených otázkach príručky Nextcloud sa dozviete, kedy ju potrebujete. Pri iných poskytovateľoch sa dokument často nazýva „Data Processing Agreement“ a zoznam subdodávateľov spracovania sa nachádza na samostatnej stránke („Subprocessors“). Porovnajte tento zoznam s tým, čo poskytovateľ uvádza na svojej webovej stránke o dátových centrách a podpore.

Zhrnutie

• Článok 28 ods. 3 GDPR vyžaduje písomnú zmluvu so sprostredkovateľom s pevnými témami a ôsmimi povinnosťami sprostredkovateľa.
• Skontrolujte najmä: žiadne vlastné účely, bezpečnosť, subdodávateľov spracovania, pomoc pri porušeniach ochrany osobných údajov, vrátenie alebo vymazanie po ukončení a audity.
• Subdodávateľov spracovania iba s vaším súhlasom; pri všeobecnom súhlase musíte byť informovaní o zmenách a mať možnosť podať námietku.
• Pri prechode na európsku službu sa v zozname subdodávateľov spracovania pozrite na krajinu a materskú spoločnosť každej strany.
• Uchovávajte zmluvu so sprostredkovateľom a oznámenia o zmenách spolu so záznamami o spracovateľských činnostiach.

Kvíz

Úloha

Úloha E9.2: Skontrolujte zmluvu so sprostredkovateľom. Vezmite zmluvu so sprostredkovateľom svojej súčasnej alebo novej cloudovej služby. Prejdite osem bodov a až h a zaznamenajte pri každom bode: je uvedený (áno, nie, nejasné) a kde. Posúďte zoznam subdodávateľov spracovania: zaznamenajte pri každom subdodávateľovi krajinu, materskú spoločnosť a čo robí.

Odporúčame na ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• Návod na Nextcloud 14.8: AI asistent vo vašom Nextcloude
• Nariadenie (EÚ) 2016/679 (GDPR), článok 28, na EUR-Lex
• Vykonávacie rozhodnutie (EÚ) 2021/915 (štandardné zmluvné doložky medzi prevádzkovateľmi a sprostredkovateľmi), na EUR-Lex
• Holandský dozorný orgán Autoriteit Persoonsgegevens, téma „Verwerkersovereenkomst“ (zmluva so sprostredkovateľom): https://www.autoriteitpersoonsgegevens.nl. Pre vašu situáciu je príslušným dozorným orgánom Úrad na ochranu osobných údajov Slovenskej republiky.