Az adatfeldolgozási szerződés és az alvállalkozó adatfeldolgozók

Modul 9: Emberek és szabályok · Olvasási idő: 11 perc

Tanulási cél: Ennek a leckének a végén Ön képes lesz elolvasni és a GDPR előírásai alapján ellenőrizni egy adatfeldolgozási szerződést, valamint értékelni egy alvállalkozó adatfeldolgozói listát.

Kulcsfogalmak: adatfeldolgozási szerződés (VWO, DPA), GDPR 28. cikk (3) bekezdés, írásbeli utasítások, titoktartás, biztonsági intézkedések, alvállalkozó adatfeldolgozó, általános vagy egyedi hozzájárulás, kifogásolási jog, segítségnyújtás, visszaadás vagy törlés, audit, az EGT-n kívüli továbbítás, adatvédelmi incidens bejelentési határideje, adatfeldolgozókra vonatkozó általános szerződési feltételek

Miért van szükség adatfeldolgozási szerződésre?

Az 1.2. leckében már látta a szerepköröket: a Szemcse Pékség az adatkezelő, a felhőszolgáltatás pedig az adatfeldolgozó. A GDPR 28. cikkének (3) bekezdése előírja, hogy az adatfeldolgozó általi adatkezelést szerződésnek (vagy más jogi aktusnak) kell szabályoznia, amelyet írásban kell rögzíteni. Elektronikus formában is lehetséges. Ez az úgynevezett adatfeldolgozási szerződés, rövidítve VWO; angolul Data Processing Agreement (DPA) vagy Data Processing Addendum.

Nagyobb felhőszolgáltatásoknál nem Ön ír alá külön dokumentumot: a VWO az általános szerződési feltételek része, amelyeket Ön elfogad, vagy egy pipát kell bejelölnie a kezelőfelületen. Kisebb szolgáltatóknál néha letölthető egy dokumentum, amelybe beírja az adatait, és aláírja. Bárhogy is legyen: adatkezelőként igazolnia kell tudni, hogy van VWO, és mi szerepel benne.

Ez a lecke magyarázatot ad, nem jogi tanácsadás. Ha kétsége merül fel a saját szerződéseivel kapcsolatban, kérjen tanácsot jogásztól vagy az adatvédelmi tisztviselőjétől.

Mit kell tartalmaznia a GDPR szerint

A 28. cikk (3) bekezdése először azokat a témákat sorolja fel, amelyeket a szerződésnek le kell írnia: az adatkezelés tárgyát és időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő jogait és kötelezettségeit. Ezt követi az adatfeldolgozó nyolc kötelezettsége (a-tól h-ig). Alább közérthető nyelven, az ellenőrző kérdéssel, amelyet olvasás közben feltehet:

Az Európai Bizottság adatfeldolgozókra vonatkozó általános szerződési feltételeket is közzétett ((EU) 2021/915 végrehajtási határozat). Ezeket használhatja adatfeldolgozási szerződésként; tartalmazzák az összes kötelező pontot. Sok kisebb szolgáltató saját modellt alkalmaz, Hollandiában gyakran a szakmai szervezetek mintáira alapozva.

Alvállalkozó adatfeldolgozók: ki áll a szolgáltatója mögött?

A felhőszolgáltatása nem mindent saját maga végez. Az alvállalkozó adatfeldolgozó egy olyan fél, akit az adatfeldolgozó vesz igénybe, és aki hozzáférhet az Ön adataihoz, például:

• az adatközpont (ha az nem magának a szolgáltatónak a tulajdona);
• egy biztonsági mentési tárhelyszolgáltató;
• egy cég, amely a levelezést spam vagy vírusok ellen szűri;
• egy support cég vagy egy fejlesztő, aki távolról belelát a rendszerbe;
• egy AI-szolgáltatás, ha a szolgáltató AI-funkciót kínál.

A 28. cikk (2) bekezdése kimondja: az adatfeldolgozó nem vesz igénybe további adatfeldolgozót az adatkezelő előzetes egyedi vagy általános írásbeli hozzájárulása nélkül. Általános hozzájárulás esetén az adatfeldolgozónak tájékoztatnia kell Önt az új vagy lecserélt alvállalkozó adatfeldolgozókról, hogy Ön kifogással élhessen. A gyakorlatban ez így működik: a szolgáltató közzétesz egy listát, bejelenti a változásokat (e-mailben vagy egy nyomon követhető oldalon), és Önnek van egy határideje a kifogás benyújtására. Ha Ön kifogást emel, és nem születik megoldás, akkor gyakran felmondhatja a szerződést.

A (4) bekezdés szerint az alvállalkozó adatfeldolgozónak ugyanazokat a kötelezettségeket kell vállalnia, és az adatfeldolgozó továbbra is teljes mértékben felelős Ön felé.

Mire figyeljen extra az európai váltásnál

Egy európai szolgáltatásra történő áttéréskor az alvállalkozó adatfeldolgozói listában elsősorban két dologra figyeljen:

1. Hol találhatók az alvállalkozó adatfeldolgozók? Egy európai szolgáltató, amely a levelezését amerikai szolgáltatóval szűrteti, vagy amerikai felhőbe teszi a biztonsági mentéseit, ettől még a CLOUD Act hatálya alá vonhatja az Ön adatait (1.3. lecke). Nézze meg minden alvállalkozó adatfeldolgozó országát és anyavállalatát is.
2. Mit csinálnak? Egy domainregisztrátor, amely csak az Ön nevét és címét ismeri mint domaintulajdonosét, egészen más, mint egy fél, aki a postafiókjait tárolja.

Olvassa el a továbbításról szóló cikket is. Egy jó európai VWO azt mondja, hogy az adatok az EU-n vagy az EGT-n belül kerülnek feldolgozásra, és az azon kívüli továbbítás csak az Ön előzetes hozzájárulásával lehetséges. Ha az áll benne, hogy "megfelelő biztosítékok mellett világszerte kezelhetjük az adatokat", akkor tudja, hogy a továbbítás lehetséges.

Figyelmeztető jelek

• Nincs elérhető VWO üzleti célú szolgáltatás esetén: ez nem jó választás.
• Elavult lista olyan alvállalkozó adatfeldolgozókkal, amely nem egyezik azzal, amit a szolgáltató máshol közöl (például egy másik adatközpont): kérjen tisztázást.
• Az adatvédelmi incidens bejelentési határideje olyan hosszú, hogy Ön nem tudja tartani a saját 72 órás határidejét (33. cikk). Sok VWO 24 vagy 48 órát említ.
• A felelősség teljesen ki van zárva. Ez bizonyos fokig megszokott, de árulkodik arról, mennyire bízik magában a szolgáltató.
• Nincs rendelkezés a szolgáltatás végére: mi történik az adataival a felmondás után, és kap-e megerősítést a törlésről?

Ki írja alá, és hol tárolja?

A Szemcsénél Sanne tulajdonosként írja alá. A VWO-t az adatkezelési tevékenységek nyilvántartásánál (9.3. lecke) tárolja, dátummal és verzióval ellátva. Ha a szolgáltató módosítja a VWO-t vagy az alvállalkozó adatfeldolgozókat, akkor ezt a bejelentést is megőrzi. A felügyeleti hatóság ellenőrzésekor, vagy egy ügyfél kérdésére ("Hogyan kezelik az adataimat?") így tudja megmutatni.

A gyakorlatban: hogyan néz ki ez egy szolgáltatónál

A WebOké rendelkezik egy standard adatfeldolgozási szerződéssel, amelynek van egy melléklete a bevont harmadik felekről, és amely kimondja, hogy az adatkezelés az EU-n belül történik, és az azon kívüli továbbítás csak írásbeli hozzájárulással lehetséges. A Nextcloud kézikönyv gyakran ismételt kérdései között megtalálja, mikor van szüksége rá. Más szolgáltatóknál a dokumentumot gyakran "Data Processing Agreement"-nek hívják, és az alvállalkozó adatfeldolgozói lista külön oldalon található ("Subprocessors"). Vesse össze ezt a listát azzal, amit a szolgáltató a weboldalán az adatközpontokról és a supportról mond.

Összefoglalás

• A GDPR 28. cikkének (3) bekezdése írásbeli adatfeldolgozási szerződést ír elő, rögzített témákkal és az adatfeldolgozó nyolc kötelezettségével.
• Elsősorban ezeket ellenőrizze: nincs saját célú felhasználás, biztonság, alvállalkozó adatfeldolgozók, segítségnyújtás adatvédelmi incidens esetén, visszaadás vagy törlés a szolgáltatás végén, valamint auditok.
• Alvállalkozó adatfeldolgozókat csak az Ön hozzájárulásával lehet igénybe venni; általános hozzájárulás esetén Önt tájékoztatni kell a változásokról, és Ön kifogással élhet.
• Egy európai váltásnál az alvállalkozó adatfeldolgozói listában nézze meg minden fél országát és anyavállalatát.
• Tárolja a VWO-t és a módosítási értesítéseket az adatkezelési tevékenységek nyilvántartásánál.

Kvíz

Feladat

E9.2 feladat: Ellenőrizzen egy adatfeldolgozási szerződést. Vegye elő a jelenlegi vagy új felhőszolgáltatásának adatfeldolgozási szerződését. Nézze át az a-tól h-ig terjedő nyolc pontot, és jegyezze fel pontonként: szerepel-e benne (igen, nem, nem egyértelmű), és hol. Értékelje az alvállalkozó adatfeldolgozói listát: jegyezze fel alvállalkozó adatfeldolgozónként az országot, az anyavállalatot és azt, hogy mit végez.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
• Nextcloud kézikönyv 14.8: AI-asszisztens a Nextcloudban
• Az (EU) 2016/679 rendelet (GDPR) 28. cikke, az EUR-Lex oldalon
• Az (EU) 2021/915 végrehajtási határozat (az adatkezelők és adatfeldolgozók közötti általános szerződési feltételek), az EUR-Lex oldalon
• A holland Autoriteit Persoonsgegevens, "Verwerkersovereenkomst" témakör: https://www.autoriteitpersoonsgegevens.nl