إجابة سريعة: يشير AVV (Auftragsverarbeitungsvertrag) و DPA (Data Processing Agreement) إلى نفس العقد المطلوب قانونًا بموجب المادة 28 من اللائحة العامة لحماية البيانات (GDPR)، ويُستخدم المصطلح الألماني AVV في الولايات القضائية بمنطقة DACH، بينما DPA هو المكافئ باللغة الإنجليزية المستخدم في معظم الدول الأعضاء الأخرى في الاتحاد الأوروبي وعلى الصعيد الدولي. يحكمان كلاهما كيفية تعامل معالج البيانات مع البيانات الشخصية نيابة عن المتحكم. يمكن أن يؤدي اختيار الإطار الخاطئ، أو تخطي الاتفاقية تمامًا، إلى تعريض مؤسستك لعقوبات تنظيمية كبيرة.
النقاط الرئيسية
- AVV هو الاختصار الألماني لـ Auftragsverarbeitungsvertrag؛ DPA تعني Data Processing Agreement، وهما نفس الأداة وظيفيًا بموجب GDPR.
- كلتا الاتفاقيتين إلزاميتان بموجب المادة 28 من GDPR كلما قام المتحكم بإشراك معالج للتعامل مع البيانات الشخصية.
- يرجع الاختلاف في المصطلحات إلى المنطقة: AVV هو المعيار في ألمانيا والنمسا وسويسرا؛ DPA يُستخدم في السياقات الناطقة بالإنجليزية ومعظم سياقات الاتحاد الأوروبي الأخرى.
- يجب أن تغطي الاتفاقية الصالحة موضوع المعالجة ومدتها، وفئات البيانات، وحقوق أصحاب البيانات، وشروط المعالجين الفرعيين، وإجراءات الأمان، وأحكام التدقيق. [1]
- يمكن أن يؤدي عدم وجود الاتفاقية الصحيحة إلى تحقيقات من قبل السلطة الإشرافية، وغرامات، ونزاعات تعاقدية.
- تتراوح تكلفة التنفيذ من صفر (باستخدام قالب قياسي للمورد) إلى عدة آلاف من اليورو للصياغة القانونية المخصصة.
- تستخدم بعض الشركات العاملة في أسواق DACH وغير DACH كلا المصطلحين بشكل مشروع في نفس الاتفاقية من أجل الوضوح.
- يمكن لمنصة إدارة الموافقة مثل Biscotti CMP أن تدعم وضع الامتثال الأوسع لـ GDPR، ولكنها لا تحل محل AVV أو DPA المنفذة بشكل صحيح.
ماذا يعني AVV في حماية البيانات، وهل هو نفس DPA؟
AVV تعني Auftragsverarbeitungsvertrag، وهو المصطلح الألماني لاتفاقية معالجة البيانات (Data Processing Agreement). من الناحية القانونية العملية، AVV و DPA هما نفس الوثيقة، وكلاهما يفي بالمتطلبات المنصوص عليها في المادة 28 من GDPR لعقد مكتوب بين متحكم بالبيانات ومعالج بيانات. [1]
التمييز لغوي وقضائي بحت. يستخدم ممارسو حماية البيانات الألمان والنمساويون والسويسريون AVV كمصطلح قياسي في العقود وسياسات الخصوصية والمراسلات التنظيمية. يستخدم الممارسون الناطقون بالإنجليزية ومعظم الدول الأعضاء الأخرى في الاتحاد الأوروبي DPA. عندما يقدم لك بائع برمجيات كخدمة (SaaS) ألماني "AVV"، فإنه يقدم نفس الأداة القانونية التي سيطلق عليها بائع مقره في المملكة المتحدة "DPA".
توضيح رئيسي: لا يشير أي من المصطلحين إلى معيار قانوني مختلف. يجب أن يفي كلاهما بنفس متطلبات محتوى المادة 28(3) من GDPR ليكون صالحًا. [1]
ما هو الفرق بين AVV و DPA؟
الفرق بين AVV و DPA هو مصطلحي، وليس جوهريًا. يصف كلاهما العقد الذي تفرضه المادة 28 من GDPR بين متحكم بالبيانات (الكيان الذي يحدد الغرض ووسائل المعالجة) ومعالج البيانات (الكيان الذي يعالج البيانات نيابة عن المتحكم).
حيث يمكن أن تظهر اختلافات حقيقية هو في أسلوب الصياغة والتوجيه التنظيمي المحلي:
- نشرت السلطات الإشرافية الألمانية (Datenschutzbehörden) بنودًا نموذجية محددة وملاحظات توجيهية غالبًا ما تتضمنها وثائق AVV.
- قد تشير اتفاقيات DPA باللغة الإنجليزية المصاغة للولايات القضائية في المملكة المتحدة أو أيرلندا إلى تشريعات التنفيذ الوطنية جنبًا إلى جنب مع GDPR.
- يجب أن تأخذ اتفاقيات AVV السويسرية في الاعتبار أيضًا القانون الفيدرالي المنقح لحماية البيانات (revFADP)، والذي يختلف عن GDPR في جوانب معينة.
الخلاصة: إذا أرسل لك بائع AVV وكنت بحاجة إلى DPA، فقد تلقيت ما تحتاجه، بشرط أن يفي المحتوى بمتطلبات المادة 28(3). [1]
متى تحتاج إلى AVV مقابل DPA؟
تحتاج إلى إحدى هذه الاتفاقيات في أي وقت تشارك فيه مؤسستك بيانات شخصية مع مزود خدمة طرف ثالث يعالج تلك البيانات بناءً على تعليماتك. المحفز هو العلاقة بين المتحكم والمعالج، وليس لغة العقد.
استخدم AVV عندما:
- يكون الطرف المقابل لك مقره في ألمانيا أو النمسا أو سويسرا وتستخدم عقودهم القياسية هذه المصطلحات.
- تعمل مؤسستك بموجب قانون حماية البيانات الألماني وتتبع قوالبك الداخلية توجيهات BfDI أو DPA الحكومية.
استخدم DPA عندما:
- يعمل الطرف المقابل لك في ولاية قضائية ناطقة بالإنجليزية أو يستخدم الإنجليزية كلغة للعقد.
- تتعاقد مع مزود سحابة مقره في الولايات المتحدة، أو بائع برمجيات كخدمة (SaaS) في المملكة المتحدة، أو أي معالج دولي تكون قوالبه الافتراضية "DPA".
خطأ شائع: الافتراض أنه نظرًا لأن البائع يسمي وثيقته AVV بدلاً من DPA، فإن قواعد قانونية مختلفة تنطبق. متطلبات المحتوى متطابقة بموجب GDPR. ما يهم هو الجوهر، وليس الملصق على صفحة الغلاف.
من يحتاج إلى AVV ومن يحتاج إلى DPA؟
أي مؤسسة مؤهلة كمتحكم بالبيانات بموجب GDPR وتشرك طرفًا ثالثًا لمعالجة البيانات الشخصية نيابة عنها تحتاج إلى إحدى هذه الاتفاقيات. ينطبق هذا على:
- شركات التجارة الإلكترونية التي تستخدم معالجات دفع تابعة لجهات خارجية أو منصات تسويق عبر البريد الإلكتروني.
- الشركات التي تستخدم مزودي البنية التحتية السحابية (IaaS، PaaS، SaaS).
- وكالات التسويق عبر الإنترنت التي تعالج بيانات عملاء العميل.
- المطورين الذين يبنون تطبيقات تتعامل مع البيانات الشخصية للمستخدم النهائي عبر واجهات برمجة التطبيقات الخارجية.
- مالكي مواقع الويب الذين يستخدمون أدوات التحليل أو شبكات توصيل المحتوى (CDNs) أو أنظمة إدارة علاقات العملاء (CRM) التي تعالج بيانات الزوار.
ستواجه المنظمات التي تتخذ من أسواق DACH مقرًا لها عادةً تسمية AVV؛ أما تلك التي تعمل دوليًا فستتعامل غالبًا مع DPAs. تواجه كلتا الفئتين من المنظمات نفس الالتزام القانوني.
ماذا يجب أن يتضمن AVV مقابل DPA؟
يجب أن يحتوي كل من AVV و DPA على نفس العناصر الإلزامية بموجب المادة 28(3) من GDPR. يؤدي فقدان أي من هذه البنود إلى عدم امتثال الاتفاقية. [1]
| البند المطلوب | الوصف |
|---|---|
| الموضوع والمدة | ما هي البيانات التي تتم معالجتها وكم من الوقت |
| الطبيعة والغرض | لماذا وكيف تتم المعالجة |
| أنواع البيانات وأصحاب البيانات | فئات البيانات الشخصية والأفراد المتأثرين |
| حقوق والتزامات المتحكم | التعليمات التي يجب على المعالج اتباعها |
| إجراءات الأمان | الضمانات التقنية والتنظيمية (TOMs) |
| شروط المعالج الفرعي | قواعد إشراك المعالجين الفرعيين |
| مساعدة حقوق أصحاب البيانات | دعم طلبات الوصول، المحو، قابلية النقل |
| إشعار الاختراق | التزام المعالج بإخطار المتحكم بالحوادث |
| إرجاع البيانات أو حذفها | ما يحدث للبيانات عند انتهاء العقد |
| حقوق التدقيق | حق المتحكم في التحقق من الامتثال |
حالة خاصة: إذا كان قالب البائع يحذف حقوق التدقيق أو شروط المعالج الفرعي، فلا توقع عليه كما هو. هذه غير قابلة للتفاوض بموجب المادة 28(3). [1]
كم تكلفة إعداد AVV أو DPA؟
تعتمد التكلفة بالكامل على ما إذا كنت تستخدم قالبًا قياسيًا للبائع أو تطلب صياغة قانونية مخصصة.
- القالب المقدم من البائع (الأكثر شيوعًا): مجاني. تنشر معظم شركات SaaS ومزودي الخدمات السحابية الرئيسيين AVV أو DPA قياسيًا يمكن للمتحكمين قبوله عبر الإنترنت أو من خلال عملية النقر.
- اتفاقية مخصصة متفاوض عليها: تتراوح الرسوم القانونية عادةً من 500 إلى 5000 يورو اعتمادًا على التعقيد والولاية القضائية وأسعار المحامين. تقع عقود الشركات ذات أحجام البيانات الكبيرة أو فئات البيانات الحساسة في الطرف الأعلى.
- تطوير قالب داخلي: استثمار لمرة واحدة لوقت المستشار القانوني لإنشاء قالب قابل لإعادة الاستخدام؛ التكلفة المستمرة ضئيلة.
ملاحظة عملية: بالنسبة لمعظم الشركات الصغيرة والمتوسطة ومالكي مواقع الويب، يكون القالب القياسي للبائع كافيًا. التفاوض المخصص مبرر عندما تتضمن المعالجة بيانات من فئة خاصة (صحية، بيومترية، مالية) أو عندما يتحمل المتحكم تعرضًا كبيرًا للمسؤولية.
كيف تختلف متطلبات AVV و DPA حسب البلد؟
بموجب GDPR، يتم تنسيق المتطلبات الجوهرية عبر جميع الدول الأعضاء في الاتحاد الأوروبي، لذا فإن المحتوى الأساسي لـ AVV و DPA متطابق سواء كنت في برلين أو باريس أو وارسو. ومع ذلك، توجد فروق دقيقة على المستوى الوطني:
- ألمانيا: أصدرت BfDI و DPAs على مستوى الولاية توجيهات مفصلة وبنود نموذجية. غالبًا ما تتضمن AVVs الألمانية وثائق أكثر تفصيلاً للإجراءات التقنية والتنظيمية (TOMs).
- سويسرا: يفرض revFADP (الذي دخل حيز التنفيذ في سبتمبر 2023) متطلبات إضافية تتجاوز GDPR، بما في ذلك أحكام محددة لنقل البيانات عبر الحدود والجداول الزمنية لإخطار خرق البيانات.
- المملكة المتحدة (بعد خروج بريطانيا من الاتحاد الأوروبي): ينطبق GDPR في المملكة المتحدة؛ يجب أن تشير DPAs إلى توجيهات ICO في المملكة المتحدة بدلاً من السلطات الإشرافية في الاتحاد الأوروبي. تختلف البنود التعاقدية القياسية عن SCCs في الاتحاد الأوروبي.
- الدول الأعضاء الأخرى في الاتحاد الأوروبي: تنطبق المادة 28 من GDPR مباشرة؛ قد تكمل توجيهات DPA المحلية ولكن لا يمكنها تقليل الحد الأدنى من المتطلبات.
اختر بند القانون الحاكم بعناية. قد تبدو AVV بموجب القانون الألماني و DPA بموجب القانون الأيرلندي متشابهتين ولكنهما ستُفسران من قبل محاكم وسلطات إشرافية مختلفة.
هل يمكنك استخدام AVV بدلاً من DPA، أو استخدام كليهما في نفس الوقت؟
نعم، يمكن أن يحل AVV محل DPA لأنهما أداتان متساويتان قانونيًا. قد تقوم شركة تعمل في أسواق DACH وغير DACH بتضمين كلا المصطلحين في رأس العقد نفسه (على سبيل المثال، "Data Processing Agreement / Auftragsverarbeitungsvertrag") لتجنب الارتباك، وهذا ممارسة شائعة في عقود الشركات ثنائية اللغة وهو مسموح به تمامًا.
استخدام كلا التسميتين في وقت واحد لا ينشئ التزامين قانونيين منفصلين. إنه يضمن ببساطة أن الأطراف الناطقة بالألمانية والإنجليزية تفهم أنها تنظر إلى نفس الوثيقة.
ما هي الأخطاء الشائعة عند الاختيار بين AVV و DPA؟
الأخطاء الأكثر أهمية لا تتعلق بالمصطلح الذي تستخدمه، بل بما تحتويه الاتفاقية وما إذا كانت موجودة على الإطلاق.
- تخطي الاتفاقية تمامًا لأن علاقة البائع تبدو غير رسمية أو منخفضة المخاطر. بموجب GDPR، ينشأ الالتزام بفعل المعالجة، وليس بمستوى المخاطر المتصور.
- قبول قالب غير مكتمل يحذف بنود المعالج الفرعي أو حقوق التدقيق، معتقدًا أن نسخة البائع متوافقة تلقائيًا.
- الخلط بين DPA واتفاقية مشاركة البيانات. تحكم DPA علاقات المعالج؛ تحكم اتفاقية مشاركة البيانات تبادل البيانات بين المتحكمين المشتركين أو بين المتحكمين. هذه أدوات مختلفة.
- الفشل في تحديث الاتفاقيات عندما يشرك المعالج معالجين فرعيين جددًا أو يغير طبيعة المعالجة.
- افتراض أن الامتثال لـ GDPR يغطي القانون السويسري. يجب على المنظمات التي لديها أصحاب بيانات سويسريون التأكد من أن AVV الخاص بها يفي أيضًا بمتطلبات revFADP.
ما هي العواقب القانونية لارتكاب خطأ في AVV مقابل DPA؟
يؤدي عدم وجود اتفاقية صالحة وكاملة إلى تعريض كل من المتحكمين والمعالجين للمسؤولية التنظيمية والمدنية.
بموجب المادة 83(4) من GDPR، يمكن أن تؤدي انتهاكات المادة 28 (متطلب DPA/AVV) إلى غرامات إدارية تصل إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى. أظهرت السلطات الإشرافية في ألمانيا استعدادها للتحقيق وتغريم المنظمات بسبب اتفاقيات المعالجة المفقودة أو المعيبة.
بالإضافة إلى الغرامات، تشمل العواقب:
- عمليات تدقيق وأوامر تصحيحية من السلطة الإشرافية.
- عدم القدرة على فرض الشروط التعاقدية ضد معالج غير ملتزم.
- التعرض للمسؤولية المدنية في حالة حدوث خرق للبيانات دون اتفاقية صالحة توثق التزامات الأمان.
- الإضرار بالسمعة في سياقات B2B حيث يقوم عملاء الشركات بإجراء العناية الواجبة للموردين.
كيف تعرف الاتفاقية التي تحتاجها عملك بالفعل؟
القرار واضح بمجرد تحديد العلاقة والولاية القضائية.
الخطوة 1: حدد ما إذا كانت مؤسستك هي المتحكم (أنت تقرر لماذا وكيف تتم معالجة البيانات) أو المعالج (أنت تعالج البيانات بناءً على تعليمات شخص آخر).
الخطوة 2: حدد لغة وولاية الطرف المقابل لك. إذا كانوا في منطقة DACH، فتوقع AVV. إذا كانوا في مكان آخر، فتوقع DPA.
الخطوة 3: تحقق من أن أي وثيقة تتلقاها تحتوي على جميع العناصر العشرة الإلزامية بموجب المادة 28(3) من GDPR. [1]
الخطوة 4: إذا كانت مؤسستك تحتاج أيضًا إلى إدارة موافقة المستخدم لملفات تعريف الارتباط وتقنيات التتبع، فإن منصة إدارة الموافقة مثل Biscotti CMP تعالج هذه الطبقة من الامتثال لـ GDPR، ولكنها تعمل جنبًا إلى جنب، وليس بدلاً من، AVV أو DPA المنفذة بشكل صحيح.
قاعدة القرار: إذا كنت تعالج بيانات شخصية نيابة عن مؤسسة أخرى، فأنت بحاجة إلى DPA أو AVV بغض النظر عن الاسم التجاري للعلاقة. إذا كانت مؤسسة أخرى تعالج البيانات نيابة عنك، فأنت مسؤول عن ضمان وجود هذه الاتفاقية قبل بدء المعالجة.
الأسئلة الشائعة
س: هل AVV صالح قانونًا خارج ألمانيا؟ AVV صالح قانونًا في أي مكان ينطبق فيه GDPR، بشرط أن يفي بمتطلبات محتوى المادة 28(3). لا تحد المصطلحات الألمانية من قابليته للتنفيذ في الولايات القضائية الأخرى في الاتحاد الأوروبي.
س: هل يجب توقيع DPA من قبل الطرفين؟ نعم. تتطلب المادة 28(9) من GDPR أن تكون الاتفاقية مكتوبة، ويشمل ذلك الشكل الإلكتروني. يجب أن يلتزم كل من المتحكم والمعالج بشروطها.
س: هل يمكن لـ DPA عبر الإنترنت التي يتم النقر عليها من قبل البائع أن تفي بمتطلبات GDPR؟ نعم، إذا كان المحتوى يفي بمتطلبات المادة 28(3). يقدم العديد من مزودي الخدمات السحابية الرئيسيين DPAs متوافقة عبر النقر عليها والتي تمت مراجعتها من قبل السلطات الإشرافية.
س: ما هو المعالج الفرعي، ولماذا يهم في DPA أو AVV؟ المعالج الفرعي هو طرف ثالث يشركه المعالج لتنفيذ أنشطة المعالجة. يجب أن تحدد DPA أو AVV الشروط التي يمكن بموجبها إشراك المعالجين الفرعيين، بما في ذلك حق المتحكم في الاعتراض. [1]
س: هل أحتاج إلى AVV أو DPA جديد في كل مرة يقوم فيها المعالج بتحديث قائمة المعالجين الفرعيين الخاصة به؟ ليس بالضرورة. تتضمن العديد من الاتفاقيات تفويضًا عامًا لتغييرات المعالج الفرعي، بشرط أن يخطر المعالج المتحكم ويحتفظ المتحكم بالحق في الاعتراض خلال فترة محددة.
س: هل تغطي DPA عمليات نقل البيانات خارج الاتحاد الأوروبي؟ تحكم DPA علاقة المعالجة ولكنها لا تسمح بحد ذاتها بنقل البيانات عبر الحدود. تتطلب آليات نقل منفصلة (البنود التعاقدية القياسية، قرارات الكفاية) لعمليات النقل إلى دول ثالثة.
س: ما هي المدة التي يجب الاحتفاظ بها بـ DPA أو AVV؟ احتفظ بالاتفاقية طوال مدة علاقة المعالجة ولفترة معقولة بعد ذلك، عادة ما لا تقل عن ثلاث إلى خمس سنوات، لإثبات الامتثال في حالة استفسار السلطة الإشرافية.
س: ما الفرق بين DPA و DPIA؟ DPA (اتفاقية معالجة البيانات) هي عقد بين المتحكم والمعالج. DPIA (تقييم تأثير حماية البيانات) هو تقييم داخلي للمخاطر مطلوب لأنشطة المعالجة عالية المخاطر. يخدمان أغراضًا مختلفة ولا يحل أحدهما محل الآخر.
س: هل يمكن أن يُطلب من المستقل أو الوكالة الصغيرة توقيع AVV أو DPA؟ نعم. ينطبق الالتزام بغض النظر عن حجم المعالج. المطور المستقل الذي يتعامل مع بيانات عملاء العميل هو معالج ويجب عليه توقيع DPA أو AVV مع كل عميل متحكم.
س: هل يحل Biscotti CMP محل الحاجة إلى DPA أو AVV؟ لا. Biscotti CMP هي منصة لإدارة الموافقة تساعد في إدارة موافقة المستخدم على ملفات تعريف الارتباط والتتبع، وهو متطلب منفصل للامتثال لـ GDPR. لا يزال مطلوبًا DPA أو AVV لأي علاقة معالج تتضمن بيانات شخصية.
الخلاصة
يتم حل سؤال AVV مقابل DPA بسرعة بمجرد إدراك أن كلا المصطلحين يصفان نفس الأداة المطلوبة قانونًا بموجب المادة 28 من GDPR. التحدي الحقيقي ليس الاختيار بينهما، بل هو ضمان أن أي وثيقة تحكم علاقات المعالج الخاصة بك تحتوي على كل بند إلزامي، ويتم تنفيذها بشكل صحيح، ويتم تحديثها مع تطور أنشطة المعالجة.
الخطوات التالية القابلة للتنفيذ:
- قم بتدقيق جميع علاقات البائعين الحالية للتأكد من وجود DPA أو AVV صالح لكل معالج يتعامل مع البيانات الشخصية نيابة عنك.
- راجع الاتفاقيات الحالية مقابل العناصر العشرة الإلزامية للمادة 28(3) من GDPR واطلب تعديلات لأي ثغرات. [1]
- إذا كنت تعمل في سويسرا، فتحقق من أن الاتفاقيات تفي أيضًا بمتطلبات revFADP بما يتجاوز خط الأساس لـ GDPR.
- أنشئ عملية داخلية لإعداد معالجين جدد، يجب ألا تبدأ أي معالجة قبل توقيع الاتفاقية.
- لإدارة الموافقة والامتثال لملفات تعريف الارتباط على موقع الويب أو التطبيق الخاص بك، قم بتقييم Biscotti CMP كجزء من إطار الامتثال الأوسع لـ GDPR.
الامتثال لحماية البيانات ليس مشروعًا لمرة واحدة. تحتاج الاتفاقيات إلى المراجعة عند تغيير المعالجة، وعند إضافة معالجين فرعيين، وعند تطور التوجيهات التنظيمية. إن بناء هذا الإيقاع للمراجعة في برنامج الامتثال الخاص بك هو الضمان العملي الأكثر فعالية ضد التعرض التنظيمي.
المراجع
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai