Бърз отговор: AVV (Auftragsverarbeitungsvertrag) и DPA (Data Processing Agreement) се отнасят до един и същ законово изискван договор съгласно член 28 от GDPR. Немският термин AVV се използва в юрисдикциите на DACH региона, докато DPA е еквивалентът на английски език, използван в повечето други държави-членки на ЕС и в международен план. И двете регулират как обработващият данни обработва лични данни от името на администратор. Изборът на грешна формулировка или пропускането на споразумението изцяло може да изложи вашата организация на значителни регулаторни санкции.
Основни изводи
- AVV е немското съкращение за Auftragsverarbeitungsvertrag; DPA означава Data Processing Agreement, те са функционално един и същ инструмент съгласно GDPR.
- И двете споразумения са задължителни съгласно член 28 от GDPR, когато администраторът ангажира обработващ данни за обработка на лични данни.
- Разликата в терминологията е регионална: AVV е стандартен в Германия, Австрия и Швейцария; DPA се използва в англоговорящи и повечето други контексти на ЕС.
- Валидното споразумение трябва да обхваща предмет, продължителност на обработката, категории данни, права на субекта на данни, условия за подизпълнители, мерки за сигурност и разпоредби за одит. [1]
- Липсата на правилно споразумение може да доведе до разследвания от надзорни органи, глоби и договорни спорове.
- Разходите за внедряване варират от нула (използване на стандартен шаблон на доставчик) до няколко хиляди евро за изготвяне на персонализиран правен документ.
- Някои предприятия, опериращи на DACH и не-DACH пазари, законно използват и двата термина в едно и също споразумение за яснота.
- Платформа за управление на съгласието като Biscotti CMP може да подкрепи по-широката ви позиция за съответствие с GDPR, но не замества правилно изпълнен AVV или DPA.
Какво означава AVV в защитата на данните и същото ли е като DPA?
AVV означава Auftragsverarbeitungsvertrag, немскоезичният термин за Споразумение за обработка на данни. От практическа правна гледна точка, AVV и DPA са един и същ документ, като и двата отговарят на изискването, посочено в член 28 от GDPR за писмен договор между администратор на данни и обработващ данни. [1]
Разграничението е чисто езиково и юрисдикционно. Немски, австрийски и швейцарски специалисти по защита на данните използват AVV като стандартен термин в договори, политики за поверителност и регулаторна кореспонденция. Англоговорящи специалисти и повечето други държави-членки на ЕС използват DPA. Когато немски доставчик на SaaS ви предлага "AVV", той предлага същия правен инструмент, който доставчик от Обединеното кралство би нарекъл "DPA".
Ключово уточнение: Нито един от термините не предполага различен правен стандарт. И двата трябва да отговарят на едни и същи изисквания за съдържание на член 28, параграф 3 от GDPR, за да бъдат валидни. [1]
Каква е разликата между AVV и DPA?
Разликата между AVV и DPA е терминологична, а не съществена. И двете описват договора, предписан от член 28 от GDPR между администратор на данни (субектът, който определя целта и средствата за обработка) и обработващ данни (субектът, който обработва данни от името на администратора).
Истински разлики могат да възникнат в стила на изготвяне и местните регулаторни указания:
- Немските надзорни органи (Datenschutzbehörden) са публикували специфични примерни клаузи и указания, които често се включват в AVV документи.
- Англоезични DPA, изготвени за юрисдикции на Обединеното кралство или Ирландия, могат да се позовават на национално изпълнително законодателство наред с GDPR.
- Швейцарските AVV трябва също така да отчитат преработения Федерален закон за защита на данните (revFADP), който се различава от GDPR в определени аспекти.
Извод: Ако доставчик ви изпрати AVV и ви е необходим DPA, вие сте получили това, от което се нуждаете, при условие че съдържанието отговаря на изискванията на член 28, параграф 3. [1]
Кога се нуждаете от AVV срещу DPA?
Имате нужда от едно от тези споразумения всеки път, когато вашата организация споделя лични данни с доставчик на услуги от трета страна, който обработва тези данни по вашите указания. Задействащият фактор е връзката администратор-обработващ, а не езикът на договора.
Използвайте AVV, когато:
- Вашата контрагента е базирана в Германия, Австрия или Швейцария и техният стандартен договор използва тази терминология.
- Вашата собствена организация работи съгласно немското законодателство за защита на данните и вашите вътрешни шаблони следват указанията на BfDI или държавния DPA.
Използвайте DPA, когато:
- Вашата контрагента оперира в англоговоряща юрисдикция или използва английски като език на договора.
- Сключвате договор с базиран в САЩ доставчик на облачни услуги, доставчик на SaaS от Обединеното кралство или друг международен обработващ, чиито шаблони по подразбиране са "DPA".
Често срещана грешка: Предполагането, че тъй като доставчик нарича своя документ AVV, а не DPA, се прилагат различни правни правила. Изискванията за съдържание са идентични съгласно GDPR. Важно е същността, а не етикетът на заглавната страница.
Кой се нуждае от AVV и кой се нуждае от DPA?
Всяка организация, която се квалифицира като администратор на данни съгласно GDPR и ангажира трета страна да обработва лични данни от нейно име, се нуждае от едно от тези споразумения. Това се отнася за:
- Електронни търговски предприятия, използващи доставчици на платежни услуги от трети страни или платформи за имейл маркетинг.
- Предприятия, използващи доставчици на облачна инфраструктура (IaaS, PaaS, SaaS).
- Онлайн маркетингови агенции, обработващи клиентски данни.
- Разработчици, създаващи приложения, които обработват лични данни на крайни потребители чрез външни API.
- Собственици на уебсайтове, използващи инструменти за анализ, CDN или CRM системи, които обработват данни на посетители.
Организациите, базирани на DACH пазари, обикновено ще се сблъскат с етикета AVV; тези, които оперират в международен план, по-често ще се занимават с DPA. И двете категории организации са изправени пред едно и също правно задължение.
Какво трябва да бъде включено в AVV срещу DPA?
Както AVV, така и DPA трябва да съдържат едни и същи задължителни елементи съгласно член 28, параграф 3 от GDPR. Липсата на някоя от тези клаузи прави споразумението несъответстващо. [1]
| Изисквана клауза | Описание |
|---|---|
| Предмет и продължителност | Какви данни се обработват и за колко време |
| Естество и цел | Защо и как се извършва обработката |
| Видове данни и субекти на данни | Категории лични данни и засегнати лица |
| Права и задължения на администратора | Инструкции, които обработващият трябва да следва |
| Мерки за сигурност | Технически и организационни мерки (ТОМ) |
| Условия за подизпълнители | Правила за ангажиране на подизпълнители |
| Съдействие за правата на субектите на данни | Подкрепа за заявки за достъп, изтриване, преносимост |
| Уведомяване за нарушение | Задължение на обработващия да уведоми администратора за инциденти |
| Връщане или изтриване на данни | Какво се случва с данните при прекратяване на договора |
| Права за одит | Право на администратора да проверява съответствието |
Специфичен случай: Ако шаблонът на доставчик пропуска права за одит или условия за подизпълнители, не го подписвайте такъв, какъвто е. Те са задължителни съгласно член 28, параграф 3. [1]
Колко струва създаването на AVV или DPA?
Цената зависи изцяло от това дали използвате стандартен шаблон на доставчик или поръчвате изготвяне на персонализиран правен документ.
- Предоставен от доставчик шаблон (най-често срещан): Безплатно. Повечето големи доставчици на SaaS и облачни услуги публикуват стандартен AVV или DPA, който администраторите могат да приемат онлайн или чрез процес на кликване.
- Договорено персонализирано споразумение: Правните такси обикновено варират от 500 до 5000 евро в зависимост от сложността, юрисдикцията и тарифите на адвокатите. Корпоративни договори със значителни обеми данни или чувствителни категории данни са в по-високия край.
- Разработване на вътрешен шаблон: Еднократна инвестиция на време от правен съветник за създаване на шаблон за многократна употреба; текущите разходи са минимални.
Практическа бележка: За повечето МСП и собственици на уебсайтове стандартният шаблон на доставчика е достатъчен. Персонализирано договаряне е оправдано, когато обработката включва данни от специални категории (здравни, биометрични, финансови) или когато администраторът носи значителна отговорност.
Как се различават изискванията за AVV и DPA по държави?
Съгласно GDPR, съществените изисквания са хармонизирани във всички държави-членки на ЕС, така че основното съдържание на AVV и DPA е идентично, независимо дали сте в Берлин, Париж или Варшава. Въпреки това, съществуват нюанси на национално ниво:
- Германия: BfDI и държавните DPA са издали подробни указания и примерни клаузи. Немските AVV често включват по-подробна документация за технически и организационни мерки (ТОМ).
- Швейцария: revFADP (в сила от септември 2023 г.) налага допълнителни изисквания извън GDPR, включително специфични разпоредби за трансгранични трансфери на данни и срокове за уведомяване за нарушения на данни.
- Обединеното кралство (след Брекзит): Прилага се UK GDPR; DPA трябва да се позовават на указанията на UK ICO, а не на надзорните органи на ЕС. Стандартните договорни клаузи се различават от SCC на ЕС.
- Други държави-членки на ЕС: Член 28 от GDPR се прилага пряко; местните указания за DPA могат да допълват, но не могат да намаляват минималните изисквания.
Изберете внимателно клаузата за приложимо право. AVV по немско право и DPA по ирландско право може да изглеждат сходни, но ще бъдат тълкувани от различни съдилища и надзорни органи.
Можете ли да използвате AVV вместо DPA или да използвате и двете едновременно?
Да, AVV може да замести DPA, тъй като те са правно еквивалентни инструменти. Компания, оперираща на DACH и не-DACH пазари, може да включи и двата термина в заглавието на един и същ договор (напр. "Data Processing Agreement / Auftragsverarbeitungsvertrag"), за да избегне объркване. Това е обичайна практика в двуезични корпоративни договори и е напълно допустимо.
Използването на двата етикета едновременно не създава две отделни правни задължения. То просто гарантира, че немскоговорящите и англоговорящите страни разбират, че разглеждат един и същ документ.
Кои са често срещаните грешки при избора между AVV и DPA?
Най-съществените грешки не са свързани с това кой термин използвате, а с това какво съдържа споразумението и дали изобщо съществува.
- Изцяло пропускане на споразумението, защото връзката с доставчика изглежда неформална или нискорискова. Съгласно GDPR, задължението се задейства от акта на обработка, а не от възприетото ниво на риск.
- Приемане на непълен шаблон, който пропуска клаузи за подизпълнители или права за одит, вярвайки, че версията на доставчика автоматично е съвместима.
- Смесване на DPA със споразумение за споделяне на данни. DPA регулира отношенията с обработващия; споразумението за споделяне на данни регулира общи администратори или обмени на данни между администратори. Това са различни инструменти.
- Неактуализиране на споразуменията, когато обработващият ангажира нови подизпълнители или променя естеството на обработката.
- Предполагане, че съответствието с GDPR обхваща швейцарското законодателство. Организациите с швейцарски субекти на данни трябва да гарантират, че техният AVV също отговаря на изискванията на revFADP.
Какви са правните последици от грешки при AVV срещу DPA?
Липсата на валидно, пълно споразумение излага както администраторите, така и обработващите на регулаторна и гражданска отговорност.
Съгласно член 83, параграф 4 от GDPR, нарушенията на член 28 (изискването за DPA/AVV) могат да доведат до административни глоби до 10 милиона евро или 2% от глобалния годишен оборот, което от двете е по-високо. Надзорните органи в Германия са демонстрирали готовност да разследват и глобяват организации за липсващи или непълни споразумения за обработка.
Освен глобите, последствията включват:
- Одити от надзорни органи и коригиращи заповеди.
- Невъзможност за прилагане на договорни условия срещу несъответстващ обработващ.
- Гражданска отговорност, ако възникне нарушение на данни без валидно споразумение, документиращо задълженията за сигурност.
- Репутационни щети в B2B контексти, където корпоративните клиенти извършват надлежна проверка на доставчиците.
Как да разберете от кое споразумение всъщност се нуждае вашият бизнес?
Решението е лесно, след като идентифицирате връзката и юрисдикцията.
Стъпка 1: Определете дали вашата организация е администратор (вие решавате защо и как се обработват данните) или обработващ (вие обработвате данни по чужди указания).
Стъпка 2: Идентифицирайте езика и юрисдикцията на вашата контрагента. Ако са в DACH региона, очаквайте AVV. Ако са другаде, очаквайте DPA.
Стъпка 3: Проверете дали документът, който получавате, съдържа всички десет задължителни елемента съгласно член 28, параграф 3 от GDPR. [1]
Стъпка 4: Ако вашата организация също трябва да управлява потребителско съгласие за бисквитки и технологии за проследяване, платформа за управление на съгласието като Biscotti CMP адресира този слой на съответствие с GDPR, но тя работи заедно, а не вместо, правилно изпълнен AVV или DPA.
Правило за вземане на решение: Ако обработвате лични данни от името на друга организация, имате нужда от DPA или AVV, независимо от това как се нарича търговската връзка. Ако друга организация обработва данни от ваше име, вие сте отговорни да гарантирате, че това споразумение е налице, преди да започне обработката.
Често задавани въпроси
В: Валиден ли е AVV извън Германия? AVV е правно валиден навсякъде, където се прилага GDPR, при условие че отговаря на изискванията за съдържание на член 28, параграф 3. Немската терминология не ограничава неговата приложимост в други юрисдикции на ЕС.
В: Трябва ли DPA да бъде подписан от двете страни? Да. Член 28, параграф 9 от GDPR изисква споразумението да бъде в писмена форма, което включва електронна форма. Както администраторът, така и обработващият трябва да бъдат обвързани от неговите условия.
В: Може ли онлайн DPA на доставчик с кликване да отговаря на изискванията на GDPR? Да, ако съдържанието отговаря на изискванията на член 28, параграф 3. Много големи доставчици на облачни услуги предлагат съвместими DPA с кликване, които са прегледани от надзорни органи.
В: Какво е подизпълнител и защо е важен в DPA или AVV? Подизпълнител е трета страна, ангажирана от обработващия за извършване на дейности по обработка. DPA или AVV трябва да посочват условията, при които могат да бъдат ангажирани подизпълнители, включително правото на администратора да възрази. [1]
В: Нуждая ли се от нов AVV или DPA всеки път, когато обработващият актуализира своя списък с подизпълнители? Не е задължително. Много споразумения включват общо разрешение за промени на подизпълнители, при условие че обработващият уведоми администратора и администраторът запазва правото да възрази в определен период.
В: Обхваща ли DPA трансфери на данни извън ЕС? DPA регулира отношенията по обработка, но сам по себе си не разрешава трансгранични трансфери на данни. За трансфери към трети държави са необходими отделни механизми за трансфер (стандартни договорни клаузи, решения за адекватност).
В: Колко дълго трябва да се съхранява DPA или AVV? Съхранявайте споразумението за целия период на отношенията по обработка и за разумен период след това, обикновено поне три до пет години, за да демонстрирате съответствие в случай на запитване от надзорен орган.
В: Каква е разликата между DPA и DPIA? DPA (Data Processing Agreement) е договор между администратор и обработващ. DPIA (Data Protection Impact Assessment) е вътрешна оценка на риска, изисквана за дейности по обработка с висок риск. Те служат за различни цели и нито едното не замества другото.
В: Може ли фрийлансър или малка агенция да бъде задължена да подпише AVV или DPA? Да. Задължението се прилага независимо от размера на обработващия. Фрийлансър разработчик, обработващ клиентски данни, е обработващ и трябва да подпише DPA или AVV с всеки клиент администратор.
В: Замества ли Biscotti CMP необходимостта от DPA или AVV? Не. Biscotti CMP е платформа за управление на съгласието, която помага за управление на потребителското съгласие за бисквитки и проследяване, отделно изискване за съответствие с GDPR. DPA или AVV все още се изисква за всяка връзка с обработващ, включваща лични данни.
Заключение
Въпросът AVV срещу DPA се решава бързо, след като разберете, че и двата термина описват един и същ законово изискван инструмент съгласно член 28 от GDPR. Истинското предизвикателство не е да избирате между тях, а да гарантирате, че който и документ да регулира отношенията ви с обработващия, съдържа всяка задължителна клауза, е правилно изпълнен и се поддържа актуален, тъй като дейностите по обработка се развиват.
Действия за следващи стъпки:
- Проверете всички текущи отношения с доставчици, за да потвърдите, че е налице валиден DPA или AVV за всеки обработващ, който обработва лични данни от ваше име.
- Прегледайте съществуващите споразумения спрямо десетте задължителни елемента на член 28, параграф 3 от GDPR и поискайте изменения за всякакви пропуски. [1]
- Ако оперирате в Швейцария, проверете дали споразуменията също отговарят на изискванията на revFADP извън основния GDPR.
- Установете вътрешен процес за включване на нови обработващи, като обработката не трябва да започва преди подписването на споразумението.
- За управление на съгласието и съответствие с бисквитките на вашия уебсайт или приложение, оценете Biscotti CMP като част от вашата по-широка рамка за съответствие с GDPR.
Съответствието със защитата на данните не е еднократен проект. Споразуменията трябва да се преглеждат, когато обработката се променя, когато се добавят подизпълнители и когато регулаторните указания се развиват. Включването на този ритъм на преглед във вашата програма за съответствие е най-практичната защита срещу регулаторна експозиция.
Източници
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai