Brzi odgovor: AVV (Auftragsverarbeitungsvertrag) i DPA (Data Processing Agreement) odnose se na isti zakonski obavezujući ugovor prema članu 28 GDPR-a, njemački termin AVV koristi se u jurisdikcijama DACH regije, dok je DPA ekvivalent na engleskom jeziku koji se koristi u većini drugih država članica EU i međunarodno. Oba regulišu kako obrađivač podataka rukuje ličnim podacima u ime kontrolora. Odabir pogrešnog okvira ili potpuno izostavljanje ugovora može izložiti vašu organizaciju značajnim regulatornim kaznama.
Ključne spoznaje
- AVV je njemačka skraćenica za Auftragsverarbeitungsvertrag; DPA označava Data Processing Agreement, oni su funkcionalno isti instrument prema GDPR-u.
- Oba sporazuma su obavezna prema članu 28 GDPR-a kad god kontrolor angažuje obrađivača za rukovanje ličnim podacima.
- Razlika u terminologiji je regionalna: AVV je standard u Njemačkoj, Austriji i Švicarskoj; DPA se koristi u engleskom govornom području i većini drugih konteksta EU.
- Važeći sporazum mora obuhvatiti predmet, trajanje obrade, kategorije podataka, prava subjekata podataka, uslove za podobrađivače, sigurnosne mjere i odredbe o reviziji. [1]
- Nepostojanje ispravnog sporazuma može rezultirati istragama nadzornih tijela, kaznama i sporovima oko ugovora.
- Troškovi implementacije kreću se od nule (korištenje standardnog predloška dobavljača) do nekoliko hiljada eura za prilagođenu pravnu izradu.
- Neke kompanije koje posluju na DACH i ne-DACH tržištima legitimno koriste oba termina u istom sporazumu radi jasnoće.
- Platforma za upravljanje saglasnošću kao što je Biscotti CMP može podržati vašu širu usklađenost sa GDPR-om, ali ne zamjenjuje pravilno izvršen AVV ili DPA.
Šta znači AVV u zaštiti podataka i da li je isto što i DPA?
AVV označava Auftragsverarbeitungsvertrag, njemački termin za Ugovor o obradi podataka (Data Processing Agreement). U praktičnom pravnom smislu, AVV i DPA su isti dokument, oba ispunjavaju zahtjev iz člana 28 GDPR-a za pisani ugovor između kontrolora podataka i obrađivača podataka. [1]
Razlika je isključivo lingvistička i jurisdikcijska. Njemački, austrijski i švicarski stručnjaci za zaštitu podataka koriste AVV kao standardni termin u ugovorima, politikama privatnosti i regulatornoj korespondenciji. Stručnjaci koji govore engleski i većina drugih država članica EU koriste DPA. Kada vam njemački SaaS dobavljač ponudi "AVV", on nudi isti pravni instrument koji bi dobavljač iz Ujedinjenog Kraljevstva nazvao "DPA".
Ključno pojašnjenje: Nijedan termin ne podrazumijeva drugačiji pravni standard. Oba moraju ispunjavati iste zahtjeve sadržaja iz člana 28(3) GDPR-a da bi bili važeći. [1]
Koja je razlika između AVV i DPA?
Razlika između AVV i DPA je terminološka, a ne suštinska. Oba opisuju ugovor propisan članom 28 GDPR-a između kontrolora podataka (subjekta koji određuje svrhu i sredstva obrade) i obrađivača podataka (subjekta koji obrađuje podatke u ime kontrolora).
Prave razlike mogu se pojaviti u stilu izrade i lokalnim regulatornim smjernicama:
- Njemačka nadzorna tijela (Datenschutzbehörden) objavila su specifične predloške klauzula i smjernice koje AVV dokumenti često uključuju.
- DPA-ovi na engleskom jeziku izrađeni za jurisdikcije Ujedinjenog Kraljevstva ili Irske mogu se pozivati na nacionalno provedbeno zakonodavstvo uz GDPR.
- Švicarski AVV-ovi moraju također uzeti u obzir revidirani Savezni zakon o zaštiti podataka (revFADP), koji se u određenim aspektima razlikuje od GDPR-a.
Zaključak: Ako vam dobavljač pošalje AVV, a vama je potreban DPA, dobili ste ono što vam je potrebno, pod uslovom da sadržaj ispunjava zahtjeve člana 28(3). [1]
Kada vam je potreban AVV, a kada DPA?
Jedan od ovih sporazuma vam je potreban svaki put kada vaša organizacija dijeli lične podatke sa pružaocem usluga treće strane koji te podatke obrađuje po vašim uputstvima. Okidač je odnos kontrolor-obrađivač, a ne jezik ugovora.
Koristite AVV kada:
- Vaša druga strana ima sjedište u Njemačkoj, Austriji ili Švicarskoj i njihov standardni ugovor koristi tu terminologiju.
- Vaša organizacija posluje prema njemačkom zakonu o zaštiti podataka i vaši interni predlošci slijede smjernice BfDI ili državnog DPA.
Koristite DPA kada:
- Vaša druga strana posluje u jurisdikciji engleskog govornog područja ili koristi engleski kao jezik ugovora.
- Sklapate ugovor sa cloud provajderom iz SAD-a, SaaS dobavljačem iz UK-a ili bilo kojim međunarodnim obrađivačem čiji predlošci podrazumijevaju "DPA".
Česta greška: Pretpostavka da, zato što dobavljač svoj dokument naziva AVV umjesto DPA, primjenjuju se različita pravna pravila. Zahtjevi za sadržaj su identični prema GDPR-u. Važna je suština, a ne oznaka na naslovnoj stranici.
Kome je potreban AVV, a kome DPA?
Svaka organizacija koja se kvalifikuje kao kontrolor podataka prema GDPR-u i angažuje treću stranu za obradu ličnih podataka u svoje ime treba jedan od ovih sporazuma. Ovo se odnosi na:
- E-commerce preduzeća koja koriste procesore plaćanja trećih strana ili platforme za e-mail marketing.
- Preduzeća koja koriste pružaoce cloud infrastrukture (IaaS, PaaS, SaaS).
- Agencije za online marketing koje obrađuju podatke klijenata.
- Programere koji grade aplikacije koje rukuju ličnim podacima krajnjih korisnika putem eksternih API-ja.
- Vlasnike web stranica koji koriste alate za analitiku, CDN-ove ili CRM sisteme koji obrađuju podatke posjetilaca.
Organizacije sa sjedištem na DACH tržištima obično će se susresti sa oznakom AVV; one koje posluju međunarodno češće će se baviti DPA-ovima. Obje kategorije organizacija suočavaju se sa istom pravnom obavezom.
Šta treba uključiti u AVV u odnosu na DPA?
I AVV i DPA moraju sadržavati iste obavezne elemente prema članu 28(3) GDPR-a. Nedostatak bilo koje od ovih klauzula čini sporazum neusklađenim. [1]
| Obavezna klauzula | Opis |
|---|---|
| Predmet i trajanje | Koji se podaci obrađuju i koliko dugo |
| Priroda i svrha | Zašto i kako se obrada odvija |
| Vrste podataka i subjekti podataka | Kategorije ličnih podataka i pogođeni pojedinci |
| Prava i obaveze kontrolora | Uputstva koja obrađivač mora slijediti |
| Sigurnosne mjere | Tehničke i organizacione zaštitne mjere (TOMs) |
| Uslovi za podobrađivače | Pravila za angažovanje daljih obrađivača |
| Pomoć pri pravima subjekata podataka | Podrška za zahtjeve za pristup, brisanje, prenosivost |
| Obavještavanje o povredi | Obaveza obrađivača da obavijesti kontrolora o incidentima |
| Povrat ili brisanje podataka | Šta se dešava sa podacima na kraju ugovora |
| Prava na reviziju | Pravo kontrolora da provjeri usklađenost |
Granični slučaj: Ako predložak dobavljača izostavlja prava na reviziju ili uslove za podobrađivače, nemojte ga potpisati takvog kakav jeste. Oni su nepregovarački prema članu 28(3). [1]
Koliko košta postavljanje AVV-a ili DPA-a?
Trošak u potpunosti zavisi od toga da li koristite standardni predložak dobavljača ili naručujete prilagođenu pravnu izradu.
- Predložak koji pruža dobavljač (najčešći): Besplatno. Većina velikih SaaS i cloud provajdera objavljuje standardni AVV ili DPA koji kontrolori mogu prihvatiti online ili putem procesa "klikni i prihvati".
- Pregovaranje o prilagođenom sporazumu: Pravne naknade se obično kreću od 500 do 5.000 eura, zavisno od složenosti, jurisdikcije i tarifa advokata. Korporativni ugovori sa značajnim količinama podataka ili osjetljivim kategorijama podataka su na višem kraju.
- Razvoj internog predloška: Jednokratna investicija vremena pravnog savjetnika za kreiranje predloška za višekratnu upotrebu; tekući troškovi su minimalni.
Praktična napomena: Za većinu malih i srednjih preduzeća i vlasnika web stranica, standardni predložak dobavljača je dovoljan. Prilagođeno pregovaranje je opravdano kada obrada uključuje podatke posebne kategorije (zdravstveni, biometrijski, finansijski) ili kada kontrolor snosi značajnu izloženost odgovornosti.
Kako se zahtjevi AVV-a i DPA-a razlikuju po zemljama?
Prema GDPR-u, suštinski zahtjevi su harmonizovani u svim državama članicama EU, tako da je osnovni sadržaj AVV-a i DPA-a identičan bez obzira da li ste u Berlinu, Parizu ili Varšavi. Međutim, postoje nijanse na nacionalnom nivou:
- Njemačka: BfDI i državni DPA-ovi izdali su detaljne smjernice i modelne klauzule. Njemački AVV-ovi često uključuju detaljniju dokumentaciju o tehničkim i organizacionim mjerama (TOMs).
- Švicarska: revFADP (na snazi od septembra 2023.) nameće dodatne zahtjeve izvan GDPR-a, uključujući specifične odredbe za prekogranične prenose podataka i rokove za obavještavanje o povredi podataka.
- UK (nakon Brexita): Primjenjuje se UK GDPR; DPA-ovi se moraju pozivati na smjernice UK ICO-a, a ne na nadzorna tijela EU. Standardne ugovorne klauzule razlikuju se od SCC-ova EU.
- Ostale države članice EU: Član 28 GDPR-a primjenjuje se direktno; lokalne DPA smjernice mogu dopuniti, ali ne mogu smanjiti minimalne zahtjeve.
Pažljivo odaberite klauzulu o mjerodavnom pravu. AVV prema njemačkom pravu i DPA prema irskom pravu mogu izgledati slično, ali će ih tumačiti različiti sudovi i nadzorna tijela.
Možete li koristiti AVV umjesto DPA, ili koristiti oboje istovremeno?
Da, AVV može zamijeniti DPA jer su to pravno ekvivalentni instrumenti. Kompanija koja posluje na DACH i ne-DACH tržištima može uključiti oba termina u zaglavlje istog ugovora (npr. "Data Processing Agreement / Auftragsverarbeitungsvertrag") kako bi izbjegla zabunu, što je uobičajena praksa u dvojezičnim korporativnim ugovorima i potpuno je dozvoljeno.
Istovremeno korištenje obje oznake ne stvara dvije odvojene pravne obaveze. Jednostavno osigurava da njemački i engleski govornici razumiju da gledaju isti dokument.
Koje su uobičajene greške pri odabiru između AVV-a i DPA-a?
Najznačajnije greške nisu u tome koji termin koristite, već u tome šta sporazum sadrži i da li uopšte postoji.
- Potpuno preskakanje sporazuma jer se odnos sa dobavljačem čini neformalnim ili niskorizičnim. Prema GDPR-u, obaveza se pokreće činom obrade, a ne percipiranim nivoom rizika.
- Prihvatanje nepotpunog predloška koji izostavlja klauzule o podobrađivačima ili prava na reviziju, vjerujući da je verzija dobavljača automatski usklađena.
- Miješanje DPA-a sa sporazumom o dijeljenju podataka. DPA reguliše odnose sa obrađivačima; sporazum o dijeljenju podataka reguliše razmjenu podataka između zajedničkih kontrolora ili kontrolora. To su različiti instrumenti.
- Nepostojanje ažuriranja sporazuma kada obrađivač angažuje nove podobrađivače ili mijenja prirodu obrade.
- Pretpostavka da usklađenost sa GDPR-om pokriva švicarsko pravo. Organizacije sa švicarskim subjektima podataka moraju osigurati da njihov AVV također ispunjava zahtjeve revFADP-a.
Koje su pravne posljedice pogrešnog odabira AVV-a ili DPA-a?
Nepostojanje važećeg, potpunog sporazuma izlaže i kontrolore i obrađivače regulatornoj i građanskoj odgovornosti.
Prema članu 83(4) GDPR-a, kršenja člana 28 (zahtjev za DPA/AVV) mogu rezultirati administrativnim kaznama do 10 miliona eura ili 2% globalnog godišnjeg prometa, ovisno o tome što je veće. Nadzorna tijela u Njemačkoj pokazala su spremnost da istražuju i kažnjavaju organizacije zbog nedostajućih ili neadekvatnih sporazuma o obradi.
Osim kazni, posljedice uključuju:
- Revizije nadzornih tijela i korektivne naloge.
- Nemogućnost provođenja ugovornih uslova protiv neusklađenog obrađivača.
- Izloženost građanskoj odgovornosti ako dođe do povrede podataka bez važećeg sporazuma koji dokumentuje sigurnosne obaveze.
- Reputacijska šteta u B2B kontekstima gdje korporativni klijenti provode dubinsku analizu dobavljača.
Kako znati koji sporazum je vašem poslovanju zaista potreban?
Odluka je jednostavna kada identifikujete odnos i jurisdikciju.
Korak 1: Odredite da li je vaša organizacija kontrolor (vi odlučujete zašto i kako se podaci obrađuju) ili obrađivač (vi obrađujete podatke po tuđim uputstvima).
Korak 2: Identifikujte jezik i jurisdikciju vaše druge strane. Ako su u DACH regiji, očekujte AVV. Ako su negdje drugdje, očekujte DPA.
Korak 3: Provjerite da li dokument koji ste dobili sadrži svih deset obaveznih elemenata prema članu 28(3) GDPR-a. [1]
Korak 4: Ako vaša organizacija također treba upravljati saglasnošću korisnika za kolačiće i tehnologije praćenja, Platforma za upravljanje saglasnošću poput Biscotti CMP rješava taj sloj usklađenosti sa GDPR-om, ali ona djeluje uz, a ne umjesto, pravilno izvršenog AVV-a ili DPA-a.
Pravilo odluke: Ako obrađujete lične podatke u ime druge organizacije, potreban vam je DPA ili AVV bez obzira na to kako se odnos komercijalno naziva. Ako druga organizacija obrađuje podatke u vaše ime, vi ste odgovorni za osiguravanje da je taj sporazum na snazi prije početka obrade.
Česta pitanja
P: Da li je AVV pravno valjan izvan Njemačke? AVV je pravno valjan svuda gdje se primjenjuje GDPR, pod uslovom da ispunjava zahtjeve sadržaja iz člana 28(3). Njemačka terminologija ne ograničava njegovu primjenjivost u drugim jurisdikcijama EU.
P: Da li DPA moraju potpisati obje strane? Da. Član 28(9) GDPR-a zahtijeva da sporazum bude u pisanom obliku, što uključuje i elektronski oblik. I kontrolor i obrađivač moraju biti vezani njegovim uslovima.
P: Može li online DPA dobavljača putem "klikni i prihvati" ispuniti zahtjeve GDPR-a? Da, ako sadržaj ispunjava zahtjeve člana 28(3). Mnogi veliki cloud provajderi nude usklađene DPA-ove putem "klikni i prihvati" koje su pregledala nadzorna tijela.
P: Šta je podobrađivač i zašto je to važno u DPA ili AVV-u? Podobrađivač je treća strana koju angažuje obrađivač za obavljanje aktivnosti obrade. DPA ili AVV moraju precizirati uslove pod kojima se podobrađivači mogu angažovati, uključujući pravo kontrolora na prigovor. [1]
P: Da li mi je potreban novi AVV ili DPA svaki put kada obrađivač ažurira svoju listu podobrađivača? Ne nužno. Mnogi sporazumi uključuju opštu autorizaciju za promjene podobrađivača, pod uslovom da obrađivač obavijesti kontrolora i da kontrolor zadrži pravo na prigovor u određenom roku.
P: Da li DPA pokriva prenos podataka izvan EU? DPA reguliše odnos obrade, ali sam po sebi ne ovlašćuje prekogranične prenose podataka. Za prenose u treće zemlje potrebni su zasebni mehanizmi prenosa (Standardne ugovorne klauzule, odluke o adekvatnosti).
P: Koliko dugo treba čuvati DPA ili AVV? Čuvajte sporazum tokom trajanja odnosa obrade i razuman period nakon toga, obično najmanje tri do pet godina, kako biste dokazali usklađenost u slučaju istrage nadzornog tijela.
P: Koja je razlika između DPA i DPIA? DPA (Data Processing Agreement) je ugovor između kontrolora i obrađivača. DPIA (Data Protection Impact Assessment) je interna procjena rizika koja se zahtijeva za aktivnosti obrade visokog rizika. Oni služe različitim svrhama i nijedan ne zamjenjuje drugi.
P: Može li se od freelancera ili male agencije zahtijevati da potpiše AVV ili DPA? Da. Obaveza se primjenjuje bez obzira na veličinu obrađivača. Freelance programer koji rukuje podacima klijenata je obrađivač i mora potpisati DPA ili AVV sa svakim klijentom kontrolorom.
P: Da li Biscotti CMP zamjenjuje potrebu za DPA ili AVV? Ne. Biscotti CMP je Platforma za upravljanje saglasnošću koja pomaže u upravljanju saglasnošću korisnika za kolačiće i praćenje, što je zaseban zahtjev za usklađenost sa GDPR-om. DPA ili AVV je i dalje potreban za svaki odnos sa obrađivačem koji uključuje lične podatke.
Zaključak
Pitanje AVV vs. DPA brzo se rješava kada shvatite da oba termina opisuju isti zakonski obavezujući instrument prema članu 28 GDPR-a. Pravi izazov nije odabir između njih, već osiguravanje da dokument koji reguliše vaše odnose sa obrađivačima sadrži svaku obaveznu klauzulu, da je pravilno izvršen i da se ažurira kako se aktivnosti obrade razvijaju.
Sljedeći koraci za djelovanje:
- Revidirajte sve trenutne odnose sa dobavljačima kako biste potvrdili da je važeći DPA ili AVV na snazi za svakog obrađivača koji obrađuje lične podatke u vaše ime.
- Pregledajte postojeće sporazume u odnosu na deset obaveznih elemenata člana 28(3) GDPR-a i zatražite izmjene za sve nedostatke. [1]
- Ako poslujete u Švicarskoj, provjerite da li sporazumi također ispunjavaju zahtjeve revFADP-a izvan osnovnog GDPR-a.
- Uspostavite interni proces za uvođenje novih obrađivača, obrada ne bi trebala početi prije potpisivanja sporazuma.
- Za upravljanje saglasnošću i usklađenost sa kolačićima na vašoj web stranici ili aplikaciji, procijenite Biscotti CMP kao dio vašeg šireg okvira usklađenosti sa GDPR-om.
Usklađenost sa zaštitom podataka nije jednokratni projekat. Sporazumi se moraju pregledati kada se obrada promijeni, kada se dodaju podobrađivači i kada se regulatorne smjernice razvijaju. Ugradnja tog ritma pregleda u vaš program usklađenosti je najpraktičnija zaštita od regulatorne izloženosti.
Reference
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai