Resposta ràpida: AVV (Auftragsverarbeitungsvertrag) i DPA (Data Processing Agreement) es refereixen al mateix contracte legalment requerit segons l'article 28 del GDPR; el terme alemany AVV s'utilitza a les jurisdiccions de la regió DACH, mentre que DPA és l'equivalent en anglès utilitzat a la majoria dels altres estats membres de la UE i internacionalment. Ambdós regulen com un encarregat del tractament de dades gestiona les dades personals en nom d'un responsable del tractament. Triar l'enquadrament incorrecte, o ometre l'acord completament, pot exposar la vostra organització a sancions reguladores significatives.
Punts clau
- AVV és l'abreviatura alemanya d'Auftragsverarbeitungsvertrag; DPA significa Data Processing Agreement, són funcionalment el mateix instrument sota el GDPR.
- Ambdós acords són obligatoris segons l'article 28 del GDPR sempre que un responsable del tractament contracti un encarregat per gestionar dades personals.
- La diferència terminològica és regional: AVV és estàndard a Alemanya, Àustria i Suïssa; DPA s'utilitza en contextos de parla anglesa i la majoria dels altres països de la UE.
- Un acord vàlid ha de cobrir l'objecte, la durada del tractament, les categories de dades, els drets dels interessats, les condicions dels subencarregats, les mesures de seguretat i les disposicions d'auditoria. [1]
- No tenir l'acord correcte pot resultar en investigacions de l'autoritat de supervisió, multes i disputes contractuals.
- El cost d'implementació oscil·la entre zero (utilitzant una plantilla estàndard del proveïdor) i diversos milers d'euros per a la redacció legal personalitzada.
- Algunes empreses que operen en mercats DACH i no DACH utilitzen legítimament ambdós termes en el mateix acord per a més claredat.
- Una plataforma de gestió del consentiment com Biscotti CMP pot donar suport a la vostra postura de compliment del GDPR més àmplia, però no substitueix un AVV o DPA degudament executat.
Què significa AVV en protecció de dades, i és el mateix que un DPA?
AVV significa Auftragsverarbeitungsvertrag, el terme en alemany per a un Acord de Tractament de Dades (Data Processing Agreement). En termes legals pràctics, un AVV i un DPA són el mateix document, ambdós satisfan el requisit establert a l'article 28 del GDPR per a un contracte escrit entre un responsable del tractament de dades i un encarregat del tractament de dades. [1]
La distinció és purament lingüística i jurisdiccional. Els professionals de la protecció de dades alemanys, austríacs i suïssos utilitzen AVV com a terme estàndard en contractes, polítiques de privadesa i correspondència reguladora. Els professionals de parla anglesa i la majoria dels altres estats membres de la UE utilitzen DPA. Quan un proveïdor de SaaS alemany us ofereix un "AVV", us està oferint el mateix instrument legal que un proveïdor amb seu al Regne Unit anomenaria "DPA".
Aclariment clau: Cap dels dos termes implica un estàndard legal diferent. Ambdós han de complir els mateixos requisits de contingut de l'article 28(3) del GDPR per ser vàlids. [1]
Quina és la diferència entre AVV i DPA?
La diferència entre AVV i DPA és terminològica, no substantiva. Ambdós descriuen el contracte obligatori segons l'article 28 del GDPR entre un responsable del tractament de dades (l'entitat que determina la finalitat i els mitjans del tractament) i un encarregat del tractament de dades (l'entitat que tracta dades en nom del responsable).
Les diferències genuïnes poden sorgir en l'estil de redacció i la guia reguladora local:
- Les autoritats de supervisió alemanyes (Datenschutzbehörden) han publicat clàusules de plantilla i notes d'orientació específiques que els documents AVV solen incorporar.
- Els DPA en anglès redactats per a jurisdiccions del Regne Unit o Irlanda poden fer referència a la legislació nacional d'implementació juntament amb el GDPR.
- Els AVV suïssos també han de tenir en compte la Llei Federal de Protecció de Dades revisada (revFADP), que divergeix del GDPR en certs aspectes.
Conclusió: Si un proveïdor us envia un AVV i necessiteu un DPA, heu rebut el que necessiteu, sempre que el contingut compleixi els requisits de l'article 28(3). [1]
Quan necessiteu un AVV vs. un DPA?
Necessiteu un d'aquests acords cada vegada que la vostra organització comparteix dades personals amb un proveïdor de serveis de tercers que tracta aquestes dades segons les vostres instruccions. El desencadenant és la relació responsable-encarregat, no l'idioma del contracte.
Utilitzeu un AVV quan:
- La vostra contrapart es troba a Alemanya, Àustria o Suïssa i el seu contracte estàndard utilitza aquesta terminologia.
- La vostra pròpia organització opera sota la llei de protecció de dades alemanya i les vostres plantilles internes segueixen les directrius del BfDI o de l'autoritat de protecció de dades estatal.
Utilitzeu un DPA quan:
- La vostra contrapart opera en una jurisdicció de parla anglesa o utilitza l'anglès com a idioma del contracte.
- Esteu contractant amb un proveïdor de núvol amb seu als EUA, un proveïdor de SaaS del Regne Unit o qualsevol encarregat internacional les plantilles del qual per defecte són "DPA".
Error comú: Assumir que, perquè un proveïdor anomena el seu document un AVV en lloc d'un DPA, s'apliquen regles legals diferents. Els requisits de contingut són idèntics segons el GDPR. El que importa és la substància, no l'etiqueta de la portada.
Qui necessita un AVV i qui necessita un DPA?
Qualsevol organització que es qualifiqui com a responsable del tractament de dades segons el GDPR i que contracti un tercer per tractar dades personals en nom seu necessita un d'aquests acords. Això s'aplica a:
- Empreses de comerç electrònic que utilitzen processadors de pagament de tercers o plataformes de màrqueting per correu electrònic.
- Empreses que utilitzen proveïdors d'infraestructura al núvol (IaaS, PaaS, SaaS).
- Agències de màrqueting en línia que tracten dades de clients.
- Desenvolupadors que creen aplicacions que gestionen dades personals d'usuaris finals mitjançant API externes.
- Propietaris de llocs web que utilitzen eines d'anàlisi, CDN o sistemes CRM que tracten dades de visitants.
Les organitzacions amb seu als mercats DACH solen trobar l'etiqueta AVV; les que operen internacionalment tractaran més sovint amb DPA. Ambdues categories d'organitzacions s'enfronten a la mateixa obligació legal.
Què hauria d'incloure un AVV vs. un DPA?
Tant un AVV com un DPA han de contenir els mateixos elements obligatoris segons l'article 28(3) del GDPR. L'omissió de qualsevol d'aquestes clàusules fa que l'acord sigui incomplert. [1]
| Clàusula requerida | Descripció |
|---|---|
| Objecte i durada | Quines dades es tracten i durant quant de temps |
| Naturalesa i finalitat | Per què i com es produeix el tractament |
| Tipus de dades i interessats | Categories de dades personals i persones afectades |
| Drets i obligacions del responsable | Instruccions que ha de seguir l'encarregat |
| Mesures de seguretat | Salvaguardes tècniques i organitzatives (TOMs) |
| Condicions dels subencarregats | Normes per contractar encarregats posteriors |
| Assistència als drets dels interessats | Suport per a sol·licituds d'accés, supressió, portabilitat |
| Notificació de violació | Obligació de l'encarregat de notificar incidents al responsable |
| Retorn o supressió de dades | Què passa amb les dades al final del contracte |
| Drets d'auditoria | Dret del responsable a verificar el compliment |
Cas extrem: Si la plantilla d'un proveïdor omet els drets d'auditoria o les condicions dels subencarregats, no la signeu tal qual. Aquests són no negociables segons l'article 28(3). [1]
Quant costa configurar un AVV o DPA?
El cost depèn totalment de si utilitzeu una plantilla estàndard del proveïdor o encarregueu una redacció legal personalitzada.
- Plantilla proporcionada pel proveïdor (la més comuna): Gratuïta. La majoria dels principals proveïdors de SaaS i núvol publiquen un AVV o DPA estàndard que els responsables poden acceptar en línia o mitjançant un procés de clic.
- Acord personalitzat negociat: Les tarifes legals solen oscil·lar entre 500 i 5.000 euros, depenent de la complexitat, la jurisdicció i les tarifes dels advocats. Els contractes empresarials amb volums de dades significatius o categories de dades sensibles se situen a l'extrem superior.
- Desenvolupament de plantilles internes: Una inversió única de temps d'assessorament legal per crear una plantilla reutilitzable; el cost continu és mínim.
Nota pràctica: Per a la majoria de pimes i propietaris de llocs web, la plantilla estàndard del proveïdor és suficient. La negociació personalitzada es justifica quan el tractament implica dades de categoria especial (salut, biomètriques, financeres) o quan el responsable assumeix una exposició significativa a la responsabilitat.
Com difereixen els requisits d'AVV i DPA per país?
Sota el GDPR, els requisits substantius estan harmonitzats a tots els estats membres de la UE, de manera que el contingut bàsic d'un AVV i un DPA és idèntic tant si sou a Berlín, París o Varsòvia. No obstant això, existeixen matisos a nivell nacional:
- Alemanya: El BfDI i les autoritats de protecció de dades estatals han emès orientacions detallades i clàusules model. Els AVV alemanys sovint inclouen una documentació més detallada de mesures tècniques i organitzatives (TOMs).
- Suïssa: La revFADP (efectiva a partir de setembre de 2023) imposa requisits addicionals més enllà del GDPR, incloent disposicions específiques per a transferències de dades transfrontereres i terminis de notificació de violacions de dades.
- Regne Unit (post-Brexit): S'aplica el GDPR del Regne Unit; els DPA han de fer referència a la guia de l'ICO del Regne Unit en lloc de les autoritats de supervisió de la UE. Les clàusules contractuals estàndard difereixen de les SCC de la UE.
- Altres estats membres de la UE: L'article 28 del GDPR s'aplica directament; la guia local de l'autoritat de protecció de dades pot complementar, però no pot reduir els requisits mínims.
Trieu la clàusula de llei aplicable amb cura. Un AVV de dret alemany i un DPA de dret irlandès poden semblar similars, però seran interpretats per diferents tribunals i autoritats de supervisió.
Es pot utilitzar un AVV en lloc d'un DPA, o utilitzar ambdós al mateix temps?
Sí, un AVV pot substituir un DPA perquè són instruments legalment equivalents. Una empresa que opera en mercats DACH i no DACH pot incloure ambdós termes a la capçalera del mateix contracte (per exemple, "Data Processing Agreement / Auftragsverarbeitungsvertrag") per evitar confusions; aquesta és una pràctica habitual en contractes empresarials bilingües i és totalment permissible.
L'ús simultani d'ambdues etiquetes no crea dues obligacions legals separades. Simplement assegura que les parts de parla alemanya i anglesa entenen que estan mirant el mateix document.
Quins són els errors comuns en triar entre AVV i DPA?
Els errors més importants no són sobre quin terme utilitzeu, sinó sobre què conté l'acord i si existeix.
- Ometre l'acord completament perquè una relació amb un proveïdor sembla informal o de baix risc. Segons el GDPR, l'obligació es desencadena per l'acte de tractament, no pel nivell de risc percebut.
- Acceptar una plantilla incompleta que omet clàusules de subencarregats o drets d'auditoria, creient que la versió del proveïdor és automàticament compliant.
- Confondre un DPA amb un acord de compartició de dades. Un DPA regula les relacions amb els encarregats; un acord de compartició de dades regula els intercanvis de dades entre responsables conjunts o de responsable a responsable. Aquests són instruments diferents.
- No actualitzar els acords quan un encarregat contracta nous subencarregats o canvia la naturalesa del tractament.
- Assumir que el compliment del GDPR cobreix la llei suïssa. Les organitzacions amb interessats suïssos han d'assegurar-se que el seu AVV també satisfà els requisits de la revFADP.
Quines són les conseqüències legals d'equivocar-se amb l'AVV vs. el DPA?
No tenir un acord vàlid i complet exposa tant als responsables com als encarregats a responsabilitats reguladores i civils.
Segons l'article 83(4) del GDPR, les infraccions de l'article 28 (el requisit de DPA/AVV) poden resultar en multes administratives de fins a 10 milions d'euros o el 2% de la facturació anual global, el que sigui superior. Les autoritats de supervisió a Alemanya han demostrat la voluntat d'investigar i multar organitzacions per acords de tractament de dades inexistents o deficients.
Més enllà de les multes, les conseqüències inclouen:
- Auditories de l'autoritat de supervisió i ordres correctives.
- Incapacitat per fer complir els termes contractuals contra un encarregat incomplidor.
- Exposició a responsabilitat civil si es produeix una violació de dades sense un acord vàlid que documenti les obligacions de seguretat.
- Dany reputacional en contextos B2B on els clients empresarials realitzen la diligència deguda dels proveïdors.
Com saber quin acord necessita realment la vostra empresa?
La decisió és senzilla un cop identifiqueu la relació i la jurisdicció.
Pas 1: Determineu si la vostra organització és el responsable (vosaltres decidiu per què i com es tracten les dades) o l'encarregat (vosaltres tracteu dades segons les instruccions d'un altre).
Pas 2: Identifiqueu l'idioma i la jurisdicció de la vostra contrapart. Si es troben a la regió DACH, espereu un AVV. Si es troben en un altre lloc, espereu un DPA.
Pas 3: Verifiqueu que el document que rebeu conté els deu elements obligatoris segons l'article 28(3) del GDPR. [1]
Pas 4: Si la vostra organització també necessita gestionar el consentiment de l'usuari per a cookies i tecnologies de seguiment, una plataforma de gestió del consentiment com Biscotti CMP aborda aquesta capa de compliment del GDPR, però funciona juntament amb, no en lloc de, un AVV o DPA degudament executat.
Regla de decisió: Si tracteu dades personals en nom d'una altra organització, necessiteu un DPA o AVV independentment de com es denomini comercialment la relació. Si una altra organització tracta dades en nom vostre, sou responsable d'assegurar que aquest acord estigui en vigor abans que comenci el tractament.
Preguntes freqüents
P: Un AVV és legalment vàlid fora d'Alemanya? Un AVV és legalment vàlid a qualsevol lloc on s'apliqui el GDPR, sempre que compleixi els requisits de contingut de l'article 28(3). La terminologia alemanya no limita la seva aplicabilitat en altres jurisdiccions de la UE.
P: Un DPA ha de ser signat per ambdues parts? Sí. L'article 28(9) del GDPR exigeix que l'acord sigui per escrit, la qual cosa inclou el format electrònic. Tant el responsable com l'encarregat han d'estar vinculats pels seus termes.
P: Un DPA de clic en línia d'un proveïdor pot satisfer els requisits del GDPR? Sí, si el contingut compleix els requisits de l'article 28(3). Molts grans proveïdors de núvol ofereixen DPA de clic conformes que han estat revisats per les autoritats de supervisió.
P: Què és un subencarregat, i per què és important en un DPA o AVV? Un subencarregat és un tercer contractat per l'encarregat per dur a terme activitats de tractament. El DPA o AVV ha d'especificar les condicions sota les quals es poden contractar subencarregats, incloent el dret del responsable a oposar-se. [1]
P: Necessito un nou AVV o DPA cada vegada que un encarregat actualitza la seva llista de subencarregats? No necessàriament. Molts acords inclouen una autorització general per a canvis de subencarregats, sempre que l'encarregat notifiqui el responsable i aquest conservi el dret a oposar-se dins d'un període especificat.
P: Un DPA cobreix les transferències de dades fora de la UE? Un DPA regula la relació de tractament, però per si mateix no autoritza les transferències de dades transfrontereres. Es requereixen mecanismes de transferència separats (Clàusules Contractuals Estàndard, decisions d'adequació) per a les transferències a tercers països.
P: Quant de temps s'ha de conservar un DPA o AVV? Conserveu l'acord durant la durada de la relació de tractament i durant un període raonable posterior, normalment almenys de tres a cinc anys, per demostrar el compliment en cas d'una investigació de l'autoritat de supervisió.
P: Quina és la diferència entre un DPA i un DPIA? Un DPA (Data Processing Agreement) és un contracte entre el responsable i l'encarregat. Un DPIA (Data Protection Impact Assessment) és una avaluació interna de riscos requerida per a activitats de tractament d'alt risc. Serveixen per a propòsits diferents i cap dels dos substitueix l'altre.
P: Es pot exigir a un autònom o a una petita agència que signi un AVV o DPA? Sí. L'obligació s'aplica independentment de la mida de l'encarregat. Un desenvolupador autònom que gestiona dades de clients és un encarregat i ha de signar un DPA o AVV amb cada client responsable.
P: Biscotti CMP substitueix la necessitat d'un DPA o AVV? No. Biscotti CMP és una plataforma de gestió del consentiment que ajuda a gestionar el consentiment de l'usuari per a cookies i seguiment, un requisit de compliment del GDPR separat. Encara es requereix un DPA o AVV per a qualsevol relació amb un encarregat que impliqui dades personals.
Conclusió
La qüestió AVV vs. DPA es resol ràpidament un cop reconeixeu que ambdós termes descriuen el mateix instrument legalment requerit segons l'article 28 del GDPR. El veritable repte no és triar entre ells, sinó assegurar que el document que regeix les vostres relacions amb els encarregats conté totes les clàusules obligatòries, està degudament executat i es manté actualitzat a mesura que evolucionen les activitats de tractament.
Pròxims passos accionables:
- Auditeu totes les relacions actuals amb proveïdors per confirmar que hi ha un DPA o AVV vàlid per a cada encarregat que tracta dades personals en nom vostre.
- Reviseu els acords existents amb els deu elements obligatoris de l'article 28(3) del GDPR i sol·liciteu modificacions per a qualsevol llacuna. [1]
- Si opereu a Suïssa, verifiqueu que els acords també satisfan els requisits de la revFADP més enllà de la base del GDPR.
- Establir un procés intern per a la incorporació de nous encarregats; cap tractament hauria de començar abans que l'acord estigui signat.
- Per a la gestió del consentiment i el compliment de les cookies al vostre lloc web o aplicació, avalueu Biscotti CMP com a part del vostre marc de compliment del GDPR més ampli.
El compliment de la protecció de dades no és un projecte d'una sola vegada. Els acords s'han de revisar quan canvien els tractaments, quan s'afegeixen subencarregats i quan evoluciona la guia reguladora. Incorporar aquesta cadència de revisió al vostre programa de compliment és la salvaguarda més pràctica contra l'exposició reguladora.
Referències
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai