Γρήγορη Απάντηση: AVV (Auftragsverarbeitungsvertrag) και DPA (Data Processing Agreement) αναφέρονται στην ίδια νομικά απαιτούμενη σύμβαση βάσει του Άρθρου 28 του GDPR, ο γερμανικός όρος AVV χρησιμοποιείται στις δικαιοδοσίες της περιοχής DACH, ενώ ο DPA είναι το αγγλόφωνο ισοδύναμο που χρησιμοποιείται στις περισσότερες άλλες χώρες μέλη της ΕΕ και διεθνώς. Και οι δύο διέπουν τον τρόπο με τον οποίο ένας εκτελών την επεξεργασία χειρίζεται προσωπικά δεδομένα για λογαριασμό ενός υπευθύνου επεξεργασίας. Η επιλογή λανθασμένου πλαισίου ή η πλήρης παράλειψη της συμφωνίας μπορεί να εκθέσει τον οργανισμό σας σε σημαντικές ρυθμιστικές κυρώσεις.
Βασικά Συμπεράσματα
- Το AVV είναι η γερμανική συντομογραφία για το Auftragsverarbeitungsvertrag· το DPA σημαίνει Data Processing Agreement, είναι λειτουργικά το ίδιο μέσο βάσει του GDPR.
- Και οι δύο συμφωνίες είναι υποχρεωτικές βάσει του Άρθρου 28 του GDPR κάθε φορά που ένας υπεύθυνος επεξεργασίας αναθέτει σε έναν εκτελούντα την επεξεργασία να χειριστεί προσωπικά δεδομένα.
- Η διαφορά στην ορολογία είναι περιφερειακή: το AVV είναι το πρότυπο στη Γερμανία, την Αυστρία και την Ελβετία· το DPA χρησιμοποιείται σε αγγλόφωνα και τα περισσότερα άλλα πλαίσια της ΕΕ.
- Μια έγκυρη συμφωνία πρέπει να καλύπτει το αντικείμενο, τη διάρκεια επεξεργασίας, τις κατηγορίες δεδομένων, τα δικαιώματα των υποκειμένων των δεδομένων, τους όρους υπο-εκτελούντων την επεξεργασία, τα μέτρα ασφαλείας και τις διατάξεις ελέγχου. [1]
- Η μη ύπαρξη της σωστής συμφωνίας μπορεί να οδηγήσει σε έρευνες από εποπτικές αρχές, πρόστιμα και συμβατικές διαφορές.
- Το κόστος υλοποίησης κυμαίνεται από μηδέν (χρησιμοποιώντας ένα τυπικό πρότυπο προμηθευτή) έως αρκετές χιλιάδες ευρώ για προσαρμοσμένη νομική σύνταξη.
- Ορισμένες επιχειρήσεις που δραστηριοποιούνται σε αγορές DACH και μη-DACH χρησιμοποιούν νόμιμα και τους δύο όρους στην ίδια συμφωνία για σαφήνεια.
- Μια Πλατφόρμα Διαχείρισης Συγκατάθεσης όπως η Biscotti CMP μπορεί να υποστηρίξει την ευρύτερη στάση σας για τη συμμόρφωση με τον GDPR, αλλά δεν αντικαθιστά ένα σωστά εκτελεσμένο AVV ή DPA.
Τι Σημαίνει AVV στην Προστασία Δεδομένων, και Είναι το Ίδιο με ένα DPA;
Το AVV σημαίνει Auftragsverarbeitungsvertrag, ο γερμανόφωνος όρος για μια Συμφωνία Επεξεργασίας Δεδομένων. Σε πρακτικούς νομικούς όρους, ένα AVV και ένα DPA είναι το ίδιο έγγραφο, και τα δύο πληρούν την απαίτηση που ορίζεται στο Άρθρο 28 του GDPR για μια γραπτή σύμβαση μεταξύ ενός υπευθύνου επεξεργασίας δεδομένων και ενός εκτελούντος την επεξεργασία δεδομένων. [1]
Η διάκριση είναι καθαρά γλωσσική και δικαιοδοτική. Οι επαγγελματίες προστασίας δεδομένων της Γερμανίας, της Αυστρίας και της Ελβετίας χρησιμοποιούν το AVV ως τον τυπικό όρο σε συμβάσεις, πολιτικές απορρήτου και ρυθμιστική αλληλογραφία. Οι αγγλόφωνοι επαγγελματίες και τα περισσότερα άλλα κράτη μέλη της ΕΕ χρησιμοποιούν το DPA. Όταν ένας γερμανός προμηθευτής SaaS σας προσφέρει ένα "AVV", προσφέρει το ίδιο νομικό μέσο που ένας προμηθευτής με έδρα το Ηνωμένο Βασίλειο θα ονόμαζε "DPA".
Βασική διευκρίνιση: Κανένας όρος δεν υποδηλώνει διαφορετικό νομικό πρότυπο. Και οι δύο πρέπει να πληρούν τις ίδιες απαιτήσεις περιεχομένου του Άρθρου 28(3) του GDPR για να είναι έγκυρες. [1]
Ποια Είναι η Διαφορά Μεταξύ AVV και DPA;
Η διαφορά μεταξύ AVV και DPA είναι ορολογική, όχι ουσιαστική. Και οι δύο περιγράφουν τη σύμβαση που επιβάλλεται από το Άρθρο 28 του GDPR μεταξύ ενός υπευθύνου επεξεργασίας δεδομένων (της οντότητας που καθορίζει τον σκοπό και τα μέσα επεξεργασίας) και ενός εκτελούντος την επεξεργασία δεδομένων (της οντότητας που επεξεργάζεται δεδομένα για λογαριασμό του υπευθύνου επεξεργασίας).
Οι γνήσιες διαφορές μπορούν να προκύψουν στο στυλ σύνταξης και στις τοπικές ρυθμιστικές οδηγίες:
- Οι γερμανικές εποπτικές αρχές (Datenschutzbehörden) έχουν δημοσιεύσει συγκεκριμένες πρότυπες ρήτρες και σημειώσεις καθοδήγησης που συχνά ενσωματώνονται στα έγγραφα AVV.
- Τα αγγλόφωνα DPA που συντάσσονται για δικαιοδοσίες του Ηνωμένου Βασιλείου ή της Ιρλανδίας ενδέχεται να αναφέρονται σε εθνική εφαρμοστική νομοθεσία παράλληλα με τον GDPR.
- Τα ελβετικά AVV πρέπει επίσης να λαμβάνουν υπόψη τον αναθεωρημένο Ομοσπονδιακό Νόμο περί Προστασίας Δεδομένων (revFADP), ο οποίος αποκλίνει από τον GDPR σε ορισμένα σημεία.
Συμπέρασμα: Εάν ένας προμηθευτής σας στείλει ένα AVV και χρειάζεστε ένα DPA, έχετε λάβει αυτό που χρειάζεστε, υπό την προϋπόθεση ότι το περιεχόμενο πληροί τις απαιτήσεις του Άρθρου 28(3). [1]
Πότε Χρειάζεστε ένα AVV έναντι ενός DPA;
Χρειάζεστε μία από αυτές τις συμφωνίες κάθε φορά που ο οργανισμός σας μοιράζεται προσωπικά δεδομένα με έναν τρίτο πάροχο υπηρεσιών που επεξεργάζεται αυτά τα δεδομένα σύμφωνα με τις οδηγίες σας. Η ενεργοποίηση είναι η σχέση υπευθύνου επεξεργασίας-εκτελούντος την επεξεργασία, όχι η γλώσσα της σύμβασης.
Χρησιμοποιήστε ένα AVV όταν:
- Ο αντισυμβαλλόμενός σας εδρεύει στη Γερμανία, την Αυστρία ή την Ελβετία και η τυπική σύμβασή του χρησιμοποιεί αυτήν την ορολογία.
- Ο δικός σας οργανισμός λειτουργεί βάσει της γερμανικής νομοθεσίας περί προστασίας δεδομένων και τα εσωτερικά σας πρότυπα ακολουθούν τις οδηγίες του BfDI ή του κρατικού DPA.
Χρησιμοποιήστε ένα DPA όταν:
- Ο αντισυμβαλλόμενός σας λειτουργεί σε αγγλόφωνη δικαιοδοσία ή χρησιμοποιεί τα αγγλικά ως γλώσσα σύμβασης.
- Συνάπτετε σύμβαση με έναν πάροχο cloud με έδρα τις ΗΠΑ, έναν προμηθευτή SaaS του Ηνωμένου Βασιλείου ή οποιονδήποτε διεθνή εκτελούντα την επεξεργασία του οποίου τα πρότυπα προεπιλέγουν "DPA".
Συνηθισμένο λάθος: Το να υποθέτετε ότι επειδή ένας προμηθευτής ονομάζει το έγγραφό του AVV αντί για DPA, ισχύουν διαφορετικοί νομικοί κανόνες. Οι απαιτήσεις περιεχομένου είναι πανομοιότυπες βάσει του GDPR. Αυτό που έχει σημασία είναι η ουσία, όχι η ετικέτα στην πρώτη σελίδα.
Ποιος Χρειάζεται ένα AVV και Ποιος Χρειάζεται ένα DPA;
Οποιοσδήποτε οργανισμός που πληροί τις προϋποθέσεις ως υπεύθυνος επεξεργασίας δεδομένων βάσει του GDPR και αναθέτει σε τρίτο μέρος την επεξεργασία προσωπικών δεδομένων για λογαριασμό του, χρειάζεται μία από αυτές τις συμφωνίες. Αυτό ισχύει για:
- Επιχειρήσεις ηλεκτρονικού εμπορίου που χρησιμοποιούν τρίτους επεξεργαστές πληρωμών ή πλατφόρμες μάρκετινγκ ηλεκτρονικού ταχυδρομείου.
- Επιχειρήσεις που χρησιμοποιούν παρόχους υποδομής cloud (IaaS, PaaS, SaaS).
- Διαδικτυακές εταιρείες μάρκετινγκ που επεξεργάζονται δεδομένα πελατών.
- Προγραμματιστές που δημιουργούν εφαρμογές που χειρίζονται προσωπικά δεδομένα τελικών χρηστών μέσω εξωτερικών API.
- Ιδιοκτήτες ιστοσελίδων που χρησιμοποιούν εργαλεία ανάλυσης, CDN ή συστήματα CRM που επεξεργάζονται δεδομένα επισκεπτών.
Οι οργανισμοί που εδρεύουν στις αγορές DACH θα συναντήσουν συνήθως την ετικέτα AVV· όσοι δραστηριοποιούνται διεθνώς θα ασχολούνται συχνότερα με DPAs. Και οι δύο κατηγορίες οργανισμών αντιμετωπίζουν την ίδια νομική υποχρέωση.
Τι Πρέπει να Περιλαμβάνεται σε ένα AVV έναντι ενός DPA;
Τόσο ένα AVV όσο και ένα DPA πρέπει να περιέχουν τα ίδια υποχρεωτικά στοιχεία βάσει του Άρθρου 28(3) του GDPR. Η παράλειψη οποιασδήποτε από αυτές τις ρήτρες καθιστά τη συμφωνία μη συμμορφούμενη. [1]
| Απαιτούμενη Ρήτρα | Περιγραφή |
|---|---|
| Αντικείμενο και διάρκεια | Ποια δεδομένα επεξεργάζονται και για πόσο καιρό |
| Φύση και σκοπός | Γιατί και πώς γίνεται η επεξεργασία |
| Τύποι δεδομένων και υποκείμενα δεδομένων | Κατηγορίες προσωπικών δεδομένων και επηρεαζόμενα άτομα |
| Δικαιώματα και υποχρεώσεις του υπευθύνου επεξεργασίας | Οδηγίες που πρέπει να ακολουθήσει ο εκτελών την επεξεργασία |
| Μέτρα ασφαλείας | Τεχνικά και οργανωτικά μέτρα (TOMs) |
| Όροι υπο-εκτελούντων την επεξεργασία | Κανόνες για την ανάθεση σε υπο-εκτελούντες την επεξεργασία |
| Βοήθεια για τα δικαιώματα των υποκειμένων των δεδομένων | Υποστήριξη για αιτήματα πρόσβασης, διαγραφής, φορητότητας |
| Ειδοποίηση παραβίασης | Υποχρέωση του εκτελούντος την επεξεργασία να ειδοποιεί τον υπεύθυνο επεξεργασίας για περιστατικά |
| Επιστροφή ή διαγραφή δεδομένων | Τι συμβαίνει στα δεδομένα στο τέλος της σύμβασης |
| Δικαιώματα ελέγχου | Δικαίωμα του υπευθύνου επεξεργασίας να επαληθεύει τη συμμόρφωση |
Οριακή περίπτωση: Εάν το πρότυπο ενός προμηθευτή παραλείπει δικαιώματα ελέγχου ή όρους υπο-εκτελούντων την επεξεργασία, μην το υπογράψετε ως έχει. Αυτά είναι μη διαπραγματεύσιμα βάσει του Άρθρου 28(3). [1]
Πόσο Κοστίζει η Δημιουργία ενός AVV ή DPA;
Το κόστος εξαρτάται εξ ολοκλήρου από το αν χρησιμοποιείτε το τυπικό πρότυπο ενός προμηθευτή ή αναθέτετε προσαρμοσμένη νομική σύνταξη.
- Πρότυπο που παρέχεται από τον προμηθευτή (το πιο συνηθισμένο): Δωρεάν. Οι περισσότεροι μεγάλοι πάροχοι SaaS και cloud δημοσιεύουν ένα τυπικό AVV ή DPA που οι υπεύθυνοι επεξεργασίας μπορούν να αποδεχτούν online ή μέσω μιας διαδικασίας click-through.
- Διαπραγματευμένη προσαρμοσμένη συμφωνία: Τα νομικά έξοδα κυμαίνονται συνήθως από 500 έως 5.000 ευρώ ανάλογα με την πολυπλοκότητα, τη δικαιοδοσία και τις αμοιβές των δικηγόρων. Οι συμβάσεις επιχειρήσεων με σημαντικούς όγκους δεδομένων ή ευαίσθητες κατηγορίες δεδομένων βρίσκονται στο ανώτερο άκρο.
- Ανάπτυξη εσωτερικού προτύπου: Μια εφάπαξ επένδυση χρόνου νομικών συμβούλων για τη δημιουργία ενός επαναχρησιμοποιήσιμου προτύπου· το συνεχιζόμενο κόστος είναι ελάχιστο.
Πρακτική σημείωση: Για τις περισσότερες ΜΜΕ και ιδιοκτήτες ιστοσελίδων, το τυπικό πρότυπο του προμηθευτή είναι επαρκές. Η προσαρμοσμένη διαπραγμάτευση δικαιολογείται όταν η επεξεργασία περιλαμβάνει δεδομένα ειδικής κατηγορίας (υγείας, βιομετρικά, οικονομικά) ή όταν ο υπεύθυνος επεξεργασίας φέρει σημαντική έκθεση σε ευθύνη.
Πώς Διαφέρουν οι Απαιτήσεις AVV και DPA ανά Χώρα;
Βάσει του GDPR, οι ουσιαστικές απαιτήσεις είναι εναρμονισμένες σε όλα τα κράτη μέλη της ΕΕ, οπότε το βασικό περιεχόμενο ενός AVV και ενός DPA είναι πανομοιότυπο είτε βρίσκεστε στο Βερολίνο, το Παρίσι ή τη Βαρσοβία. Ωστόσο, υπάρχουν εθνικές αποχρώσεις:
- Γερμανία: Το BfDI και οι κρατικές DPAs έχουν εκδώσει λεπτομερείς οδηγίες και πρότυπες ρήτρες. Τα γερμανικά AVV συχνά περιλαμβάνουν πιο λεπτομερή τεχνικά και οργανωτικά μέτρα (TOMs) τεκμηρίωση.
- Ελβετία: Ο revFADP (σε ισχύ από τον Σεπτέμβριο του 2023) επιβάλλει πρόσθετες απαιτήσεις πέραν του GDPR, συμπεριλαμβανομένων ειδικών διατάξεων για διασυνοριακές μεταφορές δεδομένων και χρονοδιαγράμματα ειδοποίησης παραβίασης δεδομένων.
- Ηνωμένο Βασίλειο (μετά το Brexit): Ισχύει ο GDPR του Ηνωμένου Βασιλείου· τα DPA πρέπει να αναφέρονται στις οδηγίες του UK ICO και όχι στις εποπτικές αρχές της ΕΕ. Οι τυπικές συμβατικές ρήτρες διαφέρουν από τις SCCs της ΕΕ.
- Άλλα κράτη μέλη της ΕΕ: Το Άρθρο 28 του GDPR εφαρμόζεται απευθείας· οι τοπικές οδηγίες DPA μπορούν να συμπληρώσουν αλλά δεν μπορούν να μειώσουν τις ελάχιστες απαιτήσεις.
Επιλέξτε προσεκτικά τη ρήτρα εφαρμοστέου δικαίου. Ένα AVV γερμανικού δικαίου και ένα DPA ιρλανδικού δικαίου μπορεί να φαίνονται παρόμοια, αλλά θα ερμηνεύονται από διαφορετικά δικαστήρια και εποπτικές αρχές.
Μπορείτε να Χρησιμοποιήσετε ένα AVV Αντί για ένα DPA, ή να Χρησιμοποιήσετε και τα Δύο Ταυτόχρονα;
Ναι, ένα AVV μπορεί να υποκαταστήσει ένα DPA επειδή είναι νομικά ισοδύναμα μέσα. Μια εταιρεία που δραστηριοποιείται σε αγορές DACH και μη-DACH μπορεί να περιλαμβάνει και τους δύο όρους στην ίδια επικεφαλίδα σύμβασης (π.χ., "Data Processing Agreement / Auftragsverarbeitungsvertrag") για να αποφύγει τη σύγχυση, αυτή είναι κοινή πρακτική σε δίγλωσσες συμβάσεις επιχειρήσεων και είναι απολύτως επιτρεπτή.
Η ταυτόχρονη χρήση και των δύο ετικετών δεν δημιουργεί δύο ξεχωριστές νομικές υποχρεώσεις. Απλώς διασφαλίζει ότι τα γερμανόφωνα και αγγλόφωνα μέρη κατανοούν ότι εξετάζουν το ίδιο έγγραφο.
Ποια Είναι τα Συνηθισμένα Λάθη Κατά την Επιλογή Μεταξύ AVV και DPA;
Τα πιο σημαντικά λάθη δεν αφορούν τον όρο που χρησιμοποιείτε, αλλά το τι περιέχει η συμφωνία και αν υπάρχει καθόλου.
- Παράλειψη της συμφωνίας εντελώς επειδή μια σχέση με προμηθευτή φαίνεται άτυπη ή χαμηλού κινδύνου. Βάσει του GDPR, η υποχρέωση ενεργοποιείται από την πράξη της επεξεργασίας, όχι από το αντιληπτό επίπεδο κινδύνου.
- Αποδοχή ενός ελλιπούς προτύπου που παραλείπει ρήτρες υπο-εκτελούντων την επεξεργασία ή δικαιώματα ελέγχου, πιστεύοντας ότι η έκδοση του προμηθευτή είναι αυτόματα συμμορφούμενη.
- Σύγχυση ενός DPA με μια συμφωνία κοινοχρησίας δεδομένων. Ένα DPA διέπει τις σχέσεις εκτελούντος την επεξεργασία· μια συμφωνία κοινοχρησίας δεδομένων διέπει τις ανταλλαγές δεδομένων μεταξύ κοινών υπευθύνων επεξεργασίας ή υπευθύνου επεξεργασίας προς υπεύθυνο επεξεργασίας. Αυτά είναι διαφορετικά μέσα.
- Αποτυχία ενημέρωσης των συμφωνιών όταν ένας εκτελών την επεξεργασία αναθέτει σε νέους υπο-εκτελούντες την επεξεργασία ή αλλάζει τη φύση της επεξεργασίας.
- Υπόθεση ότι η συμμόρφωση με τον GDPR καλύπτει το ελβετικό δίκαιο. Οι οργανισμοί με ελβετικά υποκείμενα δεδομένων πρέπει να διασφαλίσουν ότι το AVV τους πληροί επίσης τις απαιτήσεις του revFADP.
Ποιες Είναι οι Νομικές Συνέπειες του Λάθους AVV vs. DPA;
Η μη ύπαρξη μιας έγκυρης, πλήρους συμφωνίας εκθέτει τόσο τους υπευθύνους επεξεργασίας όσο και τους εκτελούντες την επεξεργασία σε ρυθμιστική και αστική ευθύνη.
Βάσει του Άρθρου 83(4) του GDPR, οι παραβιάσεις του Άρθρου 28 (της απαίτησης DPA/AVV) μπορούν να οδηγήσουν σε διοικητικά πρόστιμα έως και 10 εκατομμύρια ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο. Οι εποπτικές αρχές στη Γερμανία έχουν επιδείξει προθυμία να διερευνήσουν και να επιβάλουν πρόστιμα σε οργανισμούς για ελλείπουσες ή ανεπαρκείς συμφωνίες επεξεργασίας.
Πέρα από τα πρόστιμα, οι συνέπειες περιλαμβάνουν:
- Ελέγχους και διορθωτικές εντολές από εποπτικές αρχές.
- Αδυναμία επιβολής συμβατικών όρων έναντι ενός μη συμμορφούμενου εκτελούντος την επεξεργασία.
- Έκθεση σε αστική ευθύνη εάν συμβεί παραβίαση δεδομένων χωρίς έγκυρη συμφωνία που να τεκμηριώνει τις υποχρεώσεις ασφαλείας.
- Ζημία στη φήμη σε B2B πλαίσια όπου οι εταιρικοί πελάτες διενεργούν δέουσα επιμέλεια προμηθευτή.
Πώς Ξέρετε Ποια Συμφωνία Χρειάζεται Πραγματικά η Επιχείρησή σας;
Η απόφαση είναι απλή μόλις προσδιορίσετε τη σχέση και τη δικαιοδοσία.
Βήμα 1: Καθορίστε αν ο οργανισμός σας είναι ο υπεύθυνος επεξεργασίας (εσείς αποφασίζετε γιατί και πώς επεξεργάζονται τα δεδομένα) ή ο εκτελών την επεξεργασία (εσείς επεξεργάζεστε δεδομένα σύμφωνα με τις οδηγίες κάποιου άλλου).
Βήμα 2: Προσδιορίστε τη γλώσσα και τη δικαιοδοσία του αντισυμβαλλομένου σας. Εάν βρίσκονται στην περιοχή DACH, περιμένετε ένα AVV. Εάν βρίσκονται αλλού, περιμένετε ένα DPA.
Βήμα 3: Επαληθεύστε ότι όποιο έγγραφο λάβετε περιέχει και τα δέκα υποχρεωτικά στοιχεία βάσει του Άρθρου 28(3) του GDPR. [1]
Βήμα 4: Εάν ο οργανισμός σας χρειάζεται επίσης να διαχειρίζεται τη συγκατάθεση των χρηστών για cookies και τεχνολογίες παρακολούθησης, μια Πλατφόρμα Διαχείρισης Συγκατάθεσης όπως η Biscotti CMP αντιμετωπίζει αυτό το επίπεδο συμμόρφωσης με τον GDPR, αλλά λειτουργεί παράλληλα, όχι αντί, ενός σωστά εκτελεσμένου AVV ή DPA.
Κανόνας απόφασης: Εάν επεξεργάζεστε προσωπικά δεδομένα για λογαριασμό άλλου οργανισμού, χρειάζεστε ένα DPA ή AVV ανεξάρτητα από το πώς ονομάζεται εμπορικά η σχέση. Εάν άλλος οργανισμός επεξεργάζεται δεδομένα για λογαριασμό σας, είστε υπεύθυνοι να διασφαλίσετε ότι αυτή η συμφωνία υπάρχει πριν ξεκινήσει η επεξεργασία.
Συχνές Ερωτήσεις
Ε: Είναι ένα AVV νομικά έγκυρο εκτός Γερμανίας; Ένα AVV είναι νομικά έγκυρο οπουδήποτε ισχύει ο GDPR, υπό την προϋπόθεση ότι πληροί τις απαιτήσεις περιεχομένου του Άρθρου 28(3). Η γερμανική ορολογία δεν περιορίζει την εκτελεστότητά του σε άλλες δικαιοδοσίες της ΕΕ.
Ε: Πρέπει ένα DPA να υπογραφεί και από τα δύο μέρη; Ναι. Το Άρθρο 28(9) του GDPR απαιτεί η συμφωνία να είναι γραπτή, η οποία περιλαμβάνει την ηλεκτρονική μορφή. Τόσο ο υπεύθυνος επεξεργασίας όσο και ο εκτελών την επεξεργασία πρέπει να δεσμεύονται από τους όρους της.
Ε: Μπορεί ένα DPA click-through ενός προμηθευτή να πληροί τις απαιτήσεις του GDPR; Ναι, εάν το περιεχόμενο πληροί τις απαιτήσεις του Άρθρου 28(3). Πολλοί μεγάλοι πάροχοι cloud προσφέρουν συμμορφούμενα click-through DPAs που έχουν ελεγχθεί από εποπτικές αρχές.
Ε: Τι είναι ένας υπο-εκτελών την επεξεργασία, και γιατί έχει σημασία σε ένα DPA ή AVV; Ένας υπο-εκτελών την επεξεργασία είναι ένα τρίτο μέρος που αναλαμβάνει από τον εκτελούντα την επεξεργασία να πραγματοποιήσει δραστηριότητες επεξεργασίας. Το DPA ή AVV πρέπει να καθορίζει τους όρους υπό τους οποίους μπορούν να αναλάβουν υπο-εκτελούντες την επεξεργασία, συμπεριλαμβανομένου του δικαιώματος του υπευθύνου επεξεργασίας να αντιταχθεί. [1]
Ε: Χρειάζομαι ένα νέο AVV ή DPA κάθε φορά που ένας εκτελών την επεξεργασία ενημερώνει τη λίστα των υπο-εκτελούντων την επεξεργασία; Όχι απαραίτητα. Πολλές συμφωνίες περιλαμβάνουν μια γενική εξουσιοδότηση για αλλαγές υπο-εκτελούντων την επεξεργασία, υπό την προϋπόθεση ότι ο εκτελών την επεξεργασία ειδοποιεί τον υπεύθυνο επεξεργασίας και ο υπεύθυνος επεξεργασίας διατηρεί το δικαίωμα να αντιταχθεί εντός καθορισμένης περιόδου.
Ε: Καλύπτει ένα DPA τις μεταφορές δεδομένων εκτός ΕΕ; Ένα DPA διέπει τη σχέση επεξεργασίας, αλλά δεν εξουσιοδοτεί από μόνο του διασυνοριακές μεταφορές δεδομένων. Απαιτούνται ξεχωριστοί μηχανισμοί μεταφοράς (Τυπικές Συμβατικές Ρήτρες, αποφάσεις επάρκειας) για μεταφορές σε τρίτες χώρες.
Ε: Για πόσο καιρό πρέπει να διατηρείται ένα DPA ή AVV; Διατηρήστε τη συμφωνία για τη διάρκεια της σχέσης επεξεργασίας και για εύλογο χρονικό διάστημα μετά, συνήθως τουλάχιστον τρία έως πέντε χρόνια, για να αποδείξετε τη συμμόρφωση σε περίπτωση έρευνας από εποπτική αρχή.
Ε: Ποια είναι η διαφορά μεταξύ ενός DPA και ενός DPIA; Ένα DPA (Data Processing Agreement) είναι μια σύμβαση μεταξύ υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία. Ένα DPIA (Data Protection Impact Assessment) είναι μια εσωτερική αξιολόγηση κινδύνου που απαιτείται για δραστηριότητες επεξεργασίας υψηλού κινδύνου. Εξυπηρετούν διαφορετικούς σκοπούς και κανένα δεν υποκαθιστά το άλλο.
Ε: Μπορεί ένας freelancer ή μια μικρή εταιρεία να υποχρεωθεί να υπογράψει ένα AVV ή DPA; Ναι. Η υποχρέωση ισχύει ανεξάρτητα από το μέγεθος του εκτελούντος την επεξεργασία. Ένας freelance προγραμματιστής που χειρίζεται δεδομένα πελατών είναι εκτελών την επεξεργασία και πρέπει να υπογράψει ένα DPA ή AVV με κάθε πελάτη-υπεύθυνο επεξεργασίας.
Ε: Αντικαθιστά το Biscotti CMP την ανάγκη για ένα DPA ή AVV; Όχι. Το Biscotti CMP είναι μια Πλατφόρμα Διαχείρισης Συγκατάθεσης που βοηθά στη διαχείριση της συγκατάθεσης των χρηστών για cookies και παρακολούθηση, μια ξεχωριστή απαίτηση συμμόρφωσης με τον GDPR. Ένα DPA ή AVV εξακολουθεί να απαιτείται για οποιαδήποτε σχέση εκτελούντος την επεξεργασία που περιλαμβάνει προσωπικά δεδομένα.
Συμπέρασμα
Το ερώτημα AVV vs. DPA επιλύεται γρήγορα μόλις αναγνωρίσετε ότι και οι δύο όροι περιγράφουν το ίδιο νομικά απαιτούμενο μέσο βάσει του Άρθρου 28 του GDPR. Η πραγματική πρόκληση δεν είναι η επιλογή μεταξύ τους, αλλά η διασφάλιση ότι όποιο έγγραφο διέπει τις σχέσεις σας με τους εκτελούντες την επεξεργασία περιέχει κάθε υποχρεωτική ρήτρα, εκτελείται σωστά και ενημερώνεται καθώς εξελίσσονται οι δραστηριότητες επεξεργασίας.
Πρακτικά επόμενα βήματα:
- Ελέγξτε όλες τις τρέχουσες σχέσεις με προμηθευτές για να επιβεβαιώσετε ότι υπάρχει ένα έγκυρο DPA ή AVV για κάθε εκτελούντα την επεξεργασία που χειρίζεται προσωπικά δεδομένα για λογαριασμό σας.
- Εξετάστε τις υπάρχουσες συμφωνίες έναντι των δέκα υποχρεωτικών στοιχείων του Άρθρου 28(3) του GDPR και ζητήστε τροποποιήσεις για τυχόν κενά. [1]
- Εάν δραστηριοποιείστε στην Ελβετία, επαληθεύστε ότι οι συμφωνίες πληρούν επίσης τις απαιτήσεις του revFADP πέραν του βασικού επιπέδου του GDPR.
- Καθιερώστε μια εσωτερική διαδικασία για την ένταξη νέων εκτελούντων την επεξεργασία, καμία επεξεργασία δεν πρέπει να ξεκινήσει πριν υπογραφεί η συμφωνία.
- Για τη διαχείριση συγκατάθεσης και τη συμμόρφωση με τα cookies στον ιστότοπο ή την εφαρμογή σας, αξιολογήστε το Biscotti CMP ως μέρος του ευρύτερου πλαισίου συμμόρφωσής σας με τον GDPR.
Η συμμόρφωση με την προστασία δεδομένων δεν είναι ένα εφάπαξ έργο. Οι συμφωνίες πρέπει να αναθεωρούνται όταν αλλάζει η επεξεργασία, όταν προστίθενται υπο-εκτελούντες την επεξεργασία και όταν εξελίσσονται οι ρυθμιστικές οδηγίες. Η ενσωμάτωση αυτής της συχνότητας αναθεώρησης στο πρόγραμμα συμμόρφωσής σας είναι η πιο πρακτική διασφάλιση έναντι της ρυθμιστικής έκθεσης.
Αναφορές
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai