Γρήγορη Απάντηση: Ένα AVV (Auftragsverarbeitungsvertrag) είναι μια νομικά επιβεβλημένη σύμβαση βάσει του Άρθρου 28 του GDPR μεταξύ ενός υπευθύνου επεξεργασίας δεδομένων και ενός εκτελούντος την επεξεργασία δεδομένων. Κάθε οργανισμός που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό άλλου μέρους πρέπει να έχει ένα σε ισχύ. Η λειτουργία χωρίς AVV εκθέτει και τα δύο μέρη σε πρόστιμα έως και 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο.
Βασικά Συμπεράσματα
- Ένα AVV είναι ο γερμανικός όρος για μια Συμφωνία Επεξεργασίας Δεδομένων (DPA), που απαιτείται βάσει του Άρθρου 28 του GDPR κάθε φορά που ένας εκτελών την επεξεργασία χειρίζεται προσωπικά δεδομένα για έναν υπεύθυνο επεξεργασίας.
- Η συμφωνία πρέπει να καθορίζει το αντικείμενο, τον σκοπό, τη διάρκεια, τους τύπους δεδομένων, τα τεχνικά και οργανωτικά μέτρα (TOMs) και τους κανόνες για τους υπεργολάβους.
- Η μη ύπαρξη έγκυρου AVV μπορεί να οδηγήσει σε ρυθμιστικά πρόστιμα, ανεξάρτητα από το αν έχει συμβεί παραβίαση δεδομένων.
- Οι μικρές επιχειρήσεις δεν εξαιρούνται: η φιλοξενία στο cloud, το λογισμικό μισθοδοσίας και τα εργαλεία μάρκετινγκ ηλεκτρονικού ταχυδρομείου συνήθως ενεργοποιούν την απαίτηση AVV.
- Ένα AVV είναι μια σύμβαση μεταξύ δύο μερών, όχι μια ειδοποίηση απορρήτου, και δεν εφαρμόζει από μόνο του μέτρα ασφαλείας όπως η κρυπτογράφηση.
- Τα AVV θα πρέπει να αναθεωρούνται κάθε φορά που αλλάζουν οι υπεργολάβοι, πραγματοποιούνται μεταφορές δεδομένων σε τρίτες χώρες ή τροποποιούνται οι δραστηριότητες επεξεργασίας.
- Στην περιοχή DACH (Γερμανία, Αυστρία, Ελβετία), τα AVV αποτελούν συνήθη πρακτική με τους προμηθευτές SaaS, τους παρόχους φιλοξενίας και τα συστήματα ERP.
- Διατίθενται πρότυπα από οργανισμούς συμμόρφωσης και προμηθευτές, αλλά η προσαρμογή για να αντικατοπτρίζονται οι πραγματικές δραστηριότητες επεξεργασίας είναι απαραίτητη.
Τι Σημαίνει AVV στην Επεξεργασία Δεδομένων;
Το AVV σημαίνει Auftragsverarbeitungsvertrag, μια γερμανική σύνθετη λέξη που μεταφράζεται απευθείας ως "συμφωνία επεξεργασίας δεδομένων" στα αγγλικά. Είναι το συμβατικό μέσο που επιβάλλεται από το Άρθρο 28 του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) της ΕΕ για τη ρύθμιση της σχέσης μεταξύ ενός υπευθύνου επεξεργασίας δεδομένων και ενός εκτελούντος την επεξεργασία δεδομένων.
Ο όρος είναι ειδικός για τις γερμανόφωνες δικαιοδοσίες (Γερμανία, Αυστρία και Ελβετία), αλλά η υποκείμενη νομική έννοια εφαρμόζεται καθολικά σε όλη την ΕΕ και τον ΕΟΧ. Σε αγγλόφωνα πλαίσια, το ίδιο έγγραφο ονομάζεται Συμφωνία Επεξεργασίας Δεδομένων (DPA). Οι οργανισμοί που δραστηριοποιούνται διεθνώς θα πρέπει να διασφαλίζουν ότι τα AVV τους είναι διαθέσιμα στις σχετικές γλώσσες για να διευκολύνουν την κατανόηση και τη συμμόρφωση [5].
Το AVV δεν είναι πολιτική απορρήτου ή banner συγκατάθεσης για cookies. Είναι μια δεσμευτική διμερής σύμβαση που ορίζει πώς ένας εκτελών την επεξεργασία μπορεί να χειριστεί προσωπικά δεδομένα, υπό ποιες συνθήκες και με ποιες διασφαλίσεις.
Γιατί οι Εκτελούντες την Επεξεργασία Δεδομένων Χρειάζονται ένα AVV;
Ένα AVV είναι υποχρεωτικό κάθε φορά που ένας υπεύθυνος επεξεργασίας δεδομένων αναθέτει σε έναν εκτελούντα την επεξεργασία να χειριστεί προσωπικά δεδομένα για λογαριασμό του. Αυτή δεν είναι προαιρετική καθοδήγηση· είναι μια σκληρή νομική απαίτηση βάσει του Άρθρου 28 του GDPR [1].
Κοινά σενάρια που ενεργοποιούν την απαίτηση AVV περιλαμβάνουν:
- Φιλοξενία και υποδομή στο cloud (π.χ. διακομιστές που αποθηκεύουν βάσεις δεδομένων πελατών)
- Επεξεργασία μισθοδοσίας που χειρίζεται ένας τρίτος πάροχος HR
- Πλατφόρμες μάρκετινγκ ηλεκτρονικού ταχυδρομείου που αποθηκεύουν λίστες συνδρομητών
- Προμηθευτές SaaS ERP που έχουν πρόσβαση σε δεδομένα επιχειρήσεων και εργαζομένων
- Εργαλεία ανάλυσης και παρακολούθησης που επεξεργάζονται δεδομένα συμπεριφοράς επισκεπτών
Χωρίς AVV, κανένα από τα δύο μέρη δεν έχει τεκμηριωμένη νομική βάση για τη σχέση επεξεργασίας. Οι εποπτικές αρχές αντιμετωπίζουν την απουσία AVV ως αυτόνομη παραβίαση συμμόρφωσης, ξεχωριστή από οποιαδήποτε έρευνα παραβίασης δεδομένων [3].
Είναι το AVV το Ίδιο με ένα DPA;
Ναι, ένα AVV και ένα DPA αναφέρονται στο ίδιο νομικό έγγραφο. Το AVV είναι η γερμανική ονομασία· το DPA είναι το αγγλικό ισοδύναμο που χρησιμοποιείται στα περισσότερα άλλα κράτη μέλη της ΕΕ και σε διεθνή πλαίσια συμμόρφωσης [5].
Και τα δύο έγγραφα πληρούν τις απαιτήσεις του Άρθρου 28 του GDPR και πρέπει να περιέχουν τα ίδια υποχρεωτικά στοιχεία. Εάν μια γερμανική εταιρεία υπογράψει ένα DPA με έναν προμηθευτή SaaS με έδρα τις ΗΠΑ, αυτό το DPA λειτουργεί ως AVV για σκοπούς συμμόρφωσης με τον GDPR, υπό την προϋπόθεση ότι πληροί όλες τις ουσιαστικές απαιτήσεις.
Βασική διάκριση που πρέπει να θυμάστε: Η ετικέτα στο έγγραφο έχει λιγότερη σημασία από το περιεχόμενό του. Ένα έγγραφο με τίτλο "Προσάρτημα Επεξεργασίας Δεδομένων", "Συμφωνία Επεξεργασίας" ή "AVV" είναι νομικά ισοδύναμο εφόσον καλύπτει όλα τα απαιτούμενα στοιχεία.
Ποιος Χρειάζεται ένα AVV για Συμμόρφωση με τον GDPR;
Κάθε οργανισμός που είναι υπεύθυνος επεξεργασίας δεδομένων και χρησιμοποιεί μια υπηρεσία τρίτου μέρους που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του χρειάζεται ένα AVV. Αυτό ισχύει για επιχειρήσεις όλων των μεγεθών σε όλους τους κλάδους [1].
Υπεύθυνοι επεξεργασίας που συνήθως χρειάζονται AVV:
| Σενάριο | Υπεύθυνος επεξεργασίας | Εκτελών την επεξεργασία |
|---|---|---|
| Η εταιρεία χρησιμοποιεί cloud CRM | Επιχείρηση | Προμηθευτής CRM |
| Ο ιστότοπος χρησιμοποιεί αναλυτικά στοιχεία | Ιδιοκτήτης ιστότοπου | Πάροχος αναλυτικών στοιχείων |
| Το HR αναθέτει εξωτερικά τη μισθοδοσία | Εργοδότης | Γραφείο μισθοδοσίας |
| Το ηλεκτρονικό κατάστημα χρησιμοποιεί εργαλείο email | Λιανοπωλητής | Πλατφόρμα email |
| Το πρακτορείο διαχειρίζεται διαφημίσεις πελατών | Πρακτορείο | Πλατφόρμα ad tech |
Ποιος δεν είναι εκτελών την επεξεργασία: Ένα μέρος που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας ανεξάρτητα είναι υπεύθυνος επεξεργασίας από μόνο του, όχι εκτελών την επεξεργασία. Οι από κοινού υπεύθυνοι επεξεργασίας απαιτούν διαφορετικό τύπο συμφωνίας βάσει του Άρθρου 26 του GDPR.
Οι μικρές επιχειρήσεις συχνά παραβλέπουν αυτήν την απαίτηση, υποθέτοντας ότι ισχύει μόνο για μεγάλες επιχειρήσεις. Αυτή η υπόθεση είναι λανθασμένη. Κάθε ιδιοκτήτης ιστότοπου που χρησιμοποιεί έναν τρίτο πάροχο φιλοξενίας, υπηρεσία ενημερωτικών δελτίων ή σύστημα κρατήσεων πιθανότατα χρειάζεται τουλάχιστον ένα AVV σε ισχύ [5].
Τι Πρέπει να Περιλαμβάνει ένα AVV;
Ένα συμβατό AVV πρέπει να περιέχει συγκεκριμένα υποχρεωτικά στοιχεία. Η έλλειψη έστω και ενός μπορεί να καταστήσει τη συμφωνία ανεπαρκή υπό τον έλεγχο του GDPR [2].
Υποχρεωτικά στοιχεία:
- Αντικείμενο και διάρκεια της επεξεργασίας
- Φύση και σκοπός της επεξεργασίας
- Τύπος προσωπικών δεδομένων και κατηγορίες υποκειμένων δεδομένων
- Υποχρεώσεις και δικαιώματα του υπευθύνου επεξεργασίας
- Τεχνικά και οργανωτικά μέτρα (TOMs) που εφαρμόζονται από τον εκτελούντα την επεξεργασία
- Κανόνες που διέπουν την ανάθεση υπεργολάβων
- Διαδικασίες για αιτήματα δικαιωμάτων υποκειμένων δεδομένων
- Υποχρεώσεις κοινοποίησης παραβίασης δεδομένων
- Επιστροφή ή διαγραφή δεδομένων κατά τη λήξη της σύμβασης
- Δικαιώματα ελέγχου για τον υπεύθυνο επεξεργασίας
Η ενότητα TOMs είναι ιδιαίτερα σημαντική. Ενώ το ίδιο το AVV δεν εφαρμόζει μέτρα ασφαλείας, πρέπει να τεκμηριώνει ποια μέτρα έχει εφαρμόσει ο εκτελών την επεξεργασία, όπως πρότυπα κρυπτογράφησης, έλεγχοι πρόσβασης και πρακτικές ψευδωνυμοποίησης [1].
Τι Συμβαίνει αν Δεν Έχετε AVV;
Η λειτουργία χωρίς έγκυρο AVV εκθέτει τόσο τον υπεύθυνο επεξεργασίας όσο και τον εκτελούντα την επεξεργασία σε σημαντικές ρυθμιστικές κυρώσεις. Βάσει του Άρθρου 83(4) του GDPR, τα πρόστιμα για παραβιάσεις του Άρθρου 28 μπορούν να φτάσουν τα 10 εκατομμύρια ευρώ ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών, και βάσει του Άρθρου 83(5) για πιο σοβαρές παραβιάσεις, έως τα 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο [3].
Κρίσιμα, αυτά τα πρόστιμα μπορούν να επιβληθούν ανεξάρτητα από το αν έχει συμβεί παραβίαση δεδομένων. Μια εποπτική αρχή που διενεργεί τακτικό έλεγχο ή ανταποκρίνεται σε καταγγελία μπορεί να εντοπίσει την απουσία AVV και να επιβάλει πρόστιμο μόνο βάσει αυτού.
Πρόσθετες συνέπειες περιλαμβάνουν:
- Βλάβη στη φήμη και απώλεια εμπιστοσύνης πελατών
- Συμβατική ευθύνη μεταξύ υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία
- Πιθανή αναστολή των δραστηριοτήτων επεξεργασίας εν αναμονή αποκατάστασης
AVV vs. Συμφωνία Επεξεργασίας Δεδομένων: Βασικές Διαφορές
Το AVV και το DPA είναι ουσιαστικά το ίδιο έγγραφο με διαφορετικά ονόματα. Ωστόσο, υπάρχουν πρακτικές διαφορές που αξίζει να σημειωθούν για τους διεθνείς οργανισμούς.
| Διάσταση | AVV | DPA |
|---|---|---|
| Γλώσσα | Γερμανικά | Αγγλικά (ή τοπική) |
| Εστίαση δικαιοδοσίας | Περιοχή DACH | ΕΕ/ΕΟΧ γενικά |
| Κοινό πλαίσιο χρήσης | Γερμανόφωνα συμβόλαια | Διεθνείς συμφωνίες SaaS |
| Νομική βάση | Άρθρο 28 GDPR | Άρθρο 28 GDPR |
| Απαιτήσεις περιεχομένου | Ταυτόσημες | Ταυτόσημες |
Η περιοχή DACH (Γερμανία, Αυστρία, Ελβετία) έχει μια ιδιαίτερα ισχυρή κουλτούρα επιβολής γύρω από τα AVV, καθιστώντας τα συνήθη πρακτική σε συμβάσεις προμηθευτών με παρόχους φιλοξενίας, προμηθευτές SaaS ERP και άλλους συνεργάτες υπηρεσιών [1].
Πόσο Κοστίζει ένα AVV;
Το κόστος ενός AVV ποικίλλει ανάλογα με τον τρόπο δημιουργίας και αναθεώρησής του.
- AVV βάσει προτύπου: Πολλοί προμηθευτές παρέχουν το δικό τους AVV ως μέρος των όρων υπηρεσίας τους, συνήθως χωρίς επιπλέον χρέωση. Οργανισμοί όπως η NexDeck προσφέρουν λεπτομερή πρότυπα AVV, συμπεριλαμβανομένων λιστών υπεργολάβων [4].
- Αναθεώρηση από νομικό σύμβουλο: Η σύνταξη ή αναθεώρηση ενός προσαρμοσμένου AVV από δικηγόρο προστασίας δεδομένων κοστίζει συνήθως μεταξύ 300 και 2.000 ευρώ, ανάλογα με την πολυπλοκότητα και τη δικαιοδοσία.
- Σύνταξη με τη βοήθεια DPO: Οργανισμοί με εσωτερικό ή εξωτερικό Υπεύθυνο Προστασίας Δεδομένων (DPO) μπορούν συχνά να χρησιμοποιήσουν αυτόν τον πόρο για τη σύνταξη AVV χωρίς οριακό κόστος πέραν της αμοιβής του DPO.
Για τις μικρές επιχειρήσεις, η πιο πρακτική προσέγγιση είναι να ξεκινήσουν με ένα αξιόπιστο πρότυπο και να το αναθεωρήσουν από έναν εξειδικευμένο επαγγελματία πριν την υπογραφή.
Πώς Δημιουργώ ένα Πρότυπο AVV;
Η δημιουργία ενός AVV ξεκινά με τον εντοπισμό όλων των σχέσεων επεξεργασίας όπου ένα τρίτο μέρος χειρίζεται προσωπικά δεδομένα για λογαριασμό σας. Από εκεί, η διαδικασία ακολουθεί αυτά τα βήματα:
- Καταγράψτε τους εκτελούντες την επεξεργασία σας: Καταγράψτε κάθε προμηθευτή, εργαλείο ή υπηρεσία που έχει πρόσβαση σε προσωπικά δεδομένα που ελέγχετε.
- Λάβετε ή συντάξτε το AVV: Πολλοί εκτελούντες την επεξεργασία (ειδικά οι προμηθευτές SaaS) παρέχουν το δικό τους τυπικό AVV. Ελέγξτε το σε σχέση με τα υποχρεωτικά στοιχεία που αναφέρονται παραπάνω.
- Προσαρμόστε την ενότητα TOMs: Βεβαιωθείτε ότι τα τεχνικά και οργανωτικά μέτρα αντικατοπτρίζουν τις πραγματικές πρακτικές ασφαλείας του εκτελούντος την επεξεργασία.
- Καταγράψτε τους υπεργολάβους: Συμπεριλάβετε ένα παράρτημα που προσδιορίζει τυχόν υπεργολάβους που χρησιμοποιεί ο εκτελών την επεξεργασία, μαζί με τους ρόλους και τις τοποθεσίες τους.
- Καθορίστε τους μηχανισμούς μεταφοράς δεδομένων: Εάν δεδομένα μεταφέρονται εκτός ΕΕ/ΕΟΧ, καθορίστε τον νομικό μηχανισμό μεταφοράς (π.χ. Τυποποιημένες Συμβατικές Ρήτρες).
- Υπογράψτε και διατηρήστε: Και τα δύο μέρη πρέπει να υπογράψουν το AVV. Διατηρήστε ένα αντίγραφο με τα αρχεία επεξεργασίας δεδομένων σας.
Τα πρότυπα από οργανισμούς που επικεντρώνονται στη συμμόρφωση παρέχουν μια σταθερή δομική βάση, αλλά κάθε AVV θα πρέπει να προσαρμόζεται στην ειδική δραστηριότητα επεξεργασίας που διέπει [2].
Απαιτήσεις AVV για Μικρές Επιχειρήσεις
Οι μικρές επιχειρήσεις δεν εξαιρούνται από την απαίτηση AVV. Κάθε οργανισμός που υπόκειται στον GDPR και χρησιμοποιεί έναν τρίτο εκτελούντα την επεξεργασία πρέπει να έχει ένα AVV σε ισχύ, ανεξάρτητα από το μέγεθος της εταιρείας ή τον αριθμό των εργαζομένων [1].
Για τις μικρές επιχειρήσεις, το πρακτικό βάρος είναι χαμηλότερο από ό,τι μπορεί να φαίνεται:
- Οι περισσότεροι μεγάλοι προμηθευτές SaaS (πλατφόρμες email, συστήματα κρατήσεων, εργαλεία ανάλυσης) παρέχουν ήδη ένα τυπικό AVV ή DPA ως μέρος των όρων υπηρεσίας τους. Η αποδοχή αυτών των όρων συνήθως συνιστά έγκυρη συμφωνία.
- Το βασικό καθήκον είναι να διασφαλίσετε ότι έχετε πράγματι αναθεωρήσει και αποδεχθεί αυτούς τους όρους, αντί να υποθέτετε ότι υπάρχουν.
- Διατηρήστε ένα απλό μητρώο των εκτελούντων την επεξεργασία σας και των αντίστοιχων AVV.
Κοινό λάθος: Οι ιδιοκτήτες μικρών επιχειρήσεων συχνά υποθέτουν ότι επειδή ένας προμηθευτής είναι μεγάλος και αξιόπιστος, η νομική γραφειοκρατία διεκπεραιώνεται αυτόματα. Η αποδοχή ενός AVV πρέπει να είναι ένα ενεργό, τεκμηριωμένο βήμα.
Απαιτήσεις Ιστορικού Ελέγχου AVV
Ένα AVV πρέπει να περιλαμβάνει διατάξεις που παρέχουν στον υπεύθυνο επεξεργασίας το δικαίωμα να ελέγχει τη συμμόρφωση του εκτελούντος την επεξεργασία. Αυτό το δικαίωμα ελέγχου είναι ένα υποχρεωτικό στοιχείο βάσει του Άρθρου 28(3)(η) του GDPR [2].
Στην πράξη, οι απαιτήσεις ιστορικού ελέγχου σημαίνουν:
- Ο εκτελών την επεξεργασία πρέπει να διατηρεί αρχεία δραστηριοτήτων επεξεργασίας βάσει του Άρθρου 30(2) του GDPR.
- Ο υπεύθυνος επεξεργασίας έχει το δικαίωμα να διενεργεί ελέγχους ή να αναθέτει σε τρίτους ελεγκτές να επαληθεύουν τη συμμόρφωση.
- Πολλοί εκτελούντες την επεξεργασία πληρούν αυτήν την απαίτηση μέσω πιστοποιήσεων τρίτων, όπως ISO 27001 ή SOC 2, οι οποίες μπορούν να υποκαταστήσουν τους επιτόπιους ελέγχους σε πολλές περιπτώσεις.
Το AVV είναι άμεσα σχετικό με τους ελέγχους του ISO 27001 Παράρτημα Α A.5.19 έως A.5.22, οι οποίοι διέπουν τις σχέσεις προμηθευτών και την ασφάλεια πληροφοριών στις αλυσίδες εφοδιασμού [2]. Οι οργανισμοί με επίσημο Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS) θα πρέπει να διασφαλίζουν ότι τα AVV τους ενσωματώνονται στις διαδικασίες διαχείρισης προμηθευτών τους.
AVV για Διεθνείς Μεταφορές Δεδομένων
Όταν ένας εκτελών την επεξεργασία βρίσκεται εκτός ΕΕ/ΕΟΧ, το AVV πρέπει να αντιμετωπίζει τον νομικό μηχανισμό για τη μεταφορά προσωπικών δεδομένων σε αυτήν την τρίτη χώρα. Οι Τυποποιημένες Συμβατικές Ρήτρες (SCCs) είναι ο πιο συχνά χρησιμοποιούμενος μηχανισμός και συνήθως ενσωματώνονται ως παράρτημα στο AVV [2].
Βασικές εκτιμήσεις για διεθνή AVV:
- Προσδιορίστε εάν η χώρα του εκτελούντος την επεξεργασία έχει απόφαση επάρκειας της ΕΕ.
- Εάν όχι, ενσωματώστε τις κατάλληλες SCCs (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία ή από υπεύθυνο επεξεργασίας σε υπεύθυνο επεξεργασίας, ανάλογα με τη σχέση).
- Διενεργήστε Αξιολόγηση Επιπτώσεων Μεταφοράς (TIA) όπου απαιτείται.
- Βεβαιωθείτε ότι το AVV είναι διαθέσιμο στις γλώσσες και των δύο συμβαλλόμενων μερών [5].
Πόσο Συχνά Πρέπει να Ενημερώνετε το AVV σας;
Ένα AVV θα πρέπει να αναθεωρείται και να ενημερώνεται κάθε φορά που συμβαίνουν ουσιώδεις αλλαγές στη σχέση επεξεργασίας. Δεν υπάρχει σταθερό νομοθετικό διάστημα αναθεώρησης, αλλά η βέλτιστη πρακτική υποδεικνύει τουλάχιστον μια ετήσια αναθεώρηση [2].
Ενεργοποιητές για άμεση ενημέρωση AVV:
- Ο εκτελών την επεξεργασία αναθέτει έναν νέο υπεργολάβο ή αφαιρεί έναν υπάρχοντα
- Οι δραστηριότητες επεξεργασίας αλλάζουν ως προς τη φύση, τον σκοπό ή το πεδίο εφαρμογής
- Τα δεδομένα μεταφέρονται σε μια νέα τρίτη χώρα
- Τα TOMs του εκτελούντος την επεξεργασία ενημερώνονται σημαντικά
- Αλλάζει ο εφαρμοστέος νόμος ή η ρυθμιστική καθοδήγηση
Η προληπτική αναθεώρηση των AVV είναι μια βασική πειθαρχία συμμόρφωσης. Οι ξεπερασμένες συμφωνίες που δεν αντικατοπτρίζουν πλέον τις πραγματικές δραστηριότητες επεξεργασίας δημιουργούν την ίδια ρυθμιστική έκθεση με την απουσία AVV.
Κοινά Λάθη κατά τη Ρύθμιση ενός AVV
Ακόμη και οργανισμοί που κατανοούν την απαίτηση AVV συχνά κάνουν λάθη στην εφαρμογή.
Λάθος 1: Αντιμετώπιση του τυποποιημένου κειμένου του προμηθευτή ως αυτόματα επαρκούς. Ένα πρότυπο AVV που παρέχεται από τον προμηθευτή ενδέχεται να μην καλύπτει τις συγκεκριμένες δραστηριότητες επεξεργασίας σας. Να το ελέγχετε πάντα σε σχέση με τα υποχρεωτικά στοιχεία.
Λάθος 2: Παράλειψη ή ασαφής περιγραφή των TOMs. Οι εποπτικές αρχές εξετάζουν την ενότητα TOMs προσεκτικά. Η ασαφής γλώσσα όπως "κατάλληλα μέτρα ασφαλείας" χωρίς λεπτομέρειες είναι ανεπαρκής.
Λάθος 3: Ξεχνώντας τους υπεργολάβους. Το AVV πρέπει να αναφέρει τους υπεργολάβους. Η μη ενημέρωση αυτής της λίστας όταν ένας εκτελών την επεξεργασία αλλάζει τους υπεργολάβους του είναι ένα κοινό κενό συμμόρφωσης [2].
Λάθος 4: Μη διατήρηση υπογεγραμμένων αντιγράφων. Ένα AVV που δεν μπορεί να παραχθεί κατά τη διάρκεια ενός ελέγχου δεν παρέχει νομική προστασία. Διατηρήστε οργανωμένα αρχεία.
Λάθος 5: Σύγχυση του AVV με μια πολιτική απορρήτου. Αυτά είναι εντελώς διαφορετικά έγγραφα που εξυπηρετούν διαφορετικούς σκοπούς. Μια πολιτική απορρήτου ενημερώνει τα υποκείμενα δεδομένων· ένα AVV διέπει τη σχέση υπευθύνου επεξεργασίας-εκτελούντος την επεξεργασία [1].
Συμπέρασμα
Ο Απόλυτος Οδηγός για τα AVV: Γιατί κάθε Εκτελών την Επεξεργασία Δεδομένων χρειάζεται ένα τελικά καταλήγει σε μια απλή πραγματικότητα συμμόρφωσης: εάν προσωπικά δεδομένα αλλάζουν χέρια μεταξύ ενός υπευθύνου επεξεργασίας και ενός εκτελούντος την επεξεργασία, ένα έγκυρο AVV πρέπει να υπάρχει πριν ξεκινήσει αυτή η επεξεργασία. Δεν υπάρχουν εξαιρέσεις μεγέθους, εξαιρέσεις κλάδου και περίοδοι χάριτος για οργανισμούς που ήδη λειτουργούν υπό τον GDPR.
Ενέργειες για το 2026:
- Ελέγξτε κάθε τρίτο προμηθευτή που έχει πρόσβαση σε προσωπικά δεδομένα που ελέγχετε και επιβεβαιώστε ότι υπάρχει ένα AVV σε ισχύ για τον καθένα.
- Ελέγξτε τα υπάρχοντα AVV σε σχέση με τη λίστα ελέγχου των υποχρεωτικών στοιχείων, δίνοντας ιδιαίτερη προσοχή στα TOMs και τις λίστες υπεργολάβων.
- Καθιερώστε μια υπενθύμιση στο ημερολόγιο για ετήσιες αναθεωρήσεις AVV και ενημερώσεις βάσει ενεργοποίησης όταν αλλάζουν οι δραστηριότητες επεξεργασίας.
- Για οργανισμούς που διαχειρίζονται τη συγκατάθεση και τη συμμόρφωση με τα cookies παράλληλα με τα AVV τους, εξετάστε το ενδεχόμενο να συνδυάσετε την τεκμηρίωση επεξεργασίας δεδομένων σας με μια συμβατή Πλατφόρμα Διαχείρισης Συγκατάθεσης, όπως η Biscotti CMP, για να διατηρήσετε μια πλήρη και υπερασπίσιμη στάση συμμόρφωσης.
- Συμβουλευτείτε έναν εξειδικευμένο επαγγελματία προστασίας δεδομένων για οποιοδήποτε AVV που περιλαμβάνει σύνθετες δραστηριότητες επεξεργασίας ή διεθνείς μεταφορές δεδομένων.
Το κόστος της σωστής εφαρμογής των AVV είναι ελάχιστο. Το κόστος της λανθασμένης εφαρμογής δεν είναι.
Συχνές Ερωτήσεις
Τι είναι ένα AVV με απλά λόγια; Ένα AVV είναι μια γραπτή σύμβαση μεταξύ μιας εταιρείας που κατέχει προσωπικά δεδομένα (ο υπεύθυνος επεξεργασίας) και μιας εταιρείας που επεξεργάζεται αυτά τα δεδομένα για λογαριασμό της (ο εκτελών την επεξεργασία). Καθορίζει ποια δεδομένα επεξεργάζονται, γιατί, πώς προστατεύονται και τι υποχρεούνται να κάνουν και τα δύο μέρη.
Απαιτείται AVV για κάθε σχέση με προμηθευτή; Μόνο για προμηθευτές που επεξεργάζονται προσωπικά δεδομένα για λογαριασμό σας. Ένας προμηθευτής που απλώς παρέχει ένα εργαλείο που χρησιμοποιείτε για να επεξεργαστείτε δεδομένα μόνοι σας (χωρίς πρόσβαση στα δεδομένα) γενικά δεν είναι εκτελών την επεξεργασία και δεν απαιτεί AVV.
Μπορεί μια προφορική συμφωνία να υποκαταστήσει ένα AVV; Όχι. Το Άρθρο 28 του GDPR απαιτεί ρητά η συμφωνία επεξεργασίας να είναι γραπτή, συμπεριλαμβανομένης της ηλεκτρονικής μορφής.
Προστατεύει ένα AVV από πρόστιμα GDPR; Η ύπαρξη ενός έγκυρου AVV μειώνει σημαντικά τον ρυθμιστικό κίνδυνο, αλλά δεν παρέχει απόλυτη ασυλία. Πρόστιμα μπορούν να επιβληθούν και για άλλες παραβιάσεις. Ένα AVV αποδεικνύει τη συμμόρφωση με το Άρθρο 28 συγκεκριμένα.
Ποια είναι η διαφορά μεταξύ υπεργολάβου και εκτελούντος την επεξεργασία; Ένας εκτελών την επεξεργασία χειρίζεται δεδομένα απευθείας για τον υπεύθυνο επεξεργασίας. Ένας υπεργολάβος αναλαμβάνεται από τον εκτελούντα την επεξεργασία για να τον βοηθήσει σε αυτήν την επεξεργασία. Ο υπεύθυνος επεξεργασίας πρέπει να ενημερώνεται για τους υπεργολάβους και ο εκτελών την επεξεργασία πρέπει να δεσμεύει τους υπεργολάβους σε ισοδύναμες υποχρεώσεις.
Πόσο καιρό πρέπει να διατηρείται ένα AVV; Δεν υπάρχει ρητή περίοδος διατήρησης που να καθορίζεται στον GDPR για τα AVV, αλλά θα πρέπει να διατηρούνται για τη διάρκεια της σχέσης επεξεργασίας και για εύλογο χρονικό διάστημα μετά, συνήθως ευθυγραμμισμένο με την παραγραφή για ρυθμιστικές ενέργειες στην αρμόδια δικαιοδοσία.
Μια DPA που υπογράφεται με μια εταιρεία των ΗΠΑ θεωρείται AVV; Ναι, υπό την προϋπόθεση ότι περιέχει όλα τα στοιχεία που απαιτούνται από το Άρθρο 28 του GDPR και ενσωματώνει κατάλληλους μηχανισμούς μεταφοράς, όπως οι Τυποποιημένες Συμβατικές Ρήτρες.
Μπορεί ο εκτελών την επεξεργασία να χρησιμοποιήσει προσωπικά δεδομένα για δικούς του σκοπούς; Όχι. Ένας εκτελών την επεξεργασία μπορεί να επεξεργάζεται προσωπικά δεδομένα μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες του υπευθύνου επεξεργασίας. Η επεξεργασία για τους δικούς του σκοπούς του εκτελούντος την επεξεργασία θα ανακατέτασσε αυτό το μέρος ως υπεύθυνο επεξεργασίας, με ξεχωριστές νομικές υποχρεώσεις.
Τι είναι ένα TOM στο πλαίσιο ενός AVV; TOM σημαίνει Τεχνικό και Οργανωτικό Μέτρο. Αυτές είναι οι πρακτικές ασφαλείας που εφαρμόζει ένας εκτελών την επεξεργασία για την προστασία προσωπικών δεδομένων, όπως η κρυπτογράφηση, οι έλεγχοι πρόσβασης και η ψευδωνυμοποίηση. Το AVV πρέπει να τεκμηριώνει αυτά τα μέτρα.
Χρειάζεται τα AVV να επικυρωθούν από συμβολαιογράφο; Όχι. Ο GDPR δεν απαιτεί συμβολαιογραφική επικύρωση. Μια υπογεγραμμένη γραπτή συμφωνία (συμπεριλαμβανομένων των ηλεκτρονικών υπογραφών) είναι επαρκής.
Αναφορές
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai