Erantzun azkarra: AVV (Auftragsverarbeitungsvertrag) eta DPA (Data Processing Agreement) GDPR 28. artikuluaren arabera legez eskatzen den kontratu bera aipatzen dute; AVV termino alemana DACH eskualdeko jurisdikzioetan erabiltzen da, eta DPA, berriz, ingelesezko baliokidea da, EBko beste estatu kide gehienetan eta nazioartean erabiltzen dena. Biek arautzen dute datu-prozesadore batek datu pertsonalak nola kudeatzen dituen kontrolatzaile baten izenean. Enkoadraketa okerra aukeratzeak, edo akordioa erabat alde batera uzteak, zure erakundea arauzko zigor handien aurrean jar dezake.
Gako-ondorioak
- AVV Auftragsverarbeitungsvertrag-en alemanezko laburdura da; DPA Data Processing Agreement-en laburdura da, funtzionalki GDPRren araberako tresna bera dira.
- Bi akordioak nahitaezkoak dira GDPRren 28. artikuluaren arabera, kontrolatzaile batek prozesadore bat kontratatzen duen bakoitzean datu pertsonalak kudeatzeko.
- Terminologia-desberdintasuna eskualdekoa da: AVV estandarra da Alemanian, Austrian eta Suitzan; DPA ingelesez hitz egiten duten eta EBko beste testuinguru gehienetan erabiltzen da.
- Baliozko akordio batek gaia, prozesatzeko iraupena, datu-kategoriak, datu-subjektuaren eskubideak, azpiprozesadorearen baldintzak, segurtasun-neurriak eta auditoria-xedapenak jaso behar ditu. [1]
- Akordio zuzena ez izateak gainbegiratze-agintaritzaren ikerketak, isunak eta kontratu-eztabaidak ekar ditzake.
- Ezartzeko kostua zero (saltzaile baten txantiloi estandarra erabiliz) eta milaka euro artekoa izan daiteke, legezko idazketa pertsonalizaturako.
- DACH eta ez-DACH merkatuetan diharduten enpresa batzuek bi terminoak modu zilegian erabiltzen dituzte akordio berean, argitasunagatik.
- Biscotti CMP bezalako Baimen Kudeaketarako Plataforma batek zure GDPR betetze-jarrera zabalagoa babes dezake, baina ez du ordezkatzen behar bezala gauzatutako AVV edo DPA bat.
Zer esan nahi du AVV-k Datuen Babesean, eta DPA baten berdina al da?
AVV Auftragsverarbeitungsvertrag-en laburdura da, Datu Prozesatzeko Akordio baten alemanezko terminoa. Legezko termino praktikoetan, AVV eta DPA dokumentu bera dira, biek betetzen dute GDPRren 28. artikuluan ezarritako eskakizuna, datu-kontrolatzaile baten eta datu-prozesadore baten arteko idatzizko kontratu baterako. [1]
Bereizketa linguistikoa eta jurisdikzionala da. Alemaniako, Austriako eta Suitzako datuen babeseko profesionalek AVV erabiltzen dute termino estandar gisa kontratuetan, pribatutasun-politiketan eta arauzko korrespondentzian. Ingelesez hitz egiten duten profesionalek eta EBko beste estatu kide gehienek DPA erabiltzen dute. Alemaniako SaaS saltzaile batek "AVV" bat eskaintzen dizunean, Erresuma Batuko saltzaile batek "DPA" deituko lukeen legezko tresna bera eskaintzen dizu.
Argibide garrantzitsua: Bi terminoek ez dute estandar legal desberdinik inplikatzen. Biek GDPRren 28(3) artikuluko eduki-eskakizun berberak bete behar dituzte baliozkoak izateko. [1]
Zein da AVV eta DPAren arteko aldea?
AVV eta DPAren arteko aldea terminologikoa da, ez substantiboa. Biek GDPRren 28. artikuluak agindutako kontratua deskribatzen dute datu-kontrolatzaile baten (prozesatzeko helburua eta bitartekoak zehazten dituen entitatea) eta datu-prozesadore baten (kontrolatzailearen izenean datuak prozesatzen dituen entitatea) artean.
Benetako desberdintasunak sor daitezke idazketa-estiloan eta tokiko arauzko gidalerroetan:
- Alemaniako gainbegiratze-agintaritzek (Datenschutzbehörden) txantiloi-klausula eta gidalerro-ohar espezifikoak argitaratu dituzte, AVV dokumentuek sarritan jasotzen dituztenak.
- Erresuma Batuko edo Irlandako jurisdikzioetarako idatzitako ingelesezko DPAk GDPRrekin batera nazio-legeak aipa ditzakete.
- Suitzako AVVek Datuen Babesari buruzko Lege Federal berrikusia (revFADP) ere kontuan hartu behar dute, GDPRtik zenbait alderditan desbideratzen baita.
Ondorioa: Saltzaile batek AVV bat bidaltzen badizu eta DPA bat behar baduzu, behar duzuna jaso duzu, baldin eta edukiak 28(3) artikuluko eskakizunak betetzen baditu. [1]
Noiz behar duzu AVV bat DPA baten ordez?
Akordio horietako bat behar duzu zure erakundeak datu pertsonalak hirugarren zerbitzu-hornitzaile batekin partekatzen dituen bakoitzean, hark datu horiek zure argibideen arabera prozesatzen dituenean. Abiarazlea kontrolatzaile-prozesadore harremana da, ez kontratuaren hizkuntza.
Erabili AVV bat honako kasuetan:
- Zure kontrapartea Alemanian, Austrian edo Suitzan kokatuta dago eta haien kontratu estandarrak terminologia hori erabiltzen du.
- Zure erakundeak Alemaniako datuen babesaren legearen arabera funtzionatzen du eta zure barneko txantiloiek BfDI edo estatuko DPA gidalerroak jarraitzen dituzte.
Erabili DPA bat honako kasuetan:
- Zure kontraparteak ingelesez hitz egiten duen jurisdikzio batean funtzionatzen du edo ingelesa erabiltzen du kontratu-hizkuntza gisa.
- AEBetan kokatutako hodei-hornitzaile batekin, Erresuma Batuko SaaS saltzaile batekin edo "DPA" lehenetsi gisa erabiltzen duten nazioarteko edozein prozesadorekin kontratatzen ari zara.
Akats arrunta: Saltzaile batek bere dokumentuari AVV deitzen diolako DPA baten ordez, lege-arau desberdinak aplikatzen direla suposatzea. Eduki-eskakizunak berdinak dira GDPRren arabera. Garrantzitsua substantzia da, ez azalean dagoen etiketa.
Nork behar du AVV bat eta nork DPA bat?
GDPRren arabera datu-kontrolatzaile gisa sailkatzen den eta hirugarren bat kontratatzen duen edozein erakundek, bere izenean datu pertsonalak prozesatzeko, akordio horietako bat behar du. Hau aplikatzen zaie:
- Hirugarrenen ordainketa-prozesadoreak edo posta elektronikoko marketin-plataformak erabiltzen dituzten e-commerce enpresei.
- Hodeiko azpiegitura-hornitzaileak (IaaS, PaaS, SaaS) erabiltzen dituzten enpresei.
- Bezeroen datuak prozesatzen dituzten lineako marketin-agentziei.
- Kanpoko APIen bidez azken erabiltzaileen datu pertsonalak kudeatzen dituzten aplikazioak eraikitzen dituzten garatzaileei.
- Analisi-tresnak, CDNak edo CRM sistemak erabiltzen dituzten webgune-jabeek, bisitarien datuak prozesatzen dituztenak.
DACH merkatuetan kokatutako erakundeek AVV etiketa aurkituko dute normalean; nazioartean dihardutenek, berriz, DPAekin egingo dute topo maizago. Bi erakunde-kategoria horiek lege-betebehar bera dute.
Zer sartu behar da AVV batean DPA baten ordez?
AVV batek eta DPA batek GDPRren 28(3) artikuluaren arabera nahitaezko elementu berberak izan behar dituzte. Klausula horietako bat ere falta bada, akordioa ez da betetzen. [1]
| Nahitaezko Klausula | Deskribapena |
|---|---|
| Gaia eta iraupena | Zein datu prozesatzen diren eta zenbat denboran |
| Izaera eta helburua | Zergatik eta nola gertatzen den prozesamendua |
| Datu motak eta datu-subjektuak | Datu pertsonalen kategoriak eta kaltetutako pertsonak |
| Kontrolatzailearen eskubideak eta betebeharrak | Prozesadoreak jarraitu beharreko argibideak |
| Segurtasun-neurriak | Neurri tekniko eta antolakuntzakoak (TOMak) |
| Azpiprozesadorearen baldintzak | Beheko prozesadoreak kontratatzeko arauak |
| Datu-subjektuaren eskubideen laguntza | Sarbide, ezabaketa, eramangarritasun eskaeretarako laguntza |
| Datu-haustearen jakinarazpena | Prozesadorearen betebeharra kontrolatzaileari gertakarien berri emateko |
| Datuen itzulketa edo ezabaketa | Zer gertatzen den datuekin kontratua amaitzean |
| Auditoria-eskubideak | Kontrolatzailearen eskubidea betetzea egiaztatzeko |
Kasu berezia: Saltzaile baten txantiloiak auditoria-eskubideak edo azpiprozesadorearen baldintzak baztertzen baditu, ez sinatu horrela. Hauek ezin dira negoziatu 28(3) artikuluaren arabera. [1]
Zenbat kostatzen da AVV edo DPA bat ezartzea?
Kostua saltzaile baten txantiloi estandarra erabiltzen duzun edo legezko idazketa pertsonalizatua eskatzen duzunaren araberakoa da.
- Saltzaileak emandako txantiloia (ohikoena): Doakoa. SaaS eta hodei-hornitzaile garrantzitsuenek AVV edo DPA estandar bat argitaratzen dute, kontrolatzaileek linean edo klik bidezko prozesu baten bidez onar dezaketena.
- Negoziatutako akordio pertsonalizatua: Legezko tasak 500 eta 5.000 euro artekoak izan ohi dira, konplexutasunaren, jurisdikzioaren eta abokatu-tasen arabera. Datu-bolumen handiak edo datu-kategoria sentikorrak dituzten enpresa-kontratuak goi-mailan kokatzen dira.
- Barneko txantiloi-garapena: Abokatu-aholkularitzaren denboraren behin-behineko inbertsioa, txantiloi berrerabilgarri bat sortzeko; etengabeko kostua minimoa da.
Ohar praktikoa: ETE eta webgune-jabe gehienentzat, saltzailearen txantiloi estandarra nahikoa da. Negoziazio pertsonalizatua justifikatuta dago datu-kategoria bereziak (osasuna, biometrikoak, finantzarioak) prozesatzen direnean edo kontrolatzaileak erantzukizun-arrisku handia duenean.
Nola desberdintzen dira AVV eta DPA eskakizunak herrialdearen arabera?
GDPRren arabera, funtsezko eskakizunak harmonizatuta daude EBko estatu kide guztietan, beraz, AVV eta DPA baten oinarrizko edukia berdina da Berlinen, Parisen edo Varsovian egon arren. Hala ere, nazio-mailako ñabardurak daude:
- Alemania: BfDIk eta estatuko DPAk gidalerro zehatzak eta klausula-ereduak argitaratu dituzte. Alemaniako AVVek sarritan neurri tekniko eta antolakuntzako (TOM) dokumentazio zehatzagoa izaten dute.
- Suitza: revFADP (2023ko irailean indarrean sartua) GDPRtik haratago doazen eskakizun osagarriak ezartzen ditu, besteak beste, mugaz gaindiko datu-transferentziei eta datu-haustearen jakinarazpen-epeei buruzko xedapen espezifikoak.
- Erresuma Batua (Brexit ostekoa): UK GDPR aplikatzen da; DPAk Erresuma Batuko ICOren gidalerroak aipatu behar dituzte, ez EBko gainbegiratze-agintaritzak. Kontratu-klausula estandarrak EBko SCCetatik desberdinak dira.
- EBko beste estatu kide batzuk: GDPRren 28. artikulua zuzenean aplikatzen da; tokiko DPA gidalerroek gutxieneko eskakizunak osatu ditzakete, baina ezin dituzte murriztu.
Aukeratu arretaz gobernu-legearen klausula. Alemaniako legearen araberako AVV bat eta Irlandako legearen araberako DPA bat antzekoak izan daitezke, baina epaitegi eta gainbegiratze-agintaritza desberdinek interpretatuko dituzte.
Erabili al daiteke AVV bat DPA baten ordez, edo biak aldi berean?
Bai, AVV batek DPA bat ordezkatu dezake, legez baliokideak diren tresnak baitira. DACH eta ez-DACH merkatuetan diharduen enpresa batek bi terminoak sar ditzake kontratu-goiburu berean (adibidez, "Data Processing Agreement / Auftragsverarbeitungsvertrag") nahasmena saihesteko; hau ohikoa da enpresa-kontratu elebidunetan eta guztiz baimenduta dago.
Bi etiketa aldi berean erabiltzeak ez ditu bi betebehar legal bereizi sortzen. Besterik gabe, alemanez hitz egiten duten eta ingelesez hitz egiten duten alderdiek dokumentu bera ikusten dutela ulertzen dutela ziurtatzen du.
Zeintzuk dira AVV eta DPAren artean aukeratzean ohiko akatsak?
Akats garrantzitsuenak ez dira erabiltzen duzun terminoari buruzkoak, baizik eta akordioak zer duen eta existitzen den ala ez.
- Akordioa erabat alde batera uztea, saltzaile-harremana informala edo arrisku txikikoa dela iruditzen zaigulako. GDPRren arabera, betebeharra prozesatzeko ekintzak abiarazten du, ez hautemandako arrisku-mailak.
- Txantiloi osatugabe bat onartzea, azpiprozesadore-klausulak edo auditoria-eskubideak baztertzen dituena, saltzailearen bertsioa automatikoki betetzen dela ustez.
- DPA bat datu-partekatze akordio batekin nahastea. DPA batek prozesadore-harremanak arautzen ditu; datu-partekatze akordio batek kontrolatzaile bateratuen edo kontrolatzaile-kontrolatzaile arteko datu-trukeak arautzen ditu. Hauek tresna desberdinak dira.
- Akordioak ez eguneratzea, prozesadore batek azpiprozesadore berriak kontratatzen dituenean edo prozesatzeko izaera aldatzen duenean.
- GDPR betetzeak Suitzako legea estaltzen duela suposatzea. Suitzako datu-subjektuak dituzten erakundeek ziurtatu behar dute beren AVVek revFADP eskakizunak ere betetzen dituztela.
Zeintzuk dira AVV eta DPA gaizki ulertzearen legezko ondorioak?
Baliozko eta osatutako akordio bat ez izateak kontrolatzaileak eta prozesadoreak erantzukizun arautzaile eta zibilaren aurrean jartzen ditu.
GDPRren 83(4) artikuluaren arabera, 28. artikuluaren (DPA/AVV eskakizuna) urraketek 10 milioi euroko edo urteko munduko fakturazioaren %2ko isun administratiboak ekar ditzakete, handiena dena. Alemaniako gainbegiratze-agintaritzek borondatea erakutsi dute erakundeak ikertzeko eta isunak jartzeko, prozesatzeko akordioak falta edo akatsak dituztenean.
Isunez gain, ondorioak honako hauek dira:
- Gainbegiratze-agintaritzaren auditoriak eta zuzenketa-aginduak.
- Kontratu-baldintzak betearazteko ezintasuna, ez-betetzen duen prozesadore baten aurka.
- Erantzukizun zibilaren arriskua, datu-hauste bat gertatzen bada, segurtasun-betebeharrak dokumentatzen dituen baliozko akordiorik gabe.
- Ospe-kaltea B2B testuinguruetan, non enpresa-bezeroek saltzaileen ardura-azterketa egiten duten.
Nola jakin zein akordio behar duen zure negozioak?
Erabakia erraza da harremana eta jurisdikzioa identifikatzen dituzunean.
1. urratsa: Zehaztu zure erakundea kontrolatzailea den (zuk erabakitzen duzu zergatik eta nola prozesatzen diren datuak) edo prozesadorea (zuk prozesatzen dituzu datuak beste norbaiten argibideen arabera).
2. urratsa: Identifikatu zure kontrapartearen hizkuntza eta jurisdikzioa. DACH eskualdean badaude, AVV bat espero. Beste nonbait badaude, DPA bat espero.
3. urratsa: Egiaztatu jasotzen duzun dokumentuak GDPRren 28(3) artikuluaren arabera nahitaezko hamar elementu guztiak dituela. [1]
4. urratsa: Zure erakundeak cookie eta jarraipen-teknologietarako erabiltzailearen baimena kudeatu behar badu, Biscotti CMP bezalako Baimen Kudeaketarako Plataforma batek GDPR betetze-geruza hori jorratzen du, baina behar bezala gauzatutako AVV edo DPA baten ordez ez, harekin batera funtzionatzen du.
Erabaki-araua: Beste erakunde baten izenean datu pertsonalak prozesatzen badituzu, DPA edo AVV bat behar duzu, harremanari komertzialki deitzen zaion edozein dela ere. Beste erakunde batek zure izenean datuak prozesatzen baditu, zuk zara akordio hori prozesamendua hasi aurretik indarrean dagoela ziurtatzearen arduraduna.
Ohiko galderak
G: AVV bat legez baliozkoa al da Alemaniatik kanpo? AVV bat legez baliozkoa da GDPR aplikatzen den edozein lekutan, baldin eta 28(3) artikuluko eduki-eskakizunak betetzen baditu. Alemaniako terminologiak ez du mugatzen bere betearazpena EBko beste jurisdikzio batzuetan.
G: DPA bat bi alderdiek sinatu behar al dute? Bai. GDPRren 28(9) artikuluak eskatzen du akordioa idatziz egotea, eta horrek forma elektronikoa barne hartzen du. Kontrolatzaileak eta prozesadoreak bere baldintzekin lotuta egon behar dute.
G: Saltzaile baten lineako klik bidezko DPA batek GDPR eskakizunak bete al ditzake? Bai, baldin eta edukiak 28(3) artikuluko eskakizunak betetzen baditu. Hodei-hornitzaile garrantzitsu askok betetzen dituzten klik bidezko DPAak eskaintzen dituzte, gainbegiratze-agintaritzek berrikusi dituztenak.
G: Zer da azpiprozesadore bat, eta zergatik da garrantzitsua DPA edo AVV batean? Azpiprozesadore bat prozesadoreak kontratatutako hirugarren bat da, prozesatzeko jarduerak burutzeko. DPA edo AVV batek zehaztu behar ditu azpiprozesadoreak kontratatzeko baldintzak, kontrolatzailearen aurka egiteko eskubidea barne. [1]
G: AVV edo DPA berri bat behar al dut prozesadore batek bere azpiprozesadoreen zerrenda eguneratzen duen bakoitzean? Ez nahitaez. Akordio askok azpiprozesadoreen aldaketetarako baimen orokor bat barne hartzen dute, baldin eta prozesadoreak kontrolatzaileari jakinarazten badio eta kontrolatzaileak epe zehatz batean aurka egiteko eskubidea gordetzen badu.
G: DPA batek EBtik kanpoko datu-transferentziak estaltzen al ditu? DPA batek prozesatzeko harremana arautzen du, baina ez du berez mugaz gaindiko datu-transferentziak baimentzen. Transferentzia-mekanismo bereiziak (Kontratu Klausula Estandarrak, egokitasun-erabakiak) behar dira hirugarren herrialdeetara egindako transferentziak egiteko.
G: Zenbat denboran gorde behar da DPA edo AVV bat? Gorde akordioa prozesatzeko harremanaren iraupenean eta ondoren arrazoizko epe batean, normalean hiru eta bost urte artean gutxienez, gainbegiratze-agintaritzaren ikerketa bat gertatuz gero betetzea frogatzeko.
G: Zein da DPA eta DPIAren arteko aldea? DPA (Data Processing Agreement) kontrolatzailearen eta prozesadorearen arteko kontratu bat da. DPIA (Data Protection Impact Assessment) barneko arrisku-ebaluazio bat da, arrisku handiko prozesatzeko jardueretarako beharrezkoa dena. Helburu desberdinak dituzte eta batek ez du bestea ordezkatzen.
G: Freelance edo agentzia txiki bati AVV edo DPA bat sinatzea eskatu al dakioke? Bai. Betebeharra prozesadorearen tamaina edozein dela ere aplikatzen da. Bezeroen datuak kudeatzen dituen freelance garatzaile bat prozesadore bat da eta DPA edo AVV bat sinatu behar du bezero kontrolatzaile bakoitzarekin.
G: Biscotti CMPk DPA edo AVV baten beharra ordezkatzen al du? Ez. Biscotti CMP Baimen Kudeaketarako Plataforma bat da, cookie eta jarraipenetarako erabiltzailearen baimena kudeatzen laguntzen duena, GDPR betetze-eskakizun bereizi bat. DPA edo AVV bat oraindik ere beharrezkoa da datu pertsonalak inplikatzen dituen edozein prozesadore-harremanetarako.
Ondorioa
AVV vs. DPA galdera azkar konpontzen da, bi terminoek GDPRren 28. artikuluaren arabera legez eskatzen den tresna bera deskribatzen dutela aitortzen duzunean. Benetako erronka ez da haien artean aukeratzea, baizik eta zure prozesadore-harremanak arautzen dituen dokumentuak nahitaezko klausula guztiak dituela, behar bezala gauzatuta dagoela eta prozesatzeko jarduerak eboluzionatzen diren heinean eguneratuta mantentzen dela ziurtatzea.
Ekintza-urratsak:
- Egin auditoria bat egungo saltzaile-harreman guztiei, baliozko DPA edo AVV bat dagoela baieztatzeko, zure izenean datu pertsonalak kudeatzen dituen prozesadore bakoitzarentzat.
- Berrikusi lehendik dauden akordioak GDPRren 28(3) artikuluko hamar elementu nahitaezkoen aurka eta eskatu zuzenketak hutsuneak daudenean. [1]
- Suitzan diharduen kasuan, egiaztatu akordioek revFADP eskakizunak ere betetzen dituztela GDPRren oinarritik haratago.
- Ezartzea prozesu bat barnean prozesadore berriak sartzeko; prozesamendua ez da hasi behar akordioa sinatu aurretik.
- Zure webgunean edo aplikazioan baimenaren kudeaketa eta cookieen betetzea lortzeko, ebaluatu Biscotti CMP zure GDPR betetze-esparru zabalagoaren zati gisa.
Datuen babesaren betetzea ez da behin-behineko proiektu bat. Akordioak berrikusi behar dira prozesamendua aldatzen denean, azpiprozesadoreak gehitzen direnean eta arauzko gidalerroak eboluzionatzen direnean. Berrikuspen-kadentzia hori zure betetze-programan sartzea da arauzko esposizioaren aurkako babes praktikoena.
Erreferentziak
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai