Resposta rápida: AVV (Auftragsverarbeitungsvertrag) e DPA (Data Processing Agreement) refírense ao mesmo contrato legalmente requirido baixo o Artigo 28 do GDPR; o termo alemán AVV úsase nas xurisdicións da rexión DACH, mentres que DPA é o equivalente en inglés usado na maioría dos outros estados membros da UE e a nivel internacional. Ambos rexen como un procesador de datos manexa datos persoais en nome dun controlador. Elixir o marco incorrecto, ou omitir o acordo por completo, pode expoñer á súa organización a importantes sancións reguladoras.
Puntos clave
- AVV é a abreviatura alemá de Auftragsverarbeitungsvertrag; DPA significa Data Processing Agreement; son funcionalmente o mesmo instrumento baixo o GDPR.
- Ambos acordos son obrigatorios baixo o Artigo 28 do GDPR sempre que un controlador contrate un procesador para manexar datos persoais.
- A diferenza na terminoloxía é rexional: AVV é estándar en Alemaña, Austria e Suíza; DPA úsase en contextos de fala inglesa e na maioría dos outros contextos da UE.
- Un acordo válido debe cubrir o obxecto, a duración do tratamento, as categorías de datos, os dereitos dos interesados, as condicións dos subprocesadores, as medidas de seguridade e as disposicións de auditoría. [1]
- Non ter o acordo correcto pode resultar en investigacións da autoridade supervisora, multas e disputas contractuais.
- O custo de implementación varía de cero (usando un modelo estándar do provedor) a varios miles de euros para a redacción legal personalizada.
- Algunhas empresas que operan en mercados DACH e non DACH usan lexitimamente ambos termos no mesmo acordo para maior claridade.
- Unha Plataforma de Xestión de Consentimentos como Biscotti CMP pode apoiar a súa postura xeral de cumprimento do GDPR, pero non substitúe un AVV ou DPA debidamente executado.
Que significa AVV en protección de datos, e é o mesmo que un DPA?
AVV significa Auftragsverarbeitungsvertrag, o termo en alemán para un Acordo de Tratamento de Datos (Data Processing Agreement). En termos legais prácticos, un AVV e un DPA son o mesmo documento, ambos satisfán o requisito establecido no Artigo 28 do GDPR para un contrato escrito entre un controlador de datos e un procesador de datos. [1]
A distinción é puramente lingüística e xurisdicional. Os profesionais da protección de datos alemáns, austríacos e suízos usan AVV como termo estándar en contratos, políticas de privacidade e correspondencia reguladora. Os profesionais de fala inglesa e a maioría dos outros estados membros da UE usan DPA. Cando un provedor de SaaS alemán lle ofrece un "AVV", está a ofrecer o mesmo instrumento legal que un provedor con sede no Reino Unido chamaría "DPA".
Aclaración clave: Ningún dos termos implica un estándar legal diferente. Ambos deben cumprir os mesmos requisitos de contido do Artigo 28(3) do GDPR para ser válidos. [1]
Cal é a diferenza entre AVV e DPA?
A diferenza entre AVV e DPA é terminolóxica, non substancial. Ambos describen o contrato esixido polo Artigo 28 do GDPR entre un controlador de datos (a entidade que determina o propósito e os medios do tratamento) e un procesador de datos (a entidade que procesa datos en nome do controlador).
As diferenzas xenuínas poden xurdir no estilo de redacción e na orientación reguladora local:
- As autoridades supervisoras alemás (Datenschutzbehörden) publicaron cláusulas modelo e notas de orientación específicas que os documentos AVV adoitan incorporar.
- Os DPA en inglés redactados para xurisdicións do Reino Unido ou Irlanda poden facer referencia á lexislación de implementación nacional xunto co GDPR.
- Os AVV suízos tamén deben ter en conta a Lei Federal de Protección de Datos revisada (revFADP), que difire do GDPR nalgúns aspectos.
Conclusión: Se un provedor lle envía un AVV e vostede necesita un DPA, recibiu o que necesita, sempre que o contido cumpra os requisitos do Artigo 28(3). [1]
Cando necesita un AVV vs. un DPA?
Necesita un destes acordos cada vez que a súa organización comparte datos persoais cun provedor de servizos de terceiros que procesa eses datos segundo as súas instrucións. O desencadeante é a relación controlador-procesador, non a linguaxe do contrato.
Use un AVV cando:
- A súa contraparte ten a súa sede en Alemaña, Austria ou Suíza e o seu contrato estándar usa esa terminoloxía.
- A súa propia organización opera baixo a lei de protección de datos alemá e os seus modelos internos seguen as directrices do BfDI ou do DPA estatal.
Use un DPA cando:
- A súa contraparte opera nunha xurisdición de fala inglesa ou usa o inglés como idioma do contrato.
- Está a contratar cun provedor de nube con sede nos EUA, un provedor de SaaS do Reino Unido ou calquera procesador internacional cuxos modelos predeterminados sexan "DPA".
Erro común: Asumir que, porque un provedor chama ao seu documento AVV en lugar de DPA, aplícanse regras legais diferentes. Os requisitos de contido son idénticos baixo o GDPR. O que importa é a substancia, non a etiqueta na portada.
Quen necesita un AVV e quen necesita un DPA?
Calquera organización que cualifique como controlador de datos baixo o GDPR e contrate a un terceiro para procesar datos persoais no seu nome necesita un destes acordos. Isto aplícase a:
- Empresas de comercio electrónico que utilizan procesadores de pagos de terceiros ou plataformas de marketing por correo electrónico.
- Empresas que utilizan provedores de infraestrutura na nube (IaaS, PaaS, SaaS).
- Axencias de marketing en liña que procesan datos de clientes.
- Desenvolvedores que constrúen aplicacións que manexan datos persoais de usuarios finais a través de API externas.
- Propietarios de sitios web que utilizan ferramentas de análise, CDN ou sistemas CRM que procesan datos de visitantes.
As organizacións con sede nos mercados DACH atoparán normalmente a etiqueta AVV; as que operan internacionalmente tratarán máis a miúdo con DPA. Ambas categorías de organizacións enfróntanse á mesma obriga legal.
Que debe incluír un AVV vs. un DPA?
Tanto un AVV como un DPA deben conter os mesmos elementos obrigatorios baixo o Artigo 28(3) do GDPR. A falta de calquera destas cláusulas fai que o acordo non sexa conforme. [1]
| Cláusula requirida | Descrición |
|---|---|
| Obxecto e duración | Que datos se procesan e durante canto tempo |
| Natureza e propósito | Por que e como se produce o tratamento |
| Tipos de datos e interesados | Categorías de datos persoais e individuos afectados |
| Dereitos e obrigas do controlador | Instrucións que o procesador debe seguir |
| Medidas de seguridade | Salvagardas técnicas e organizativas (TOMs) |
| Condicións do subprocesador | Regras para contratar procesadores posteriores |
| Asistencia para os dereitos dos interesados | Soporte para solicitudes de acceso, borrado, portabilidade |
| Notificación de violación | Obriga do procesador de notificar ao controlador os incidentes |
| Devolución ou eliminación de datos | Que ocorre cos datos ao finalizar o contrato |
| Dereitos de auditoría | Dereito do controlador a verificar o cumprimento |
Caso límite: Se o modelo dun provedor omite os dereitos de auditoría ou as condicións do subprocesador, non o asine tal cal. Estes son innegociables baixo o Artigo 28(3). [1]
Canto custa configurar un AVV ou DPA?
O custo depende totalmente de se usa un modelo estándar do provedor ou encarga a redacción legal personalizada.
- Modelo proporcionado polo provedor (o máis común): Gratuíto. A maioría dos principais provedores de SaaS e nube publican un AVV ou DPA estándar que os controladores poden aceptar en liña ou mediante un proceso de clic.
- Acordo personalizado negociado: Os honorarios legais adoitan oscilar entre 500 e 5.000 euros, dependendo da complexidade, a xurisdición e as tarifas do avogado. Os contratos empresariais con volumes de datos significativos ou categorías de datos sensibles sitúanse no extremo superior.
- Desenvolvemento de modelos internos: Un investimento único de tempo de asesoramento legal para crear un modelo reutilizable; o custo continuo é mínimo.
Nota práctica: Para a maioría das pemes e propietarios de sitios web, o modelo estándar do provedor é suficiente. A negociación personalizada xustifícase cando o tratamento implica datos de categoría especial (saúde, biométricos, financeiros) ou cando o controlador soporta unha exposición significativa á responsabilidade.
Como difiren os requisitos de AVV e DPA por país?
Baixo o GDPR, os requisitos substanciais están harmonizados en todos os estados membros da UE, polo que o contido principal dun AVV e un DPA é idéntico tanto se está en Berlín, París ou Varsovia. Non obstante, existen matices a nivel nacional:
- Alemaña: O BfDI e os DPA a nivel estatal emitiron orientacións detalladas e cláusulas modelo. Os AVV alemáns adoitan incluír documentación de medidas técnicas e organizativas (TOMs) máis granular.
- Suíza: O revFADP (efectivo en setembro de 2023) impón requisitos adicionais máis aló do GDPR, incluíndo disposicións específicas para transferencias de datos transfronteirizas e prazos de notificación de violacións de datos.
- Reino Unido (post-Brexit): Aplícase o GDPR do Reino Unido; os DPA deben facer referencia á guía do ICO do Reino Unido en lugar das autoridades supervisoras da UE. As cláusulas contractuais estándar difiren das SCC da UE.
- Outros estados membros da UE: O Artigo 28 do GDPR aplícase directamente; a guía local do DPA pode complementar pero non pode reducir os requisitos mínimos.
Escolla a cláusula de lei aplicable con coidado. Un AVV de lei alemá e un DPA de lei irlandesa poden parecer similares pero serán interpretados por diferentes tribunais e autoridades supervisoras.
Pódese usar un AVV en lugar dun DPA, ou usar ambos ao mesmo tempo?
Si, un AVV pode substituír un DPA porque son instrumentos legalmente equivalentes. Unha empresa que opera en mercados DACH e non DACH pode incluír ambos termos no mesmo encabezado do contrato (por exemplo, "Data Processing Agreement / Auftragsverarbeitungsvertrag") para evitar confusións; esta é unha práctica común en contratos empresariais bilingües e é totalmente permisible.
Usar ambas etiquetas simultaneamente non crea dúas obrigas legais separadas. Simplemente asegura que as partes de fala alemá e de fala inglesa entenden que están a ver o mesmo documento.
Cales son os erros comúns ao elixir entre AVV e DPA?
Os erros máis importantes non son sobre que termo usa, senón sobre o que contén o acordo e se existe en absoluto.
- Omitir o acordo por completo porque unha relación con un provedor parece informal ou de baixo risco. Baixo o GDPR, a obriga desencadéase polo acto de procesamento, non polo nivel de risco percibido.
- Aceptar un modelo incompleto que omite cláusulas de subprocesadores ou dereitos de auditoría, crendo que a versión do provedor é automaticamente conforme.
- Confundir un DPA cun acordo de compartición de datos. Un DPA rexe as relacións do procesador; un acordo de compartición de datos rexe os intercambios de datos entre controladores conxuntos ou de controlador a controlador. Son instrumentos diferentes.
- Non actualizar os acordos cando un procesador contrata novos subprocesadores ou cambia a natureza do procesamento.
- Asumir que o cumprimento do GDPR cobre a lei suíza. As organizacións con interesados suízos deben asegurarse de que o seu AVV tamén satisfaga os requisitos do revFADP.
Cales son as consecuencias legais de equivocarse con AVV vs. DPA?
Non ter un acordo válido e completo expón tanto a controladores como a procesadores a responsabilidade reguladora e civil.
Baixo o Artigo 83(4) do GDPR, as infraccións do Artigo 28 (o requisito DPA/AVV) poden resultar en multas administrativas de ata 10 millóns de euros ou o 2% da facturación anual global, o que sexa maior. As autoridades supervisoras en Alemaña demostraron a súa vontade de investigar e multar a organizacións por acordos de procesamento ausentes ou deficientes.
Ademais das multas, as consecuencias inclúen:
- Auditorías da autoridade supervisora e ordes correctivas.
- Incapacidade para facer cumprir os termos contractuais contra un procesador non conforme.
- Exposición a responsabilidade civil se se produce unha violación de datos sen un acordo válido que documente as obrigas de seguridade.
- Dano á reputación en contextos B2B onde os clientes empresariais realizan a debida dilixencia do provedor.
Como saber que acordo necesita realmente a súa empresa?
A decisión é sinxela unha vez que identifica a relación e a xurisdición.
Paso 1: Determine se a súa organización é o controlador (vostede decide por que e como se procesan os datos) ou o procesador (vostede procesa datos segundo as instrucións doutra persoa).
Paso 2: Identifique o idioma e a xurisdición da súa contraparte. Se están na rexión DACH, espere un AVV. Se están noutro lugar, espere un DPA.
Paso 3: Verifique que calquera documento que reciba conteña os dez elementos obrigatorios baixo o Artigo 28(3) do GDPR. [1]
Paso 4: Se a súa organización tamén necesita xestionar o consentimento do usuario para cookies e tecnoloxías de seguimento, unha Plataforma de Xestión de Consentimentos como Biscotti CMP aborda esa capa de cumprimento do GDPR, pero opera xunto con, non en lugar de, un AVV ou DPA debidamente executado.
Regra de decisión: Se procesa datos persoais en nome doutra organización, necesita un DPA ou AVV independentemente de como se chame comercialmente a relación. Se outra organización procesa datos no seu nome, vostede é responsable de garantir que ese acordo estea en vigor antes de que comece o procesamento.
Preguntas frecuentes
P: É un AVV legalmente válido fóra de Alemaña? Un AVV é legalmente válido en calquera lugar onde se aplique o GDPR, sempre que cumpra os requisitos de contido do Artigo 28(3). A terminoloxía alemá non limita a súa aplicabilidade noutras xurisdicións da UE.
P: Un DPA necesita ser asinado por ambas partes? Si. O Artigo 28(9) do GDPR require que o acordo sexa por escrito, o que inclúe o formato electrónico. Tanto o controlador como o procesador deben estar obrigados polos seus termos.
P: Pode un DPA de clic en liña dun provedor satisfacer os requisitos do GDPR? Si, se o contido cumpre os requisitos do Artigo 28(3). Moitos provedores de nube importantes ofrecen DPAs de clic conformes que foron revisados polas autoridades supervisoras.
P: Que é un subprocesador, e por que importa nun DPA ou AVV? Un subprocesador é un terceiro contratado polo procesador para levar a cabo actividades de procesamento. O DPA ou AVV debe especificar as condicións baixo as cales se poden contratar subprocesadores, incluído o dereito do controlador a opoñerse. [1]
P: Necesito un novo AVV ou DPA cada vez que un procesador actualiza a súa lista de subprocesadores? Non necesariamente. Moitos acordos inclúen unha autorización xeral para cambios de subprocesadores, sempre que o procesador notifique ao controlador e o controlador conserve o dereito a opoñerse dentro dun período especificado.
P: Un DPA cobre as transferencias de datos fóra da UE? Un DPA rexe a relación de procesamento pero non autoriza por si só as transferencias de datos transfronteirizas. Requírense mecanismos de transferencia separados (Cláusulas Contractuais Estándar, decisións de adecuación) para as transferencias a terceiros países.
P: Canto tempo debe conservarse un DPA ou AVV? Conserve o acordo durante a duración da relación de procesamento e durante un período razoable despois, normalmente polo menos de tres a cinco anos, para demostrar o cumprimento en caso de consulta dunha autoridade supervisora.
P: Cal é a diferenza entre un DPA e un DPIA? Un DPA (Data Processing Agreement) é un contrato entre controlador e procesador. Un DPIA (Data Protection Impact Assessment) é unha avaliación de riscos interna requirida para actividades de procesamento de alto risco. Serven para propósitos diferentes e ningún substitúe ao outro.
P: Pode un autónomo ou unha pequena axencia ser obrigado a asinar un AVV ou DPA? Si. A obriga aplícase independentemente do tamaño do procesador. Un desenvolvedor autónomo que manexa datos de clientes é un procesador e debe asinar un DPA ou AVV con cada cliente controlador.
P: Biscotti CMP substitúe a necesidade dun DPA ou AVV? Non. Biscotti CMP é unha Plataforma de Xestión de Consentimentos que axuda a xestionar o consentimento do usuario para cookies e seguimento, un requisito de cumprimento do GDPR separado. Aínda se require un DPA ou AVV para calquera relación de procesador que implique datos persoais.
Conclusión
A pregunta AVV vs. DPA resólvese rapidamente unha vez que se recoñece que ambos termos describen o mesmo instrumento legalmente requirido baixo o Artigo 28 do GDPR. O verdadeiro desafío non é elixir entre eles, é garantir que calquera documento que rexa as súas relacións con procesadores conteña todas as cláusulas obrigatorias, estea debidamente executado e se manteña actualizado a medida que evolucionan as actividades de procesamento.
Próximos pasos accionables:
- Audite todas as relacións actuais con provedores para confirmar que existe un DPA ou AVV válido para cada procesador que manexa datos persoais no seu nome.
- Revise os acordos existentes cos dez elementos obrigatorios do Artigo 28(3) do GDPR e solicite modificacións para calquera lagoa. [1]
- Se opera en Suíza, verifique que os acordos tamén satisfagan os requisitos do revFADP máis aló da base do GDPR.
- Estableza un proceso interno para a incorporación de novos procesadores; ningún procesamento debe comezar antes de que se asine o acordo.
- Para a xestión de consentimentos e o cumprimento de cookies no seu sitio web ou aplicación, avalíe Biscotti CMP como parte do seu marco xeral de cumprimento do GDPR.
O cumprimento da protección de datos non é un proxecto único. Os acordos deben revisarse cando cambian os procesamentos, cando se engaden subprocesadores e cando evolúa a orientación reguladora. Construír esa cadencia de revisión no seu programa de cumprimento é a salvagarda máis práctica contra a exposición reguladora.
Referencias
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai