תשובה מהירה: AVV (Auftragsverarbeitungsvertrag) ו-DPA (Data Processing Agreement) מתייחסים לאותו חוזה הנדרש על פי חוק בסעיף 28 של ה-GDPR. המונח הגרמני AVV משמש בתחומי שיפוט באזור DACH, בעוד ש-DPA הוא המקבילה בשפה האנגלית המשמשת ברוב המדינות החברות האחרות באיחוד האירופי ובעולם. שניהם קובעים כיצד מעבד נתונים מטפל בנתונים אישיים מטעם בקר. בחירה במסגרת שגויה, או דילוג על ההסכם לחלוטין, עלולה לחשוף את הארגון שלך לקנסות רגולטוריים משמעותיים.
נקודות מפתח
- AVV הוא הקיצור הגרמני של Auftragsverarbeitungsvertrag; DPA מייצג Data Processing Agreement, והם למעשה אותו מכשיר תחת ה-GDPR.
- שני ההסכמים מחייבים על פי סעיף 28 ל-GDPR בכל פעם שבקר מעסיק מעבד לטיפול בנתונים אישיים.
- ההבדל בטרמינולוגיה הוא אזורי: AVV הוא סטנדרטי בגרמניה, אוסטריה ושוויץ; DPA משמש בהקשרים דוברי אנגלית ורוב ההקשרים האחרים באיחוד האירופי.
- הסכם תקף חייב לכלול נושא, משך עיבוד, קטגוריות נתונים, זכויות נושאי נתונים, תנאי תת-מעבד, אמצעי אבטחה והוראות ביקורת. [1]
- אי קיום הסכם נכון עלול לגרום לחקירות רשות פיקוח, קנסות וסכסוכים חוזיים.
- עלות היישום נעה בין אפס (שימוש בתבנית סטנדרטית של ספק) ועד כמה אלפי אירו עבור ניסוח משפטי מותאם אישית.
- עסקים מסוימים הפועלים בשווקי DACH ושאינם DACH משתמשים באופן לגיטימי בשני המונחים באותו הסכם לצורך בהירות.
- פלטפורמת ניהול הסכמות כגון Biscotti CMP יכולה לתמוך בעמדת הציות הרחבה יותר שלך ל-GDPR, אך אינה מחליפה AVV או DPA שבוצעו כהלכה.
מה מייצג AVV בהגנת נתונים, והאם זה זהה ל-DPA?
AVV מייצג Auftragsverarbeitungsvertrag, המונח בשפה הגרמנית להסכם עיבוד נתונים (Data Processing Agreement). במונחים משפטיים מעשיים, AVV ו-DPA הם אותו מסמך, ושניהם עומדים בדרישה המפורטת בסעיף 28 ל-GDPR לחוזה כתוב בין בקר נתונים למעבד נתונים. [1]
ההבחנה היא לשונית ושיפוטית בלבד. עוסקים בהגנת נתונים בגרמניה, אוסטריה ושוויץ משתמשים ב-AVV כמונח סטנדרטי בחוזים, מדיניות פרטיות ותכתובות רגולטוריות. עוסקים דוברי אנגלית ורוב המדינות החברות האחרות באיחוד האירופי משתמשים ב-DPA. כאשר ספק SaaS גרמני מציע לך "AVV", הוא מציע את אותו מכשיר משפטי שספק מבוסס בריטניה יכנה "DPA".
הבהרה חשובה: אף אחד מהמונחים אינו מרמז על סטנדרט משפטי שונה. שניהם חייבים לעמוד באותן דרישות תוכן של סעיף 28(3) ל-GDPR כדי להיות תקפים. [1]
מה ההבדל בין AVV ל-DPA?
ההבדל בין AVV ל-DPA הוא טרמינולוגי, לא מהותי. שניהם מתארים את החוזה המחויב על פי סעיף 28 ל-GDPR בין בקר נתונים (הישות הקובעת את מטרת ואמצעי העיבוד) לבין מעבד נתונים (הישות המעבדת נתונים מטעם הבקר).
הבדלים אמיתיים יכולים להתעורר בסגנון הניסוח וההנחיות הרגולטוריות המקומיות:
- רשויות הפיקוח הגרמניות (Datenschutzbehörden) פרסמו סעיפי תבנית ספציפיים והערות הנחיה שמסמכי AVV משלבים לעיתים קרובות.
- DPAs בשפה האנגלית המנוסחים עבור תחומי שיפוט בבריטניה או באירלנד עשויים להתייחס לחקיקה מיישמת לאומית לצד ה-GDPR.
- AVVs שוויצריים חייבים גם להתחשב בחוק הפדרלי המתוקן להגנת נתונים (revFADP), אשר סוטה מה-GDPR בהיבטים מסוימים.
בשורה התחתונה: אם ספק שולח לך AVV ואתה צריך DPA, קיבלת את מה שאתה צריך, בתנאי שהתוכן עומד בדרישות סעיף 28(3). [1]
מתי אתה צריך AVV לעומת DPA?
אתה צריך אחד מההסכמים האלה בכל פעם שהארגון שלך משתף נתונים אישיים עם ספק שירות צד שלישי המעבד נתונים אלה לפי הוראותיך. הטריגר הוא יחסי בקר-מעבד, לא שפת החוזה.
השתמש ב-AVV כאשר:
- הצד השני שלך מבוסס בגרמניה, אוסטריה או שוויץ והחוזה הסטנדרטי שלהם משתמש בטרמינולוגיה זו.
- הארגון שלך פועל תחת חוק הגנת הנתונים הגרמני והתבניות הפנימיות שלך עוקבות אחר הנחיות BfDI או DPA מדינתי.
השתמש ב-DPA כאשר:
- הצד השני שלך פועל בתחום שיפוט דובר אנגלית או משתמש באנגלית כשפת החוזה.
- אתה מתקשר עם ספק ענן מבוסס ארה"ב, ספק SaaS בבריטניה, או כל מעבד בינלאומי שהתבניות שלו מוגדרות כברירת מחדל ל-"DPA".
טעות נפוצה: ההנחה שמכיוון שספק מכנה את המסמך שלו AVV ולא DPA, חלים כללים משפטיים שונים. דרישות התוכן זהות תחת ה-GDPR. מה שחשוב הוא המהות, לא התווית על עמוד השער.
מי צריך AVV ומי צריך DPA?
כל ארגון המוגדר כבקר נתונים תחת ה-GDPR ומעסיק צד שלישי לעיבוד נתונים אישיים מטעמו זקוק לאחד מההסכמים הללו. זה חל על:
- עסקי מסחר אלקטרוני המשתמשים במעבדי תשלומים של צד שלישי או פלטפורמות שיווק בדוא"ל.
- ארגונים המשתמשים בספקי תשתית ענן (IaaS, PaaS, SaaS).
- סוכנויות שיווק מקוונות המעבדות נתוני לקוחות.
- מפתחים הבונים יישומים המטפלים בנתונים אישיים של משתמשי קצה באמצעות ממשקי API חיצוניים.
- בעלי אתרים המשתמשים בכלי אנליטיקה, CDNs או מערכות CRM המעבדות נתוני מבקרים.
ארגונים המבוססים בשווקי DACH יתקלו בדרך כלל בתווית AVV; אלה הפועלים בינלאומית יתמודדו לרוב עם DPAs. שתי קטגוריות הארגונים עומדות בפני אותה חובה משפטית.
מה צריך לכלול ב-AVV לעומת DPA?
גם AVV וגם DPA חייבים לכלול את אותם אלמנטים חובה תחת סעיף 28(3) ל-GDPR. חסר של אחד מהסעיפים הללו הופך את ההסכם לבלתי תואם. [1]
| סעיף נדרש | תיאור |
|---|---|
| נושא ומשך | אילו נתונים מעובדים ולמשך כמה זמן |
| אופי ומטרה | מדוע וכיצד מתבצע העיבוד |
| סוגי נתונים ונושאי נתונים | קטגוריות של נתונים אישיים ואנשים מושפעים |
| זכויות וחובות הבקר | הוראות שהמעבד חייב למלא |
| אמצעי אבטחה | אמצעים טכניים וארגוניים (TOMs) |
| תנאי תת-מעבד | כללים להעסקת מעבדים משניים |
| סיוע בזכויות נושא הנתונים | תמיכה בבקשות גישה, מחיקה, ניידות |
| הודעה על הפרה | חובת המעבד להודיע לבקר על אירועים |
| החזרת נתונים או מחיקה | מה קורה לנתונים בסיום החוזה |
| זכויות ביקורת | זכות הבקר לאמת ציות |
מקרה קצה: אם תבנית של ספק משמיטה זכויות ביקורת או תנאי תת-מעבד, אל תחתום עליה כפי שהיא. אלה אינם ניתנים למשא ומתן תחת סעיף 28(3). [1]
כמה עולה להקים AVV או DPA?
העלות תלויה לחלוטין בשאלה אם אתה משתמש בתבנית סטנדרטית של ספק או מזמין ניסוח משפטי מותאם אישית.
- תבנית המסופקת על ידי ספק (הנפוצה ביותר): חינם. רוב ספקי ה-SaaS והענן הגדולים מפרסמים AVV או DPA סטנדרטיים שבקרים יכולים לקבל באופן מקוון או באמצעות תהליך לחיצה.
- הסכם מותאם אישית במשא ומתן: שכר טרחת עורך דין נע בדרך כלל בין 500 ל-5,000 אירו, בהתאם למורכבות, לתחום השיפוט ולתעריפי הייעוץ. חוזים ארגוניים עם נפחי נתונים משמעותיים או קטגוריות נתונים רגישות נמצאים בקצה העליון.
- פיתוח תבנית פנימית: השקעה חד פעמית של זמן ייעוץ משפטי ליצירת תבנית ניתנת לשימוש חוזר; העלות השוטפת מינימלית.
הערה מעשית: עבור רוב העסקים הקטנים והבינוניים ובעלי אתרים, התבנית הסטנדרטית של הספק מספיקה. משא ומתן מותאם אישית מוצדק כאשר העיבוד כולל נתונים בקטגוריה מיוחדת (בריאות, ביומטריים, פיננסיים) או כאשר הבקר נושא בחשיפה משמעותית לאחריות.
כיצד דרישות AVV ו-DPA שונות לפי מדינה?
תחת ה-GDPR, הדרישות המהותיות מתואמות בכל המדינות החברות באיחוד האירופי, כך שתוכן הליבה של AVV ו-DPA זהה בין אם אתה בברלין, פריז או ורשה. עם זאת, קיימים ניואנסים ברמה הלאומית:
- גרמניה: ה-BfDI ורשויות ה-DPA ברמת המדינה פרסמו הנחיות מפורטות וסעיפי מודל. AVVs גרמניים כוללים לעיתים קרובות תיעוד מפורט יותר של אמצעים טכניים וארגוניים (TOMs).
- שוויץ: ה-revFADP (בתוקף מספטמבר 2023) מטיל דרישות נוספות מעבר ל-GDPR, כולל הוראות ספציפיות להעברות נתונים חוצות גבולות ולוחות זמנים להודעה על הפרת נתונים.
- בריטניה (לאחר הברקזיט): ה-UK GDPR חל; DPAs חייבים להתייחס להנחיות ה-ICO הבריטיות ולא לרשויות הפיקוח של האיחוד האירופי. סעיפי חוזה סטנדרטיים שונים מ-SCCs של האיחוד האירופי.
- מדינות חברות אחרות באיחוד האירופי: סעיף 28 ל-GDPR חל ישירות; הנחיות DPA מקומיות עשויות להשלים אך אינן יכולות להפחית את דרישות המינימום.
בחר את סעיף החוק החל בזהירות. AVV לפי החוק הגרמני ו-DPA לפי החוק האירי עשויים להיראות דומים אך יפורשו על ידי בתי משפט ורשויות פיקוח שונים.
האם ניתן להשתמש ב-AVV במקום DPA, או להשתמש בשניהם בו זמנית?
כן, AVV יכול להחליף DPA מכיוון שהם מכשירים שווי ערך מבחינה משפטית. חברה הפועלת בשווקי DACH ושאינם DACH עשויה לכלול את שני המונחים בכותרת החוזה (לדוגמה, "Data Processing Agreement / Auftragsverarbeitungsvertrag") כדי למנוע בלבול. זוהי פרקטיקה נפוצה בחוזים ארגוניים דו-לשוניים והיא מותרת לחלוטין.
שימוש בשתי התוויות בו זמנית אינו יוצר שתי התחייבויות משפטיות נפרדות. הוא פשוט מבטיח שצדדים דוברי גרמנית ודוברי אנגלית יבינו שהם מסתכלים על אותו מסמך.
מהן הטעויות הנפוצות בבחירה בין AVV ל-DPA?
הטעויות המשמעותיות ביותר אינן קשורות למונח שבו אתה משתמש, אלא למה שההסכם מכיל והאם הוא קיים בכלל.
- דילוג על ההסכם לחלוטין מכיוון שמערכת יחסים עם ספק נראית לא רשמית או בעלת סיכון נמוך. תחת ה-GDPR, החובה מופעלת על ידי פעולת העיבוד, לא על ידי רמת הסיכון הנתפסת.
- קבלת תבנית לא שלמה המשמיטה סעיפי תת-מעבד או זכויות ביקורת, מתוך אמונה שגרסת הספק תואמת אוטומטית.
- בלבול DPA עם הסכם שיתוף נתונים. DPA מסדיר יחסי מעבד; הסכם שיתוף נתונים מסדיר חילופי נתונים בין בקרי משותפים או בקר לבקר. אלה מכשירים שונים.
- אי עדכון הסכמים כאשר מעבד מעסיק תת-מעבדים חדשים או משנה את אופי העיבוד.
- הנחה שציות ל-GDPR מכסה את החוק השוויצרי. ארגונים עם נושאי נתונים שוויצריים חייבים לוודא שה-AVV שלהם עומד גם בדרישות ה-revFADP.
מהן ההשלכות המשפטיות של טעות ב-AVV לעומת DPA?
אי קיום הסכם תקף ומלא חושף הן בקרים והן מעבדים לאחריות רגולטורית ואזרחית.
תחת סעיף 83(4) ל-GDPR, הפרות של סעיף 28 (דרישת ה-DPA/AVV) עלולות לגרום לקנסות מנהליים של עד 10 מיליון אירו או 2% מהמחזור השנתי העולמי, הגבוה מביניהם. רשויות הפיקוח בגרמניה הוכיחו נכונות לחקור ולקנוס ארגונים על הסכמי עיבוד חסרים או לקויים.
מעבר לקנסות, ההשלכות כוללות:
- ביקורות וצווי תיקון של רשות הפיקוח.
- חוסר יכולת לאכוף תנאים חוזיים נגד מעבד שאינו תואם.
- חשיפה לאחריות אזרחית אם מתרחשת הפרת נתונים ללא הסכם תקף המתעד התחייבויות אבטחה.
- פגיעה במוניטין בהקשרים B2B שבהם לקוחות ארגוניים מבצעים בדיקת נאותות של ספקים.
איך אתה יודע איזה הסכם העסק שלך באמת צריך?
ההחלטה פשוטה ברגע שאתה מזהה את מערכת היחסים ואת תחום השיפוט.
שלב 1: קבע אם הארגון שלך הוא הבקר (אתה מחליט מדוע וכיצד מעובדים נתונים) או המעבד (אתה מעבד נתונים לפי הוראות של מישהו אחר).
שלב 2: זהה את השפה ואת תחום השיפוט של הצד השני שלך. אם הם באזור DACH, צפה ל-AVV. אם הם במקום אחר, צפה ל-DPA.
שלב 3: ודא שכל מסמך שתקבל מכיל את כל עשרת האלמנטים המחייבים תחת סעיף 28(3) ל-GDPR. [1]
שלב 4: אם הארגון שלך צריך גם לנהל את הסכמת המשתמשים לקובצי Cookie וטכנולוגיות מעקב, פלטפורמת ניהול הסכמות כמו Biscotti CMP מטפלת בשכבה זו של ציות ל-GDPR, אך היא פועלת לצד, ולא במקום, AVV או DPA שבוצעו כהלכה.
כלל החלטה: אם אתה מעבד נתונים אישיים מטעם ארגון אחר, אתה זקוק ל-DPA או AVV ללא קשר לשם המסחרי של מערכת היחסים. אם ארגון אחר מעבד נתונים מטעמך, אתה אחראי לוודא שההסכם קיים לפני תחילת העיבוד.
שאלות נפוצות
ש: האם AVV תקף מבחינה משפטית מחוץ לגרמניה? AVV תקף מבחינה משפטית בכל מקום שבו חל ה-GDPR, בתנאי שהוא עומד בדרישות התוכן של סעיף 28(3). הטרמינולוגיה הגרמנית אינה מגבילה את אכיפתו בתחומי שיפוט אחרים באיחוד האירופי.
ש: האם DPA צריך להיחתם על ידי שני הצדדים? כן. סעיף 28(9) ל-GDPR דורש שההסכם יהיה בכתב, הכולל צורה אלקטרונית. הן הבקר והן המעבד חייבים להיות כפופים לתנאיו.
ש: האם DPA מקוון של ספק בלחיצה יכול לעמוד בדרישות ה-GDPR? כן, אם התוכן עומד בדרישות סעיף 28(3). ספקי ענן גדולים רבים מציעים DPAs תואמים בלחיצה שנבדקו על ידי רשויות הפיקוח.
ש: מהו תת-מעבד, ומדוע זה חשוב ב-DPA או AVV? תת-מעבד הוא צד שלישי המועסק על ידי המעבד לביצוע פעילויות עיבוד. ה-DPA או AVV חייבים לציין תנאים שבהם ניתן להעסיק תת-מעבדים, כולל זכות הבקר להתנגד. [1]
ש: האם אני צריך AVV או DPA חדש בכל פעם שמעבד מעדכן את רשימת התת-מעבדים שלו? לא בהכרח. הסכמים רבים כוללים הרשאה כללית לשינויים בתת-מעבדים, בתנאי שהמעבד מודיע לבקר והבקר שומר על הזכות להתנגד בתוך תקופה מוגדרת.
ש: האם DPA מכסה העברות נתונים מחוץ לאיחוד האירופי? DPA מסדיר את יחסי העיבוד אך אינו מאשר בפני עצמו העברות נתונים חוצות גבולות. מנגנוני העברה נפרדים (Standard Contractual Clauses, החלטות התאמה) נדרשים להעברות למדינות שלישיות.
ש: כמה זמן יש לשמור DPA או AVV? שמור את ההסכם למשך יחסי העיבוד ולתקופה סבירה לאחר מכן, בדרך כלל לפחות שלוש עד חמש שנים, כדי להוכיח ציות במקרה של חקירת רשות פיקוח.
ש: מה ההבדל בין DPA ל-DPIA? DPA (Data Processing Agreement) הוא חוזה בין בקר למעבד. DPIA (Data Protection Impact Assessment) היא הערכת סיכונים פנימית הנדרשת לפעילויות עיבוד בסיכון גבוה. הם משרתים מטרות שונות ואף אחד מהם אינו מחליף את השני.
ש: האם פרילנסר או סוכנות קטנה יכולים להידרש לחתום על AVV או DPA? כן. החובה חלה ללא קשר לגודל המעבד. מפתח פרילנסר המטפל בנתוני לקוחות הוא מעבד וחייב לחתום על DPA או AVV עם כל בקר לקוח.
ש: האם Biscotti CMP מחליף את הצורך ב-DPA או AVV? לא. Biscotti CMP היא פלטפורמת ניהול הסכמות המסייעת בניהול הסכמת משתמשים לקובצי Cookie ומעקב, דרישת ציות נפרדת ל-GDPR. DPA או AVV עדיין נדרשים לכל יחסי מעבד הכוללים נתונים אישיים.
מסקנה
שאלת AVV מול DPA נפתרת במהירות ברגע שמבינים ששני המונחים מתארים את אותו מכשיר הנדרש על פי חוק תחת סעיף 28 ל-GDPR. האתגר האמיתי אינו בחירה ביניהם, אלא הבטחה שכל מסמך המסדיר את יחסי המעבד שלך מכיל כל סעיף חובה, מבוצע כהלכה, ונשמר מעודכן ככל שפעילויות העיבוד מתפתחות.
צעדים מעשיים הבאים:
- בצע ביקורת על כל יחסי הספקים הנוכחיים כדי לוודא ש-DPA או AVV תקפים קיימים עבור כל מעבד המטפל בנתונים אישיים מטעמך.
- סקור הסכמים קיימים מול עשרת האלמנטים המחייבים של סעיף 28(3) ל-GDPR ובקש תיקונים עבור כל פער. [1]
- אם אתה פועל בשוויץ, ודא שההסכמים עומדים גם בדרישות ה-revFADP מעבר לבסיס ה-GDPR.
- קבע תהליך פנימי לקליטת מעבדים חדשים, אין להתחיל בעיבוד לפני חתימת ההסכם.
- לניהול הסכמות וציות לקובצי Cookie באתר או ביישום שלך, הערך את Biscotti CMP כחלק ממסגרת הציות הרחבה יותר שלך ל-GDPR.
ציות להגנת נתונים אינו פרויקט חד פעמי. יש לבדוק הסכמים כאשר העיבוד משתנה, כאשר מתווספים תת-מעבדים, וכאשר הנחיות רגולטוריות מתפתחות. בניית קצב בדיקה זה לתוך תוכנית הציות שלך היא ההגנה המעשית ביותר מפני חשיפה רגולטורית.
הפניות
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai