Brzi odgovor: AVV (Auftragsverarbeitungsvertrag) i DPA (Data Processing Agreement) odnose se na isti zakonski obvezujući ugovor prema članku 28. GDPR-a, njemački pojam AVV koristi se u jurisdikcijama DACH regije, dok je DPA engleski ekvivalent koji se koristi u većini drugih država članica EU-a i međunarodno. Oba reguliraju kako obrađivač podataka postupa s osobnim podacima u ime voditelja obrade. Odabir pogrešnog okvira ili potpuno izostavljanje ugovora može izložiti vašu organizaciju značajnim regulatornim kaznama.
Ključne spoznaje
- AVV je njemačka kratica za Auftragsverarbeitungsvertrag; DPA označava Data Processing Agreement, funkcionalno su isti instrument prema GDPR-u.
- Oba su ugovora obvezna prema članku 28. GDPR-a kad god voditelj obrade angažira obrađivača za rukovanje osobnim podacima.
- Razlika u terminologiji je regionalna: AVV je standard u Njemačkoj, Austriji i Švicarskoj; DPA se koristi u engleskom govornom području i većini drugih konteksta EU-a.
- Valjan ugovor mora obuhvaćati predmet, trajanje obrade, kategorije podataka, prava ispitanika, uvjete podobrađivača, sigurnosne mjere i odredbe o reviziji. [1]
- Nepostojanje ispravnog ugovora može rezultirati istragama nadzornih tijela, novčanim kaznama i sporovima oko ugovora.
- Trošak implementacije kreće se od nule (korištenje standardnog predloška dobavljača) do nekoliko tisuća eura za prilagođenu pravnu izradu.
- Neke tvrtke koje posluju na DACH i ne-DACH tržištima legitimno koriste oba pojma u istom ugovoru radi jasnoće.
- Platforma za upravljanje pristankom kao što je Biscotti CMP može podržati vaš širi položaj usklađenosti s GDPR-om, ali ne zamjenjuje pravilno izvršen AVV ili DPA.
Što znači AVV u zaštiti podataka i je li isto što i DPA?
AVV označava Auftragsverarbeitungsvertrag, njemački izraz za Ugovor o obradi podataka (Data Processing Agreement). U praktičnom pravnom smislu, AVV i DPA su isti dokument, oba ispunjavaju zahtjev iz članka 28. GDPR-a za pisani ugovor između voditelja obrade podataka i obrađivača podataka. [1]
Razlika je isključivo lingvistička i jurisdikcijska. Njemački, austrijski i švicarski stručnjaci za zaštitu podataka koriste AVV kao standardni pojam u ugovorima, politikama privatnosti i regulatornoj korespondenciji. Stručnjaci koji govore engleski i većina drugih država članica EU-a koriste DPA. Kada vam njemački SaaS dobavljač ponudi "AVV", on nudi isti pravni instrument koji bi dobavljač iz Ujedinjenog Kraljevstva nazvao "DPA".
Ključno pojašnjenje: Nijedan pojam ne podrazumijeva drugačiji pravni standard. Oba moraju ispunjavati iste zahtjeve sadržaja iz članka 28. stavka 3. GDPR-a da bi bila valjana. [1]
Koja je razlika između AVV-a i DPA-a?
Razlika između AVV-a i DPA-a je terminološka, a ne suštinska. Oba opisuju ugovor propisan člankom 28. GDPR-a između voditelja obrade podataka (subjekta koji određuje svrhu i sredstva obrade) i obrađivača podataka (subjekta koji obrađuje podatke u ime voditelja obrade).
Gdje se mogu pojaviti stvarne razlike je u stilu izrade i lokalnim regulatornim smjernicama:
- Njemačka nadzorna tijela (Datenschutzbehörden) objavila su specifične predloške klauzula i smjernice koje AVV dokumenti često uključuju.
- DPA-ovi na engleskom jeziku izrađeni za jurisdikcije Ujedinjenog Kraljevstva ili Irske mogu se pozivati na nacionalno provedbeno zakonodavstvo uz GDPR.
- Švicarski AVV-ovi također moraju uzeti u obzir revidirani Savezni zakon o zaštiti podataka (revFADP), koji se u određenim aspektima razlikuje od GDPR-a.
Zaključak: Ako vam dobavljač pošalje AVV, a vama je potreban DPA, dobili ste ono što vam je potrebno, pod uvjetom da sadržaj ispunjava zahtjeve iz članka 28. stavka 3. [1]
Kada vam je potreban AVV, a kada DPA?
Jedan od ovih ugovora potreban vam je svaki put kada vaša organizacija dijeli osobne podatke s pružateljem usluga treće strane koji te podatke obrađuje prema vašim uputama. Okidač je odnos voditelja obrade i obrađivača, a ne jezik ugovora.
Koristite AVV kada:
- Vaša druga ugovorna strana ima sjedište u Njemačkoj, Austriji ili Švicarskoj i njihov standardni ugovor koristi tu terminologiju.
- Vaša organizacija posluje prema njemačkom zakonu o zaštiti podataka i vaši interni predlošci slijede smjernice BfDI-a ili državnog DPA-a.
Koristite DPA kada:
- Vaša druga ugovorna strana posluje u jurisdikciji engleskog govornog područja ili koristi engleski kao jezik ugovora.
- Sklapate ugovor s pružateljem usluga u oblaku sa sjedištem u SAD-u, SaaS dobavljačem iz Ujedinjenog Kraljevstva ili bilo kojim međunarodnim obrađivačem čiji predlošci podrazumijevaju "DPA".
Česta pogreška: Pretpostavka da, budući da dobavljač svoj dokument naziva AVV umjesto DPA, vrijede drugačija pravna pravila. Zahtjevi za sadržaj su identični prema GDPR-u. Važna je suština, a ne oznaka na naslovnoj stranici.
Kome je potreban AVV, a kome DPA?
Svaka organizacija koja se kvalificira kao voditelj obrade podataka prema GDPR-u i angažira treću stranu za obradu osobnih podataka u svoje ime treba jedan od ovih ugovora. To se odnosi na:
- E-commerce tvrtke koje koriste pružatelje usluga plaćanja trećih strana ili platforme za e-mail marketing.
- Poduzeća koja koriste pružatelje usluga infrastrukture u oblaku (IaaS, PaaS, SaaS).
- Agencije za online marketing koje obrađuju podatke o klijentima.
- Razvojne programere koji grade aplikacije koje obrađuju osobne podatke krajnjih korisnika putem vanjskih API-ja.
- Vlasnike web stranica koji koriste alate za analitiku, CDN-ove ili CRM sustave koji obrađuju podatke posjetitelja.
Organizacije sa sjedištem na DACH tržištima obično će se susresti s oznakom AVV; one koje posluju međunarodno češće će se baviti DPA-ovima. Obje kategorije organizacija suočavaju se s istom pravnom obvezom.
Što bi trebalo biti uključeno u AVV u usporedbi s DPA-om?
I AVV i DPA moraju sadržavati iste obvezne elemente prema članku 28. stavku 3. GDPR-a. Izostavljanje bilo koje od ovih klauzula čini ugovor neusklađenim. [1]
| Obvezna klauzula | Opis |
|---|---|
| Predmet i trajanje | Koji se podaci obrađuju i koliko dugo |
| Priroda i svrha | Zašto i kako se obrada odvija |
| Vrste podataka i ispitanici | Kategorije osobnih podataka i pogođeni pojedinci |
| Prava i obveze voditelja obrade | Upute koje obrađivač mora slijediti |
| Sigurnosne mjere | Tehničke i organizacijske mjere (TOM-ovi) |
| Uvjeti podobrađivača | Pravila za angažiranje podobrađivača |
| Pomoć pri ostvarivanju prava ispitanika | Podrška za zahtjeve za pristup, brisanje, prenosivost |
| Obavijest o povredi | Obveza obrađivača da obavijesti voditelja obrade o incidentima |
| Povrat ili brisanje podataka | Što se događa s podacima na kraju ugovora |
| Prava na reviziju | Pravo voditelja obrade na provjeru usklađenosti |
Granični slučaj: Ako predložak dobavljača izostavlja prava na reviziju ili uvjete podobrađivača, nemojte ga potpisati takvog kakav jest. To su nepregovarački uvjeti prema članku 28. stavku 3. [1]
Koliko košta postavljanje AVV-a ili DPA-a?
Trošak u potpunosti ovisi o tome koristite li standardni predložak dobavljača ili naručujete prilagođenu pravnu izradu.
- Predložak koji pruža dobavljač (najčešći): Besplatno. Većina velikih SaaS i pružatelja usluga u oblaku objavljuje standardni AVV ili DPA koji voditelji obrade mogu prihvatiti online ili putem postupka klikom.
- Pregovoreni prilagođeni ugovor: Pravne naknade obično se kreću od 500 do 5.000 eura, ovisno o složenosti, jurisdikciji i tarifama odvjetnika. Ugovori poduzeća sa značajnim količinama podataka ili osjetljivim kategorijama podataka nalaze se na višem kraju.
- Razvoj internog predloška: Jednokratno ulaganje vremena pravnog savjetnika za stvaranje predloška za višekratnu upotrebu; tekući troškovi su minimalni.
Praktična napomena: Za većinu malih i srednjih poduzeća i vlasnika web stranica, standardni predložak dobavljača je dovoljan. Prilagođeni pregovori opravdani su kada obrada uključuje posebne kategorije podataka (zdravstveni, biometrijski, financijski) ili kada voditelj obrade snosi značajnu izloženost odgovornosti.
Kako se zahtjevi za AVV i DPA razlikuju po zemljama?
Prema GDPR-u, suštinski zahtjevi su usklađeni u svim državama članicama EU-a, tako da je osnovni sadržaj AVV-a i DPA-a identičan bez obzira jeste li u Berlinu, Parizu ili Varšavi. Međutim, postoje nijanse na nacionalnoj razini:
- Njemačka: BfDI i državni DPA-ovi izdali su detaljne smjernice i modelne klauzule. Njemački AVV-ovi često uključuju detaljniju dokumentaciju o tehničkim i organizacijskim mjerama (TOM-ovima).
- Švicarska: revFADP (na snazi od rujna 2023.) nameće dodatne zahtjeve izvan GDPR-a, uključujući posebne odredbe za prekogranične prijenose podataka i rokove za obavijest o povredi podataka.
- UK (nakon Brexita): Primjenjuje se UK GDPR; DPA-ovi se moraju pozivati na smjernice UK ICO-a, a ne na nadzorna tijela EU-a. Standardne ugovorne klauzule razlikuju se od SCC-ova EU-a.
- Ostale države članice EU-a: Članak 28. GDPR-a primjenjuje se izravno; lokalne smjernice DPA-a mogu dopuniti, ali ne mogu smanjiti minimalne zahtjeve.
Pažljivo odaberite klauzulu o mjerodavnom pravu. AVV prema njemačkom pravu i DPA prema irskom pravu mogu izgledati slično, ali će ih tumačiti različiti sudovi i nadzorna tijela.
Možete li koristiti AVV umjesto DPA-a ili koristiti oboje istovremeno?
Da, AVV može zamijeniti DPA jer su to pravno ekvivalentni instrumenti. Tvrtka koja posluje na DACH i ne-DACH tržištima može uključiti oba pojma u isto zaglavlje ugovora (npr. "Data Processing Agreement / Auftragsverarbeitungsvertrag") kako bi izbjegla zabunu, to je uobičajena praksa u dvojezičnim ugovorima poduzeća i potpuno je dopušteno.
Istovremeno korištenje obje oznake ne stvara dvije odvojene pravne obveze. Jednostavno osigurava da njemački i engleski govornici razumiju da gledaju isti dokument.
Koje su česte pogreške pri odabiru između AVV-a i DPA-a?
Najvažnije pogreške nisu u tome koji pojam koristite, već u tome što ugovor sadrži i postoji li uopće.
- Potpuno izostavljanje ugovora jer se odnos s dobavljačem čini neformalnim ili niskorizičnim. Prema GDPR-u, obveza se pokreće činom obrade, a ne percipiranom razinom rizika.
- Prihvaćanje nepotpunog predloška koji izostavlja klauzule o podobrađivačima ili prava na reviziju, vjerujući da je verzija dobavljača automatski usklađena.
- Miješanje DPA-a s ugovorom o dijeljenju podataka. DPA regulira odnose s obrađivačima; ugovor o dijeljenju podataka regulira zajedničke voditelje obrade ili razmjene podataka između voditelja obrade. To su različiti instrumenti.
- Neažuriranje ugovora kada obrađivač angažira nove podobrađivače ili mijenja prirodu obrade.
- Pretpostavka da usklađenost s GDPR-om pokriva švicarsko pravo. Organizacije sa švicarskim ispitanicima moraju osigurati da njihov AVV također ispunjava zahtjeve revFADP-a.
Koje su pravne posljedice pogrešnog odabira AVV-a ili DPA-a?
Nepostojanje valjanog, potpunog ugovora izlaže i voditelje obrade i obrađivače regulatornoj i građanskoj odgovornosti.
Prema članku 83. stavku 4. GDPR-a, kršenja članka 28. (zahtjev za DPA/AVV) mogu rezultirati administrativnim novčanim kaznama do 10 milijuna eura ili 2% globalnog godišnjeg prometa, ovisno o tome što je veće. Nadzorna tijela u Njemačkoj pokazala su spremnost istraživati i kažnjavati organizacije zbog nedostajućih ili neadekvatnih ugovora o obradi.
Osim novčanih kazni, posljedice uključuju:
- Revizije nadzornih tijela i korektivne naloge.
- Nemogućnost provedbe ugovornih uvjeta protiv neusklađenog obrađivača.
- Izloženost građanskoj odgovornosti ako dođe do povrede podataka bez valjanog ugovora koji dokumentira sigurnosne obveze.
- Reputacijska šteta u B2B kontekstima gdje klijenti poduzeća provode dubinsku analizu dobavljača.
Kako znati koji vam je ugovor zapravo potreban?
Odluka je jednostavna nakon što identificirate odnos i jurisdikciju.
Korak 1: Odredite je li vaša organizacija voditelj obrade (vi odlučujete zašto i kako se podaci obrađuju) ili obrađivač (vi obrađujete podatke prema tuđim uputama).
Korak 2: Identificirajte jezik i jurisdikciju vaše druge ugovorne strane. Ako su u DACH regiji, očekujte AVV. Ako su drugdje, očekujte DPA.
Korak 3: Provjerite sadrži li dokument koji primite svih deset obveznih elemenata prema članku 28. stavku 3. GDPR-a. [1]
Korak 4: Ako vaša organizacija također treba upravljati pristankom korisnika za kolačiće i tehnologije praćenja, platforma za upravljanje pristankom poput Biscotti CMP rješava taj sloj usklađenosti s GDPR-om, ali djeluje uz, a ne umjesto, pravilno izvršenog AVV-a ili DPA-a.
Pravilo odluke: Ako obrađujete osobne podatke u ime druge organizacije, potreban vam je DPA ili AVV bez obzira na to kako se odnos komercijalno naziva. Ako druga organizacija obrađuje podatke u vaše ime, vi ste odgovorni osigurati da je taj ugovor na snazi prije početka obrade.
Često postavljana pitanja
P: Je li AVV pravno valjan izvan Njemačke? AVV je pravno valjan svugdje gdje se primjenjuje GDPR, pod uvjetom da ispunjava zahtjeve sadržaja iz članka 28. stavka 3. Njemačka terminologija ne ograničava njegovu provedivost u drugim jurisdikcijama EU-a.
P: Mora li DPA biti potpisan od strane obje strane? Da. Članak 28. stavak 9. GDPR-a zahtijeva da ugovor bude u pisanom obliku, što uključuje elektronički oblik. I voditelj obrade i obrađivač moraju biti vezani njegovim uvjetima.
P: Može li online DPA dobavljača koji se prihvaća klikom ispuniti zahtjeve GDPR-a? Da, ako sadržaj ispunjava zahtjeve iz članka 28. stavka 3. Mnogi veliki pružatelji usluga u oblaku nude usklađene DPA-ove koji se prihvaćaju klikom, a koje su pregledala nadzorna tijela.
P: Što je podobrađivač i zašto je to važno u DPA-u ili AVV-u? Podobrađivač je treća strana koju angažira obrađivač za obavljanje aktivnosti obrade. DPA ili AVV moraju specificirati uvjete pod kojima se podobrađivači mogu angažirati, uključujući pravo voditelja obrade na prigovor. [1]
P: Trebam li novi AVV ili DPA svaki put kada obrađivač ažurira svoj popis podobrađivača? Ne nužno. Mnogi ugovori uključuju opće ovlaštenje za promjene podobrađivača, pod uvjetom da obrađivač obavijesti voditelja obrade i da voditelj obrade zadrži pravo prigovora u određenom roku.
P: Pokriva li DPA prijenose podataka izvan EU-a? DPA regulira odnos obrade, ali sam po sebi ne ovlašćuje prekogranične prijenose podataka. Za prijenose u treće zemlje potrebni su zasebni mehanizmi prijenosa (Standardne ugovorne klauzule, odluke o primjerenosti).
P: Koliko dugo treba čuvati DPA ili AVV? Čuvajte ugovor tijekom trajanja odnosa obrade i razumno razdoblje nakon toga, obično najmanje tri do pet godina, kako biste dokazali usklađenost u slučaju upita nadzornog tijela.
P: Koja je razlika između DPA-a i DPIA-e? DPA (Data Processing Agreement) je ugovor između voditelja obrade i obrađivača. DPIA (Data Protection Impact Assessment) je interna procjena rizika potrebna za aktivnosti obrade visokog rizika. Služe različitim svrhama i nijedno ne zamjenjuje drugo.
P: Može li se od slobodnjaka ili male agencije zahtijevati potpisivanje AVV-a ili DPA-a? Da. Obveza se primjenjuje bez obzira na veličinu obrađivača. Slobodni programer koji rukuje podacima o klijentima je obrađivač i mora potpisati DPA ili AVV sa svakim klijentom voditeljem obrade.
P: Zamjenjuje li Biscotti CMP potrebu za DPA-om ili AVV-om? Ne. Biscotti CMP je platforma za upravljanje pristankom koja pomaže u upravljanju pristankom korisnika za kolačiće i praćenje, što je zaseban zahtjev za usklađenost s GDPR-om. DPA ili AVV i dalje je potreban za svaki odnos s obrađivačem koji uključuje osobne podatke.
Zaključak
Pitanje AVV-a vs. DPA-a brzo se rješava kada shvatite da oba pojma opisuju isti zakonski obvezujući instrument prema članku 28. GDPR-a. Pravi izazov nije odabir između njih, već osiguravanje da dokument koji regulira vaše odnose s obrađivačima sadrži svaku obveznu klauzulu, da je pravilno izvršen i da se ažurira kako se aktivnosti obrade razvijaju.
Sljedeći koraci koje treba poduzeti:
- Provjerite sve trenutne odnose s dobavljačima kako biste potvrdili da je valjan DPA ili AVV na snazi za svakog obrađivača koji obrađuje osobne podatke u vaše ime.
- Pregledajte postojeće ugovore u odnosu na deset obveznih elemenata članka 28. stavka 3. GDPR-a i zatražite izmjene za sve nedostatke. [1]
- Ako poslujete u Švicarskoj, provjerite jesu li ugovori također u skladu sa zahtjevima revFADP-a izvan osnovnih zahtjeva GDPR-a.
- Uspostavite interni postupak za uvođenje novih obrađivača, obrada ne bi trebala započeti prije potpisivanja ugovora.
- Za upravljanje pristankom i usklađenost s kolačićima na vašoj web stranici ili aplikaciji, procijenite Biscotti CMP kao dio vašeg šireg okvira usklađenosti s GDPR-om.
Usklađenost sa zaštitom podataka nije jednokratni projekt. Ugovore je potrebno pregledati kada se obrada promijeni, kada se dodaju podobrađivači i kada se regulatorne smjernice razvijaju. Uključivanje tog ritma pregleda u vaš program usklađenosti najpraktičnija je zaštita od regulatorne izloženosti.
Reference
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai