Greitas atsakymas: AVV (Auftragsverarbeitungsvertrag) ir DPA (Data Processing Agreement) reiškia tą pačią teisiškai reikalaujamą sutartį pagal GDPR 28 straipsnį, vokiečių terminas AVV naudojamas DACH regiono jurisdikcijose, o DPA yra anglų kalbos atitikmuo, naudojamas daugelyje kitų ES valstybių narių ir tarptautiniu mastu. Abi reguliuoja, kaip duomenų apdorotojas tvarko asmens duomenis kontrolieriaus vardu. Pasirinkus netinkamą formuluotę arba visiškai praleidus sutartį, jūsų organizacija gali būti veikiama reikšmingų reguliavimo baudų.
Pagrindiniai punktai
- AVV yra vokiečių santrumpa Auftragsverarbeitungsvertrag; DPA reiškia Duomenų apdorojimo sutartį, jie yra funkciškai tas pats instrumentas pagal GDPR.
- Abi sutartys yra privalomos pagal 28 straipsnį GDPR, kai kontrolierius pasamdo apdorotoją tvarkyti asmens duomenis.
- Terminologijos skirtumas yra regioninis: AVV yra standartas Vokietijoje, Austrijoje ir Šveicarijoje; DPA naudojama anglų kalbos ir daugelyje kitų ES kontekstų.
- Galiojanti sutartis turi apimti dalyką, apdorojimo trukmę, duomenų kategorijas, duomenų subjektų teises, sub-apdorotojų sąlygas, saugumo priemones ir audito nuostatas. [1]
- Neturint teisingos sutarties, gali kilti priežiūros institucijų tyrimai, baudos ir sutartiniai ginčai.
- Įgyvendinimo kaina svyruoja nuo nulio (naudojant tiekėjo standartinį šabloną) iki kelių tūkstančių eurų už individualų teisinį projektavimą.
- Kai kurios įmonės, veikiančios DACH ir ne DACH rinkose, teisėtai naudoja abu terminus toje pačioje sutartyje aiškumui.
- Sutikimo valdymo platforma, tokia kaip Biscotti CMP, gali palaikyti jūsų platesnę GDPR atitikties poziciją, tačiau ji nepakeičia tinkamai vykdomo AVV ar DPA.
Ką reiškia AVV duomenų apsaugos kontekste, ir ar tai tas pats, kas DPA?
AVV reiškia Auftragsverarbeitungsvertrag, vokiečių kalbos terminas, reiškiantis Duomenų apdorojimo sutartį. Praktiniais teisiniais terminais, AVV ir DPA yra tas pats dokumentas, abu atitinka GDPR 28 straipsnyje nustatytą reikalavimą turėti rašytinę sutartį tarp duomenų kontrolieriaus ir duomenų apdorotojo. [1]
Skirtumas yra grynai lingvistinis ir jurisdikcinis. Vokietijos, Austrijos ir Šveicarijos duomenų apsaugos specialistai naudoja AVV kaip standartinį terminą sutartyse, privatumo politikose ir reguliavimo korespondencijoje. Anglų kalbos specialistai ir dauguma kitų ES valstybių narių naudoja DPA. Kai vokiečių SaaS tiekėjas jums siūlo „AVV“, jie siūlo tą patį teisinį instrumentą, kurį JK įsikūręs tiekėjas vadintų „DPA“.
Pagrindinė paaiškinimas: Nei vienas terminas nereiškia skirtingo teisinio standarto. Abu turi atitikti tuos pačius GDPR 28(3) straipsnio turinio reikalavimus, kad būtų galiojantys. [1]
Koks skirtumas tarp AVV ir DPA?
Skirtumas tarp AVV ir DPA yra terminologinis, o ne esminis. Abu apibūdina sutartį, kurią reikalauja GDPR 28 straipsnis tarp duomenų kontrolieriaus (subjekto, kuris nustato apdorojimo tikslą ir priemones) ir duomenų apdorotojo (subjekto, kuris apdoroja duomenis kontrolieriaus vardu).
Kur gali atsirasti tikri skirtumai, yra projektavimo stilius ir vietinės reguliavimo gairės:
- Vokietijos priežiūros institucijos (Datenschutzbehörden) paskelbė konkrečius šablonų punktus ir gaires, kurias AVV dokumentai dažnai įtraukia.
- Anglų kalba rašomos DPA, parengtos JK ar Airijos jurisdikcijoms, gali nurodyti nacionalinę įgyvendinimo teisę kartu su GDPR.
- Šveicarijos AVV taip pat turi atsižvelgti į peržiūrėtą Federalinį duomenų apsaugos įstatymą (revFADP), kuris tam tikrais aspektais skiriasi nuo GDPR.
Apibendrinant: Jei tiekėjas jums siunčia AVV, o jums reikia DPA, jūs gavote tai, ko jums reikia, jei turinys atitinka 28(3) straipsnio reikalavimus. [1]
Kada jums reikia AVV, o kada DPA?
Jums reikia vienos iš šių sutarčių, kai jūsų organizacija dalijasi asmens duomenimis su trečiosios šalies paslaugų teikėju, kuris apdoroja tuos duomenis pagal jūsų nurodymus. Pagrindinis veiksnys yra kontrolieriaus-apdorotojo santykis, o ne sutarties kalba.
Naudokite AVV, kai:
- Jūsų partneris yra įsikūręs Vokietijoje, Austrijoje ar Šveicarijoje, o jų standartinė sutartis naudoja šią terminologiją.
- Jūsų organizacija veikia pagal Vokietijos duomenų apsaugos įstatymą, o jūsų vidiniai šablonai atitinka BfDI ar valstijos DPA gaires.
Naudokite DPA, kai:
- Jūsų partneris veikia anglų kalbos jurisdikcijoje arba naudoja anglų kalbą kaip sutarties kalbą.
- Jūs sudarote sutartį su JAV įsikūrusiu debesų paslaugų teikėju, JK SaaS tiekėju arba bet kuriuo tarptautiniu apdorotoju, kurio šablonai numato „DPA“.
Dažna klaida: Manoma, kad, nes tiekėjas savo dokumentą vadina AVV, o ne DPA, taikomos skirtingos teisinės taisyklės. Turinio reikalavimai pagal GDPR yra identiški. Svarbu yra esmė, o ne etiketė ant viršelio.
Kam reikia AVV, o kam DPA?
Bet kuri organizacija, kuri atitinka duomenų kontrolieriaus apibrėžimą pagal GDPR ir pasamdo trečiąją šalį tvarkyti asmens duomenis savo vardu, turi turėti vieną iš šių sutarčių. Tai taikoma:
- E. prekybos įmonėms, naudojančioms trečiųjų šalių mokėjimo apdorotojus arba el. pašto rinkodaros platformas.
- Įmonėms, naudojančioms debesų infrastruktūros teikėjus (IaaS, PaaS, SaaS).
- Interneto rinkodaros agentūroms, apdorojančioms klientų duomenis.
- Kūrėjams, kuriantiems programas, kurios tvarko galutinių vartotojų asmens duomenis per išorinius API.
- Svetainių savininkams, naudojantiems analizės įrankius, CDN ar CRM sistemas, kurios apdoroja lankytojų duomenis.
DACH rinkose veikiančios organizacijos paprastai susidurs su AVV žyma; tarptautiniu mastu veikiančios organizacijos dažniau susidurs su DPA. Abi organizacijų kategorijos susiduria su ta pačia teisine prievole.
Ką turėtų apimti AVV ir DPA?
T tanto AVV, tiek DPA turi turėti tuos pačius privalomus elementus pagal GDPR 28(3) straipsnį. Bet kurio iš šių punktų trūkumas daro sutartį nesuderinamą. [1]
| Reikalingas punktas | Aprašymas |
|---|---|
| Dalykas ir trukmė | Kokie duomenys apdorojami ir kiek laiko |
| Pati prigimtis ir tikslas | Kodėl ir kaip vyksta apdorojimas |
| Duomenų tipai ir duomenų subjektai | Asmens duomenų kategorijos ir paveikti asmenys |
| Kontrolieriaus teisės ir pareigos | Nurodymai, kurių apdorotojas privalo laikytis |
| Saugumo priemonės | Techninės ir organizacinės apsaugos priemonės (TOMs) |
| Sub-apdorotojų sąlygos | Taisyklės, kaip įtraukti žemyninius apdorotojus |
| Duomenų subjektų teisių pagalba | Parama prieigos, ištrynimo, perkeliamumo prašymams |
| Pranešimas apie pažeidimus | Apdorotojo pareiga pranešti kontrolieriui apie incidentus |
| Duomenų grąžinimas arba ištrynimas | Ką daryti su duomenimis sutarties pabaigoje |
| Audito teisės | Kontrolieriaus teisė patikrinti atitiktį |
Kraštutinė situacija: Jei tiekėjo šablone trūksta audito teisių ar sub-apdorotojų sąlygų, nepasirašykite jo tokio, koks jis yra. Šie punktai pagal 28(3) straipsnį yra neginčijami. [1]
Kiek kainuoja AVV ar DPA nustatymas?
Kaina visiškai priklauso nuo to, ar naudojate tiekėjo standartinį šabloną, ar užsakote individualų teisinį projektavimą.
- Tiekėjo pateiktas šablonas (dažniausiai): Nemokamai. Dauguma didžiųjų SaaS ir debesų teikėjų skelbia standartinį AVV arba DPA, kurį kontrolieriai gali priimti internetu arba per paspaudimo procesą.
- Derybų individuali sutartis: Teisinės išlaidos paprastai svyruoja nuo 500 iki 5,000 eurų, priklausomai nuo sudėtingumo, jurisdikcijos ir teisininkų tarifų. Įmonių sutartys su dideliais duomenų kiekiais ar jautrių duomenų kategorijomis yra aukštesniame kainų diapazone.
- Vidinio šablono kūrimas: Vienkartinė investicija teisininko laiko, kad sukurtumėte pakartotinai naudojamą šabloną; nuolatinės išlaidos yra minimalios.
Praktinė pastaba: Daugumai MVĮ ir svetainių savininkų tiekėjo standartinis šablonas yra pakankamas. Individuali deryba yra būtina, kai apdorojimas apima specialių kategorijų duomenis (sveikatos, biometrinius, finansinius) arba kai kontrolierius turi reikšmingą atsakomybės riziką.
Kaip AVV ir DPA reikalavimai skiriasi pagal šalis?
Pagal GDPR, esminiai reikalavimai yra harmonizuoti visose ES valstybėse narėse, todėl AVV ir DPA pagrindinis turinys yra identiškas, nesvarbu, ar esate Berlyne, Paryžiuje, ar Varšuvoje. Tačiau nacionaliniai niuansai egzistuoja:
- Vokietija: BfDI ir valstijų DPAs paskelbė išsamias gaires ir modelių punktus. Vokiečių AVV dažnai apima detalesnę techninių ir organizacinių priemonių (TOMs) dokumentaciją.
- Šveicarija: revFADP (įsigalioja 2023 m. rugsėjo mėn.) nustato papildomus reikalavimus, viršijančius GDPR, įskaitant specifines nuostatas dėl tarptautinių duomenų perdavimų ir duomenų pažeidimų pranešimo terminų.
- JK (po „Brexit“): Taikomas JK GDPR; DPA turi nurodyti JK ICO gaires, o ne ES priežiūros institucijas. Standartinės sutartinės nuostatos skiriasi nuo ES SCC.
- Kitos ES valstybės narės: GDPR 28 straipsnis taikomas tiesiogiai; vietinės DPA gairės gali papildyti, tačiau negali sumažinti minimalių reikalavimų.
Atsargiai pasirinkite valdančiosios teisės nuostatą. Vokietijos teisės AVV ir Airijos teisės DPA gali atrodyti panašiai, tačiau bus interpretuojamos skirtingų teismų ir priežiūros institucijų.
Ar galite naudoti AVV vietoj DPA, arba naudoti abu vienu metu?
Taip, AVV gali pakeisti DPA, nes jie yra teisiškai lygiaverčiai instrumentai. Įmonė, veikianti DACH ir ne DACH rinkose, gali įtraukti abu terminus į tą pačią sutarties antraštę (pvz., „Duomenų apdorojimo sutartis / Auftragsverarbeitungsvertrag“), kad išvengtų painiavos, tai yra įprasta praktika dvikalbiuose įmonių sutartyse ir yra visiškai leidžiama.
Naudojant abu žymenis tuo pačiu metu, nesukuriama dvigubų teisinius įsipareigojimus. Tai tiesiog užtikrina, kad vokiškai ir angliškai kalbantys dalyviai suprastų, kad žiūri į tą patį dokumentą.
Kokios dažnos klaidos renkantis tarp AVV ir DPA?
Pats svarbiausias klaidas nėra apie tai, kurį terminą naudoti, bet apie tai, kas yra sutartyje ir ar ji iš viso egzistuoja.
- Visiškai praleidžiant sutartį dėl to, kad tiekėjo santykiai atrodo neformalūs arba mažai rizikingi. Pagal GDPR, prievolė kyla iš apdorojimo veiksmo, o ne iš suvokiamo rizikos lygio.
- Priimant neišsamų šabloną, kuris praleidžia sub-apdorotojų nuostatas ar audito teises, manydami, kad tiekėjo versija automatiškai atitinka reikalavimus.
- Supainiojimas DPA su duomenų dalijimosi sutartimi. DPA reguliuoja apdorotojų santykius; duomenų dalijimosi sutartis reguliuoja bendro kontrolieriaus arba kontrolieriaus-duomenų mainus. Tai yra skirtingi instrumentai.
- Nepavykstant atnaujinti sutarčių, kai apdorotojas įtraukia naujus sub-apdorotojus arba keičia apdorojimo pobūdį.
- Manant, kad GDPR atitiktis apima Šveicarijos teisę. Organizacijos, turinčios šveicarų duomenų subjektus, turi užtikrinti, kad jų AVV taip pat atitiktų revFADP reikalavimus.
Kokios teisinės pasekmės, jei neteisingai suprantate AVV ir DPA?
Neturint galiojančios, pilnos sutarties, tiek kontrolieriai, tiek apdorotojai yra veikiami reguliavimo ir civilinės atsakomybės.
Pagal GDPR 83(4) straipsnį, pažeidimai 28 straipsnyje (DPA/AVV reikalavimas) gali lemti administracines baudas iki 10 milijonų eurų arba 2% pasaulinio metinio apyvartos, priklausomai nuo to, kas yra didesnis. Vokietijos priežiūros institucijos parodė norą tirti ir bausti organizacijas už trūkstamas ar trūkstamas apdorojimo sutartis.
Be baudų, pasekmės apima:
- Priežiūros institucijų auditai ir korekciniai nurodymai.
- Negalėjimas priversti vykdyti sutartinių sąlygų prieš nesuderinamą apdorotoją.
- Civilinės atsakomybės rizika, jei įvyksta duomenų pažeidimas be galiojančios sutarties, dokumentuojančios saugumo įsipareigojimus.
- Reputacijos žala B2B kontekstuose, kur įmonių klientai atlieka tiekėjų patikrinimus.
Kaip sužinoti, kokios sutarties jūsų verslui iš tikrųjų reikia?
Sprendimas yra paprastas, kai nustatote santykį ir jurisdikciją.
1 žingsnis: Nustatykite, ar jūsų organizacija yra kontrolierius (jūs nusprendžiate, kodėl ir kaip duomenys yra apdorojami) ar apdorotojas (jūs apdorojate duomenis pagal kitų nurodymus).
2 žingsnis: Nustatykite savo partnerio kalbą ir jurisdikciją. Jei jie yra DACH regione, tikėkitės AVV. Jei jie yra kitur, tikėkitės DPA.
3 žingsnis: Patikrinkite, ar bet kuris dokumentas, kurį gaunate, turi visus dešimt privalomų elementų pagal 28(3) GDPR. [1]
4 žingsnis: Jei jūsų organizacija taip pat turi valdyti vartotojų sutikimą dėl slapukų ir sekimo technologijų, sutikimo valdymo platforma, tokia kaip Biscotti CMP, sprendžia šį GDPR atitikties sluoksnį, tačiau ji veikia kartu, o ne vietoj tinkamai vykdomo AVV ar DPA.
Sprendimo taisyklė: Jei jūs apdorojate asmens duomenis kitos organizacijos vardu, jums reikia DPA arba AVV, nepriklausomai nuo to, kaip komerciniu požiūriu vadinamas santykis. Jei kita organizacija apdoroja duomenis jūsų vardu, jūs esate atsakingi už tai, kad ta sutartis būtų sudaryta prieš pradedant apdorojimą.
DUK
K: Ar AVV teisiškai galioja už Vokietijos ribų?
AVV teisiškai galioja bet kur, kur taikomas GDPR, jei jis atitinka 28(3) turinio reikalavimus. Vokiečių terminologija neapriboja jos vykdytinumo kitose ES jurisdikcijose.
K: Ar DPA turi būti pasirašyta abiejų šalių?
Taip. GDPR 28(9) straipsnis reikalauja, kad sutartis būtų raštiška, įskaitant elektroninę formą. Abi, kontrolierius ir apdorotojas, turi būti susieti su jos sąlygomis.
K: Ar tiekėjo internetinė paspaudimo DPA gali atitikti GDPR reikalavimus?
Taip, jei turinys atitinka 28(3) reikalavimus. Daugelis didžiųjų debesų teikėjų siūlo atitinkančias paspaudimo DPA, kurias peržiūrėjo priežiūros institucijos.
K: Kas yra sub-apdorotojas ir kodėl tai svarbu DPA ar AVV?
Sub-apdorotojas yra trečioji šalis, kurią pasamdo apdorotojas, kad atliktų apdorojimo veiklas. DPA ar AVV turi nurodyti sąlygas, kuriomis sub-apdorotojai gali būti įtraukti, įskaitant kontrolieriaus teisę prieštarauti. [1]
K: Ar man reikia naujo AVV ar DPA kiekvieną kartą, kai apdorotojas atnaujina savo sub-apdorotojų sąrašą?
Ne visada. Daugelis sutarčių apima bendrą leidimą sub-apdorotojų pakeitimams, jei apdorotojas praneša kontrolieriui, o kontrolierius išlaiko teisę prieštarauti per nustatytą laikotarpį.
K: Ar DPA apima duomenų perdavimus už ES ribų?
DPA reguliuoja apdorojimo santykį, tačiau savaime neleidžia tarptautiniams duomenų perdavimams. Atskiri perdavimo mechanizmai (standartinės sutartinės nuostatos, tinkamumo sprendimai) yra būtini perdavimams į trečiąsias šalis.
K: Kiek laiko turėtų būti saugoma DPA ar AVV?
Saugokite sutartį visą apdorojimo santykio trukmę ir protingą laikotarpį po to, paprastai bent tris ar penkis metus, kad įrodytumėte atitiktį, jei kyla priežiūros institucijos tyrimas.
K: Koks skirtumas tarp DPA ir DPIA?
DPA (Duomenų apdorojimo sutartis) yra sutartis tarp kontrolieriaus ir apdorotojo. DPIA (Duomenų apsaugos poveikio vertinimas) yra vidinė rizikos vertinimo procedūra, reikalaujama didelės rizikos apdorojimo veikloms. Jie atlieka skirtingas funkcijas ir nei vienas nepakeičia kito.
K: Ar laisvai samdomas darbuotojas ar maža agentūra gali būti reikalaujama pasirašyti AVV ar DPA?
Taip. Prievolė taikoma nepriklausomai nuo apdorotojo dydžio. Laisvai samdomas programuotojas, tvarkantis klientų duomenis, yra apdorotojas ir turi pasirašyti DPA arba AVV su kiekvienu klientu-kontrolieriumi.
K: Ar Biscotti CMP pakeičia DPA ar AVV poreikį?
Ne. Biscotti CMP yra sutikimo valdymo platforma, padedanti valdyti vartotojų sutikimą dėl slapukų ir sekimo, atskira GDPR atitikties reikalavimų dalis. DPA ar AVV vis tiek reikalinga bet kokiam apdorotojo santykiui, susijusiam su asmens duomenimis.
Išvada
AVV ir DPA klausimas greitai išsprendžiamas, kai suprantate, kad abu terminai apibūdina tą patį teisiškai reikalaujamą instrumentą pagal GDPR 28 straipsnį. Tikrasis iššūkis nėra pasirinkti tarp jų, o užtikrinti, kad bet kuris dokumentas, reguliuojantis jūsų apdorotojų santykius, turėtų kiekvieną privalomą punktą, būtų tinkamai vykdomas ir nuolat atnaujinamas, kai apdorojimo veiklos keičiasi.
Veiksmingi kiti žingsniai:
- Patikrinkite visus esamus tiekėjų santykius, kad patvirtintumėte, jog kiekvienam apdorotojui, tvarkančiam asmens duomenis jūsų vardu, yra galiojanti DPA arba AVV.
- Peržiūrėkite esamas sutartis pagal dešimt privalomų elementų, numatytų 28(3) GDPR, ir prašykite pataisų dėl bet kokių trūkumų. [1]
- Jei veikiate Šveicarijoje, patikrinkite, ar sutartys taip pat atitinka revFADP reikalavimus, viršijančius GDPR bazinį lygį.
- Sukurkite vidinį procesą naujų apdorotojų įtraukimo, jokio apdorojimo neturėtų būti pradedama, kol sutartis nėra pasirašyta.
- Dėl sutikimo valdymo ir slapukų atitikties jūsų svetainėje ar programoje įvertinkite Biscotti CMP kaip dalį savo platesnės GDPR atitikties sistemos.
Duomenų apsaugos atitiktis nėra vienkartinis projektas. Sutartys turi būti peržiūrimos, kai keičiasi apdorojimas, kai pridedami sub-apdorotojai ir kai keičiasi reguliavimo gairės. Įtraukti šį peržiūros ritmą į savo atitikties programą yra praktiškiausia apsauga nuo reguliavimo rizikos.
Nuorodos
[1] Duomenų apdorojimo sutartis - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai