Greitas atsakymas: AVV (Auftragsverarbeitungsvertrag) yra teisiškai privalomas sutartis pagal GDPR 28 straipsnį tarp duomenų valdytojo ir duomenų tvarkytojo. Bet kuri organizacija, kuri tvarko asmens duomenis kitos šalies vardu, privalo turėti tokį dokumentą. Veikimas be AVV kelia abiem šalims baudų riziką iki 20 milijonų eurų arba 4% pasaulinio metinio apyvartos, priklausomai nuo to, kas yra didesnė.
Pagrindiniai aspektai
- AVV yra vokiečių terminas, reiškiantis Duomenų tvarkymo sutartį (DPA), reikalaujamą pagal GDPR 28 straipsnį, kai tvarkytojas tvarko asmens duomenis duomenų valdytojo vardu.
- Sutartyje turi būti nurodyta dalyko esmė, tikslas, trukmė, duomenų tipai, techninės ir organizacinės priemonės (TOMs) ir sub-tvarkytojų taisyklės.
- Neturint galiojančio AVV, gali būti taikomos reguliavimo baudos, nepriklausomai nuo to, ar įvyko duomenų pažeidimas.
- Mažos įmonės nėra išimtys: debesų kompiuterija, atlyginimų programinė įranga ir el. pašto rinkodaros įrankiai paprastai sukelia AVV reikalavimą.
- AVV yra sutartis tarp dviejų šalių, o ne privatumo pranešimas, ir ji pati neįgyvendina saugumo priemonių, tokių kaip šifravimas.
- AVV turėtų būti peržiūrėti, kai keičiasi sub-tvarkytojai, vyksta duomenų perdavimai į trečiąsias šalis arba keičiasi tvarkymo veiklos.
- DACH regione (Vokietija, Austrija, Šveicarija) AVV yra standartinė praktika su SaaS tiekėjais, debesų kompiuterijos paslaugų teikėjais ir ERP sistemomis.
- Šablonai yra prieinami iš atitikties organizacijų ir tiekėjų, tačiau būtina pritaikyti juos, kad atspindėtų faktines tvarkymo veiklas.
Ką reiškia AVV duomenų tvarkyme?
AVV reiškia Auftragsverarbeitungsvertrag, vokiečių sudurtinį žodį, kuris tiesiogiai verčiamas kaip "duomenų tvarkymo sutartis" anglų kalba. Tai yra sutartinis instrumentas, reikalaujamas pagal ES Bendrojo duomenų apsaugos reglamento (GDPR) 28 straipsnį, kuris reguliuoja santykius tarp duomenų valdytojo ir duomenų tvarkytojo.
Terminas yra specifinis vokiškai kalbančioms jurisdikcijoms (Vokietija, Austrija ir Šveicarija), tačiau pagrindinė teisinė koncepcija taikoma visoje ES ir EEE. Anglų kalbos kontekstuose tas pats dokumentas vadinamas Duomenų tvarkymo sutartimi (DPA). Tarptautiniu mastu veikiančios organizacijos turėtų užtikrinti, kad jų AVV būtų prieinami atitinkamomis kalbomis, kad būtų palengvintas supratimas ir atitiktis [5].
AVV nėra privatumo politika ar slapukų sutikimo juosta. Tai yra privaloma dvišalė sutartis, kuri apibrėžia, kaip tvarkytojas gali tvarkyti asmens duomenis, kokiomis sąlygomis ir su kokiomis apsaugos priemonėmis.
Kodėl duomenų tvarkytojams reikia AVV?
AVV yra privalomas, kai duomenų valdytojas pasamdo tvarkytoją tvarkyti asmens duomenis jo vardu. Tai nėra neprivaloma rekomendacija; tai griežtas teisinis reikalavimas pagal GDPR 28 straipsnį [1].
Dažniausios situacijos, kurios sukelia AVV reikalavimą, apima:
- Debesų kompiuterija ir infrastruktūra (pvz., serveriai, saugantys klientų duomenų bazes)
- Atlyginimų tvarkymas, atliekamas trečiosios šalies HR teikėjo
- El. pašto rinkodaros platformos, saugančios prenumeratorių sąrašus
- SaaS ERP tiekėjai, prieinantys verslo ir darbuotojų duomenis
- Analizės ir sekimo įrankiai, tvarkantys lankytojų elgsenos duomenis
Be AVV nė viena šalis neturi dokumentuoto teisinio pagrindo tvarkymo santykiui. Priežiūros institucijos traktuojančios AVV nebuvimą kaip savarankišką atitikties pažeidimą, atskirai nuo bet kurios duomenų pažeidimo tyrimo [3].
Ar AVV yra tas pats, kas DPA?
Taip, AVV ir DPA reiškia tą patį teisinį dokumentą. AVV yra vokiečių kalbos pavadinimas; DPA yra anglų kalbos atitikmuo, naudojamas daugumoje kitų ES valstybių narių ir tarptautiniuose atitikties kontekstuose [5].
Abu dokumentai atitinka GDPR 28 straipsnio reikalavimus ir turi turėti tuos pačius privalomus elementus. Jei Vokietijos įmonė pasirašo DPA su JAV įsikūrusiu SaaS tiekėju, tas DPA veikia kaip AVV GDPR atitikties tikslais, jei jis atitinka visus esminius reikalavimus.
Pagrindinė atskirtis, kurią reikia prisiminti: Dokumento pavadinimas yra mažiau svarbus nei jo turinys. Dokumentas, pavadintas "Duomenų tvarkymo papildiniu", "Tvarkymo sutartimi" ar "AVV", yra teisiškai ekvivalentas, jei jis apima visus reikalaujamus elementus.
Kam reikia AVV, kad atitiktų GDPR?
Bet kuri organizacija, kuri yra duomenų valdytojas ir naudoja trečiosios šalies paslaugą, kuri tvarko asmens duomenis jos vardu, turi turėti AVV. Tai taikoma visų dydžių verslams visose pramonės šakose [1].
Valdytojai, kurie paprastai reikia AVV:
| Scenarijus | Valdytojas | Tvarkytojas |
|---|---|---|
| Įmonė naudoja debesų CRM | Verslas | CRM tiekėjas |
| Svetainė naudoja analizę | Svetainės savininkas | Analizės teikėjas |
| HR outsources atlyginimus | Darbdavys | Atlyginimų biuras |
| Internetinė parduotuvė naudoja el. pašto įrankį | Prekybininkas | El. pašto platforma |
| Agentūra valdo klientų skelbimus | Agentūra | Reklamos technologijų platforma |
Kas nėra tvarkytojas: Šalis, kuri savarankiškai nustato tvarkymo tikslus ir priemones, yra valdytojas, o ne tvarkytojas. Bendri valdytojai reikalauja kitos rūšies sutarties pagal GDPR 26 straipsnį.
Mažos įmonės dažnai pamiršta šį reikalavimą, manydamos, kad jis taikomas tik didelėms įmonėms. Ši prielaida yra neteisinga. Bet kuris svetainės savininkas, naudojantis trečiosios šalies prieglobos teikėją, naujienlaiškių paslaugą ar rezervavimo sistemą, greičiausiai turi turėti bent vieną AVV [5].
Ką turėtų apimti AVV?
Atitinkantis AVV turi turėti specifinius privalomus elementus. Net ir vieno trūkumas gali padaryti sutartį nepakankamą pagal GDPR reikalavimus [2].
Privalomi komponentai:
- Tvarkymo dalyko esmė ir trukmė
- Tvarkymo pobūdis ir tikslas
- Asmens duomenų tipas ir duomenų subjektų kategorijos
- Valdytojo įsipareigojimai ir teisės
- Techninės ir organizacinės priemonės (TOMs), kurias įgyvendina tvarkytojas
- Taisyklės, reglamentuojančios sub-tvarkytojų įdarbinimą
- Procedūros duomenų subjektų teisių prašymams
- Duomenų pažeidimo pranešimo įsipareigojimai
- Duomenų grąžinimas arba naikinimas pasibaigus sutarčiai
- Audito teisės valdytojui
TOMs skyrius yra ypač svarbus. Nors pats AVV neįgyvendina saugumo priemonių, jis turi dokumentuoti, kokias priemones tvarkytojas turi, pvz., šifravimo standartus, prieigos kontrolę ir pseudonimizavimo praktiką [1].
Kas nutinka, jei neturite AVV?
Veikimas be galiojančio AVV kelia tiek valdytojui, tiek tvarkytojui didelę reguliavimo baudų riziką. Pagal GDPR 83(4) straipsnį baudos už 28 straipsnio pažeidimus gali siekti 10 milijonų eurų arba 2% pasaulinio metinio apyvartos, o pagal 83(5) straipsnį už rimtesnius pažeidimus - iki 20 milijonų eurų arba 4% pasaulinio metinio apyvartos, priklausomai nuo to, kas yra didesnė [3].
Kritiškai svarbu, kad šios baudos gali būti taikomos nepriklausomai nuo to, ar įvyko duomenų pažeidimas. Priežiūros institucija, vykdanti įprastą auditą arba reaguojanti į skundą, gali nustatyti AVV nebuvimą ir išrašyti baudą tik remdamasi tuo.
Papildomos pasekmės apima:
- Reputacijos pažeidimą ir klientų pasitikėjimo praradimą
- Sutartinę atsakomybę tarp valdytojo ir tvarkytojo
- Galimą tvarkymo veiklos sustabdymą, kol bus ištaisyta situacija
AVV vs. Duomenų tvarkymo sutartis: pagrindiniai skirtumai
AVV ir DPA yra iš esmės tas pats dokumentas skirtingais pavadinimais. Tačiau yra praktinių skirtumų, kuriuos verta pažymėti tarptautinėms organizacijoms.
| Matmuo | AVV | DPA |
|---|---|---|
| Kalba | Vokiečių | Anglų (arba vietinė) |
| Jurisdikcijos dėmesys | DACH regionas | Plačiai ES/EEE |
| Dažnas naudojimo kontekstas | Vokiečių kalbos sutartys | Tarptautinės SaaS sutartys |
| Teisinis pagrindas | GDPR 28 straipsnis | GDPR 28 straipsnis |
| Turinys | Identiskas | Identiskas |
DACH regione (Vokietija, Austrija, Šveicarija) ypač stipri AVV vykdymo kultūra, todėl tai yra standartinė praktika tiekėjų sutartyse su debesų kompiuterijos paslaugų teikėjais, SaaS ERP tiekėjais ir kitais paslaugų partneriais [1].
Kiek kainuoja AVV?
AVV kaina priklauso nuo to, kaip jis yra sukurtas ir peržiūrėtas.
- Šablonais pagrįstas AVV: Daugelis tiekėjų teikia savo AVV kaip dalį savo paslaugų sąlygų, paprastai be papildomų mokesčių. Organizacijos, tokios kaip NexDeck, siūlo išsamius AVV šablonus, įskaitant sub-tvarkytojų sąrašus [4].
- Teisininko peržiūra: Duomenų apsaugos teisininko parengtas ar peržiūrėtas individualus AVV paprastai kainuoja nuo 300 iki 2000 eurų, priklausomai nuo sudėtingumo ir jurisdikcijos.
- DPO pagalba rengiant: Organizacijos, turinčios vidaus ar išorinį Duomenų apsaugos pareigūną (DPO), dažnai gali pasinaudoti šiuo ištekliumi rengiant AVV be papildomų išlaidų, išskyrus DPO paslaugų mokestį.
Mažoms įmonėms praktiškiausias požiūris yra pradėti nuo patikimo šablono ir turėti jį peržiūrėtą kvalifikuoto specialisto prieš pasirašant.
Kaip sukurti AVV šabloną?
AVV kūrimas prasideda nuo visų tvarkymo santykių, kuriuose trečioji šalis tvarko asmens duomenis jūsų vardu, nustatymo. Iš ten procesas vyksta šiais žingsniais:
- Inventorizuokite savo tvarkytojus: Sudarykite kiekvieno tiekėjo, įrankio ar paslaugos, kuri pasiekia jūsų kontroliuojamus asmens duomenis, sąrašą.
- Gaukite arba parengkite AVV: Daugelis tvarkytojų (ypač SaaS tiekėjai) teikia savo standartinį AVV. Peržiūrėkite jį pagal aukščiau išvardytus privalomus elementus.
- Pritaikykite TOMs skyrių: Užtikrinkite, kad techninės ir organizacinės priemonės atspindėtų tvarkytojo faktines saugumo praktikas.
- Surašykite sub-tvarkytojus: Įtraukite priedą, identifikuojantį bet kuriuos sub-tvarkytojus, kuriuos naudoja tvarkytojas, kartu su jų vaidmenimis ir vietomis.
- Apibrėžkite duomenų perdavimo mechanizmus: Jei duomenys perduodami už ES/EEE ribų, nurodykite teisinį perdavimo mechanizmą (pvz., standartinės sutartinės sąlygos).
- Pasirašykite ir išsaugokite: Abi šalys turi pasirašyti AVV. Išsaugokite kopiją su savo duomenų tvarkymo įrašais.
Atitikties organizacijų teikiami šablonai suteikia tvirtą struktūrinį pagrindą, tačiau kiekvienas AVV turėtų būti pritaikytas konkrečiai tvarkymo veiklai, kurią jis reguliuoja [2].
AVV reikalavimai mažoms įmonėms
Mažos įmonės nėra išimtos iš AVV reikalavimo. Bet kuri organizacija, kuri yra GDPR taikoma ir naudoja trečiosios šalies tvarkytoją, privalo turėti AVV, nepriklausomai nuo įmonės dydžio ar darbuotojų skaičiaus [1].
Mažoms įmonėms praktinė našta yra mažesnė, nei gali pasirodyti:
- Dauguma didžiųjų SaaS tiekėjų (el. pašto platformos, rezervavimo sistemos, analizės įrankiai) jau teikia standartinį AVV arba DPA kaip savo paslaugų sąlygų dalį. Šių sąlygų priėmimas paprastai sudaro galiojančią sutartį.
- Pagrindinė užduotis yra užtikrinti, kad jūs iš tikrųjų peržiūrėjote ir priėmėte šias sąlygas, o ne manyti, kad jos egzistuoja.
- Išlaikykite paprastą savo tvarkytojų ir atitinkamų AVV registrą.
Dažna klaida: Mažų įmonių savininkai dažnai mano, kad, kadangi tiekėjas yra didelis ir patikimas, teisiniai dokumentai automatiškai yra tvarkomi. AVV priėmimas turi būti aktyvus, dokumentuotas žingsnis.
AVV audito takelio reikalavimai
AVV turi apimti nuostatas, suteikiančias valdytojui teisę audituoti tvarkytojo atitiktį. Ši audito teisė yra privalomas elementas pagal GDPR 28(3)(h) straipsnį [2].
Praktikoje audito takelio reikalavimai reiškia:
- Tvarkytojas turi išlaikyti tvarkymo veiklos įrašus pagal GDPR 30(2) straipsnį.
- Valdytojas turi teisę atlikti auditą arba užsakyti trečiųjų šalių auditorius, kad patvirtintų atitiktį.
- Daugelis tvarkytojų tenkina šį reikalavimą per trečiųjų šalių sertifikatus, tokius kaip ISO 27001 arba SOC 2, kurie gali pakeisti vietinius auditus daugeliu atvejų.
AVV tiesiogiai susijęs su ISO 27001 priedu A.5.19–A.5.22, kurie reglamentuoja tiekėjų santykius ir informacijos saugumą tiekimo grandinėse [2]. Organizacijos, turinčios formalų Informacijos saugumo valdymo sistemą (ISMS), turėtų užtikrinti, kad jų AVV būtų integruoti į tiekėjų valdymo procesus.
AVV tarptautiniams duomenų perdavimams
Kai tvarkytojas yra už ES/EEE ribų, AVV turi spręsti teisinį mechanizmą, kaip perduoti asmens duomenis į tą trečiąją šalį. Standartinės sutartinės sąlygos (SCCs) yra dažniausiai naudojamas mechanizmas ir paprastai yra įtraukiamos kaip priedas prie AVV [2].
Pagrindiniai aspektai tarptautiniams AVV:
- Nustatykite, ar tvarkytojo šalis turi ES tinkamumo sprendimą.
- Jei ne, įtraukite atitinkamas SCC (valdytojo ir tvarkytojo arba valdytojo ir valdytojo, priklausomai nuo santykio).
- Atlikite Duomenų perdavimo poveikio vertinimą (TIA), jei reikia.
- Užtikrinkite, kad AVV būtų prieinamas abiejų šalių kalbomis [5].
Kaip dažnai turėtumėte atnaujinti savo AVV?
AVV turėtų būti peržiūrėtas ir atnaujintas, kai įvyksta esminių pokyčių tvarkymo santykiuose. Nėra nustatyto įstatyminio peržiūros intervalo, tačiau geriausia praktika rodo, kad peržiūra turėtų būti atliekama bent kartą per metus [2].
Paskatos nedelsiant atnaujinti AVV:
- Tvarkytojas pasamdo naują sub-tvarkytoją arba pašalina esamą
- Tvarkymo veiklos pobūdis, tikslas ar apimtis keičiasi
- Duomenys perduodami į naują trečiąją šalį
- Tvarkytojo TOMs yra reikšmingai atnaujintos
- Taikoma teisė ar reguliavimo gairės keičiasi
Proaktyvi AVV peržiūra yra pagrindinė atitikties disciplina. Pasenę susitarimai, kurie nebeatspindi faktinių tvarkymo veiklų, sukuria tokią pačią reguliavimo riziką, kaip ir AVV nebuvimas.
Dažnos klaidos nustatant AVV
Net organizacijos, kurios supranta AVV reikalavimą, dažnai daro klaidų įgyvendinime.
Klaida 1: Laikyti tiekėjo standartinį šabloną automatiškai pakankamu. Tiekėjo pateiktas AVV šablonas gali neapimti jūsų specifinių tvarkymo veiklų. Visada peržiūrėkite jį pagal privalomus elementus.
Klaida 2: Praleisti arba neaiškiai apibūdinti TOMs. Priežiūros institucijos atidžiai tikrina TOMs skyrių. Neaiški kalba, tokia kaip "atitinkamos saugumo priemonės" be specifikos, yra nepakankama.
Klaida 3: Pamiršti sub-tvarkytojus. AVV turi išvardyti sub-tvarkytojus. Nepavykus atnaujinti šio sąrašo, kai tvarkytojas keičia savo sub-tvarkytojus, yra dažna atitikties spraga [2].
Klaida 4: Neįrašyti pasirašytų kopijų. AVV, kurio negalima pateikti audito metu, nesuteikia jokios teisinės apsaugos. Išlaikykite tvarkingus įrašus.
Klaida 5: Painioti AVV su privatumo politika. Tai visiškai skirtingi dokumentai, turintys skirtingas paskirtis. Privatumo politika informuoja duomenų subjektus; AVV reguliuoja valdytojo ir tvarkytojo santykį [1].
Išvada
Galutinis AVV vadovas: kodėl kiekvienam duomenų tvarkytojui jo reikia, galiausiai remiasi paprasta atitikties realybe: jei asmens duomenys keičiasi tarp valdytojo ir tvarkytojo, galiojantis AVV turi egzistuoti prieš pradedant tą tvarkymą. Nėra dydžio išimčių, nėra pramonės išimčių ir nėra pereinamųjų laikotarpių organizacijoms, jau veikiančioms pagal GDPR.
Veiksmingi kiti žingsniai 2026 m.:
- Audituokite kiekvieną trečiosios šalies tiekėją, kuris pasiekia jūsų kontroliuojamus asmens duomenis, ir patvirtinkite, kad kiekvienam yra galiojantis AVV.
- Peržiūrėkite esamus AVV pagal privalomų elementų sąrašą, ypač atkreipdami dėmesį į TOMs ir sub-tvarkytojų sąrašus.
- Nustatykite kalendoriaus priminimą metinėms AVV peržiūroms ir atnaujinimams, kai keičiasi tvarkymo veiklos.
- Organizacijoms, valdančioms sutikimą ir slapukų atitiktį kartu su savo AVV, apsvarstykite galimybę derinti savo duomenų tvarkymo dokumentaciją su atitinkančia Sutikimų valdymo platforma, tokią kaip Biscotti CMP, kad išlaikytumėte visapusišką ir gynybinę atitikties poziciją.
- Pasitarkite su kvalifikuotu duomenų apsaugos specialistu dėl bet kurio AVV, susijusio su sudėtingomis tvarkymo veiklomis ar tarptautiniais duomenų perdavimais.
Teisingai parengti AVV kaštai yra minimalūs. Teisingai parengti AVV kaštai nėra.
DUK
Kas yra AVV paprastais žodžiais? AVV yra rašytinė sutartis tarp įmonės, kuri valdo asmens duomenis (valdytojas), ir įmonės, kuri tvarko tuos duomenis jos vardu (tvarkytojas). Jame nurodoma, kokie duomenys tvarkomi, kodėl, kaip jie yra apsaugoti ir kokius įsipareigojimus turi abi šalys.
Ar AVV reikalingas kiekvienam tiekėjo santykiui? Tik tiems tiekėjams, kurie tvarko asmens duomenis jūsų vardu. Tiekėjas, kuris tiesiog teikia įrankį, kurį naudojate duomenims tvarkyti patys (neturėdamas prieigos prie duomenų), paprastai nėra tvarkytojas ir jam nereikia AVV.
Ar žodinis susitarimas gali pakeisti AVV? Ne. GDPR 28 straipsnis aiškiai reikalauja, kad tvarkymo sutartis būtų raštiška, įskaitant elektroninę formą.
Ar AVV apsaugo nuo GDPR baudų? Turint galiojantį AVV, reguliavimo rizika žymiai sumažėja, tačiau tai nesuteikia absoliučios imuniteto. Baudos vis tiek gali būti taikomos už kitus pažeidimus. AVV rodo atitiktį būtent 28 straipsniui.
Koks skirtumas tarp sub-tvarkytojo ir tvarkytojo? Tvarkytojas tiesiogiai tvarko duomenis valdytojo vardu. Sub-tvarkytojas yra įdarbinamas tvarkytojo, kad padėtų šiam tvarkyti duomenis. Valdytojas turi būti informuotas apie sub-tvarkytojus, o tvarkytojas turi įpareigoti sub-tvarkytojus laikytis lygiaverčių įsipareigojimų.
Kiek laiko reikia išlaikyti AVV? GDPR nenumato konkretaus AVV išlaikymo laikotarpio, tačiau jie turėtų būti išlaikomi visą tvarkymo santykių trukmę ir protingą laikotarpį po to, paprastai atitinkantį reglamentavimo veiksmų senaties terminą atitinkamoje jurisdikcijoje.
Ar DPA, pasirašyta su JAV įmone, laikoma AVV? Taip, jei ji apima visus GDPR 28 straipsnyje reikalaujamus elementus ir įtraukia atitinkamus perdavimo mechanizmus, tokius kaip standartinės sutartinės sąlygos.
Ar tvarkytojas gali naudoti asmens duomenis savo tikslams? Ne. Tvarkytojas gali tvarkyti asmens duomenis tik pagal dokumentuotas valdytojo instrukcijas. Tvarkymas tvarkytojo savo tikslais klasifikuotų tą šalį kaip valdytoją, turinčią atskirus teisinius įsipareigojimus.
Kas yra TOM AVV kontekste? TOM reiškia Technines ir Organizacines Priemones. Tai yra saugumo praktikos, kurias tvarkytojas įgyvendina, kad apsaugotų asmens duomenis, tokios kaip šifravimas, prieigos kontrolė ir pseudonimizavimas. AVV turi dokumentuoti šias priemones.
Ar AVV reikia notarinio patvirtinimo? Ne. GDPR nereikalauja notarinio patvirtinimo. Pasirašyta rašytinė sutartis (įskaitant elektroninius parašus) yra pakankama.
Nuorodos
[1] Duomenų tvarkymo sutartis - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai