Ātra atbilde: AVV (Auftragsverarbeitungsvertrag) un DPA (Data Processing Agreement) attiecas uz to pašu juridiski prasīto līgumu saskaņā ar GDPR 28. pantu, vācu termins AVV tiek izmantots DACH reģiona jurisdikcijās, savukārt DPA ir angļu valodas ekvivalents, ko izmanto lielākajā daļā citu ES dalībvalstu un starptautiski. Abi regulē, kā datu apstrādātājs apstrādā personas datus kontroliera vārdā. Nepareiza ietvara izvēle vai līguma pilnīga neievērošana var pakļaut jūsu organizāciju būtiskiem regulējošiem sodiem.
Galvenie secinājumi
- AVV ir vācu saīsinājums Auftragsverarbeitungsvertrag; DPA nozīmē Datu apstrādes līgumu, tie ir funkcionāli vienādi instrumenti saskaņā ar GDPR.
- Abi līgumi ir obligāti saskaņā ar 28. pantu GDPR, kad kontrolieris nodarbina apstrādātāju, lai apstrādātu personas datus.
- Terminoloģijas atšķirība ir reģionāla: AVV ir standarts Vācijā, Austrijā un Šveicē; DPA tiek izmantots angliski runājošās un lielākajā daļā citu ES kontekstu.
- Derīgam līgumam jāietver priekšmets, apstrādes ilgums, datu kategorijas, datu subjekta tiesības, apakšapstrādātāju nosacījumi, drošības pasākumi un revīzijas noteikumi. [1]
- Nepareiza līguma neesamība var novest pie uzraugošo iestāžu izmeklēšanām, naudassodiem un līguma strīdiem.
- Izmaksas par īstenošanu svārstās no nulles (izmantojot piegādātāja standarta veidni) līdz vairākiem tūkstošiem eiro par pielāgotu juridisko izstrādi.
- Daži uzņēmumi, kas darbojas DACH un ne-DACH tirgos, likumīgi izmanto abus terminus tajā pašā līgumā skaidrības labad.
- Piekrīšanas pārvaldības platforma, piemēram, Biscotti CMP, var atbalstīt jūsu plašāku GDPR atbilstības nostāju, bet neaizvieto pareizi izpildītu AVV vai DPA.
Ko nozīmē AVV datu aizsardzībā, un vai tas ir tas pats, kas DPA?
AVV nozīmē Auftragsverarbeitungsvertrag, vācu valodas termins Datu apstrādes līgumam. Praktiskos juridiskos terminos AVV un DPA ir tas pats dokuments, abi apmierina 28. panta GDPR prasību par rakstisku līgumu starp datu kontrolieri un datu apstrādātāju. [1]
Atšķirība ir tīri valodiska un jurisdikcionāla. Vācijas, Austrijas un Šveices datu aizsardzības speciālisti izmanto AVV kā standarta terminu līgumos, privātuma politikās un regulatīvās korespondencēs. Angliski runājošie speciālisti un lielākā daļa citu ES dalībvalstu izmanto DPA. Kad Vācijas SaaS piegādātājs piedāvā jums "AVV", viņi piedāvā to pašu juridisko instrumentu, ko Lielbritānijā bāzēts piegādātājs sauktu par "DPA".
Galvenā skaidrošana: Neviens no terminiem nenozīmē atšķirīgu juridisko standartu. Abiem jāatbilst vienādām GDPR 28. panta 3. punkta saturam, lai būtu derīgi. [1]
Kāda ir atšķirība starp AVV un DPA?
Atšķirība starp AVV un DPA ir terminoloģiska, nevis saturiska. Abi apraksta līgumu, ko nosaka GDPR 28. pants starp datu kontrolieri (subjektu, kas nosaka apstrādes mērķus un līdzekļus) un datu apstrādātāju (subjektu, kas apstrādā datus kontroliera vārdā).
Kur var rasties patiesas atšķirības, ir izstrādes stils un vietējās regulatīvās vadlīnijas:
- Vācijas uzraugošās iestādes (Datenschutzbehörden) ir publicējušas specifiskas veidņu klauzulas un vadlīnijas, kuras AVV dokumenti bieži iekļauj.
- Angļu valodā rakstīti DPA, kas izstrādāti Lielbritānijas vai Īrijas jurisdikcijām, var atsaukties uz nacionālo īstenošanas likumdošanu kopā ar GDPR.
- Šveices AVV arī jāņem vērā pārskatītais Federālais datu aizsardzības likums (revFADP), kas noteiktās jomās atšķiras no GDPR.
Galvenais secinājums: Ja piegādātājs jums nosūta AVV un jums nepieciešams DPA, jūs esat saņēmuši to, kas jums nepieciešams, ja saturs atbilst 28. panta 3. punkta prasībām. [1]
Kad jums nepieciešams AVV pret DPA?
Jums nepieciešams viens no šiem līgumiem katru reizi, kad jūsu organizācija dalās ar personas datiem ar trešo pušu pakalpojumu sniedzēju, kas apstrādā šos datus pēc jūsu norādījumiem. Iemesls ir kontroliera-apstrādātāja attiecība, nevis līguma valoda.
Izmantojiet AVV, kad:
- Jūsu pretējā puse atrodas Vācijā, Austrijā vai Šveicē un viņu standarta līgums izmanto šo terminoloģiju.
- Jūsu paša organizācija darbojas saskaņā ar Vācijas datu aizsardzības likumu un jūsu iekšējās veidnes seko BfDI vai valsts DPA vadlīnijām.
Izmantojiet DPA, kad:
- Jūsu pretējā puse darbojas angliski runājošā jurisdikcijā vai izmanto angļu valodu kā līguma valodu.
- Jūs slēdzat līgumu ar ASV bāzētu mākoņu pakalpojumu sniedzēju, Lielbritānijas SaaS piegādātāju vai jebkuru starptautisku apstrādātāju, kura veidnes noklusējuma nosaukums ir "DPA".
Bieža kļūda: Pieņemt, ka, jo piegādātājs sauc savu dokumentu par AVV, nevis DPA, attiecas atšķirīgi juridiskie noteikumi. Satura prasības ir identiskas saskaņā ar GDPR. Svarīgs ir saturs, nevis nosaukums uz vāka.
Kam nepieciešams AVV un kam nepieciešams DPA?
Jebkurai organizācijai, kas kvalificējas kā datu kontrolieris saskaņā ar GDPR un nodarbina trešo pusi, lai apstrādātu personas datus tās vārdā, nepieciešams viens no šiem līgumiem. Tas attiecas uz:
- E-komercijas uzņēmumiem, kas izmanto trešo pušu maksājumu apstrādātājus vai e-pasta mārketinga platformas.
- Uzņēmumiem, kas izmanto mākoņu infrastruktūras pakalpojumu sniedzējus (IaaS, PaaS, SaaS).
- Tiešsaistes mārketinga aģentūrām, kas apstrādā klientu datus.
- Izstrādātājiem, kas veido lietojumprogrammas, kas apstrādā gala lietotāju personas datus, izmantojot ārējās API.
- Tīmekļa vietņu īpašniekiem, kas izmanto analītikas rīkus, CDN vai CRM sistēmas, kas apstrādā apmeklētāju datus.
Organizācijas, kas atrodas DACH tirgos, parasti sastaps AVV apzīmējumu; tās, kas darbojas starptautiski, biežāk saskarsies ar DPA. Abām organizāciju kategorijām ir vienādas juridiskās saistības.
Kas jāiekļauj AVV pret DPA?
Gan AVV, gan DPA jāietver tās pašas obligātās sastāvdaļas saskaņā ar GDPR 28. panta 3. punktu. Ja kādas no šīm klauzulām trūkst, līgums nav atbilstošs. [1]
| Nepieciešamā klauzula | Apraksts |
|---|---|
| Priekšmets un ilgums | Kādi dati tiek apstrādāti un cik ilgi |
| Daba un mērķis | Kāpēc un kā notiek apstrāde |
| Datu veidi un datu subjekti | Personas datu kategorijas un skartās personas |
| Kontroliera tiesības un pienākumi | Norādījumi, kurus apstrādātājam jāievēro |
| Drošības pasākumi | Tehniskie un organizatoriskie drošības pasākumi (TOM) |
| Apakšapstrādātāju nosacījumi | Noteikumi par apakšapstrādātāju iesaisti |
| Datu subjekta tiesību atbalsts | Atbalsts piekļuves, dzēšanas, pārnesamības pieprasījumiem |
| Pārkāpumu paziņošana | Apstrādātāja pienākums paziņot kontrolierim par incidentiem |
| Datu atgriešana vai dzēšana | Kas notiek ar datiem līguma beigās |
| Revīzijas tiesības | Kontroliera tiesības pārbaudīt atbilstību |
Malas gadījums: Ja piegādātāja veidne izslēdz revīzijas tiesības vai apakšapstrādātāju nosacījumus, neparakstiet to tādu, kāda tā ir. Šie ir neizdevīgi saskaņā ar 28. panta 3. punktu. [1]
Cik maksā AVV vai DPA izveide?
Izmaksas pilnībā atkarīgas no tā, vai jūs izmantojat piegādātāja standarta veidni vai pasūtāt pielāgotu juridisko izstrādi.
- Piegādātāja nodrošināta veidne (visbiežāk): Bezmaksas. Lielākā daļa lielo SaaS un mākoņu pakalpojumu sniedzēju publicē standarta AVV vai DPA, ko kontrolieri var pieņemt tiešsaistē vai caur klikšķu procesu.
- Pārrunāts pielāgots līgums: Juridiskās izmaksas parasti svārstās no 500 līdz 5000 eiro atkarībā no sarežģītības, jurisdikcijas un advokātu likmēm. Uzņēmumu līgumi ar ievērojamiem datu apjomiem vai jutīgām datu kategorijām ir augstākajā cenu diapazonā.
- Iekšējās veidnes izstrāde: Vienreizēja ieguldījuma izmaksas juridiskā padoma laikā, lai izveidotu atkārtoti izmantojamu veidni; turpmākās izmaksas ir minimālas.
Praktiska piezīme: Lielākajai daļai MVU un tīmekļa vietņu īpašnieku piegādātāja standarta veidne ir pietiekama. Pielāgota pārrunāšana ir pamatota, ja apstrāde ietver īpašas kategorijas datus (veselība, biometrija, finanses) vai ja kontrolieris uzņemas ievērojamu atbildību.
Kā AVV un DPA prasības atšķiras pēc valsts?
Saskaņā ar GDPR saturiskās prasības ir harmonizētas visās ES dalībvalstīs, tāpēc AVV un DPA pamat saturs ir identisks, neatkarīgi no tā, vai jūs atrodaties Berlīnē, Parīzē vai Varšavā. Tomēr pastāv nacionālas nianses:
- Vācija: BfDI un valsts līmeņa DPA ir izdevušas detalizētas vadlīnijas un modeļu klauzulas. Vācijas AVV bieži ietver detalizētāku tehnisko un organizatorisko pasākumu (TOM) dokumentāciju.
- Šveice: revFADP (stājies spēkā 2023. gada septembrī) nosaka papildu prasības, kas pārsniedz GDPR, tostarp specifiskas normas par datu pārsūtīšanu pāri robežām un datu pārkāpumu paziņošanas termiņiem.
- Lielbritānija (pēc Brexit): Lielbritānijas GDPR attiecas; DPA jānorāda uz Lielbritānijas ICO vadlīnijām, nevis ES uzraugošajām iestādēm. Standarta līguma klauzulas atšķiras no ES SCC.
- Citas ES dalībvalstis: GDPR 28. pants attiecas tieši; vietējās DPA vadlīnijas var papildināt, bet nevar samazināt minimālās prasības.
Izvēlieties valdības likuma klauzulu uzmanīgi. Vācijas likuma AVV un Īrijas likuma DPA var izskatīties līdzīgi, bet tos interpretēs dažādi tiesu un uzraugošie orgāni.
Vai varat izmantot AVV vietā DPA vai izmantot abus vienlaikus?
Jā, AVV var aizstāt DPA, jo tie ir juridiski ekvivalentas instrumenti. Uzņēmums, kas darbojas DACH un ne-DACH tirgos, var iekļaut abus terminus tajā pašā līguma virsrakstā (piemēram, "Datu apstrādes līgums / Auftragsverarbeitungsvertrag"), lai izvairītos no neskaidrībām, tas ir izplatīta prakse divvalodu uzņēmumu līgumos un ir pilnīgi pieļaujama.
Abu apzīmējumu vienlaicīga izmantošana nenodrošina divas atsevišķas juridiskas saistības. Tas vienkārši nodrošina, ka vācu un angļu valodā runājošās puses saprot, ka viņi skatās uz to pašu dokumentu.
Kādas ir biežākās kļūdas, izvēloties starp AVV un DPA?
Visnopietnākās kļūdas nav par to, kuru terminu izmantot, bet par to, kas līgumā ir iekļauts un vai tas vispār pastāv.
- Pilnīga līguma neievērošana, jo piegādātāja attiecība šķiet neformāla vai zema riska. Saskaņā ar GDPR pienākums tiek aktivizēts ar apstrādes aktu, nevis ar uztverto riska līmeni.
- Nepareiza veidnes pieņemšana, kas izslēdz apakšapstrādātāju klauzulas vai revīzijas tiesības, uzskatot, ka piegādātāja versija automātiski ir atbilstoša.
- DPA sajaukšana ar datu apmaiņas līgumu. DPA regulē apstrādātāju attiecības; datu apmaiņas līgums regulē kopīgu kontroliera vai kontroliera uz kontrolieri datu apmaiņu. Tie ir atšķirīgi instrumenti.
- Nepietiekama līgumu atjaunināšana, kad apstrādātājs iesaista jaunus apakšapstrādātājus vai maina apstrādes dabu.
- Pieņēmums, ka GDPR atbilstība attiecas uz Šveices likumu. Organizācijām ar Šveices datu subjektiem jānodrošina, ka to AVV arī atbilst revFADP prasībām.
Kādas ir juridiskās sekas, ja kļūdāties AVV pret DPA?
Nepareiza, nepilnīga līguma neesamība pakļauj gan kontrolierus, gan apstrādātājus regulējošai un civiltiesiskai atbildībai.
Saskaņā ar GDPR 83. panta 4. punktu, pārkāpumi 28. pantā (DPA/AVV prasība) var novest pie administratīviem sodiem līdz 10 miljoniem eiro vai 2% no globālajiem gada ieņēmumiem, atkarībā no tā, kura summa ir augstāka. Vācijas uzraugošās iestādes ir parādījušas gatavību izmeklēt un sodīt organizācijas par trūkstošiem vai nepietiekamiem apstrādes līgumiem.
Papildus naudassodiem sekas ietver:
- Uzraugošo iestāžu revīzijas un korektīvi rīkojumi.
- Iespējas neizpildīt līguma noteikumus pret neievērojošu apstrādātāju.
- Civiltiesiskā atbildība, ja notiek datu pārkāpums bez derīga līguma, kas dokumentē drošības pienākumus.
- Reputācijas bojājums B2B kontekstos, kur uzņēmumu klienti veic piegādātāju pārbaudi.
Kā jūs zināt, kurš līgums jūsu uzņēmumam patiešām nepieciešams?
Lēmums ir vienkāršs, kad jūs identificējat attiecības un jurisdikciju.
1. solis: Nosakiet, vai jūsu organizācija ir kontrolieris (jūs nosakāt, kāpēc un kā dati tiek apstrādāti) vai apstrādātājs (jūs apstrādājat datus pēc citu norādījumiem).
2. solis: Identificējiet pretējās puses valodu un jurisdikciju. Ja viņi atrodas DACH reģionā, sagaidiet AVV. Ja viņi atrodas citur, sagaidiet DPA.
3. solis: Pārliecinieties, ka jebkurš dokuments, ko saņemat, satur visus desmit obligātos elementus saskaņā ar 28. panta 3. punktu GDPR. [1]
4. solis: Ja jūsu organizācijai arī jānodrošina lietotāju piekrišana sīkdatnēm un izsekošanas tehnoloģijām, piekrišanas pārvaldības platforma, piemēram, Biscotti CMP, risina šo GDPR atbilstības slāni, bet tā darbojas blakus, nevis vietā pareizi izpildītam AVV vai DPA.
Lēmuma noteikums: Ja jūs apstrādājat personas datus cita organizācijas vārdā, jums nepieciešams DPA vai AVV neatkarīgi no tā, kā attiecības komerciāli tiek sauktas. Ja cita organizācija apstrādā datus jūsu vārdā, jūs esat atbildīgs par to, lai nodrošinātu, ka šis līgums ir noslēgts pirms apstrādes uzsākšanas.
Biežāk uzdotie jautājumi
Q: Vai AVV ir juridiski derīgs ārpus Vācijas? AVV ir juridiski derīgs visur, kur attiecas GDPR, ja tas atbilst 28. panta 3. punkta saturam. Vācu terminoloģija neierobežo tā izpildāmību citās ES jurisdikcijās.
Q: Vai DPA jāparaksta abām pusēm? Jā. GDPR 28. panta 9. punkts prasa, lai līgums būtu rakstveidā, kas ietver elektronisko formu. Gan kontrolierim, gan apstrādātājam jābūt saistītiem ar tā nosacījumiem.
Q: Vai piegādātāja tiešsaistes klikšķu DPA var apmierināt GDPR prasības? Jā, ja saturs atbilst 28. panta 3. punkta prasībām. Daudzi lielie mākoņu pakalpojumu sniedzēji piedāvā atbilstošus klikšķu DPA, kurus ir pārskatījušas uzraugošās iestādes.
Q: Kas ir apakšapstrādātājs un kāpēc tas ir svarīgi DPA vai AVV? Apakšapstrādātājs ir trešā puse, ko apstrādātājs iesaista apstrādes aktivitāšu veikšanai. DPA vai AVV jānorāda nosacījumi, saskaņā ar kuriem apakšapstrādātāji var tikt iesaistīti, tostarp kontroliera tiesības iebilst. [1]
Q: Vai man katru reizi, kad apstrādātājs atjaunina savu apakšapstrādātāju sarakstu, nepieciešams jauns AVV vai DPA? Ne obligāti. Daudzi līgumi ietver vispārēju atļauju apakšapstrādātāju izmaiņām, ja apstrādātājs paziņo kontrolierim un kontrolieris saglabā tiesības iebilst noteiktā laika periodā.
Q: Vai DPA aptver datu pārsūtīšanu ārpus ES? DPA regulē apstrādes attiecības, bet pati par sevi neautorizē pāri robežām notiekošas datu pārsūtīšanas. Atsevišķas pārsūtīšanas mehānismi (standarta līguma klauzulas, atbilstības lēmumi) ir nepieciešami pārsūtīšanai uz trešām valstīm.
Q: Cik ilgi jāglabā DPA vai AVV? Glabājiet līgumu apstrādes attiecību ilgumā un saprātīgā periodā pēc tam, parasti vismaz trīs līdz piecus gadus, lai pierādītu atbilstību uzraugošās iestādes izmeklēšanas gadījumā.
Q: Kāda ir atšķirība starp DPA un DPIA? DPA (Datu apstrādes līgums) ir līgums starp kontrolieri un apstrādātāju. DPIA (Datu aizsardzības ietekmes novērtējums) ir iekšējais riska novērtējums, kas nepieciešams augsta riska apstrādes aktivitātēm. Tie kalpo dažādiem mērķiem un neviens no tiem neaizvieto otru.
Q: Vai brīvmākslinieks vai maza aģentūra var tikt prasīta parakstīt AVV vai DPA? Jā. Pienākums attiecas neatkarīgi no apstrādātāja lieluma. Brīvmākslinieks, kas apstrādā klientu datus, ir apstrādātājs un jāparaksta DPA vai AVV ar katru klientu kontrolieri.
Q: Vai Biscotti CMP aizvieto nepieciešamību pēc DPA vai AVV? Nē. Biscotti CMP ir piekrišanas pārvaldības platforma, kas palīdz pārvaldīt lietotāju piekrišanu sīkdatnēm un izsekošanai, kas ir atsevišķa GDPR atbilstības prasība. DPA vai AVV joprojām ir nepieciešams jebkurai apstrādātāja attiecībai, kas ietver personas datus.
Secinājums
Jautājums par AVV pret DPA ātri atrisinās, kad jūs saprotat, ka abi termini apraksta to pašu juridiski prasīto instrumentu saskaņā ar GDPR 28. pantu. Patiesais izaicinājums nav izvēlēties starp tiem, bet gan nodrošināt, ka jebkurš dokuments, kas regulē jūsu apstrādātāja attiecības, satur katru obligāto klauzulu, ir pareizi izpildīts un tiek turēts aktuāls, kad apstrādes aktivitātes attīstās.
Rīcības soļi:
- Pārbaudiet visus pašreizējos piegādātāju attiecības, lai apstiprinātu, ka katram apstrādātājam, kas apstrādā personas datus jūsu vārdā, ir derīgs DPA vai AVV.
- Pārskatiet esošos līgumus, salīdzinot ar desmit obligātajām 28. panta 3. punkta GDPR prasībām, un pieprasiet grozījumus jebkurām nepilnībām. [1]
- Ja darbojas Šveicē, pārliecinieties, ka līgumi arī atbilst revFADP prasībām, kas pārsniedz GDPR pamata līmeni.
- Izveidojiet iekšēju procesu jaunu apstrādātāju iekļaušanai, pirms līguma parakstīšanas nedrīkst uzsākt apstrādi.
- Lai pārvaldītu piekrišanu un sīkdatņu atbilstību jūsu tīmekļa vietnē vai lietojumprogrammā, izvērtējiet Biscotti CMP kā daļu no jūsu plašākā GDPR atbilstības ietvara.
Datu aizsardzības atbilstība nav vienreizējs projekts. Līgumi jāizskata, kad apstrāde mainās, kad tiek pievienoti apakšapstrādātāji un kad regulatīvās vadlīnijas attīstās. Šī pārbaudes ritma iekļaušana jūsu atbilstības programmā ir vispraktiskākais aizsardzības līdzeklis pret regulējošo risku.
Atsauces
[1] Datu apstrādes līgums - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai