Răspuns rapid: AVV (Auftragsverarbeitungsvertrag) și DPA (Data Processing Agreement) se referă la același contract legal cerut conform articolului 28 din GDPR, termenul german AVV fiind utilizat în jurisdicțiile din regiunea DACH, în timp ce DPA este echivalentul în limba engleză folosit în majoritatea celorlalte state membre ale UE și internațional. Ambele reglementează modul în care un procesator de date gestionează datele personale în numele unui operator. Alegerea cadrului greșit sau omisiunea completă a acordului poate expune organizația ta la penalități reglementare semnificative.
Puncte cheie
- AVV este abrevierea germană pentru Auftragsverarbeitungsvertrag; DPA înseamnă Data Processing Agreement, ele fiind funcțional același instrument conform GDPR.
- Ambele acorduri sunt obligatorii conform articolului 28 din GDPR ori de câte ori un operator angajează un procesator pentru a gestiona datele personale.
- Diferența de terminologie este regională: AVV este standard în Germania, Austria și Elveția; DPA este utilizat în contexte anglofone și în majoritatea celorlalte țări din UE.
- Un acord valid trebuie să acopere obiectul, durata procesării, categoriile de date, drepturile subiecților de date, condițiile sub-procesatorilor, măsurile de securitate și prevederile de audit. [1]
- Omiterea unui acord corect poate duce la investigații din partea autorităților de supraveghere, amenzi și dispute contractuale.
- Costul implementării variază de la zero (folosind un șablon standard al unui furnizor) la câteva mii de euro pentru redactare legală personalizată.
- Unele afaceri care operează în piețele DACH și non-DACH folosesc legitim ambele termeni în același acord pentru claritate.
- O platformă de gestionare a consimțământului, cum ar fi Biscotti CMP, poate sprijini postura ta mai largă de conformitate cu GDPR, dar nu înlocuiește un AVV sau DPA corect executat.
Ce înseamnă AVV în protecția datelor și este același lucru cu un DPA?
AVV înseamnă Auftragsverarbeitungsvertrag, termenul în limba germană pentru un Acord de Procesare a Datelor. În termeni legali practici, un AVV și un DPA sunt același document, ambele satisfăcând cerința stabilită în articolul 28 din GDPR pentru un contract scris între un operator de date și un procesator de date. [1]
Distincția este pur lingvistică și jurisdicțională. Practicienii în protecția datelor din Germania, Austria și Elveția folosesc AVV ca termen standard în contracte, politici de confidențialitate și corespondență reglementară. Practicienii vorbitori de engleză și majoritatea celorlalte state membre ale UE folosesc DPA. Când un furnizor german de SaaS îți oferă un "AVV", ei oferă același instrument legal pe care un furnizor din Marea Britanie l-ar numi "DPA".
Clarificare cheie: Niciun termen nu implică un standard legal diferit. Ambele trebuie să îndeplinească aceleași cerințe de conținut din articolul 28(3) din GDPR pentru a fi valide. [1]
Care este diferența dintre AVV și DPA?
Diferența dintre AVV și DPA este terminologică, nu substanțială. Ambele descriu contractul impus de articolul 28 din GDPR între un operator de date (entitatea care determină scopul și mijloacele de procesare) și un procesator de date (entitatea care procesează datele în numele operatorului).
Diferențele reale pot apărea în stilul de redactare și orientările reglementare locale:
- Autoritățile de supraveghere germane (Datenschutzbehörden) au publicat clauze șablon specifice și note de orientare pe care documentele AVV le încorporează adesea.
- DPA-urile redactate în limba engleză pentru jurisdicții din Marea Britanie sau Irlanda pot face referire la legislația națională de implementare alături de GDPR.
- AVV-urile elvețiene trebuie, de asemenea, să țină cont de Legea federală revizuită privind protecția datelor (revFADP), care se abate de la GDPR în anumite privințe.
Concluzie: Dacă un furnizor îți trimite un AVV și ai nevoie de un DPA, ai primit ceea ce ai nevoie, cu condiția ca conținutul să îndeplinească cerințele articolului 28(3). [1]
Când ai nevoie de un AVV vs. un DPA?
Ai nevoie de unul dintre aceste acorduri ori de câte ori organizația ta împărtășește date personale cu un furnizor de servicii terță parte care procesează acele date conform instrucțiunilor tale. Declanșatorul este relația operator-procesator, nu limba contractului.
Folosește un AVV când:
- Contrapartea ta este bazată în Germania, Austria sau Elveția și contractul lor standard folosește acea terminologie.
- Organizația ta operează conform legislației germane privind protecția datelor și șabloanele tale interne urmează orientările BfDI sau ale DPA-ului de stat.
Folosește un DPA când:
- Contrapartea ta operează într-o jurisdicție anglofonă sau folosește engleza ca limbă a contractului.
- Contractezi cu un furnizor de cloud din SUA, un furnizor de SaaS din Marea Britanie sau orice procesator internațional ale cărui șabloane se bazează pe "DPA".
Greșeală comună: Să presupui că, deoarece un furnizor își numește documentul AVV în loc de DPA, se aplică reguli legale diferite. Cerințele de conținut sunt identice conform GDPR. Ceea ce contează este substanța, nu eticheta de pe copertă.
Cine are nevoie de un AVV și cine are nevoie de un DPA?
Orice organizație care se califică drept operator de date conform GDPR și angajează o terță parte pentru a procesa date personale în numele său are nevoie de unul dintre aceste acorduri. Acest lucru se aplică:
- Afacerilor de comerț electronic care folosesc procesatori de plăți terță parte sau platforme de marketing prin e-mail.
- Întreprinderilor care folosesc furnizori de infrastructură cloud (IaaS, PaaS, SaaS).
- Agențiilor de marketing online care procesează datele clienților.
- Dezvoltatorilor care construiesc aplicații care gestionează datele personale ale utilizatorilor finali prin API-uri externe.
- Proprietarilor de site-uri web care folosesc instrumente de analiză, CDNs sau sisteme CRM care procesează datele vizitatorilor.
Organizațiile bazate în piețele DACH vor întâlni de obicei eticheta AVV; cele care operează internațional vor avea de-a face mai des cu DPA-uri. Ambele categorii de organizații se confruntă cu aceeași obligație legală.
Ce ar trebui să fie inclus într-un AVV vs. un DPA?
Atât un AVV, cât și un DPA trebuie să conțină aceleași elemente obligatorii conform articolului 28(3) din GDPR. Omiterea oricărei dintre aceste clauze face ca acordul să fie neconform. [1]
| Clauză necesară | Descriere |
|---|---|
| Obiectul și durata | Ce date sunt procesate și pentru cât timp |
| Natura și scopul | De ce și cum are loc procesarea |
| Tipuri de date și subiecți de date | Categorii de date personale și indivizi afectați |
| Drepturile și obligațiile operatorului | Instrucțiuni pe care procesatorul trebuie să le urmeze |
| Măsuri de securitate | Măsuri tehnice și organizatorice (TOMs) |
| Condiții pentru sub-procesatori | Reguli pentru angajarea procesatorilor secundari |
| Asistență pentru drepturile subiecților de date | Suport pentru cereri de acces, ștergere, portabilitate |
| Notificarea breșelor | Obligația procesatorului de a notifica operatorul despre incidente |
| Returnarea sau ștergerea datelor | Ce se întâmplă cu datele la finalizarea contractului |
| Drepturi de audit | Dreptul operatorului de a verifica conformitatea |
Caz special: Dacă șablonul unui furnizor omite drepturile de audit sau condițiile sub-procesatorilor, nu-l semna așa cum este. Acestea sunt non-negociabile conform articolului 28(3). [1]
Cât costă să configurezi un AVV sau un DPA?
Costul depinde în întregime de faptul dacă folosești un șablon standard al unui furnizor sau comisionezi redactarea legală personalizată.
- Șablon furnizat de furnizor (cel mai comun): Gratuit. Majoritatea furnizorilor majori de SaaS și cloud publică un AVV sau DPA standard pe care operatorii îl pot accepta online sau printr-un proces de click-through.
- Acord personalizat negociat: Onorariile legale variază de obicei între 500 și 5.000 de euro, în funcție de complexitate, jurisdicție și tarifele consilierilor. Contractele de întreprindere cu volume semnificative de date sau categorii de date sensibile se situează la capătul superior.
- Dezvoltarea unui șablon intern: O investiție unică de timp al consilierului legal pentru a crea un șablon reutilizabil; costul continuu este minim.
Notă practică: Pentru majoritatea IMM-urilor și proprietarilor de site-uri, șablonul standard al furnizorului este suficient. Negocierea personalizată este justificată atunci când procesarea implică date din categorii speciale (sănătate, biometrice, financiare) sau când operatorul suportă o expunere semnificativă la răspundere.
Cum diferă cerințele AVV și DPA în funcție de țară?
Conform GDPR, cerințele substanțiale sunt armonizate în toate statele membre ale UE, astfel că conținutul de bază al unui AVV și al unui DPA este identic, fie că te afli în Berlin, Paris sau Varșovia. Totuși, există nuanțe la nivel național:
- Germania: BfDI și DPA-urile la nivel de stat au emis orientări detaliate și clauze model. AVV-urile germane includ adesea documentație mai granulară privind măsurile tehnice și organizatorice (TOMs).
- Elveția: revFADP (în vigoare din septembrie 2023) impune cerințe suplimentare față de GDPR, inclusiv prevederi specifice pentru transferurile de date transfrontaliere și termenele de notificare a breșelor de date.
- Marea Britanie (după Brexit): Se aplică UK GDPR; DPA-urile trebuie să facă referire la orientările UK ICO, nu la autoritățile de supraveghere din UE. Clauzele contractuale standard diferă de SCC-urile din UE.
- Alte state membre ale UE: Articolul 28 din GDPR se aplică direct; orientările locale ale DPA-ului pot suplimenta, dar nu pot reduce cerințele minime.
Alege cu atenție clauza de lege aplicabilă. Un AVV conform legii germane și un DPA conform legii irlandeze pot părea similare, dar vor fi interpretate de instanțe și autorități de supraveghere diferite.
Poți folosi un AVV în loc de un DPA sau folosi ambele simultan?
Da, un AVV poate substitui un DPA deoarece sunt instrumente legale echivalente. O companie care operează în piețele DACH și non-DACH poate include ambele termeni în același antet de contract (de exemplu, "Acord de Procesare a Datelor / Auftragsverarbeitungsvertrag") pentru a evita confuzia, aceasta fiind o practică comună în contractele bilingve de întreprindere și este complet permisă.
Folosirea simultană a ambelor etichete nu creează două obligații legale separate. Asigură doar că părțile vorbitoare de germană și engleză înțeleg că privesc același document.
Care sunt greșelile comune atunci când alegi între AVV și DPA?
Cele mai consecvente greșeli nu țin de termenul pe care îl folosești, ci de ceea ce conține acordul și dacă acesta există sau nu.
- Omiterea completă a acordului deoarece o relație cu un furnizor pare informală sau cu risc scăzut. Conform GDPR, obligația este declanșată de actul de procesare, nu de nivelul de risc perceput.
- Acceptarea unui șablon incomplet care omite clauzele sub-procesatorilor sau drepturile de audit, crezând că versiunea furnizorului este automat conformă.
- Confuzia unui DPA cu un acord de partajare a datelor. Un DPA reglementează relațiile procesatorilor; un acord de partajare a datelor reglementează schimburile de date între operatori sau între operatori și procesatori. Acestea sunt instrumente diferite.
- Nerespectarea actualizării acordurilor atunci când un procesator angajează noi sub-procesatori sau schimbă natura procesării.
- Presupunerea că conformitatea cu GDPR acoperă legislația elvețiană. Organizațiile cu subiecți de date elvețieni trebuie să se asigure că AVV-ul lor satisface, de asemenea, cerințele revFADP.
Care sunt consecințele legale ale obținerii greșite a AVV vs. DPA?
Nerespectarea unui acord valid și complet expune atât operatorii, cât și procesatorii la răspundere reglementară și civilă.
Conform articolului 83(4) din GDPR, încălcările articolului 28 (cerința DPA/AVV) pot duce la amenzi administrative de până la 10 milioane de euro sau 2% din cifra de afaceri anuală globală, oricare dintre acestea este mai mare. Autoritățile de supraveghere din Germania au demonstrat disponibilitatea de a investiga și amenda organizațiile pentru lipsa sau deficiențele acordurilor de procesare.
Dincolo de amenzi, consecințele includ:
- Audite ale autorităților de supraveghere și ordine corective.
- Incapacitatea de a impune termenii contractuali împotriva unui procesator neconform.
- Expunerea la răspundere civilă dacă apare o breșă de date fără un acord valid care documentează obligațiile de securitate.
- Daune reputaționale în contexte B2B unde clienții de întreprindere efectuează diligența furnizorului.
Cum știi ce acord are nevoie afacerea ta?
Decizia este simplă odată ce identifici relația și jurisdicția.
Pasul 1: Determină dacă organizația ta este operatorul (decizi de ce și cum sunt procesate datele) sau procesatorul (procesezi datele conform instrucțiunilor altcuiva).
Pasul 2: Identifică limba și jurisdicția contrapartei tale. Dacă se află în regiunea DACH, așteaptă-te la un AVV. Dacă sunt în altă parte, așteaptă-te la un DPA.
Pasul 3: Verifică că documentul pe care îl primești conține toate cele zece elemente obligatorii conform articolului 28(3) din GDPR. [1]
Pasul 4: Dacă organizația ta trebuie, de asemenea, să gestioneze consimțământul utilizatorilor pentru cookie-uri și tehnologii de urmărire, o platformă de gestionare a consimțământului, cum ar fi Biscotti CMP, abordează acel strat de conformitate cu GDPR, dar funcționează alături, nu în locul unui AVV sau DPA corect executat.
Regula decizională: Dacă procesezi date personale în numele unei alte organizații, ai nevoie de un DPA sau AVV, indiferent de cum se numește comercial relația. Dacă o altă organizație procesează date în numele tău, ești responsabil pentru asigurarea că acel acord este în vigoare înainte de a începe procesarea.
Întrebări frecvente
Î: Este un AVV valid din punct de vedere legal în afara Germaniei?
Un AVV este valid din punct de vedere legal oriunde se aplică GDPR, cu condiția să îndeplinească cerințele de conținut din articolul 28(3). Terminologia germană nu limitează aplicabilitatea sa în alte jurisdicții din UE.
Î: Trebuie un DPA să fie semnat de ambele părți?
Da. Articolul 28(9) din GDPR cere ca acordul să fie în scris, ceea ce include forma electronică. Atât operatorul, cât și procesatorul trebuie să fie legați de termenii săi.
Î: Poate un DPA online, acceptat prin click, să satisfacă cerințele GDPR?
Da, dacă conținutul îndeplinește cerințele articolului 28(3). Mulți furnizori majori de cloud oferă DPA-uri conforme care au fost revizuite de autoritățile de supraveghere.
Î: Ce este un sub-procesator și de ce este important într-un DPA sau AVV?
Un sub-procesator este o terță parte angajată de procesator pentru a desfășura activități de procesare. DPA-ul sau AVV-ul trebuie să specifice condițiile în care sub-procesatorii pot fi angajați, inclusiv dreptul operatorului de a obiecta. [1]
Î: Am nevoie de un nou AVV sau DPA de fiecare dată când un procesator își actualizează lista de sub-procesatori?
Nu neapărat. Multe acorduri includ o autorizare generală pentru modificările sub-procesatorilor, cu condiția ca procesatorul să notifice operatorul și operatorul să păstreze dreptul de a obiecta într-o perioadă specificată.
Î: Acoperă un DPA transferurile de date în afara UE?
Un DPA reglementează relația de procesare, dar nu autorizează de la sine transferurile de date transfrontaliere. Mecanismele de transfer separate (Clauze Contractuale Standard, decizii de adecvare) sunt necesare pentru transferurile către țări terțe.
Î: Cât timp ar trebui să fie păstrat un DPA sau AVV?
Păstrează acordul pe durata relației de procesare și pentru o perioadă rezonabilă după aceea, de obicei cel puțin trei până la cinci ani, pentru a demonstra conformitatea în cazul unei anchete din partea autorității de supraveghere.
Î: Care este diferența dintre un DPA și un DPIA?
Un DPA (Acord de Procesare a Datelor) este un contract între operator și procesator. Un DPIA (Evaluarea Impactului asupra Protecției Datelor) este o evaluare internă a riscurilor necesară pentru activitățile de procesare cu risc ridicat. Ele servesc scopuri diferite și niciunul nu îl înlocuiește pe celălalt.
Î: Poate un freelancer sau o agenție mică fi obligată să semneze un AVV sau DPA?
Da. Obligația se aplică indiferent de dimensiunea procesatorului. Un dezvoltator freelancer care gestionează datele clienților este un procesator și trebuie să semneze un DPA sau AVV cu fiecare client operator.
Î: Înlocuiește Biscotti CMP necesitatea unui DPA sau AVV?
Nu. Biscotti CMP este o platformă de gestionare a consimțământului care ajută la gestionarea consimțământului utilizatorilor pentru cookie-uri și urmărire, o cerință separată de conformitate cu GDPR. Un DPA sau AVV este în continuare necesar pentru orice relație de procesare implicând date personale.
Concluzie
Întrebarea AVV vs. DPA se rezolvă rapid odată ce recunoști că ambele termeni descriu același instrument legal cerut conform articolului 28 din GDPR. Provocarea reală nu este alegerea între ele, ci asigurarea că documentul care reglementează relațiile tale cu procesatorii conține fiecare clauză obligatorie, este corect executat și este menținut actualizat pe măsură ce activitățile de procesare evoluează.
Pași acționabili:
- Auditează toate relațiile actuale cu furnizorii pentru a confirma că un DPA sau AVV valid este în vigoare pentru fiecare procesator care gestionează date personale în numele tău.
- Revizuiește acordurile existente în raport cu cele zece elemente obligatorii din articolul 28(3) GDPR și solicită modificări pentru orice lacune. [1]
- Dacă operezi în Elveția, verifică că acordurile satisfac, de asemenea, cerințele revFADP dincolo de baza GDPR.
- Stabilește un proces intern pentru integrarea noilor procesatori, nicio procesare nu ar trebui să înceapă înainte ca acordul să fie semnat.
- Pentru gestionarea consimțământului și conformitatea cu cookie-urile pe site-ul sau aplicația ta, evaluează Biscotti CMP ca parte a cadrului tău mai larg de conformitate cu GDPR.
Conformitatea cu protecția datelor nu este un proiect unic. Acordurile trebuie revizuite atunci când se schimbă procesarea, când se adaugă sub-procesatori și când orientările reglementare evoluează. Integrarea acestei frecvențe de revizuire în programul tău de conformitate este cea mai practică măsură de protecție împotriva expunerii reglementare.
Referințe
[1] Acord de Procesare a Datelor - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai