Краткий ответ: AVV (Auftragsverarbeitungsvertrag) и DPA (Data Processing Agreement) относятся к одному и тому же юридически обязательному контракту в соответствии со статьей 28 GDPR. Немецкий термин AVV используется в юрисдикциях региона DACH, в то время как DPA является эквивалентом на английском языке, используемым в большинстве других государств-членов ЕС и за его пределами. Оба регулируют, как обработчик данных обрабатывает персональные данные от имени контроллера. Неправильный выбор формулировки или полное отсутствие соглашения может подвергнуть вашу организацию значительным штрафам со стороны регуляторов.
Основные выводы
- AVV — это немецкое сокращение для Auftragsverarbeitungsvertrag; DPA означает Data Processing Agreement, они функционально являются одним и тем же инструментом в соответствии с GDPR.
- Оба соглашения обязательны в соответствии со статьей 28 GDPR, когда контроллер привлекает обработчика для обработки персональных данных.
- Разница в терминологии является региональной: AVV является стандартом в Германии, Австрии и Швейцарии; DPA используется в англоязычных и большинстве других контекстов ЕС.
- Действительное соглашение должно охватывать предмет, срок обработки, категории данных, права субъектов данных, условия субобработчиков, меры безопасности и положения об аудите. [1]
- Отсутствие корректного соглашения может привести к расследованиям со стороны надзорных органов, штрафам и спорам по контрактам.
- Стоимость реализации варьируется от нуля (использование стандартного шаблона поставщика) до нескольких тысяч евро за индивидуальную юридическую разработку.
- Некоторые компании, работающие на рынках DACH и не DACH, законно используют оба термина в одном соглашении для ясности.
- Платформа управления согласиями, такая как Biscotti CMP, может поддержать вашу общую позицию по соблюдению GDPR, но не заменяет должным образом оформленный AVV или DPA.
Что означает AVV в защите данных, и является ли это тем же самым, что и DPA?
AVV означает Auftragsverarbeitungsvertrag, немецкий термин для соглашения об обработке данных. В практических юридических терминах AVV и DPA являются одним и тем же документом, оба удовлетворяют требованиям, изложенным в статье 28 GDPR, для письменного контракта между контроллером данных и обработчиком данных. [1]
Различие является чисто лексическим и юрисдикционным. Практики защиты данных в Германии, Австрии и Швейцарии используют AVV как стандартный термин в контрактах, политиках конфиденциальности и регуляторной переписке. Практики, говорящие на английском, и большинство других государств-членов ЕС используют DPA. Когда немецкий поставщик SaaS предлагает вам "AVV", он предлагает тот же юридический инструмент, который поставщик из Великобритании назвал бы "DPA".
Ключевое уточнение: Ни один из терминов не подразумевает другой юридический стандарт. Оба должны соответствовать одним и тем же требованиям содержания статьи 28(3) GDPR, чтобы быть действительными. [1]
В чем разница между AVV и DPA?
Разница между AVV и DPA является терминологической, а не содержательной. Оба описывают контракт, предписанный статьей 28 GDPR между контроллером данных (субъектом, который определяет цель и средства обработки) и обработчиком данных (субъектом, который обрабатывает данные от имени контроллера).
Где могут возникнуть реальные различия, так это в стиле составления и местных регуляторных рекомендациях:
- Немецкие надзорные органы (Datenschutzbehörden) опубликовали конкретные шаблонные положения и руководящие заметки, которые часто включаются в документы AVV.
- Англоязычные DPA, составленные для юрисдикций Великобритании или Ирландии, могут ссылаться на национальное законодательство, реализующее GDPR.
- Швейцарские AVV также должны учитывать пересмотренный Федеральный закон о защите данных (revFADP), который в некоторых аспектах отличается от GDPR.
Итог: Если поставщик отправляет вам AVV, а вам нужен DPA, вы получили то, что вам нужно, при условии, что содержание соответствует требованиям статьи 28(3). [1]
Когда вам нужен AVV, а когда DPA?
Вам нужно одно из этих соглашений всякий раз, когда ваша организация делится персональными данными с третьей стороной, которая обрабатывает эти данные по вашим указаниям. Триггером является отношение контроллера и обработчика, а не язык контракта.
Используйте AVV, когда:
- Ваша контрагент находится в Германии, Австрии или Швейцарии, и их стандартный контракт использует эту терминологию.
- Ваша собственная организация работает в соответствии с немецким законодательством о защите данных, и ваши внутренние шаблоны следуют рекомендациям BfDI или государственного DPA.
Используйте DPA, когда:
- Ваша контрагент работает в англоязычной юрисдикции или использует английский как язык контракта.
- Вы заключаете контракт с облачным провайдером, базирующимся в США, поставщиком SaaS из Великобритании или любым международным обработчиком, чьи шаблоны по умолчанию используют "DPA".
Распространенная ошибка: Предположение, что поскольку поставщик называет свой документ AVV, а не DPA, применяются разные юридические правила. Требования к содержанию идентичны в соответствии с GDPR. Важно содержание, а не ярлык на обложке.
Кто нуждается в AVV, а кто в DPA?
Любая организация, которая квалифицируется как контроллер данных в соответствии с GDPR и привлекает третью сторону для обработки персональных данных от своего имени, нуждается в одном из этих соглашений. Это относится к:
- Интернет-магазинам, использующим сторонние платежные системы или платформы email-маркетинга.
- Предприятиям, использующим облачные инфраструктурные провайдеры (IaaS, PaaS, SaaS).
- Онлайн-маркетинговым агентствам, обрабатывающим данные клиентов.
- Разработчикам, создающим приложения, которые обрабатывают персональные данные конечных пользователей через внешние API.
- Владельцам веб-сайтов, использующим аналитические инструменты, CDN или CRM-системы, которые обрабатывают данные посетителей.
Организации, базирующиеся на рынках DACH, обычно сталкиваются с термином AVV; те, кто работает на международном уровне, чаще имеют дело с DPA. Обе категории организаций сталкиваются с одной и той же юридической обязанностью.
Что должно быть включено в AVV и DPA?
И AVV, и DPA должны содержать одни и те же обязательные элементы в соответствии со статьей 28(3) GDPR. Отсутствие любого из этих положений делает соглашение несоответствующим. [1]
| Обязательный пункт | Описание |
|---|---|
| Предмет и срок | Какие данные обрабатываются и на какой срок |
| Природа и цель | Почему и как происходит обработка |
| Типы данных и субъекты данных | Категории персональных данных и затронутые лица |
| Права и обязательства контроллера | Указания, которые должен соблюдать обработчик |
| Меры безопасности | Технические и организационные меры защиты (TOMs) |
| Условия субобработчиков | Правила для привлечения последующих обработчиков |
| Помощь в правах субъектов данных | Поддержка для запросов на доступ, удаление, перенос |
| Уведомление о нарушениях | Обязанность обработчика уведомлять контроллера о происшествиях |
| Возврат или удаление данных | Что происходит с данными по окончании контракта |
| Права на аудит | Право контроллера проверять соблюдение |
Крайний случай: Если шаблон поставщика не включает права на аудит или условия субобработчиков, не подписывайте его как есть. Эти пункты не подлежат обсуждению в соответствии со статьей 28(3). [1]
Сколько стоит установить AVV или DPA?
Стоимость полностью зависит от того, используете ли вы стандартный шаблон поставщика или заказываете индивидуальную юридическую разработку.
- Шаблон, предоставленный поставщиком (наиболее распространенный): Бесплатно. Большинство крупных поставщиков SaaS и облачных услуг публикуют стандартный AVV или DPA, который контроллеры могут принять онлайн или через процесс клика.
- Переговоренное индивидуальное соглашение: Юридические расходы обычно варьируются от 500 до 5,000 евро в зависимости от сложности, юрисдикции и ставок юристов. Корпоративные контракты с значительными объемами данных или категориями чувствительных данных находятся на более высоком уровне.
- Разработка внутреннего шаблона: Одноразовые инвестиции времени юридического консультанта для создания повторно используемого шаблона; текущие расходы минимальны.
Практическое замечание: Для большинства малых и средних предприятий и владельцев веб-сайтов стандартный шаблон поставщика является достаточным. Индивидуальные переговоры оправданы, когда обработка включает данные специальной категории (здоровье, биометрические, финансовые) или когда контроллер несет значительные риски ответственности.
Как требования AVV и DPA различаются по странам?
В соответствии с GDPR, содержательные требования гармонизированы во всех государствах-членах ЕС, поэтому основное содержание AVV и DPA идентично, независимо от того, находитесь ли вы в Берлине, Париже или Варшаве. Однако существуют нюансы на национальном уровне:
- Германия: BfDI и государственные DPA выпустили подробные рекомендации и модельные положения. Немецкие AVV часто включают более детальную документацию по техническим и организационным мерам (TOMs).
- Швейцария: revFADP (вступает в силу в сентябре 2023 года) накладывает дополнительные требования, выходящие за рамки GDPR, включая конкретные положения для трансграничной передачи данных и сроки уведомления о нарушениях данных.
- Великобритания (после Brexit): Применяется UK GDPR; DPA должны ссылаться на рекомендации UK ICO, а не на надзорные органы ЕС. Стандартные контрактные положения отличаются от SCC ЕС.
- Другие государства-члены ЕС: Статья 28 GDPR применяется напрямую; местные рекомендации DPA могут дополнять, но не могут уменьшать минимальные требования.
Тщательно выбирайте пункт о применимом праве. AVV по немецкому праву и DPA по ирландскому праву могут выглядеть схоже, но будут интерпретироваться разными судами и надзорными органами.
Можете ли вы использовать AVV вместо DPA или использовать оба одновременно?
Да, AVV может заменить DPA, поскольку они являются юридически эквивалентными инструментами. Компания, работающая на рынках DACH и не DACH, может включать оба термина в одно и то же заглавие контракта (например, "Соглашение об обработке данных / Auftragsverarbeitungsvertrag"), чтобы избежать путаницы; это распространенная практика в двуязычных корпоративных контрактах и полностью допустимо.
Использование обоих ярлыков одновременно не создает двух отдельных юридических обязательств. Это просто гарантирует, что говорящие на немецком и английском языках стороны понимают, что они смотрят на один и тот же документ.
Каковы распространенные ошибки при выборе между AVV и DPA?
Наиболее значительные ошибки не связаны с тем, какой термин вы используете, а с тем, что содержится в соглашении и существует ли оно вообще.
- Полное игнорирование соглашения из-за того, что отношения с поставщиком кажутся неформальными или низкорисковыми. В соответствии с GDPR обязательство возникает в результате обработки, а не на основе воспринимаемого уровня риска.
- Принятие неполного шаблона, который пропускает положения о субобработчиках или правах на аудит, полагая, что версия поставщика автоматически соответствует требованиям.
- Смешивание DPA с соглашением о совместном использовании данных. DPA регулирует отношения с обработчиками; соглашение о совместном использовании данных регулирует обмен данными между совместными контроллерами или контроллером и контроллером. Это разные инструменты.
- Необновление соглашений при привлечении новых субобработчиков или изменении характера обработки.
- Предположение, что соблюдение GDPR охватывает швейцарское законодательство. Организации с швейцарскими субъектами данных должны убедиться, что их AVV также соответствует требованиям revFADP.
Каковы юридические последствия неправильного выбора между AVV и DPA?
Отсутствие действительного и полного соглашения подвергает как контроллеров, так и обработчиков риску регуляторной и гражданской ответственности.
В соответствии со статьей 83(4) GDPR, нарушения статьи 28 (требование DPA/AVV) могут привести к административным штрафам до 10 миллионов евро или 2% от глобального годового оборота, в зависимости от того, что больше. Надзорные органы в Германии продемонстрировали готовность расследовать и штрафовать организации за отсутствие или недостаточность соглашений об обработке.
Помимо штрафов, последствия включают:
- Аудиты со стороны надзорных органов и корректирующие предписания.
- Невозможность принудительно исполнять условия контракта против несоответствующего обработчика.
- Гражданская ответственность, если происходит утечка данных без действительного соглашения, документирующего обязательства по безопасности.
- Репутационные потери в B2B-контекстах, где корпоративные клиенты проводят проверку поставщиков.
Как узнать, какое соглашение на самом деле нужно вашему бизнесу?
Решение простое, как только вы определите отношения и юрисдикцию.
Шаг 1: Определите, является ли ваша организация контроллером (вы решаете, почему и как обрабатываются данные) или обработчиком (вы обрабатываете данные по указаниям другого лица).
Шаг 2: Определите язык и юрисдикцию вашего контрагента. Если они находятся в регионе DACH, ожидайте AVV. Если они находятся в другом месте, ожидайте DPA.
Шаг 3: Убедитесь, что любой документ, который вы получаете, содержит все десять обязательных элементов в соответствии со статьей 28(3) GDPR. [1]
Шаг 4: Если вашей организации также необходимо управлять согласием пользователей на использование файлов cookie и технологий отслеживания, платформа управления согласиями, такая как Biscotti CMP, решает этот уровень соблюдения GDPR, но она работает наряду с должным образом оформленным AVV или DPA, а не вместо них.
Правило принятия решения: Если вы обрабатываете персональные данные от имени другой организации, вам нужно DPA или AVV, независимо от того, как коммерчески называется это отношение. Если другая организация обрабатывает данные от вашего имени, вы несете ответственность за обеспечение наличия этого соглашения до начала обработки.
Часто задаваемые вопросы
В: Является ли AVV юридически действительным за пределами Германии?
AVV является юридически действительным везде, где применяется GDPR, при условии, что он соответствует требованиям содержания статьи 28(3). Немецкая терминология не ограничивает его исполнимость в других юрисдикциях ЕС.
В: Должен ли DPA быть подписан обеими сторонами?
Да. Статья 28(9) GDPR требует, чтобы соглашение было в письменной форме, что включает электронный формат. Оба контроллера и обработчика должны быть связаны его условиями.
В: Может ли онлайн DPA с кликом от поставщика удовлетворять требованиям GDPR?
Да, если содержание соответствует требованиям статьи 28(3). Многие крупные облачные провайдеры предлагают соответствующие DPA с кликом, которые были проверены надзорными органами.
В: Что такое субобработчик и почему это важно в DPA или AVV?
Субобработчик — это третья сторона, привлеченная обработчиком для выполнения операций по обработке. DPA или AVV должны указывать условия, при которых могут быть привлечены субобработчики, включая право контроллера возражать. [1]
В: Нужен ли мне новый AVV или DPA каждый раз, когда обработчик обновляет свой список субобработчиков?
Не обязательно. Многие соглашения включают общее разрешение на изменения субобработчиков, при условии, что обработчик уведомляет контроллера, а контроллер сохраняет право возражать в течение установленного срока.
В: Охватывает ли DPA трансферы данных за пределы ЕС?
DPA регулирует отношения по обработке, но сам по себе не уполномочивает трансферы данных за границу. Для трансферов в третьи страны требуются отдельные механизмы передачи (стандартные контрактные положения, решения о соответствии).
В: Как долго следует хранить DPA или AVV?
Сохраняйте соглашение на протяжении всего срока обработки и в разумный период после этого, обычно не менее трех-пяти лет, чтобы продемонстрировать соблюдение в случае запроса со стороны надзорного органа.
В: В чем разница между DPA и DPIA?
DPA (Соглашение об обработке данных) — это контракт между контроллером и обработчиком. DPIA (Оценка воздействия на защиту данных) — это внутренний анализ рисков, требуемый для высокорисковых операций обработки. Они служат разным целям и не могут заменять друг друга.
В: Может ли фрилансер или небольшое агентство быть обязано подписать AVV или DPA?
Да. Обязанность применяется независимо от размера обработчика. Фрилансер, обрабатывающий данные клиентов, является обработчиком и должен подписать DPA или AVV с каждым клиентом-контроллером.
В: Заменяет ли Biscotti CMP необходимость в DPA или AVV?
Нет. Biscotti CMP — это платформа управления согласиями, которая помогает управлять согласием пользователей на использование файлов cookie и отслеживание, что является отдельным требованием соблюдения GDPR. DPA или AVV все еще требуются для любых отношений с обработчиками, связанными с персональными данными.
Заключение
Вопрос AVV против DPA быстро решается, как только вы осознаете, что оба термина описывают один и тот же юридически обязательный инструмент в соответствии со статьей 28 GDPR. Реальная проблема заключается не в выборе между ними, а в том, чтобы убедиться, что любой документ, регулирующий ваши отношения с обработчиками, содержит все обязательные пункты, должным образом оформлен и актуален по мере изменения операций обработки.
Практические следующие шаги:
- Проведите аудит всех текущих отношений с поставщиками, чтобы подтвердить наличие действительного DPA или AVV для каждого обработчика, обрабатывающего персональные данные от вашего имени.
- Проверьте существующие соглашения на соответствие десяти обязательным элементам статьи 28(3) GDPR и запросите изменения для устранения любых пробелов. [1]
- Если вы работаете в Швейцарии, убедитесь, что соглашения также соответствуют требованиям revFADP, выходящим за рамки базовых требований GDPR.
- Установите внутренний процесс для привлечения новых обработчиков; никакая обработка не должна начинаться до подписания соглашения.
- Для управления согласием и соблюдения требований по файлам cookie на вашем веб-сайте или в приложении оцените Biscotti CMP как часть вашей более широкой структуры соблюдения GDPR.
Соблюдение защиты данных — это не одноразовый проект. Соглашения необходимо пересматривать при изменении обработки, при добавлении субобработчиков и при изменении регуляторных рекомендаций. Внедрение этой процедуры пересмотра в вашу программу соблюдения является наиболее практической защитой от регуляторного воздействия.
Ссылки
[1] Соглашение об обработке данных - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai