Brzi odgovor: AVV (Auftragsverarbeitungsvertrag) i DPA (Data Processing Agreement) se odnose na isti zakonski obavezni ugovor prema članu 28. GDPR-a, nemački termin AVV se koristi u jurisdikcijama DACH-regiona, dok je DPA engleski ekvivalent koji se koristi u većini drugih država članica EU i međunarodno. Obe reguliraju kako obrađivač podataka postupa sa ličnim podacima u ime rukovaoca. Odabir pogrešnog okvira ili potpuno izostavljanje ugovora može izložiti vašu organizaciju značajnim regulatornim kaznama.
Ključne tačke
- AVV je nemačka skraćenica za Auftragsverarbeitungsvertrag; DPA označava Data Processing Agreement, funkcionalno su isti instrument prema GDPR-u.
- Obe ugovore su obavezne prema članu 28. GDPR-a kada god rukovalac angažuje obrađivača da upravlja ličnim podacima.
- Razlika u terminologiji je regionalna: AVV je standard u Nemačkoj, Austriji i Švajcarskoj; DPA se koristi u engleskim i većini drugih EU konteksta.
- Važeći ugovor mora obuhvatiti predmet, trajanje obrade, kategorije podataka, prava subjekata podataka, uslove za pod-obrađivače, mere bezbednosti i odredbe o reviziji. [1]
- Neimanje ispravnog ugovora može rezultirati istragama nadležnih organa, kaznama i sporovima u vezi sa ugovorima.
- Troškovi implementacije kreću se od nule (korišćenje standardnog šablona dobavljača) do nekoliko hiljada evra za prilagođeno pravno sastavljanje.
- Neke kompanije koje posluju u DACH i ne-DACH tržištima legitimno koriste oba termina u istom ugovoru radi jasnoće.
- Platforma za upravljanje pristankom kao što je Biscotti CMP može podržati vašu širu usklađenost sa GDPR-om, ali ne zamenjuje pravilno izvršen AVV ili DPA.
Šta AVV znači u zaštiti podataka i da li je isto što i DPA?
AVV označava Auftragsverarbeitungsvertrag, nemački termin za Ugovor o obradi podataka. U praktičnim pravnim terminima, AVV i DPA su isti dokument, oba zadovoljavaju zahtev iz člana 28. GDPR-a za pisani ugovor između rukovaoca podacima i obrađivača podataka. [1]
Razlika je isključivo lingvistička i jurisdikcijska. Nemački, austrijski i švajcarski stručnjaci za zaštitu podataka koriste AVV kao standardni termin u ugovorima, politikama privatnosti i regulatornoj prepisci. Stručnjaci koji govore engleski i većina drugih država članica EU koriste DPA. Kada nemački SaaS dobavljač ponudi "AVV", oni nude isti pravni instrument koji bi dobavljač sa sedištem u Velikoj Britaniji nazvao "DPA".
Ključna razlika: Nijedan termin ne implicira drugačiji pravni standard. Obe moraju ispuniti iste zahteve sadržaja iz člana 28(3) GDPR-a da bi bile važeće. [1]
Koja je razlika između AVV i DPA?
Razlika između AVV i DPA je terminološka, a ne suštinska. Obe opisuju ugovor koji zahteva član 28. GDPR-a između rukovaoca podacima (entitet koji određuje svrhu i sredstva obrade) i obrađivača podacima (entitet koji obrađuje podatke u ime rukovaoca).
Gde se prave razlike mogu javiti je u stilu sastavljanja i lokalnim regulatornim smernicama:
- Nemački nadležni organi (Datenschutzbehörden) su objavili specifične šablonske klauzule i smernice koje AVV dokumenti često uključuju.
- DPA na engleskom jeziku sastavljeni za jurisdikcije u Velikoj Britaniji ili Irskoj mogu se pozivati na nacionalne implementacione propise pored GDPR-a.
- Švajcarski AVV-i takođe moraju uzeti u obzir revidirani Savezni zakon o zaštiti podataka (revFADP), koji se u određenim aspektima razlikuje od GDPR-a.
Zaključak: Ako vam dobavljač pošalje AVV, a vi trebate DPA, dobili ste ono što vam je potrebno, pod uslovom da sadržaj ispunjava zahteve člana 28(3). [1]
Kada vam je potreban AVV, a kada DPA?
Potrebna vam je jedna od ovih ugovora svaki put kada vaša organizacija deli lične podatke sa trećim pružateljem usluga koji obrađuje te podatke prema vašim uputstvima. Okidač je odnos rukovalac-obrađivač, a ne jezik ugovora.
Koristite AVV kada:
- Vaš partner se nalazi u Nemačkoj, Austriji ili Švajcarskoj i njihov standardni ugovor koristi tu terminologiju.
- Vaša organizacija posluje prema nemačkom zakonu o zaštiti podataka i vaši interni šabloni prate smernice BfDI ili državnog DPA.
Koristite DPA kada:
- Vaš partner posluje u jurisdikciji koja govori engleski ili koristi engleski kao jezik ugovora.
- Ugovarate sa provajderom u oblaku sa sedištem u SAD-u, SaaS dobavljačem iz Velike Britanije ili bilo kojim međunarodnim obrađivačem čiji šabloni podrazumevaju "DPA".
Uobičajena greška: Pretpostaviti da, zato što dobavljač naziva svoj dokument AVV umesto DPA, važe različita pravna pravila. Zahtevi sadržaja su identični prema GDPR-u. Ono što je važno je suština, a ne oznaka na naslovnoj strani.
Ko treba AVV, a ko DPA?
Svaka organizacija koja se kvalifikuje kao rukovalac podacima prema GDPR-u i angažuje treću stranu da obrađuje lične podatke u njeno ime treba jedan od ovih ugovora. To se odnosi na:
- E-trgovinske kompanije koje koriste treće strane za obradu plaćanja ili platforme za marketing putem e-pošte.
- Preduzeća koja koriste provajdere cloud infrastrukture (IaaS, PaaS, SaaS).
- Agencije za online marketing koje obrađuju podatke klijenata.
- Razvijače koji prave aplikacije koje obrađuju lične podatke krajnjih korisnika putem eksternih API-ja.
- Vlasnike veb sajtova koji koriste analitičke alate, CDN-ove ili CRM sisteme koji obrađuju podatke posetilaca.
Organizacije sa sedištem u DACH tržištima obično će se susresti sa oznakom AVV; one koje posluju međunarodno će češće imati posla sa DPA. Obe kategorije organizacija suočavaju se sa istom pravnom obavezom.
Šta treba da sadrži AVV, a šta DPA?
I AVV i DPA moraju sadržati iste obavezne elemente prema članu 28(3) GDPR-a. Nedostatak bilo koje od ovih klauzula čini ugovor neusklađenim. [1]
| Obavezna klauzula | Opis |
|---|---|
| Predmet i trajanje | Koji podaci se obrađuju i koliko dugo |
| Priroda i svrha | Zašto i kako se obrada vrši |
| Tipovi podataka i subjekti podataka | Kategorije ličnih podataka i pogođene osobe |
| Prava i obaveze rukovaoca | Uputstva koja obrađivač mora da prati |
| Mere bezbednosti | Tehničke i organizacione zaštite (TOMs) |
| Uslovi za pod-obrađivače | Pravila za angažovanje nižih obrađivača |
| Pomoć u pravima subjekata podataka | Podrška za zahteve za pristup, brisanje, prenos |
| Obaveštenje o povredi | Obaveza obrađivača da obavesti rukovaoca o incidentima |
| Vraćanje ili brisanje podataka | Šta se dešava sa podacima na kraju ugovora |
| Prava na reviziju | Pravo rukovaoca da proveri usklađenost |
Iznimka: Ako šablon dobavljača izostavlja prava na reviziju ili uslove za pod-obrađivače, ne potpisujte ga onako kako jeste. Ove klauzule su nepromenljive prema članu 28(3). [1]
Koliko košta postavljanje AVV ili DPA?
Trošak zavisi isključivo od toga da li koristite standardni šablon dobavljača ili naručujete prilagođeno pravno sastavljanje.
- Šablon koji pruža dobavljač (najčešće): Besplatno. Većina velikih SaaS i cloud provajdera objavljuje standardni AVV ili DPA koji rukovaoci mogu prihvatiti online ili putem procesa klika.
- Pregovarani prilagođeni ugovor: Pravni troškovi obično se kreću od 500 do 5.000 evra u zavisnosti od složenosti, jurisdikcije i tarifa advokata. Ugovori za preduzeća sa značajnim količinama podataka ili osetljivim kategorijama podataka su na višem kraju.
- Razvoj internog šablona: Jednokratna investicija vremena pravnog savetnika za kreiranje ponovo upotrebljivog šablona; tekući trošak je minimalan.
Praktična napomena: Za većinu malih i srednjih preduzeća i vlasnika veb sajtova, standardni šablon dobavljača je dovoljan. Prilagođena pregovaranja su opravdana kada obrada uključuje posebne kategorije podataka (zdravlje, biometrijski, finansijski) ili kada rukovalac snosi značajnu odgovornost.
Kako se zahtevi AVV i DPA razlikuju po zemljama?
Prema GDPR-u, suštinski zahtevi su usklađeni u svim državama članicama EU, tako da je osnovni sadržaj AVV i DPA identičan bez obzira na to da li ste u Berlinu, Parizu ili Varšavi. Međutim, postoje nacionalne nijanse:
- Nemačka: BfDI i državne DPA su objavili detaljne smernice i model klauzule. Nemački AVV često uključuju detaljniju dokumentaciju o tehničkim i organizacionim merama (TOMs).
- Švajcarska: revFADP (na snazi od septembra 2023.) nameće dodatne zahteve iznad GDPR-a, uključujući specifične odredbe za prekogranične prenose podataka i rokove za obaveštavanje o povredama podataka.
- Velika Britanija (posle Brexita): Primjenjuje se UK GDPR; DPA mora da se poziva na smernice UK ICO-a umesto na nadležna tela EU. Standardne ugovorne klauzule se razlikuju od EU SCC.
- Druge države članice EU: Član 28. GDPR-a se direktno primenjuje; lokalne DPA smernice mogu dopuniti, ali ne mogu smanjiti minimalne zahteve.
Pažljivo birajte klauzulu o važećem pravu. AVV prema nemačkom pravu i DPA prema irskom pravu mogu izgledati slično, ali će ih tumačiti različiti sudovi i nadležni organi.
Možete li koristiti AVV umesto DPA, ili koristiti oba istovremeno?
Da, AVV može zameniti DPA jer su to pravno ekvivalentni instrumenti. Kompanija koja posluje u DACH i ne-DACH tržištima može uključiti oba termina u isti naslov ugovora (npr. "Ugovor o obradi podataka / Auftragsverarbeitungsvertrag") kako bi izbegla konfuziju, što je uobičajena praksa u dvojezičnim preduzećima i potpuno je dozvoljeno.
Korišćenje oba naziva istovremeno ne stvara dve odvojene pravne obaveze. To jednostavno osigurava da nemačko- i englesko govoreće strane razumeju da gledaju isti dokument.
Koje su uobičajene greške prilikom izbora između AVV i DPA?
Najvažnije greške nisu u vezi sa tim koji termin koristite, već sa tim šta ugovor sadrži i da li uopšte postoji.
- Potpuno izostavljanje ugovora jer se odnos sa dobavljačem čini neformalnim ili niskorizičnim. Prema GDPR-u, obaveza se aktivira činom obrade, a ne percipiranim nivoom rizika.
- Prihvatanje nepotpunog šablona koji izostavlja klauzule o pod-obrađivačima ili pravima na reviziju, verujući da je verzija dobavljača automatski usklađena.
- Mešanje DPA sa ugovorom o deljenju podataka. DPA reguliše odnose sa obrađivačem; ugovor o deljenju podataka reguliše razmene podataka između zajedničkih rukovalaca ili rukovaoca do rukovaoca. To su različiti instrumenti.
- Ne ažuriranje ugovora kada obrađivač angažuje nove pod-obrađivače ili menja prirodu obrade.
- Pretpostavljanje da usklađenost sa GDPR-om pokriva švajcarski zakon. Organizacije sa švajcarskim subjektima podataka moraju osigurati da njihov AVV takođe zadovoljava zahteve revFADP.
Koje su pravne posledice greške u vezi sa AVV i DPA?
Neimanje važećeg, kompletnog ugovora izlaže i rukovaoce i obrađivače regulatornoj i građanskoj odgovornosti.
Prema članu 83(4) GDPR-a, kršenja člana 28 (zahtev za DPA/AVV) mogu rezultirati administrativnim kaznama do 10 miliona evra ili 2% globalnog godišnjeg prometa, u zavisnosti od toga šta je veće. Nadležni organi u Nemačkoj su pokazali spremnost da istražuju i kažnjavaju organizacije zbog nedostatka ili nedovoljnih ugovora o obradi.
Pored kazni, posledice uključuju:
- Revizije od strane nadležnih organa i korektivne naredbe.
- Nemogućnost sprovođenja ugovornih odredbi protiv neusklađenog obrađivača.
- Građansku odgovornost ako dođe do povrede podataka bez važećeg ugovora koji dokumentuje obaveze bezbednosti.
- Reputacionu štetu u B2B kontekstima gde preduzeća klijenti sprovode due diligence dobavljača.
Kako znati koji ugovor vašem preduzeću zapravo treba?
Odluka je jednostavna kada identifikujete odnos i jurisdikciju.
Korak 1: Utvrdite da li je vaša organizacija rukovalac (određujete zašto i kako se podaci obrađuju) ili obrađivač (obrađujete podatke prema uputstvima nekog drugog).
Korak 2: Identifikujte jezik i jurisdikciju vašeg partnera. Ako se nalaze u DACH regionu, očekujte AVV. Ako su negde drugde, očekujte DPA.
Korak 3: Proverite da li dokument koji primite sadrži svih deset obaveznih elemenata prema članu 28(3) GDPR-a. [1]
Korak 4: Ako vaša organizacija takođe treba da upravlja pristankom korisnika za kolačiće i tehnologije praćenja, platforma za upravljanje pristankom kao što je Biscotti CMP pokriva tu oblast usklađenosti sa GDPR-om, ali deluje uz, a ne umesto, pravilno izvršenog AVV ili DPA.
Pravilo odluke: Ako obrađujete lične podatke u ime druge organizacije, potrebni su vam DPA ili AVV bez obzira na to kako se komercijalno naziva odnos. Ako druga organizacija obrađuje podatke u vaše ime, vi ste odgovorni za osiguranje da je taj ugovor na snazi pre nego što obrada počne.
Česta pitanja
P: Da li je AVV pravno važeći van Nemačke?
AVV je pravno važeći svuda gde se primenjuje GDPR, pod uslovom da ispunjava zahteve sadržaja iz člana 28(3). Nemačka terminologija ne ograničava njegovu izvršivost u drugim jurisdikcijama EU.
P: Da li DPA treba da potpišu obe strane?
Da. Član 28(9) GDPR-a zahteva da ugovor bude u pisanom obliku, što uključuje elektronski oblik. I rukovalac i obrađivač moraju biti vezani njegovim odredbama.
P: Može li online DPA dobavljača koji se prihvata putem klika zadovoljiti zahteve GDPR-a?
Da, ako sadržaj ispunjava zahteve člana 28(3). Mnogi veliki provajderi u oblaku nude usklađene DPA koje su pregledali nadležni organi.
P: Šta je pod-obrađivač i zašto je to važno u DPA ili AVV?
Pod-obrađivač je treća strana koju angažuje obrađivač da izvrši aktivnosti obrade. DPA ili AVV moraju precizirati uslove pod kojima se pod-obrađivači mogu angažovati, uključujući pravo rukovaoca da se protivi. [1]
P: Da li mi je potreban novi AVV ili DPA svaki put kada obrađivač ažurira svoju listu pod-obrađivača?
Ne nužno. Mnogi ugovori uključuju opštu autorizaciju za promene pod-obrađivača, pod uslovom da obrađivač obavesti rukovaoca i da rukovalac zadrži pravo da se protivi u određenom roku.
P: Da li DPA pokriva prenose podataka van EU?
DPA reguliše odnos obrade, ali sama po sebi ne odobrava prekogranične prenose podataka. Potrebni su odvojeni mehanizmi prenosa (standardne ugovorne klauzule, odluke o adekvatnosti) za transfere u treće zemlje.
P: Koliko dugo treba čuvati DPA ili AVV?
Čuvajte ugovor tokom trajanja odnosa obrade i razumno vreme nakon toga, obično najmanje tri do pet godina, kako biste pokazali usklađenost u slučaju istrage nadležnog organa.
P: Koja je razlika između DPA i DPIA?
DPA (Ugovor o obradi podataka) je ugovor između rukovaoca i obrađivača. DPIA (Procena uticaja na zaštitu podataka) je interna procena rizika koja se zahteva za aktivnosti obrade visokog rizika. Oni služe različitim svrhama i nijedan ne zamenjuje drugi.
P: Može li slobodni radnik ili mala agencija biti obavezani da potpišu AVV ili DPA?
Da. Obaveza se primenjuje bez obzira na veličinu obrađivača. Freelance programer koji obrađuje podatke klijenata je obrađivač i mora potpisati DPA ili AVV sa svakim klijentom rukovaocem.
P: Da li Biscotti CMP zamenjuje potrebu za DPA ili AVV?
Ne. Biscotti CMP je platforma za upravljanje pristankom koja pomaže u upravljanju pristankom korisnika za kolačiće i praćenje, što je poseban zahtev za usklađenost sa GDPR-om. DPA ili AVV su i dalje potrebni za bilo koji odnos obrađivača koji uključuje lične podatke.
Zaključak
Pitanje AVV vs. DPA se brzo rešava kada prepoznate da oba termina opisuju isti zakonski obavezni instrument prema članu 28. GDPR-a. Pravi izazov nije izbor između njih, već osiguranje da bilo koji dokument koji reguliše vaše odnose sa obrađivačima sadrži svaku obaveznu klauzulu, da je pravilno izvršen i da se ažurira kako se aktivnosti obrade razvijaju.
Akcioni sledeći koraci:
- Proverite sve trenutne odnose sa dobavljačima kako biste potvrdili da je važeći DPA ili AVV na snazi za svakog obrađivača koji upravlja ličnim podacima u vaše ime.
- Pregledajte postojeće ugovore u odnosu na deset obaveznih elemenata člana 28(3) GDPR-a i zatražite izmene za bilo kakve praznine. [1]
- Ako poslujete u Švajcarskoj, proverite da li ugovori takođe zadovoljavaju zahteve revFADP iznad osnovnih zahteva GDPR-a.
- Uspostavite unutrašnji proces za angažovanje novih obrađivača, nijedna obrada ne bi trebala početi pre nego što je ugovor potpisan.
- Za upravljanje pristankom i usklađenost sa kolačićima na vašem veb sajtu ili aplikaciji, procenite Biscotti CMP kao deo vašeg šireg okvira usklađenosti sa GDPR-om.
Usklađenost sa zaštitom podataka nije jednokratni projekat. Ugovori treba da se pregledaju kada se obrada menja, kada se dodaju pod-obrađivači i kada se razvijaju regulatorne smernice. Uključivanje te revizije u vaš program usklađenosti je najpraktičnija zaštita od regulatorne izloženosti.
Reference
[1] Ugovor o obradi podataka - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai