คำตอบสั้น ๆ: AVV (Auftragsverarbeitungsvertrag) และ DPA (Data Processing Agreement) หมายถึงสัญญาที่กฎหมายกำหนดเดียวกันภายใต้ GDPR มาตรา 28 โดยคำว่า AVV จะใช้ในเขตอำนาจ DACH ขณะที่ DPA เป็นคำที่ใช้ในภาษาอังกฤษซึ่งใช้ในประเทศสมาชิก EU อื่น ๆ และทั่วโลก ทั้งสองจะกำหนดวิธีที่ผู้ประมวลผลข้อมูลจัดการข้อมูลส่วนบุคคลในนามของผู้ควบคุม การเลือกกรอบที่ไม่ถูกต้องหรือการข้ามข้อตกลงทั้งหมดอาจทำให้องค์กรของคุณต้องเผชิญกับบทลงโทษทางกฎระเบียบที่สำคัญ
ประเด็นสำคัญ
- AVV เป็นตัวย่อภาษาเยอรมันสำหรับ Auftragsverarbeitungsvertrag; DPA ย่อมาจาก Data Processing Agreement ซึ่งเป็นเครื่องมือที่มีฟังก์ชันเดียวกันภายใต้ GDPR
- ข้อตกลงทั้งสองเป็นสิ่งที่จำเป็นตามมาตรา 28 ของ GDPR เมื่อใดก็ตามที่ผู้ควบคุมมีการจ้างผู้ประมวลผลให้จัดการข้อมูลส่วนบุคคล
- ความแตกต่างในคำศัพท์เป็นเรื่องภูมิภาค: AVV เป็นมาตรฐานในเยอรมนี ออสเตรีย และสวิตเซอร์แลนด์; DPA จะใช้ในบริบทที่พูดภาษาอังกฤษและประเทศสมาชิก EU อื่น ๆ
- ข้อตกลงที่ถูกต้องต้องครอบคลุมหัวข้อ ระยะเวลาการประมวลผล ประเภทข้อมูล สิทธิของเจ้าของข้อมูล เงื่อนไขของผู้ประมวลผลรอง มาตรการด้านความปลอดภัย และข้อกำหนดการตรวจสอบ [1]
- การไม่มีข้อตกลงที่ถูกต้องอาจส่งผลให้มีการสอบสวนจากหน่วยงานกำกับดูแล ปรับเงิน และข้อพิพาททางสัญญา
- ค่าใช้จ่ายในการดำเนินการอยู่ระหว่างศูนย์ (ใช้เทมเพลตมาตรฐานของผู้ขาย) ถึงหลายพันยูโรสำหรับการร่างกฎหมายที่กำหนดเอง
- ธุรกิจบางแห่งที่ดำเนินงานในตลาด DACH และตลาดนอก DACH ใช้คำทั้งสองในข้อตกลงเดียวกันเพื่อความชัดเจน
- แพลตฟอร์มการจัดการความยินยอม เช่น Biscotti CMP สามารถสนับสนุนการปฏิบัติตาม GDPR ที่กว้างขึ้นของคุณ แต่ไม่สามารถแทนที่ AVV หรือ DPA ที่ดำเนินการอย่างถูกต้องได้
AVV หมายถึงอะไรในด้านการปกป้องข้อมูล และมันเหมือนกับ DPA หรือไม่?
AVV ย่อมาจาก Auftragsverarbeitungsvertrag ซึ่งเป็นคำภาษาเยอรมันสำหรับ Data Processing Agreement ในแง่กฎหมายจริง AVV และ DPA เป็นเอกสารเดียวกัน ทั้งสองตอบสนองความต้องการที่กำหนดไว้ในมาตรา 28 ของ GDPR สำหรับสัญญาเป็นลายลักษณ์อักษรระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล [1]
ความแตกต่างนั้นเป็นเพียงทางภาษาและเขตอำนาจ ผู้ปฏิบัติงานด้านการปกป้องข้อมูลในเยอรมนี ออสเตรีย และสวิตเซอร์แลนด์ใช้ AVV เป็นคำมาตรฐานในสัญญา นโยบายความเป็นส่วนตัว และการสื่อสารด้านกฎระเบียบ ผู้ปฏิบัติงานที่พูดภาษาอังกฤษและประเทศสมาชิก EU อื่น ๆ ส่วนใหญ่ใช้ DPA เมื่อผู้ขาย SaaS ชาวเยอรมันเสนอ "AVV" ให้คุณ พวกเขากำลังเสนอเครื่องมือทางกฎหมายเดียวกันที่ผู้ขายในสหราชอาณาจักรจะเรียกว่า "DPA"
การชี้แจงที่สำคัญ: ไม่มีคำใดที่บ่งบอกถึงมาตรฐานทางกฎหมายที่แตกต่างกัน ทั้งสองต้องตอบสนองความต้องการเนื้อหาตามมาตรา 28(3) ของ GDPR เพื่อให้ถูกต้อง [1]
ความแตกต่างระหว่าง AVV และ DPA คืออะไร?
ความแตกต่างระหว่าง AVV และ DPA เป็นเรื่องของคำศัพท์ ไม่ใช่เนื้อหา ทั้งสองอธิบายถึงสัญญาที่กำหนดโดย GDPR มาตรา 28 ระหว่างผู้ควบคุมข้อมูล (หน่วยงานที่กำหนดวัตถุประสงค์และวิธีการประมวลผล) และผู้ประมวลผลข้อมูล (หน่วยงานที่ประมวลผลข้อมูลในนามของผู้ควบคุม)
ความแตกต่างที่แท้จริงอาจเกิดขึ้นใน สไตล์การร่างและแนวทางการกำกับดูแลในท้องถิ่น:
- หน่วยงานกำกับดูแลของเยอรมัน (Datenschutzbehörden) ได้เผยแพร่ข้อกำหนดและบันทึกแนวทางเฉพาะที่เอกสาร AVV มักจะรวมไว้
- DPA ที่ร่างในภาษาอังกฤษสำหรับเขตอำนาจของสหราชอาณาจักรหรือไอร์แลนด์อาจอ้างอิงถึงกฎหมายการดำเนินการระดับชาติควบคู่ไปกับ GDPR
- AVV ของสวิตเซอร์แลนด์ต้องคำนึงถึงพระราชบัญญัติการปกป้องข้อมูลแห่งสหพันธรัฐที่แก้ไข (revFADP) ซึ่งแตกต่างจาก GDPR ในบางประการ
สรุป: หากผู้ขายส่ง AVV ให้คุณและคุณต้องการ DPA คุณได้รับสิ่งที่คุณต้องการ ตราบใดที่เนื้อหาตรงตามความต้องการของมาตรา 28(3) [1]
เมื่อใดที่คุณต้องการ AVV กับ DPA?
คุณต้องการข้อตกลงใดข้อตกลงหนึ่งเมื่อใดก็ตามที่องค์กรของคุณแบ่งปันข้อมูลส่วนบุคคลกับผู้ให้บริการภายนอกที่ประมวลผลข้อมูลนั้นตามคำสั่งของคุณ ตัวกระตุ้นคือความสัมพันธ์ระหว่างผู้ควบคุมและผู้ประมวลผล ไม่ใช่ภาษาของสัญญา
ใช้ AVV เมื่อ:
- คู่สัญญาของคุณตั้งอยู่ในเยอรมนี ออสเตรีย หรือสวิตเซอร์แลนด์ และสัญญามาตรฐานของพวกเขาใช้คำศัพท์นั้น
- องค์กรของคุณดำเนินงานภายใต้กฎหมายการปกป้องข้อมูลของเยอรมนีและเทมเพลตภายในของคุณปฏิบัติตามแนวทางของ BfDI หรือ DPA ของรัฐ
ใช้ DPA เมื่อ:
- คู่สัญญาของคุณดำเนินงานในเขตอำนาจที่พูดภาษาอังกฤษหรือใช้ภาษาอังกฤษเป็นภาษาของสัญญา
- คุณกำลังทำสัญญากับผู้ให้บริการคลาวด์ที่ตั้งอยู่ในสหรัฐอเมริกา ผู้ขาย SaaS ในสหราชอาณาจักร หรือผู้ประมวลผลระหว่างประเทศใด ๆ ที่เทมเพลตของพวกเขาใช้คำว่า "DPA" เป็นค่าเริ่มต้น
ข้อผิดพลาดทั่วไป: สมมติว่าผู้ขายเรียกเอกสารของพวกเขาว่า AVV แทนที่จะเป็น DPA กฎทางกฎหมายที่แตกต่างกันจะใช้ การกำหนดเนื้อหานั้นเหมือนกันภายใต้ GDPR สิ่งที่สำคัญคือเนื้อหา ไม่ใช่ป้ายชื่อบนหน้าปก
ใครต้องการ AVV และใครต้องการ DPA?
องค์กรใด ๆ ที่มีคุณสมบัติเป็น ผู้ควบคุมข้อมูล ภายใต้ GDPR และมีการจ้างบุคคลที่สามให้ประมวลผลข้อมูลส่วนบุคคลในนามของตนต้องมีข้อตกลงใดข้อตกลงหนึ่ง ซึ่งรวมถึง:
- ธุรกิจอีคอมเมิร์ซที่ใช้ผู้ประมวลผลการชำระเงินของบุคคลที่สามหรือแพลตฟอร์มการตลาดทางอีเมล
- บริษัทที่ใช้ผู้ให้บริการโครงสร้างพื้นฐานคลาวด์ (IaaS, PaaS, SaaS)
- เอเจนซี่การตลาดออนไลน์ที่ประมวลผลข้อมูลลูกค้าของลูกค้า
- นักพัฒนาที่สร้างแอปพลิเคชันที่จัดการข้อมูลส่วนบุคคลของผู้ใช้ปลายทางผ่าน API ภายนอก
- เจ้าของเว็บไซต์ที่ใช้เครื่องมือวิเคราะห์ CDN หรือระบบ CRM ที่ประมวลผลข้อมูลผู้เยี่ยมชม
องค์กรที่ตั้งอยู่ในตลาด DACH มักจะพบกับป้าย AVV; องค์กรที่ดำเนินงานในระดับนานาชาติจะพบกับ DPA บ่อยกว่า ทั้งสองประเภทขององค์กรต้องเผชิญกับข้อผูกพันทางกฎหมายเดียวกัน
สิ่งที่ควรรวมอยู่ใน AVV กับ DPA คืออะไร?
ทั้ง AVV และ DPA ต้องมีองค์ประกอบที่จำเป็นเหมือนกันตาม GDPR มาตรา 28(3) การขาดข้อกำหนดใด ๆ จะทำให้ข้อตกลงไม่เป็นไปตามข้อกำหนด [1]
| Required Clause | Description |
|---|---|
| หัวข้อและระยะเวลา | ข้อมูลใดที่ถูกประมวลผลและนานเท่าใด |
| ลักษณะและวัตถุประสงค์ | ทำไมและอย่างไรการประมวลผลเกิดขึ้น |
| ประเภทข้อมูลและเจ้าของข้อมูล | หมวดหมู่ของข้อมูลส่วนบุคคลและบุคคลที่ได้รับผลกระทบ |
| สิทธิและข้อผูกพันของผู้ควบคุม | คำสั่งที่ผู้ประมวลผลต้องปฏิบัติตาม |
| มาตรการด้านความปลอดภัย | มาตรการด้านเทคนิคและการจัดการ (TOMs) |
| เงื่อนไขของผู้ประมวลผลรอง | กฎสำหรับการจ้างผู้ประมวลผลรอง |
| การช่วยเหลือสิทธิของเจ้าของข้อมูล | การสนับสนุนสำหรับการเข้าถึง การลบ การขอพกพา |
| การแจ้งเตือนการละเมิด | ข้อผูกพันของผู้ประมวลผลในการแจ้งผู้ควบคุมเกี่ยวกับเหตุการณ์ |
| การคืนข้อมูลหรือการลบ | จะเกิดอะไรขึ้นกับข้อมูลเมื่อสิ้นสุดสัญญา |
| สิทธิในการตรวจสอบ | สิทธิของผู้ควบคุมในการตรวจสอบการปฏิบัติตาม |
กรณีขอบเขต: หากเทมเพลตของผู้ขายขาดสิทธิในการตรวจสอบหรือเงื่อนไขของผู้ประมวลผลรอง อย่าลงนามในเอกสารนั้นตามที่เป็นอยู่ ข้อกำหนดเหล่านี้ไม่สามารถเจรจาได้ภายใต้มาตรา 28(3) [1]
ค่าใช้จ่ายในการตั้งค่า AVV หรือ DPA เท่าไหร่?
ค่าใช้จ่ายขึ้นอยู่กับว่าคุณใช้เทมเพลตมาตรฐานของผู้ขายหรือว่าจ้างการร่างกฎหมายที่กำหนดเอง
- เทมเพลตที่จัดเตรียมโดยผู้ขาย (ทั่วไปที่สุด): ฟรี ผู้ให้บริการ SaaS และคลาวด์รายใหญ่ส่วนใหญ่เผยแพร่ AVV หรือ DPA มาตรฐานที่ผู้ควบคุมสามารถยอมรับได้ทางออนไลน์หรือผ่านกระบวนการคลิกผ่าน
- ข้อตกลงที่เจรจาแบบกำหนดเอง: ค่าธรรมเนียมทางกฎหมายมักอยู่ระหว่าง 500 ถึง 5,000 ยูโร ขึ้นอยู่กับความซับซ้อน เขตอำนาจ และอัตราค่าธรรมเนียมของที่ปรึกษา สัญญาขององค์กรที่มีปริมาณข้อมูลมากหรือหมวดหมู่ข้อมูลที่ละเอียดอ่อนจะอยู่ที่ระดับสูงกว่า
- การพัฒนาเทมเพลตภายใน: การลงทุนครั้งเดียวของเวลาที่ปรึกษาทางกฎหมายในการสร้างเทมเพลตที่สามารถนำกลับมาใช้ใหม่ได้; ค่าใช้จ่ายที่ต่อเนื่องนั้นน้อยมาก
หมายเหตุเชิงปฏิบัติ: สำหรับ SMEs และเจ้าของเว็บไซต์ส่วนใหญ่ เทมเพลตมาตรฐานของผู้ขายนั้นเพียงพอ การเจรจาแบบกำหนดเองนั้นจำเป็นเมื่อการประมวลผลเกี่ยวข้องกับข้อมูลหมวดหมู่พิเศษ (สุขภาพ ชีวภาพ การเงิน) หรือเมื่อผู้ควบคุมมีความรับผิดชอบที่สำคัญ
ความต้องการ AVV และ DPA แตกต่างกันอย่างไรตามประเทศ?
ภายใต้ GDPR ข้อกำหนดสาระสำคัญได้รับการปรับให้สอดคล้องกันในประเทศสมาชิก EU ทั้งหมด ดังนั้นเนื้อหาหลักของ AVV และ DPA จะเหมือนกันไม่ว่าคุณจะอยู่ในเบอร์ลิน ปารีส หรือวอร์ซอ อย่างไรก็ตาม มีความแตกต่างในระดับชาติ:
- เยอรมนี: BfDI และ DPA ระดับรัฐได้ออกแนวทางและข้อกำหนดแบบจำลองที่ละเอียด ผู้ที่ใช้ AVV ในเยอรมนีมักจะรวมเอกสารเกี่ยวกับมาตรการทางเทคนิคและการจัดการ (TOMs) ที่ละเอียดมากขึ้น
- สวิตเซอร์แลนด์: revFADP (มีผลตั้งแต่กันยายน 2023) กำหนดข้อกำหนดเพิ่มเติมนอกเหนือจาก GDPR รวมถึงข้อกำหนดเฉพาะสำหรับการถ่ายโอนข้อมูลข้ามพรมแดนและระยะเวลาในการแจ้งเตือนการละเมิดข้อมูล
- สหราชอาณาจักร (หลัง Brexit): UK GDPR ใช้บังคับ; DPA ต้องอ้างอิงถึงแนวทางของ UK ICO แทนที่จะเป็นหน่วยงานกำกับดูแลของ EU ข้อกำหนดสัญญามาตรฐานจะแตกต่างจาก EU SCCs
- ประเทศสมาชิก EU อื่น ๆ: GDPR มาตรา 28 ใช้บังคับโดยตรง; แนวทาง DPA ในท้องถิ่นอาจเสริมแต่ไม่สามารถลดข้อกำหนดขั้นต่ำได้
เลือกข้อกำหนดกฎหมายอย่างระมัดระวัง AVV ตามกฎหมายเยอรมันและ DPA ตามกฎหมายไอร์แลนด์อาจดูคล้ายกัน แต่จะถูกตีความโดยศาลและหน่วยงานกำกับดูแลที่แตกต่างกัน
คุณสามารถใช้ AVV แทน DPA หรือใช้ทั้งสองอย่างพร้อมกันได้หรือไม่?
ใช่ AVV สามารถแทนที่ DPA ได้เนื่องจากเป็นเครื่องมือทางกฎหมายที่เทียบเท่า บริษัทที่ดำเนินงานในตลาด DACH และตลาดนอก DACH อาจรวมคำทั้งสองในหัวข้อสัญญาเดียวกัน (เช่น "Data Processing Agreement / Auftragsverarbeitungsvertrag") เพื่อหลีกเลี่ยงความสับสน ซึ่งเป็นแนวปฏิบัติทั่วไปในสัญญาองค์กรที่ใช้สองภาษาและเป็นสิ่งที่อนุญาตโดยสมบูรณ์
การใช้ป้ายชื่อทั้งสองพร้อมกันจะไม่สร้างข้อผูกพันทางกฎหมายที่แยกจากกัน มันเพียงแค่ทำให้แน่ใจว่าฝ่ายที่พูดภาษาเยอรมันและฝ่ายที่พูดภาษาอังกฤษเข้าใจว่าพวกเขากำลังดูเอกสารเดียวกัน
ข้อผิดพลาดทั่วไปเมื่อเลือกระหว่าง AVV และ DPA คืออะไร?
ข้อผิดพลาดที่สำคัญที่สุดไม่ได้เกี่ยวกับคำที่คุณใช้ แต่เกี่ยวกับสิ่งที่ข้อตกลงมีอยู่และว่ามันมีอยู่จริงหรือไม่
- ข้ามข้อตกลงทั้งหมด เพราะความสัมพันธ์กับผู้ขายรู้สึกไม่เป็นทางการหรือมีความเสี่ยงต่ำ ภายใต้ GDPR ข้อผูกพันจะถูกกระตุ้นจากการกระทำของการประมวลผล ไม่ใช่จากระดับความเสี่ยงที่รับรู้
- ยอมรับเทมเพลตที่ไม่สมบูรณ์ ที่ขาดข้อกำหนดของผู้ประมวลผลรองหรือสิทธิในการตรวจสอบ โดยเชื่อว่ารุ่นของผู้ขายนั้นเป็นไปตามข้อกำหนดโดยอัตโนมัติ
- สับสน DPA กับข้อตกลงการแบ่งปันข้อมูล DPA จะควบคุมความสัมพันธ์ของผู้ประมวลผล ข้อตกลงการแบ่งปันข้อมูลจะควบคุมการแลกเปลี่ยนข้อมูลระหว่างผู้ควบคุมร่วมกันหรือผู้ควบคุมถึงผู้ควบคุม ข้อกำหนดเหล่านี้เป็นเครื่องมือที่แตกต่างกัน
- ล้มเหลวในการปรับปรุงข้อตกลง เมื่อผู้ประมวลผลมีการจ้างผู้ประมวลผลรองใหม่หรือเปลี่ยนแปลงลักษณะการประมวลผล
- สมมติว่าการปฏิบัติตาม GDPR ครอบคลุมกฎหมายของสวิตเซอร์แลนด์ องค์กรที่มีเจ้าของข้อมูลชาวสวิสต้องมั่นใจว่าข้อตกลง AVV ของพวกเขายังต้องเป็นไปตามข้อกำหนดของ revFADP
ผลทางกฎหมายของการทำผิด AVV กับ DPA คืออะไร?
การไม่มีข้อตกลงที่ถูกต้องและสมบูรณ์จะทำให้ทั้งผู้ควบคุมและผู้ประมวลผลต้องเผชิญกับความรับผิดชอบทางกฎระเบียบและทางแพ่ง
ภายใต้ GDPR มาตรา 83(4) การละเมิดมาตรา 28 (ข้อกำหนด DPA/AVV) อาจส่งผลให้มีการปรับเงินทางปกครองสูงสุดถึง 10 ล้านยูโรหรือ 2% ของยอดขายประจำปีทั่วโลก ขึ้นอยู่กับว่าอย่างใดสูงกว่า หน่วยงานกำกับดูแลในเยอรมนีได้แสดงให้เห็นถึงความเต็มใจที่จะสอบสวนและปรับองค์กรที่ไม่มีข้อตกลงการประมวลผลที่ถูกต้องหรือไม่เพียงพอ
นอกเหนือจากการปรับแล้ว ผลที่ตามมายังรวมถึง:
- การตรวจสอบจากหน่วยงานกำกับดูแลและคำสั่งแก้ไข
- ความไม่สามารถบังคับใช้ข้อกำหนดในสัญญากับผู้ประมวลผลที่ไม่ปฏิบัติตาม
- ความรับผิดทางแพ่งหากเกิดการละเมิดข้อมูลโดยไม่มีข้อตกลงที่ถูกต้องซึ่งบันทึกข้อผูกพันด้านความปลอดภัย
- ความเสียหายต่อชื่อเสียงในบริบท B2B ที่ลูกค้าองค์กรดำเนินการตรวจสอบผู้ขาย
คุณจะรู้ได้อย่างไรว่าธุรกิจของคุณต้องการข้อตกลงใด?
การตัดสินใจนั้นตรงไปตรงมาหลังจากที่คุณระบุความสัมพันธ์และเขตอำนาจ
ขั้นตอนที่ 1: กำหนดว่าคุณเป็นผู้ควบคุม (คุณตัดสินใจว่าทำไมและอย่างไรข้อมูลจะถูกประมวลผล) หรือผู้ประมวลผล (คุณประมวลผลข้อมูลตามคำสั่งของผู้อื่น)
ขั้นตอนที่ 2: ระบุภาษาของคู่สัญญาของคุณ หากพวกเขาอยู่ในภูมิภาค DACH คาดหวังว่าจะมี AVV หากพวกเขาอยู่ที่อื่น คาดหวังว่าจะมี DPA
ขั้นตอนที่ 3: ตรวจสอบว่าเอกสารใด ๆ ที่คุณได้รับมีองค์ประกอบที่จำเป็นทั้งสิบประการตามมาตรา 28(3) ของ GDPR [1]
ขั้นตอนที่ 4: หากองค์กรของคุณต้องจัดการความยินยอมของผู้ใช้สำหรับคุกกี้และเทคโนโลยีการติดตาม แพลตฟอร์มการจัดการความยินยอมเช่น Biscotti CMP จะจัดการชั้นนั้นของการปฏิบัติตาม GDPR แต่จะทำงานร่วมกับ AVV หรือ DPA ที่ดำเนินการอย่างถูกต้อง ไม่ใช่แทนที่
กฎการตัดสินใจ: หากคุณประมวลผลข้อมูลส่วนบุคคลในนามขององค์กรอื่น คุณต้องมี DPA หรือ AVV ไม่ว่าความสัมพันธ์จะเรียกว่าอะไรในเชิงพาณิชย์ หากองค์กรอื่นประมวลผลข้อมูลในนามของคุณ คุณมีหน้าที่รับผิดชอบในการทำให้แน่ใจว่าข้อตกลงนั้นมีอยู่ก่อนที่การประมวลผลจะเริ่มขึ้น
FAQ
Q: AVV มีผลทางกฎหมายภายนอกเยอรมนีหรือไม่?
AVV มีผลทางกฎหมายที่ใดก็ได้ที่ GDPR ใช้บังคับ ตราบใดที่มันตรงตามข้อกำหนดเนื้อหาของมาตรา 28(3) คำศัพท์ภาษาเยอรมันไม่ได้จำกัดการบังคับใช้ในเขตอำนาจอื่น ๆ ของ EU
Q: DPA ต้องลงนามโดยทั้งสองฝ่ายหรือไม่?
ใช่ มาตรา 28(9) ของ GDPR กำหนดให้ข้อตกลงต้องเป็นลายลักษณ์อักษร ซึ่งรวมถึงรูปแบบอิเล็กทรอนิกส์ ทั้งผู้ควบคุมและผู้ประมวลผลต้องผูกพันตามข้อกำหนดของมัน
Q: DPA ที่คลิกผ่านออนไลน์ของผู้ขายสามารถตอบสนองความต้องการของ GDPR ได้หรือไม่?
ใช่ หากเนื้อหาตรงตามข้อกำหนดของมาตรา 28(3) ผู้ให้บริการคลาวด์รายใหญ่หลายรายเสนอ DPA ที่เป็นไปตามข้อกำหนดซึ่งได้รับการตรวจสอบโดยหน่วยงานกำกับดูแล
Q: ผู้ประมวลผลรองคืออะไร และทำไมมันถึงสำคัญใน DPA หรือ AVV?
ผู้ประมวลผลรองคือบุคคลที่สามที่ผู้ประมวลผลจ้างให้ดำเนินกิจกรรมการประมวลผล DPA หรือ AVV ต้องระบุเงื่อนไขที่ผู้ประมวลผลรองสามารถถูกจ้างได้ รวมถึงสิทธิของผู้ควบคุมในการคัดค้าน [1]
Q: ฉันต้องการ AVV หรือ DPA ใหม่ทุกครั้งที่ผู้ประมวลผลอัปเดตรายชื่อผู้ประมวลผลรองหรือไม่?
ไม่จำเป็น เท่าที่ข้อตกลงหลายฉบับรวมการอนุญาตทั่วไปสำหรับการเปลี่ยนแปลงผู้ประมวลผลรอง ตราบใดที่ผู้ประมวลผลแจ้งผู้ควบคุมและผู้ควบคุมยังคงมีสิทธิในการคัดค้านภายในระยะเวลาที่กำหนด
Q: DPA ครอบคลุมการถ่ายโอนข้อมูลนอก EU หรือไม่?
DPA จะควบคุมความสัมพันธ์ในการประมวลผล แต่ไม่อนุญาตให้มีการถ่ายโอนข้อมูลข้ามพรมแดนโดยอัตโนมัติ กลไกการถ่ายโอนแยกต่างหาก (Standard Contractual Clauses, การตัดสินความเหมาะสม) จะต้องใช้สำหรับการถ่ายโอนไปยังประเทศที่สาม
Q: ควรรักษา DPA หรือ AVV ไว้นานแค่ไหน?
เก็บรักษาข้อตกลงไว้ตลอดระยะเวลาของความสัมพันธ์ในการประมวลผลและเป็นระยะเวลาที่สมเหตุสมผลหลังจากนั้น โดยทั่วไปอย่างน้อยสามถึงห้าปี เพื่อแสดงให้เห็นถึงการปฏิบัติตามในกรณีที่มีการสอบสวนจากหน่วยงานกำกับดูแล
Q: ความแตกต่างระหว่าง DPA และ DPIA คืออะไร?
DPA (Data Processing Agreement) เป็นสัญญาระหว่างผู้ควบคุมและผู้ประมวลผล DPIA (Data Protection Impact Assessment) เป็นการประเมินความเสี่ยงภายในที่จำเป็นสำหรับกิจกรรมการประมวลผลที่มีความเสี่ยงสูง ทั้งสองมีวัตถุประสงค์ที่แตกต่างกันและไม่มีใครสามารถแทนที่อีกฝ่ายได้
Q: นักฟรีแลนซ์หรือหน่วยงานขนาดเล็กสามารถถูกบังคับให้ลงนามใน AVV หรือ DPA ได้หรือไม่?
ใช่ ข้อผูกพันนี้ใช้บังคับไม่ว่าขนาดของผู้ประมวลผลจะเป็นอย่างไร นักพัฒนาฟรีแลนซ์ที่จัดการข้อมูลลูกค้าของลูกค้าเป็นผู้ประมวลผลและต้องลงนามใน DPA หรือ AVV กับผู้ควบคุมแต่ละราย
Q: Biscotti CMP แทนที่ความต้องการสำหรับ DPA หรือ AVV หรือไม่?
ไม่ Biscotti CMP เป็นแพลตฟอร์มการจัดการความยินยอมที่ช่วยจัดการความยินยอมของผู้ใช้สำหรับคุกกี้และการติดตาม ซึ่งเป็นข้อกำหนดการปฏิบัติตาม GDPR ที่แยกต่างหาก DPA หรือ AVV ยังคงจำเป็นสำหรับความสัมพันธ์ของผู้ประมวลผลใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
บทสรุป
คำถามเกี่ยวกับ AVV กับ DPA จะถูกแก้ไขอย่างรวดเร็วเมื่อคุณตระหนักว่าทั้งสองคำอธิบายเครื่องมือทางกฎหมายที่จำเป็นเดียวกันภายใต้ GDPR มาตรา 28 ความท้าทายที่แท้จริงไม่ใช่การเลือกระหว่างพวกเขา แต่เป็นการทำให้แน่ใจว่าเอกสารใด ๆ ที่ควบคุมความสัมพันธ์ของผู้ประมวลผลของคุณมีข้อกำหนดที่จำเป็นทั้งหมด ดำเนินการอย่างถูกต้อง และได้รับการปรับปรุงให้ทันสมัยเมื่อกิจกรรมการประมวลผลพัฒนา
ขั้นตอนถัดไปที่สามารถดำเนินการได้:
- ตรวจสอบความสัมพันธ์กับผู้ขายทั้งหมดในปัจจุบันเพื่อยืนยันว่ามี DPA หรือ AVV ที่ถูกต้องสำหรับผู้ประมวลผลแต่ละรายที่จัดการข้อมูลส่วนบุคคลในนามของคุณ
- ตรวจสอบข้อตกลงที่มีอยู่กับสิบองค์ประกอบที่จำเป็นของมาตรา 28(3) ของ GDPR และขอแก้ไขสำหรับช่องว่างใด ๆ [1]
- หากดำเนินงานในสวิตเซอร์แลนด์ ให้ตรวจสอบว่าข้อตกลงยังเป็นไปตามข้อกำหนดของ revFADP นอกเหนือจากพื้นฐานของ GDPR
- กำหนดกระบวนการภายในสำหรับการจัดการผู้ประมวลผลใหม่ ไม่ควรเริ่มการประมวลผลก่อนที่ข้อตกลงจะถูกลงนาม
- สำหรับการจัดการความยินยอมและการปฏิบัติตามคุกกี้ในเว็บไซต์หรือแอปพลิเคชันของคุณ ให้ประเมิน Biscotti CMP เป็นส่วนหนึ่งของกรอบการปฏิบัติตาม GDPR ที่กว้างขึ้น
การปฏิบัติตามการปกป้องข้อมูลไม่ใช่โครงการครั้งเดียว ข้อตกลงต้องได้รับการตรวจสอบเมื่อมีการเปลี่ยนแปลงการประมวลผล เมื่อมีการเพิ่มผู้ประมวลผลรอง และเมื่อแนวทางการกำกับดูแลพัฒนา การสร้างจังหวะการตรวจสอบนั้นในโปรแกรมการปฏิบัติตามของคุณเป็นการป้องกันที่มีประสิทธิภาพที่สุดต่อการเปิดเผยทางกฎระเบียบ
เอกสารอ้างอิง
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai