คำตอบสั้น ๆ: AVV (Auftragsverarbeitungsvertrag) คือสัญญาที่กฎหมายกำหนดภายใต้ GDPR มาตรา 28 ระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล องค์กรใด ๆ ที่ประมวลผลข้อมูลส่วนบุคคลในนามของอีกฝ่ายต้องมี AVV หากดำเนินการโดยไม่มี AVV จะทำให้ทั้งสองฝ่ายเสี่ยงต่อการถูกปรับสูงสุดถึง 20 ล้านยูโรหรือ 4% ของยอดขายรวมทั่วโลกต่อปี ขึ้นอยู่กับว่าจำนวนใดสูงกว่า
ข้อสรุปสำคัญ
- AVV คือคำภาษาเยอรมันสำหรับ Data Processing Agreement (DPA) ซึ่งเป็นสิ่งที่จำเป็นภายใต้ GDPR มาตรา 28 เมื่อใดก็ตามที่ผู้ประมวลผลจัดการข้อมูลส่วนบุคคลสำหรับผู้ควบคุม
- ข้อตกลงต้องระบุเรื่องที่เกี่ยวข้อง วัตถุประสงค์ ระยะเวลา ประเภทข้อมูล มาตรการทางเทคนิคและองค์กร (TOMs) และกฎเกี่ยวกับผู้ประมวลผลรอง
- การไม่มี AVV ที่ถูกต้องอาจส่งผลให้มีการปรับจากหน่วยงานกำกับดูแลไม่ว่าจะมีการละเมิดข้อมูลเกิดขึ้นหรือไม่
- ธุรกิจขนาดเล็กไม่ได้รับการยกเว้น: การโฮสต์คลาวด์ ซอฟต์แวร์การจ่ายเงินเดือน และเครื่องมือการตลาดทางอีเมลมักจะกระตุ้นให้ต้องมี AVV
- AVV เป็นสัญญาระหว่างสองฝ่าย ไม่ใช่ประกาศความเป็นส่วนตัว และไม่ได้ดำเนินการมาตรการรักษาความปลอดภัยเช่นการเข้ารหัส
- AVV ควรได้รับการตรวจสอบเมื่อมีการเปลี่ยนแปลงผู้ประมวลผลรอง การโอนข้อมูลไปยังประเทศที่สาม หรือกิจกรรมการประมวลผลมีการเปลี่ยนแปลง
- ในภูมิภาค DACH (เยอรมนี ออสเตรีย สวิตเซอร์แลนด์) AVV เป็นแนวปฏิบัติมาตรฐานกับผู้ให้บริการ SaaS ผู้ให้บริการโฮสติ้ง และระบบ ERP
- มีเทมเพลตจากองค์กรด้านการปฏิบัติตามกฎระเบียบและผู้ขาย แต่การปรับแต่งให้สะท้อนถึงกิจกรรมการประมวลผลจริงเป็นสิ่งสำคัญ
AVV ย่อมาจากอะไรในด้านการประมวลผลข้อมูล?
AVV ย่อมาจาก Auftragsverarbeitungsvertrag ซึ่งเป็นคำผสมภาษาเยอรมันที่แปลตรงตัวว่า "ข้อตกลงการประมวลผลข้อมูล" ในภาษาอังกฤษ มันเป็นเครื่องมือทางสัญญาที่กฎหมายกำหนดโดยมาตรา 28 ของ GDPR เพื่อควบคุมความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล
คำนี้เฉพาะเจาะจงสำหรับเขตอำนาจศาลที่พูดภาษาเยอรมัน (เยอรมนี ออสเตรีย และสวิตเซอร์แลนด์) แต่แนวคิดทางกฎหมายที่อยู่เบื้องหลังใช้ได้ทั่วทั้งสหภาพยุโรปและ EEA ในบริบทภาษาอังกฤษ เอกสารเดียวกันนี้เรียกว่า Data Processing Agreement (DPA) องค์กรที่ดำเนินงานในระดับนานาชาติควรตรวจสอบให้แน่ใจว่า AVV ของพวกเขามีอยู่ในภาษาที่เกี่ยวข้องเพื่ออำนวยความสะดวกในการเข้าใจและการปฏิบัติตาม [5]
AVV ไม่ใช่นโยบายความเป็นส่วนตัวหรือตัวแจ้งการยินยอมคุกกี้ มันเป็นสัญญาที่มีผลผูกพันระหว่างสองฝ่ายที่กำหนดว่าผู้ประมวลผลสามารถจัดการข้อมูลส่วนบุคคลได้อย่างไร ภายใต้เงื่อนไขใด และด้วยมาตรการป้องกันอะไรบ้าง
ทำไมผู้ประมวลผลข้อมูลจึงต้องมี AVV?
AVV เป็นสิ่งที่จำเป็นเมื่อใดก็ตามที่ผู้ควบคุมข้อมูลมีการจ้างผู้ประมวลผลให้จัดการข้อมูลส่วนบุคคลในนามของตน นี่ไม่ใช่คำแนะนำที่เลือกได้ แต่เป็นข้อกำหนดทางกฎหมายที่เข้มงวดภายใต้ GDPR มาตรา 28 [1]
สถานการณ์ทั่วไปที่กระตุ้นให้ต้องมี AVV ได้แก่:
- การโฮสต์คลาวด์และโครงสร้างพื้นฐาน (เช่น เซิร์ฟเวอร์ที่เก็บฐานข้อมูลลูกค้า)
- การประมวลผลเงินเดือน ที่ดำเนินการโดยผู้ให้บริการ HR ของบุคคลที่สาม
- แพลตฟอร์มการตลาดทางอีเมล ที่เก็บรายชื่อผู้สมัคร
- ผู้ขาย SaaS ERP ที่เข้าถึงข้อมูลธุรกิจและพนักงาน
- เครื่องมือวิเคราะห์และติดตาม ที่ประมวลผลข้อมูลพฤติกรรมของผู้เข้าชม
หากไม่มี AVV ทั้งสองฝ่ายจะไม่มีฐานทางกฎหมายที่บันทึกไว้สำหรับความสัมพันธ์การประมวลผล หน่วยงานกำกับดูแลถือว่าการขาด AVV เป็นการละเมิดการปฏิบัติตามกฎระเบียบโดยเฉพาะ โดยแยกออกจากการสอบสวนการละเมิดข้อมูล [3]
AVV กับ DPA เหมือนกันหรือไม่?
ใช่ AVV และ DPA หมายถึงเอกสารทางกฎหมายเดียวกัน AVV เป็นคำภาษาเยอรมัน ในขณะที่ DPA เป็นคำภาษาอังกฤษที่ใช้ในประเทศสมาชิก EU อื่น ๆ และในบริบทการปฏิบัติตามกฎระเบียบระหว่างประเทศ [5]
เอกสารทั้งสองต้องปฏิบัติตามข้อกำหนดของ GDPR มาตรา 28 และต้องมีองค์ประกอบที่จำเป็นเหมือนกัน หากบริษัทเยอรมันลงนามใน DPA กับผู้ขาย SaaS ที่ตั้งอยู่ในสหรัฐอเมริกา DPA นั้นจะทำหน้าที่เป็น AVV สำหรับวัตถุประสงค์ในการปฏิบัติตาม GDPR ตราบใดที่มันตรงตามข้อกำหนดที่สำคัญทั้งหมด
ความแตกต่างที่สำคัญที่ต้องจำ: ชื่อที่ปรากฏบนเอกสารมีความสำคัญน้อยกว่าความหมายของเนื้อหา เอกสารที่มีชื่อว่า "Data Processing Addendum," "Processing Agreement," หรือ "AVV" มีความเท่าเทียมกันทางกฎหมายตราบใดที่มันครอบคลุมทุกองค์ประกอบที่จำเป็น
ใครต้องการ AVV สำหรับการปฏิบัติตาม GDPR?
องค์กรใด ๆ ที่เป็นผู้ควบคุมข้อมูลและใช้บริการจากบุคคลที่สามที่ประมวลผลข้อมูลส่วนบุคคลในนามของตนต้องมี AVV สิ่งนี้ใช้ได้กับธุรกิจทุกขนาดในทุกอุตสาหกรรม [1]
ผู้ควบคุมที่มักต้องการ AVVs:
| สถานการณ์ | ผู้ควบคุม | ผู้ประมวลผล |
|---|---|---|
| บริษัทใช้คลาวด์ CRM | ธุรกิจ | ผู้ขาย CRM |
| เว็บไซต์ใช้การวิเคราะห์ | เจ้าของเว็บไซต์ | ผู้ให้บริการการวิเคราะห์ |
| HR จ้างงานการจ่ายเงินเดือน | นายจ้าง | สำนักงานการจ่ายเงินเดือน |
| ร้านค้าออนไลน์ใช้เครื่องมืออีเมล | ผู้ค้าปลีก | แพลตฟอร์มอีเมล |
| เอเจนซี่จัดการโฆษณาของลูกค้า | เอเจนซี่ | แพลตฟอร์มเทคโนโลยีโฆษณา |
ใครไม่ใช่ผู้ประมวลผล: ฝ่ายที่กำหนดวัตถุประสงค์และวิธีการประมวลผลอย่างอิสระถือเป็นผู้ควบคุมในสิทธิของตนเอง ไม่ใช่ผู้ประมวลผล ผู้ควบคุมร่วมต้องการข้อตกลงประเภทอื่นภายใต้ GDPR มาตรา 26
ธุรกิจขนาดเล็กมักมองข้ามข้อกำหนดนี้ โดยคิดว่ามันใช้ได้เฉพาะกับองค์กรขนาดใหญ่ ความคิดนั้นไม่ถูกต้อง เจ้าของเว็บไซต์ใด ๆ ที่ใช้ผู้ให้บริการโฮสติ้งจากบุคคลที่สาม บริการจดหมายข่าว หรือระบบการจองมักจะต้องมี AVV อย่างน้อยหนึ่งฉบับ [5]
สิ่งที่ควรรวมอยู่ใน AVV?
AVV ที่ปฏิบัติตามต้องมีองค์ประกอบที่จำเป็นเฉพาะ หากขาดแม้แต่หนึ่งองค์ประกอบก็อาจทำให้ข้อตกลงไม่เพียงพอภายใต้การตรวจสอบของ GDPR [2]
องค์ประกอบที่จำเป็น:
- เรื่องที่เกี่ยวข้องและระยะเวลาของการประมวลผล
- ลักษณะและวัตถุประสงค์ของการประมวลผล
- ประเภทของข้อมูลส่วนบุคคลและหมวดหมู่ของผู้ที่เกี่ยวข้อง
- ข้อผูกพันและสิทธิของผู้ควบคุม
- มาตรการทางเทคนิคและองค์กร (TOMs) ที่ผู้ประมวลผลดำเนินการ
- กฎ governing การมีส่วนร่วมของผู้ประมวลผลรอง
- ขั้นตอนสำหรับคำขอสิทธิของผู้ที่เกี่ยวข้อง
- ข้อผูกพันในการแจ้งเตือนการละเมิดข้อมูล
- การคืนหรือการลบข้อมูลเมื่อสัญญาสิ้นสุด
- สิทธิในการตรวจสอบสำหรับผู้ควบคุม
ส่วน TOMs มีความสำคัญเป็นพิเศษ แม้ว่า AVV เองจะไม่ได้ดำเนินการมาตรการรักษาความปลอดภัย แต่ต้องมีการบันทึกว่าผู้ประมวลผลมีมาตรการอะไรบ้าง เช่น มาตรฐานการเข้ารหัส การควบคุมการเข้าถึง และแนวทางการทำให้ข้อมูลเป็นนามธรรม [1]
จะเกิดอะไรขึ้นหากคุณไม่มี AVV?
การดำเนินการโดยไม่มี AVV ที่ถูกต้องทำให้ทั้งผู้ควบคุมและผู้ประมวลผลเสี่ยงต่อการถูกลงโทษทางกฎหมายอย่างมีนัยสำคัญ ภายใต้ GDPR มาตรา 83(4) โทษปรับสำหรับการละเมิดมาตรา 28 อาจสูงถึง 10 ล้านยูโรหรือ 2% ของยอดขายรวมทั่วโลกต่อปี และภายใต้มาตรา 83(5) สำหรับการละเมิดที่ร้ายแรงกว่านั้น อาจสูงถึง 20 ล้านยูโรหรือ 4% ของยอดขายรวมทั่วโลกต่อปี ขึ้นอยู่กับว่าจำนวนใดสูงกว่า [3]
อย่างสำคัญ โทษปรับเหล่านี้สามารถถูกกำหนดได้ไม่ว่าจะมีการละเมิดข้อมูลเกิดขึ้นหรือไม่ หน่วยงานกำกับดูแลที่ดำเนินการตรวจสอบตามปกติหรือที่ตอบสนองต่อการร้องเรียนสามารถระบุการขาด AVV และออกโทษปรับเพียงแค่บนพื้นฐานนี้
ผลกระทบเพิ่มเติมรวมถึง:
- ความเสียหายต่อชื่อเสียงและการสูญเสียความไว้วางใจจากลูกค้า
- ความรับผิดทางสัญญาระหว่างผู้ควบคุมและผู้ประมวลผล
- การระงับกิจกรรมการประมวลผลที่อาจเกิดขึ้นจนกว่าจะมีการแก้ไข
AVV กับ Data Processing Agreement: ความแตกต่างที่สำคัญ
AVV และ DPA เป็นเอกสารเดียวกันในด้านเนื้อหาแต่มีชื่อที่แตกต่างกัน อย่างไรก็ตาม มีความแตกต่างในทางปฏิบัติที่ควรทราบสำหรับองค์กรระหว่างประเทศ
| มิติ | AVV | DPA |
|---|---|---|
| ภาษา | เยอรมัน | อังกฤษ (หรือท้องถิ่น) |
| โฟกัสเขตอำนาจ | ภูมิภาค DACH | EU/EEA โดยรวม |
| บริบทการใช้งานทั่วไป | สัญญาภาษาเยอรมัน | ข้อตกลง SaaS ระหว่างประเทศ |
| ฐานทางกฎหมาย | GDPR มาตรา 28 | GDPR มาตรา 28 |
| ข้อกำหนดเนื้อหา | เหมือนกัน | เหมือนกัน |
ภูมิภาค DACH (เยอรมนี ออสเตรีย สวิตเซอร์แลนด์) มีวัฒนธรรมการบังคับใช้ที่เข้มงวดเกี่ยวกับ AVV ทำให้เป็นแนวปฏิบัติมาตรฐานในสัญญากับผู้ให้บริการโฮสติ้ง ผู้ขาย SaaS ERP และพันธมิตรบริการอื่น ๆ [1]
ค่าใช้จ่ายของ AVV เท่าไหร่?
ค่าใช้จ่ายของ AVV จะแตกต่างกันไปขึ้นอยู่กับวิธีการสร้างและตรวจสอบ
- AVV ที่ใช้เทมเพลต: ผู้ขายหลายรายให้ AVV ของตนเองเป็นส่วนหนึ่งของเงื่อนไขการบริการ โดยทั่วไปไม่มีค่าใช้จ่ายเพิ่มเติม องค์กรเช่น NexDeck มีเทมเพลต AVV ที่ละเอียดรวมถึงรายชื่อผู้ประมวลผลรอง [4]
- การตรวจสอบโดยที่ปรึกษากฎหมาย: การให้ทนายความด้านการปกป้องข้อมูลร่างหรือทบทวน AVV ที่กำหนดเองมักมีค่าใช้จ่ายระหว่าง 300 ถึง 2,000 ยูโร ขึ้นอยู่กับความซับซ้อนและเขตอำนาจ
- การร่างที่ช่วยโดย DPO: องค์กรที่มีเจ้าหน้าที่ปกป้องข้อมูล (DPO) ภายในหรือภายนอกสามารถใช้ทรัพยากรนั้นในการร่าง AVV ได้โดยไม่มีค่าใช้จ่ายเพิ่มเติมนอกเหนือจากค่าธรรมเนียม DPO
สำหรับธุรกิจขนาดเล็ก วิธีที่เหมาะสมที่สุดคือเริ่มต้นด้วยเทมเพลตที่มีชื่อเสียงและให้ผู้เชี่ยวชาญที่มีคุณสมบัติตรวจสอบก่อนลงนาม
ฉันจะสร้างเทมเพลต AVV ได้อย่างไร?
การสร้าง AVV เริ่มต้นด้วยการระบุความสัมพันธ์การประมวลผลทั้งหมดที่มีบุคคลที่สามจัดการข้อมูลส่วนบุคคลในนามของคุณ จากนั้นกระบวนการจะดำเนินการตามขั้นตอนเหล่านี้:
- ตรวจสอบผู้ประมวลผลของคุณ: ทำรายการผู้ขาย เครื่องมือ หรือบริการทุกอย่างที่เข้าถึงข้อมูลส่วนบุคคลที่คุณควบคุม
- ขอหรือร่าง AVV: ผู้ประมวลผลหลายราย (โดยเฉพาะผู้ขาย SaaS) จะให้ AVV มาตรฐานของตนเอง ตรวจสอบให้แน่ใจว่ามันตรงกับองค์ประกอบที่จำเป็นที่ระบุไว้ข้างต้น
- ปรับแต่งส่วน TOMs: ตรวจสอบให้แน่ใจว่ามาตรการทางเทคนิคและองค์กรสะท้อนถึงแนวทางการรักษาความปลอดภัยที่แท้จริงของผู้ประมวลผล
- ระบุผู้ประมวลผลรอง: รวมภาคผนวกที่ระบุผู้ประมวลผลรองที่ผู้ประมวลผลใช้ พร้อมกับบทบาทและสถานที่ของพวกเขา
- กำหนดกลไกการโอนข้อมูล: หากข้อมูลถูกโอนออกนอก EU/EEA ให้ระบุกลไกการโอนที่ถูกต้องตามกฎหมาย (เช่น Standard Contractual Clauses)
- ลงนามและเก็บรักษา: ทั้งสองฝ่ายต้องลงนามใน AVV เก็บสำเนาไว้กับบันทึกการประมวลผลข้อมูลของคุณ
เทมเพลตจากองค์กรที่มุ่งเน้นการปฏิบัติตามกฎระเบียบให้โครงสร้างพื้นฐานที่มั่นคง แต่ AVV ทุกฉบับควรปรับให้เหมาะสมกับกิจกรรมการประมวลผลเฉพาะที่มันควบคุม [2]
ข้อกำหนด AVV สำหรับธุรกิจขนาดเล็ก
ธุรกิจขนาดเล็กไม่ได้รับการยกเว้นจากข้อกำหนด AVV องค์กรใด ๆ ที่อยู่ภายใต้ GDPR ที่ใช้ผู้ประมวลผลจากบุคคลที่สามต้องมี AVV โดยไม่คำนึงถึงขนาดของบริษัทหรือจำนวนพนักงาน [1]
สำหรับธุรกิจขนาดเล็ก ภาระทางปฏิบัติจะต่ำกว่าที่อาจปรากฏ:
- ผู้ขาย SaaS รายใหญ่ส่วนใหญ่ (แพลตฟอร์มอีเมล ระบบการจอง เครื่องมือวิเคราะห์) มักจะให้ AVV หรือ DPA มาตรฐานเป็นส่วนหนึ่งของเงื่อนไขการบริการ การยอมรับเงื่อนไขเหล่านี้มักถือเป็นข้อตกลงที่ถูกต้อง
- งานหลักคือการตรวจสอบให้แน่ใจว่าคุณได้ตรวจสอบและยอมรับเงื่อนไขเหล่านั้นจริง ๆ แทนที่จะคิดว่ามันมีอยู่
- รักษาสมุดบันทึกง่าย ๆ ของผู้ประมวลผลของคุณและ AVV ที่เกี่ยวข้อง
ข้อผิดพลาดทั่วไป: เจ้าของธุรกิจขนาดเล็กมักคิดว่าหากผู้ขายมีขนาดใหญ่และมีชื่อเสียง เอกสารทางกฎหมายจะถูกจัดการโดยอัตโนมัติ การยอมรับ AVV ต้องเป็นขั้นตอนที่มีการบันทึกอย่างชัดเจน
ข้อกำหนดการตรวจสอบ AVV
AVV ต้องรวมข้อกำหนดที่ให้สิทธิแก่ผู้ควบคุมในการตรวจสอบการปฏิบัติตามของผู้ประมวลผล สิทธิในการตรวจสอบนี้เป็นองค์ประกอบที่จำเป็นภายใต้ GDPR มาตรา 28(3)(h) [2]
ในทางปฏิบัติ ข้อกำหนดการตรวจสอบหมายความว่า:
- ผู้ประมวลผลต้องรักษาบันทึกของกิจกรรมการประมวลผลภายใต้ GDPR มาตรา 30(2)
- ผู้ควบคุมมีสิทธิในการดำเนินการตรวจสอบหรือมอบหมายให้ผู้ตรวจสอบบุคคลที่สามตรวจสอบการปฏิบัติตาม
- ผู้ประมวลผลหลายรายตอบสนองต่อข้อกำหนดนี้ผ่านการรับรองจากบุคคลที่สาม เช่น ISO 27001 หรือ SOC 2 ซึ่งสามารถใช้แทนการตรวจสอบในสถานที่ในหลายกรณี
AVV มีความเกี่ยวข้องโดยตรงกับการควบคุม A.5.19 ถึง A.5.22 ของ ISO 27001 ซึ่งควบคุมความสัมพันธ์ของผู้จัดหาและความปลอดภัยของข้อมูลในห่วงโซ่อุปทาน [2] องค์กรที่มีระบบการจัดการความปลอดภัยของข้อมูล (ISMS) อย่างเป็นทางการควรตรวจสอบให้แน่ใจว่า AVV ของพวกเขาได้รับการบูรณาการเข้ากับกระบวนการจัดการผู้จัดหา
AVV สำหรับการโอนข้อมูลระหว่างประเทศ
เมื่อผู้ประมวลผลตั้งอยู่นอก EU/EEA AVV ต้องระบุกลไกทางกฎหมายสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สามนั้น Standard Contractual Clauses (SCCs) เป็นกลไกที่ใช้กันทั่วไปและมักจะรวมอยู่ในภาคผนวกของ AVV [2]
ข้อพิจารณาที่สำคัญสำหรับ AVV ระหว่างประเทศ:
- ระบุว่าประเทศของผู้ประมวลผลมีการตัดสินใจความเหมาะสมของ EU หรือไม่
- หากไม่ ให้รวม SCC ที่เหมาะสม (จากผู้ควบคุมไปยังผู้ประมวลผลหรือจากผู้ควบคุมไปยังผู้ควบคุม ขึ้นอยู่กับความสัมพันธ์)
- ดำเนินการประเมินผลกระทบการโอนข้อมูล (TIA) ตามที่จำเป็น
- ตรวจสอบให้แน่ใจว่า AVV มีอยู่ในภาษาของทั้งสองฝ่ายที่ทำสัญญา [5]
ควรปรับปรุง AVV ของคุณบ่อยแค่ไหน?
AVV ควรได้รับการตรวจสอบและปรับปรุงเมื่อมีการเปลี่ยนแปลงที่สำคัญในความสัมพันธ์การประมวลผล ไม่มีช่วงเวลาการตรวจสอบที่กำหนดไว้ แต่แนวปฏิบัติที่ดีที่สุดชี้ให้เห็นว่าควรมีการตรวจสอบอย่างน้อยปีละครั้ง [2]
สิ่งกระตุ้นให้มีการปรับปรุง AVV ทันที:
- ผู้ประมวลผลมีการจ้างผู้ประมวลผลรองใหม่หรือยกเลิกผู้ประมวลผลรองที่มีอยู่
- กิจกรรมการประมวลผลมีการเปลี่ยนแปลงในลักษณะ วัตถุประสงค์ หรือขอบเขต
- ข้อมูลถูกโอนไปยังประเทศที่สามใหม่
- TOMs ของผู้ประมวลผลมีการปรับปรุงอย่างมีนัยสำคัญ
- กฎหมายหรือแนวทางการกำกับดูแลที่เกี่ยวข้องมีการเปลี่ยนแปลง
การตรวจสอบ AVV อย่างมีประสิทธิภาพเป็นวินัยหลักในการปฏิบัติตามกฎระเบียบ ข้อตกลงที่ล้าสมัยซึ่งไม่สะท้อนถึงกิจกรรมการประมวลผลจริงสร้างความเสี่ยงทางกฎหมายเดียวกันกับการไม่มี AVV เลย
ข้อผิดพลาดทั่วไปเมื่อจัดตั้ง AVV
แม้องค์กรที่เข้าใจข้อกำหนด AVV มักจะทำผิดพลาดในการดำเนินการ
ข้อผิดพลาด 1: ปฏิบัติต่อแบบฟอร์มของผู้ขายว่าเพียงพอโดยอัตโนมัติ แบบฟอร์ม AVV ที่ผู้ขายจัดเตรียมอาจไม่ครอบคลุมกิจกรรมการประมวลผลเฉพาะของคุณ ตรวจสอบให้แน่ใจว่ามันตรงกับองค์ประกอบที่จำเป็น
ข้อผิดพลาด 2: ละเว้นหรืออธิบาย TOMs อย่างคลุมเครือ หน่วยงานกำกับดูแลตรวจสอบส่วน TOMs อย่างใกล้ชิด ภาษาไม่ชัดเจนเช่น "มาตรการรักษาความปลอดภัยที่เหมาะสม" โดยไม่มีรายละเอียดไม่เพียงพอ
ข้อผิดพลาด 3: ลืมผู้ประมวลผลรอง AVV ต้องระบุผู้ประมวลผลรอง การไม่อัปเดตรายการนี้เมื่อผู้ประมวลผลเปลี่ยนผู้ประมวลผลรองเป็นช่องว่างในการปฏิบัติตามที่พบบ่อย [2]
ข้อผิดพลาด 4: ไม่เก็บสำเนาที่ลงนาม AVV ที่ไม่สามารถแสดงได้ระหว่างการตรวจสอบจะไม่มีการป้องกันทางกฎหมาย รักษาบันทึกให้เป็นระเบียบ
ข้อผิดพลาด 5: สับสนระหว่าง AVV กับนโยบายความเป็นส่วนตัว เอกสารเหล่านี้แตกต่างกันโดยสิ้นเชิงซึ่งมีวัตถุประสงค์ที่แตกต่างกัน นโยบายความเป็นส่วนตัวแจ้งข้อมูลแก่ผู้ที่เกี่ยวข้อง ในขณะที่ AVV ควบคุมความสัมพันธ์ระหว่างผู้ควบคุมและผู้ประมวลผล [1]
สรุป
คู่มือที่ดีที่สุดเกี่ยวกับ AVV: ทำไมผู้ประมวลผลข้อมูลทุกคนจึงต้องมี สุดท้ายแล้วขึ้นอยู่กับความเป็นจริงในการปฏิบัติตามที่ตรงไปตรงมา: หากข้อมูลส่วนบุคคลถูกโอนระหว่างผู้ควบคุมและผู้ประมวลผล จะต้องมี AVV ที่ถูกต้องก่อนที่การประมวลผลจะเริ่มต้น ไม่มีการยกเว้นขนาด ไม่มีการยกเว้นอุตสาหกรรม และไม่มีช่วงเวลาผ่อนผันสำหรับองค์กรที่ดำเนินการภายใต้ GDPR อยู่แล้ว
ขั้นตอนที่สามารถดำเนินการได้สำหรับปี 2026:
- ตรวจสอบผู้ขายบุคคลที่สามทุกคนที่เข้าถึงข้อมูลส่วนบุคคลที่คุณควบคุมและยืนยันว่ามี AVV อยู่ในสถานที่สำหรับแต่ละราย
- ตรวจสอบ AVV ที่มีอยู่ตามรายการตรวจสอบองค์ประกอบที่จำเป็น โดยให้ความสนใจกับ TOMs และรายชื่อผู้ประมวลผลรอง
- ตั้งค่าการเตือนความจำในปฏิทินสำหรับการตรวจสอบ AVV ประจำปีและการอัปเดตตามสิ่งกระตุ้นเมื่อกิจกรรมการประมวลผลมีการเปลี่ยนแปลง
- สำหรับองค์กรที่จัดการการยินยอมและการปฏิบัติตามคุกกี้ควบคู่กับ AVV ของตน พิจารณาการจับคู่เอกสารการประมวลผลข้อมูลของคุณกับแพลตฟอร์มการจัดการความยินยอมที่ปฏิบัติตาม เช่น Biscotti CMP เพื่อรักษาสถานะการปฏิบัติตามที่ครบถ้วนและสามารถป้องกันได้
- ปรึกษาผู้เชี่ยวชาญด้านการปกป้องข้อมูลที่มีคุณสมบัติสำหรับ AVV ใด ๆ ที่เกี่ยวข้องกับกิจกรรมการประมวลผลที่ซับซ้อนหรือการโอนข้อมูลระหว่างประเทศ
ค่าใช้จ่ายในการทำให้ AVV ถูกต้องนั้นน้อยนิด ค่าใช้จ่ายในการทำผิดนั้นไม่ใช่
คำถามที่พบบ่อย
AVV คืออะไรในแง่ง่าย ๆ? AVV คือสัญญาเป็นลายลักษณ์อักษรระหว่างบริษัทที่เป็นเจ้าของข้อมูลส่วนบุคคล (ผู้ควบคุม) และบริษัทที่ประมวลผลข้อมูลนั้นในนามของบริษัท (ผู้ประมวลผล) มันระบุว่าข้อมูลใดถูกประมวลผล ทำไม อย่างไรจึงได้รับการป้องกัน และทั้งสองฝ่ายมีข้อผูกพันอะไรบ้าง
AVV จำเป็นต้องมีสำหรับความสัมพันธ์กับผู้ขายทุกคนหรือไม่? เฉพาะสำหรับผู้ขายที่ประมวลผลข้อมูลส่วนบุคคลในนามของคุณ ผู้ขายที่ให้เพียงเครื่องมือที่คุณใช้ในการประมวลผลข้อมูลด้วยตนเอง (โดยไม่มีการเข้าถึงข้อมูล) โดยทั่วไปไม่ถือว่าเป็นผู้ประมวลผลและไม่ต้องการ AVV
สามารถใช้ข้อตกลงด้วยวาจาแทน AVV ได้หรือไม่? ไม่ได้ GDPR มาตรา 28 กำหนดให้ข้อตกลงการประมวลผลต้องเป็นลายลักษณ์อักษร รวมถึงในรูปแบบอิเล็กทรอนิกส์
AVV ป้องกันการถูกปรับตาม GDPR ได้หรือไม่? การมี AVV ที่ถูกต้องลดความเสี่ยงทางกฎหมายอย่างมีนัยสำคัญ แต่ไม่ได้ให้การคุ้มครองอย่างสมบูรณ์ โทษปรับยังสามารถถูกกำหนดสำหรับการละเมิดอื่น ๆ AVV แสดงให้เห็นถึงการปฏิบัติตามมาตรา 28 โดยเฉพาะ
ความแตกต่างระหว่างผู้ประมวลผลรองและผู้ประมวลผลคืออะไร? ผู้ประมวลผลจัดการข้อมูลโดยตรงสำหรับผู้ควบคุม ผู้ประมวลผลรองจะถูกจ้างโดยผู้ประมวลผลเพื่อช่วยในการประมวลผลนั้น ผู้ควบคุมต้องได้รับข้อมูลเกี่ยวกับผู้ประมวลผลรอง และผู้ประมวลผลต้องผูกพันผู้ประมวลผลรองให้มีข้อผูกพันที่เทียบเท่า
AVV ต้องเก็บรักษานานแค่ไหน? ไม่มีระยะเวลาการเก็บรักษาที่กำหนดไว้ใน GDPR สำหรับ AVV แต่ควรเก็บรักษาไว้ตลอดระยะเวลาของความสัมพันธ์การประมวลผลและเป็นระยะเวลาที่เหมาะสมหลังจากนั้น โดยทั่วไปจะสอดคล้องกับระยะเวลาการฟ้องร้องสำหรับการดำเนินการตามกฎหมายในเขตอำนาจที่เกี่ยวข้อง
DPA ที่ลงนามกับบริษัทในสหรัฐอเมริกานับเป็น AVV หรือไม่? ใช่ ตราบใดที่มันมีองค์ประกอบทั้งหมดที่จำเป็นตาม GDPR มาตรา 28 และรวมกลไกการโอนที่เหมาะสมเช่น Standard Contractual Clauses
ผู้ประมวลผลสามารถใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเองได้หรือไม่? ไม่ได้ ผู้ประมวลผลสามารถประมวลผลข้อมูลส่วนบุคคลได้เฉพาะตามคำสั่งที่บันทึกไว้ของผู้ควบคุม การประมวลผลเพื่อวัตถุประสงค์ของผู้ประมวลผลจะทำให้ฝ่ายนั้นถูกจัดประเภทใหม่เป็นผู้ควบคุม โดยมีข้อผูกพันทางกฎหมายที่แยกต่างหาก
TOM คืออะไรในบริบทของ AVV? TOM ย่อมาจาก Technical and Organizational Measure ซึ่งเป็นแนวทางการรักษาความปลอดภัยที่ผู้ประมวลผลดำเนินการเพื่อปกป้องข้อมูลส่วนบุคคล เช่น การเข้ารหัส การควบคุมการเข้าถึง และการทำให้ข้อมูลเป็นนามธรรม AVV ต้องมีการบันทึกมาตรการเหล่านี้
AVV ต้องมีการรับรองหรือไม่? ไม่ GDPR ไม่ต้องการการรับรอง สัญญาที่ลงนามเป็นลายลักษณ์อักษร (รวมถึงลายเซ็นอิเล็กทรอนิกส์) ถือว่าเพียงพอ
อ้างอิง
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai