Швидка відповідь: AVV (Auftragsverarbeitungsvertrag) — це юридично обов'язковий контракт відповідно до статті 28 GDPR між контролером даних та обробником даних. Будь-яка організація, яка обробляє особисті дані від імені іншої сторони, повинна мати його. Робота без AVV піддає обидві сторони штрафам до €20 мільйонів або 4% від світового річного обороту, залежно від того, що більше.
Основні висновки
- AVV — це німецький термін для Договору на обробку даних (DPA), який вимагається відповідно до статті 28 GDPR, коли обробник обробляє особисті дані для контролера.
- Угода повинна вказувати предмет, мету, тривалість, типи даних, технічні та організаційні заходи (TOMs) та правила для субобробників.
- Відсутність дійсного AVV може призвести до регуляторних штрафів незалежно від того, чи сталася витік даних.
- Малі підприємства не є винятком: хостинг у хмарі, програмне забезпечення для обробки заробітної плати та інструменти електронного маркетингу зазвичай викликають вимогу щодо AVV.
- AVV — це контракт між двома сторонами, а не повідомлення про конфіденційність, і він сам по собі не реалізує заходи безпеки, такі як шифрування.
- AVV слід переглядати щоразу, коли змінюються субобробники, відбуваються передачі даних до третіх країн або змінюються види обробки.
- У регіоні DACH (Німеччина, Австрія, Швейцарія) AVV є стандартною практикою для постачальників SaaS, хостинг-провайдерів та ERP-систем.
- Шаблони доступні від організацій з дотримання вимог та постачальників, але налаштування для відображення фактичних видів обробки є обов'язковим.
Що таке AVV в обробці даних?
AVV означає Auftragsverarbeitungsvertrag, німецьке складене слово, яке безпосередньо перекладається як "угода на обробку даних" англійською. Це контрактний інструмент, передбачений статтею 28 Загального регламенту захисту даних ЄС (GDPR), для регулювання відносин між контролером даних та обробником даних.
Термін специфічний для німецькомовних юрисдикцій (Німеччина, Австрія та Швейцарія), але основна юридична концепція застосовується універсально в межах ЄС та ЄЕП. У контекстах англійською мовою той самий документ називається Договором на обробку даних (DPA). Організації, що працюють на міжнародному рівні, повинні забезпечити наявність своїх AVV на відповідних мовах для полегшення розуміння та дотримання [5].
AVV не є політикою конфіденційності або банером згоди на використання файлів cookie. Це обов'язковий двосторонній контракт, який визначає, як обробник може обробляти особисті дані, за яких умов і з якими запобіжними заходами.
Чому обробникам даних потрібен AVV?
AVV є обов'язковим щоразу, коли контролер даних залучає обробника для обробки особистих даних від його імені. Це не є необов'язковою рекомендацією; це жорстка юридична вимога відповідно до статті 28 GDPR [1].
Звичайні сценарії, які викликають вимогу щодо AVV, включають:
- Хостинг у хмарі та інфраструктура (наприклад, сервери, що зберігають бази даних клієнтів)
- Обробка заробітної плати, що здійснюється стороннім постачальником HR
- Платформи електронного маркетингу, які зберігають списки підписників
- Постачальники SaaS ERP, які отримують доступ до бізнес-даних та даних співробітників
- Аналітичні та трекінгові інструменти, що обробляють дані про поведінку відвідувачів
Без AVV жодна зі сторін не має документальної юридичної основи для відносин з обробки. Контролюючі органи розглядають відсутність AVV як окреме порушення дотримання вимог, відокремлене від будь-якого розслідування витоку даних [3].
Чи є AVV тим самим, що й DPA?
Так, AVV та DPA стосуються одного й того ж юридичного документа. AVV — це німецька назва; DPA — англійський еквівалент, що використовується в більшості інших держав-членів ЄС та в міжнародних контекстах дотримання вимог [5].
Обидва документи виконують вимоги статті 28 GDPR і повинні містити однакові обов'язкові елементи. Якщо німецька компанія підписує DPA з постачальником SaaS, що базується в США, цей DPA функціонує як AVV для цілей дотримання GDPR, за умови, що він відповідає всім суттєвим вимогам.
Ключове розрізнення, яке слід пам'ятати: Назва документа має менше значення, ніж його зміст. Документ, названий "Додаток до угоди на обробку даних", "Угода на обробку" або "AVV", є юридично еквівалентним, якщо він охоплює всі необхідні елементи.
Хто потребує AVV для дотримання GDPR?
Будь-яка організація, яка є контролером даних і використовує сторонній сервіс, що обробляє особисті дані від її імені, потребує AVV. Це стосується бізнесу будь-якого розміру у всіх галузях [1].
Контролери, які зазвичай потребують AVV:
| Сценарій | Контролер | Обробник |
|---|---|---|
| Компанія використовує хмарний CRM | Бізнес | Постачальник CRM |
| Вебсайт використовує аналітику | Власник вебсайту | Постачальник аналітики |
| HR аутсорсить обробку заробітної плати | Роботодавець | Бюро з обробки заробітної плати |
| Інтернет-магазин використовує електронний інструмент | Роздрібний продавець | Електронна платформа |
| Агентство управляє рекламою клієнтів | Агентство | Платформа рекламних технологій |
Хто не є обробником: Сторона, яка самостійно визначає цілі та засоби обробки, є контролером сама по собі, а не обробником. Спільні контролери потребують іншого типу угоди відповідно до статті 26 GDPR.
Малі підприємства часто ігнорують цю вимогу, вважаючи, що вона стосується лише великих підприємств. Це припущення є неправильним. Будь-який власник вебсайту, який використовує стороннього постачальника хостингу, сервіс розсилки новин або систему бронювання, ймовірно, потребує принаймні одного AVV [5].
Що має бути включено в AVV?
AVV, що відповідає вимогам, повинен містити конкретні обов'язкові елементи. Відсутність навіть одного з них може зробити угоду недостатньою під час перевірки GDPR [2].
Обов'язкові компоненти:
- Предмет і тривалість обробки
- Природа та мета обробки
- Тип особистих даних та категорії суб'єктів даних
- Обов'язки та права контролера
- Технічні та організаційні заходи (TOMs), реалізовані обробником
- Правила, що регулюють залучення субобробників
- Процедури для запитів прав суб'єктів даних
- Обов'язки щодо повідомлення про витоки даних
- Повернення або видалення даних після закінчення контракту
- Права на аудит для контролера
Розділ TOMs є особливо важливим. Хоча сам AVV не реалізує заходи безпеки, він повинен документувати, які заходи обробник має на місці, такі як стандарти шифрування, контролі доступу та практики псевдонімізації [1].
Що станеться, якщо у вас немає AVV?
Робота без дійсного AVV піддає як контролера, так і обробника значним регуляторним штрафам. Відповідно до статті 83(4) GDPR, штрафи за порушення статті 28 можуть досягати €10 мільйонів або 2% від світового річного обороту, а відповідно до статті 83(5) за більш серйозні порушення — до €20 мільйонів або 4% від світового річного обороту, залежно від того, що більше [3].
Критично важливо, що ці штрафи можуть бути накладені незалежно від того, чи сталася витік даних. Контролюючий орган, що проводить рутинний аудит або реагує на скаргу, може виявити відсутність AVV і накласти штраф лише на цій підставі.
Додаткові наслідки включають:
- Репутаційні збитки та втрату довіри клієнтів
- Договірна відповідальність між контролером та обробником
- Потенційна зупинка обробки даних до усунення недоліків
AVV проти Договору на обробку даних: ключові відмінності
AVV та DPA є за змістом одним і тим же документом під різними назвами. Однак існують практичні відмінності, які варто враховувати для міжнародних організацій.
| Вимірювання | AVV | DPA |
|---|---|---|
| Мова | Німецька | Англійська (або місцева) |
| Юрисдикційний фокус | Регіон DACH | Широко ЄС/ЄЕП |
| Загальний контекст використання | Німецькомовні контракти | Міжнародні угоди SaaS |
| Юридична основа | Стаття 28 GDPR | Стаття 28 GDPR |
| Вимоги до змісту | Ідентичні | Ідентичні |
Регіон DACH (Німеччина, Австрія, Швейцарія) має особливо сильну культуру дотримання вимог щодо AVV, що робить їх стандартною практикою в контрактах з постачальниками хостингу, постачальниками SaaS ERP та іншими партнерами з послуг [1].
Скільки коштує AVV?
Вартість AVV варіюється в залежності від того, як він створюється та перевіряється.
- AVV на основі шаблону: Багато постачальників надають свій власний AVV як частину своїх умов обслуговування, зазвичай без додаткової плати. Організації, такі як NexDeck, пропонують детальні шаблони AVV, включаючи списки субобробників [4].
- Перевірка юридичним консультантом: Наявність адвоката з захисту даних для складання або перевірки індивідуального AVV зазвичай коштує від €300 до €2,000 в залежності від складності та юрисдикції.
- Складання за допомогою DPO: Організації з внутрішнім або зовнішнім Офіцером з захисту даних (DPO) можуть часто використовувати цей ресурс для складання AVV без додаткових витрат, окрім утримання DPO.
Для малих підприємств найпрактичніший підхід — почати з авторитетного шаблону та перевірити його у кваліфікованого професіонала перед підписанням.
Як створити шаблон AVV?
Створення AVV починається з ідентифікації всіх відносин з обробки, де третя сторона обробляє особисті дані від вашого імені. Звідти процес слідує цим крокам:
- Інвентаризація ваших обробників: Складіть список кожного постачальника, інструмента або сервісу, що отримує доступ до особистих даних, які ви контролюєте.
- Отримайте або складіть AVV: Багато обробників (особливо постачальники SaaS) надають свій стандартний AVV. Перегляньте його на відповідність обов'язковим елементам, зазначеним вище.
- Налаштуйте розділ TOMs: Переконайтеся, що технічні та організаційні заходи відображають фактичні практики безпеки обробника.
- Складіть список субобробників: Включіть додаток, що ідентифікує будь-яких субобробників, яких використовує обробник, разом з їхніми ролями та місцезнаходженнями.
- Визначте механізми передачі даних: Якщо дані передаються за межі ЄС/ЄЕП, вкажіть юридичний механізм передачі (наприклад, стандартні договірні положення).
- Підпишіть і зберігайте: Обидві сторони повинні підписати AVV. Зберігайте копію разом з вашими записами про обробку даних.
Шаблони від організацій, що зосереджуються на дотриманні вимог, забезпечують надійну структурну основу, але кожен AVV повинен бути адаптований до конкретної діяльності з обробки, яку він регулює [2].
Вимоги AVV для малих підприємств
Малі підприємства не є винятком з вимоги щодо AVV. Будь-яка організація, що підпадає під дію GDPR і використовує стороннього обробника, повинна мати AVV, незалежно від розміру компанії чи кількості працівників [1].
Для малих підприємств практичне навантаження є меншим, ніж може здаватися:
- Більшість великих постачальників SaaS (платформи електронної пошти, системи бронювання, аналітичні інструменти) вже надають стандартний AVV або DPA як частину своїх умов обслуговування. Прийняття цих умов зазвичай є дійсною угодою.
- Ключове завдання — переконатися, що ви дійсно переглянули та прийняли ці умови, а не припускали, що вони існують.
- Ведіть простий реєстр ваших обробників та відповідних AVV.
Звичайна помилка: Власники малих бізнесів часто вважають, що оскільки постачальник великий і авторитетний, юридичні документи автоматично оброблені. Прийняття AVV повинно бути активним, документованим кроком.
Вимоги до аудиту AVV
AVV повинен включати положення, що надають контролеру право на аудит дотримання вимог обробником. Це право на аудит є обов'язковим елементом відповідно до статті 28(3)(h) GDPR [2].
На практиці вимоги до аудиту означають:
- Обробник повинен вести облік діяльності з обробки відповідно до статті 30(2) GDPR.
- Контролер має право проводити аудити або доручати третім особам перевіряти дотримання вимог.
- Багато обробників задовольняють цю вимогу через сертифікації третьої сторони, такі як ISO 27001 або SOC 2, які можуть замінити наглядові аудити в багатьох випадках.
AVV безпосередньо стосується контролів ISO 27001 Додатка A, які регулюють відносини з постачальниками та інформаційну безпеку в ланцюгах постачання [2]. Організації з формальною системою управління інформаційною безпекою (ISMS) повинні забезпечити інтеграцію своїх AVV у процеси управління постачальниками.
AVV для міжнародних передач даних
Коли обробник знаходиться за межами ЄС/ЄЕП, AVV повинен вирішувати юридичний механізм передачі особистих даних до цієї третьої країни. Стандартні договірні положення (SCC) є найпоширенішим механізмом і зазвичай включаються як додаток до AVV [2].
Ключові міркування для міжнародних AVV:
- Визначте, чи має країна обробника рішення про адекватність ЄС.
- Якщо ні, включіть відповідні SCC (контролер до обробника або контролер до контролера, залежно від відносин).
- Проведіть оцінку впливу передачі (TIA), якщо це необхідно.
- Переконайтеся, що AVV доступний мовами обох договірних сторін [5].
Як часто слід оновлювати AVV?
AVV слід переглядати та оновлювати щоразу, коли відбуваються суттєві зміни у відносинах з обробки. Немає фіксованого законодавчого інтервалу перегляду, але краща практика вказує на щонайменше щорічний перегляд [2].
Тригери для термінового оновлення AVV:
- Обробник залучає нового субобробника або видаляє існуючого
- Види обробки змінюються за природою, метою або обсягом
- Дані передаються до нової третьої країни
- TOMs обробника суттєво оновлюються
- Змінюється застосовне законодавство або регуляторні рекомендації
Проактивний перегляд AVV є основною дисципліною дотримання вимог. Застарілі угоди, які більше не відображають фактичні види обробки, створюють таку ж регуляторну вразливість, як і відсутність AVV.
Загальні помилки при налаштуванні AVV
Навіть організації, які розуміють вимогу AVV, часто роблять помилки в реалізації.
Помилка 1: Вважати, що шаблон постачальника автоматично достатній. Шаблон AVV, наданий постачальником, може не охоплювати ваші специфічні види обробки. Завжди перевіряйте його на відповідність обов'язковим елементам.
Помилка 2: Пропускати або неясно описувати TOMs. Контролюючі органи уважно перевіряють розділ TOMs. Неясна мова, така як "відповідні заходи безпеки" без конкретики, є недостатньою.
Помилка 3: Забувати про субобробників. AVV повинен містити список субобробників. Невиконання оновлення цього списку, коли обробник змінює своїх субобробників, є поширеною прогалиною в дотриманні вимог [2].
Помилка 4: Не зберігати підписані копії. AVV, який не може бути наданий під час аудиту, не забезпечує юридичного захисту. Ведіть організовані записи.
Помилка 5: Плутати AVV з політикою конфіденційності. Це зовсім різні документи, які виконують різні функції. Політика конфіденційності інформує суб'єктів даних; AVV регулює відносини між контролером та обробником [1].
Висновок
Остаточний посібник з AVV: Чому кожному обробнику даних потрібен один, зрештою зводиться до простої реальності дотримання вимог: якщо особисті дані переходять між контролером та обробником, дійсний AVV повинен існувати до початку цієї обробки. Немає винятків за розміром, немає винятків для галузі та немає пільгових періодів для організацій, які вже працюють відповідно до GDPR.
Дії, які потрібно виконати у 2026 році:
- Аудит кожного стороннього постачальника, який отримує доступ до особистих даних, які ви контролюєте, та підтвердження наявності AVV для кожного.
- Перегляньте існуючі AVV на відповідність контрольному списку обов'язкових елементів, приділяючи особливу увагу TOMs та спискам субобробників.
- Встановіть нагадування в календарі для щорічних переглядів AVV та оновлень на основі тригерів, коли змінюються види обробки.
- Для організацій, які управляють згодою та дотриманням вимог щодо файлів cookie разом зі своїми AVV, розгляньте можливість поєднання документації з обробки даних з відповідною платформою управління згодою, такою як Biscotti CMP, щоб підтримувати повну та захищену позицію дотримання вимог.
- Консультуйтеся з кваліфікованим фахівцем з захисту даних для будь-якого AVV, що стосується складних видів обробки або міжнародних передач даних.
Вартість правильного оформлення AVV є мінімальною. Вартість помилок у цьому питанні — ні.
Поширені запитання
Що таке AVV простими словами? AVV — це письмова угода між компанією, яка володіє особистими даними (контролер), та компанією, яка обробляє ці дані від її імені (обробник). Угода визначає, які дані обробляються, чому, як вони захищені та які обов'язки мають обидві сторони.
Чи потрібен AVV для кожного відносини з постачальником? Тільки для постачальників, які обробляють особисті дані від вашого імені. Постачальник, який просто надає інструмент, який ви використовуєте для обробки даних самостійно (без доступу до даних), зазвичай не є обробником і не потребує AVV.
Чи може усна угода замінити AVV? Ні. Стаття 28 GDPR чітко вимагає, щоб угода на обробку була в письмовій формі, включаючи електронну.
Чи захищає AVV від штрафів GDPR? Наявність дійсного AVV значно знижує регуляторний ризик, але не забезпечує абсолютної імунітету. Штрафи все ще можуть бути накладені за інші порушення. AVV демонструє дотримання статті 28 конкретно.
Яка різниця між субобробником та обробником? Обробник обробляє дані безпосередньо для контролера. Субобробник залучається обробником для допомоги в цій обробці. Контролер повинен бути проінформований про субобробників, а обробник повинен зобов'язати субобробників до еквівалентних зобов'язань.
Як довго слід зберігати AVV? У GDPR не вказано конкретний період зберігання для AVV, але їх слід зберігати протягом усього періоду відносин з обробки та протягом розумного періоду після цього, зазвичай відповідно до строку давності для регуляторних дій у відповідній юрисдикції.
Чи вважається DPA, підписаний з компанією США, AVV? Так, за умови, що він містить усі елементи, вимагатимі статтею 28 GDPR, і включає відповідні механізми передачі, такі як стандартні договірні положення.
Чи може обробник використовувати особисті дані для своїх цілей? Ні. Обробник може обробляти особисті дані лише за документованими інструкціями контролера. Обробка для власних цілей обробника призведе до повторної класифікації цієї сторони як контролера з окремими юридичними зобов'язаннями.
Що таке TOM у контексті AVV? TOM означає Технічні та Організаційні Заходи. Це заходи безпеки, які обробник реалізує для захисту особистих даних, такі як шифрування, контролі доступу та практики псевдонімізації. AVV повинен документувати ці заходи.
Чи потрібно нотаризувати AVV? Ні. GDPR не вимагає нотаризації. Підписана письмова угода (включаючи електронні підписи) є достатньою.
Посилання
[1] Договір на обробку даних - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai