Модул 9 · 9.2
Споразумението за обработване на данни и подобработващите лица
Модул 9: Хора и правила · Време за четене: 11 минути
Учебна цел: След този урок ще можете да прочетете и проверите споразумение за обработване на данни по точките, които изисква ОРЗД, както и да оцените списък с подобработващи лица.
Основни понятия: споразумение за обработване на данни (чл. 28, параграф 3 ОРЗД), писмени инструкции, поверителност, мерки за сигурност, подобработващо лице, общо или конкретно разрешение, право на възражение, съдействие, връщане или изтриване, одит, предаване извън ЕИП, срок за уведомяване при нарушение на сигурността на данните, стандартни договорни клаузи за обработващи лица
Защо е необходимо споразумение за обработване на данни?
В урок 1.2 видяхте ролите: Bakkerij De Korrel е администратор, облачната услуга е обработващ лични данни. Член 28, параграф 3 от ОРЗД изисква обработването от обработващ лица да бъде уредено с договор (или друг правен акт), който е установен в писмена форма. Допуска се и електронна форма. Това е споразумението за обработване на данни, на английски Data Processing Agreement (DPA) или Data Processing Addendum.
При големите облачни услуги обикновено не подписвате лично документ: споразумението за обработване на данни е част от условията, с които се съгласявате, или поставяте отметка в административния панел. При по-малки доставчици понякога изтегляте документ, попълвате данните си и го подписвате. Така или иначе, като администратор трябва да можете да покажете, че такова споразумение съществува и какво съдържа то.
Това е обяснение, а не правен съвет. При съмнение относно собствените Ви договори се обърнете към юрист или към длъжностното лице по защита на данните.
Какво трябва да съдържа според ОРЗД
Член 28, параграф 3 първо посочва темите, които договорът трябва да описва: предмета и продължителността на обработването, естеството и целта, вида лични данни, категориите субекти на данни, както и правата и задълженията на администратора. След това следват осем задължения на обработващия лицето (букви от а до з). По долу са представени на достъпен език, заедно с въпроса, който Вие си задавате при прочита:
| Чл. 28, параграф 3 | Какво трябва да прави обработващият лицето | Вашият контролен въпрос |
|---|---|---|
| а | Да обработва данните само по Вашите писмени инструкции, включително относно предаването извън ЕИП | Посочено ли е, че доставчикът не използва данните за собствени цели? |
| б | Да гарантира, че служителите пазят поверителност | Има ли задължение за поверителност на персонала? |
| в | Да предприема подходящи мерки за сигурност (чл. 32) | Описани ли са мерките, или има препратка към актуален документ? |
| г | Да ползва подобработващи лица само с Ваше разрешение и при същите задължения | Има ли списък и можете ли да възразите? |
| д | Да съдейства при искания на субектите на данни (достъп, изтриване) | Може ли доставчикът да намери и изтрие данните на конкретно лице? |
| е | Да съдейства при сигурност, нарушения на сигурността на данните и DPIA (чл. 32 до 36) | Колко бързо доставчикът уведомява за нарушение на сигурността на данните? |
| ж | След приключване да върне или изтрие всички данни по Ваш избор | Колко време след прекратяване можете да получите данните си и кога се изтриват? |
| з | Да предоставя информация и да позволява одити | Има ли одитни доклади или сертификати и имате ли право да възложите одит? |
Европейската комисия е публикувала и стандартни договорни клаузи за обработващи лица (Решение за изпълнение (ЕС) 2021/915). Те могат да се използват като споразумение за обработване на данни, тъй като съдържат всички задължителни точки. Много по-малки доставчици използват собствен образец, в Нидерландия често основан на модела на браншовите организации.
Подобработващи лица: кой стои зад Вашия доставчик?
Облачната Ви услуга не извършва всичко сама. Подобработващо лице е страна, която обработващият лицето наема и която има достъп до Вашите данни, например:
- центърът за данни (ако не е собственост на самия доставчик);
- доставчик на съхранение на резервни копия;
- фирма, която филтрира пощата за спам или вируси;
- страна, предоставяща поддръжка, или разработчик, който наблюдава дистанционно;
- AI услуга, ако доставчикът предлага функция с изкуствен интелект.
Член 28, параграф 2 гласи: обработващият лицето не наема подобработващо лице без предварително конкретно или общо писмено разрешение от администратора. При общо разрешение обработващият лицето трябва да Ви информира за нови или заменени подобработващи лица, така че да можете да възразите. На практика това работи така: доставчикът публикува списък, съобщава промените (по имейл или на страница, която можете да следите), и Вие разполагате със срок за възражение. Ако възразите и не се намери решение, обикновено можете да прекратите договора.
Според параграф 4 подобработващото лице трябва да получи същите задължения, а обработващият лицето остава изцяло отговорен пред Вас.
На какво да обърнете допълнително внимание при преминаване към европейски доставчик
При преминаване към европейска услуга в списъка с подобработващи лица трябва да обърнете внимание най-вече на две неща:
- Къде се намират подобработващите лица? Европейски доставчик, който възлага филтрирането на пощата си на американска услуга или съхранява резервните си копия в американски облак, все пак излага Вашите данни на действието на CLOUD Act (урок 1.3). Проверете държавата и дружеството майка на всяко подобработващо лице.
- Какво правят те? Регистър на домейни, който познава само Вашето име и адрес като притежател на домейна, е нещо различно от страна, която съхранява пощенските Ви кутии.
Прочетете също статията за предаването на данни. Добро европейско споразумение за обработване на данни посочва, че данните се обработват в рамките на ЕС или ЕИП и че предаване извън тях е допустимо само с Вашето предварително разрешение. Ако пише "можем да обработваме данни по целия свят с подходящи гаранции", знайте, че предаване е възможно.
Сигнали, на които да обърнете внимание
- Липса на споразумение за обработване на данни при услуга за бизнес използване: не е добър избор.
- Остарял списък с подобработващи лица, който не отговаря на това, което доставчикът съобщава другаде (например друг център за данни): поискайте разяснение.
- Срок за уведомяване при нарушение на сигурността на данните, който е толкова дълъг, че не можете да спазите собствения си срок от 72 часа (чл. 33). Много споразумения за обработване на данни посочват 24 или 48 часа.
- Отговорност, която е напълно изключена. Това е обичайно до известна степен, но показва нещо за това колко сигурен е доставчикът в себе си.
- Липса на уредба за приключването: какво се случва с данните Ви след прекратяване и получавате ли потвърждение за изтриването?
Кой подписва и къде се съхранява?
В De Korrel Sanne подписва като собственик. Тя съхранява споразумението за обработване на данни заедно с регистъра на дейностите по обработване (урок 9.3), с дата и версия. Ако доставчикът промени споразумението или подобработващите лица, тя съхранява и това уведомление. При проверка от страна на надзорния орган или при въпрос от клиент ("как се отнасяте към моите данни?"), тя може веднага да го покаже.
На практика: ето как изглежда при един доставчик
WebOké разполага със стандартно споразумение за обработване на данни с приложение с наетите трети страни, в което е посочено, че обработването се извършва в рамките на ЕС и че предаване извън него е допустимо само с писмено разрешение. В раздела с често задавани въпроси от ръководството за Nextcloud е посочено кога Ви е необходимо. При други доставчици документът често се нарича "Data Processing Agreement", а списъкът с подобработващи лица е на отделна страница ("Subprocessors"). Сравнете този списък с това, което доставчикът съобщава на своя уебсайт относно центровете за данни и поддръжката.
Обобщение
- Член 28, параграф 3 ОРЗД изисква писмено споразумение за обработване на данни с определени теми и осем задължения на обработващия лицето.
- Проверете най-вече: липса на собствени цели, сигурност, подобработващи лица, съдействие при нарушения на сигурността на данните, връщане или изтриване след приключване, и одити.
- Подобработващи лица само с Ваше разрешение; при общо разрешение трябва да бъдете уведомявани за промените и да можете да възразите.
- При преминаване към европейски доставчик проверявайте в списъка с подобработващи лица държавата и дружеството майка на всяка страна.
- Съхранявайте споразумението за обработване на данни и уведомленията за промени заедно с регистъра на дейностите по обработване.
Тест
Задача
Задача E9.2: Проверете споразумение за обработване на данни. Вземете споразумението за обработване на данни на настоящата или новата Ви облачна услуга. Прегледайте осемте точки от а до з и отбележете за всяка: посочено ли е (да, не, неясно) и къде. Оценете списъка с подобработващи лица: отбележете за всяко подобработващо лице държава, дружество майка и какво прави то.
Задача E9.2: Проверете споразумение за обработване на данни
Вземете споразумението за обработване на данни на настоящия или новия си доставчик и прегледайте точките от урока.
Срок за уведомяване по-дълъг от 72 часа затруднява изпълнението на собственото Ви задължение за уведомяване (чл. 33 ОРЗД).
Облачна услуга без никакъв подизпълнител (подобработващ) е рядкост: поискайте списъка, ако не е приложен.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Допълнително четене
Стъпките в тези статии важат за услугите на WebOké; при други доставчици процесът е сходен.
- Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
- Nextcloud наръчник 14.8: AI асистент във Вашия Nextcloud
- Регламент (ЕС) 2016/679 (ОРЗД), член 28, на EUR-Lex
- Решение за изпълнение (ЕС) 2021/915 (стандартни договорни клаузи между администратори и обработващи лица), на EUR-Lex
- Нидерландски орган за защита на личните данни (Autoriteit Persoonsgegevens), раздел "Verwerkersovereenkomst" (споразумение за обработване на данни): https://www.autoriteitpersoonsgegevens.nl. За Вашата собствена ситуация се обърнете към Комисията за защита на личните данни (КЗЛД).