Šis datu apstrādes līguma paraugs palīdz sagatavot pārziņa un apstrādātāja vienošanos konkrētam pakalpojumam. Tas jāpapildina ar pušu informāciju, faktisko apstrādes aprakstu, drošības pasākumiem un izvēlēto apakšapstrādes kārtību. Tukši pielikumi vai neatrisinātas izvēles nenodrošina gatavu vienošanos. Vispirms pārbaudiet, vai pakalpojuma sniedzējs tiešām apstrādā personas datus jūsu vārdā, nevis darbojas kā patstāvīgs vai kopīgs pārzinis.
VDAR 28. pants pieļauj rakstisku līgumu vai citu saistošu Savienības vai dalībvalsts tiesību aktu, tostarp elektroniskā formā. Tālāk sniegtais teksts paredzēts parastai līgumiskai sadarbībai. Ja pienākumus nosaka cits tiesību akts, jāpārbauda tā saturs un saistošais spēks, nevis automātiski jāparaksta dublējošs dokuments. Šeit skaidrots, kā no parauga izveidot lietojamu līgumu un pārbaudīt tā izpildāmību.
Pirms teksta aizpildīšanas sagatavojiet faktus
Sāciet ar pakalpojuma aprakstu un līgumslēdzēju juridiskajām personām. Platformas zīmols, uzņēmumu grupa un rēķina izrakstītājs var nebūt viena persona. Noskaidrojiet, kurš faktiski uzņemas apstrādātāja pienākumus un kurš drīkst pārziņa vārdā dot norādījumus. Tas palīdz novērst situāciju, kad līgums noslēgts ar vienu sabiedrību, bet datiem piekļūst cita, kuras loma dokumentos nav izskaidrota.
Apskatiet vienu parastu pakalpojuma izmantošanas scenāriju no sākuma līdz beigām. Piemēram, rēķinu apstrādes pakalpojumā noskaidrojiet dokumenta saņemšanu, nolasīšanu, kļūdu pārbaudi, datu nodošanu grāmatvedībai un sākotnējā dokumenta glabāšanu. Pārbaudiet arī atbalsta pieprasījumus un rezerves kopijas. Šādi iegūta informācija ļauj aizpildīt līguma pielikumus precīzāk nekā vispārīgs apgalvojums, ka pakalpojums “nodrošina atbilstību VDAR”.
Salīdziniet faktus ar apstrādes darbību reģistru. Ja reģistrā darbība vēl nav atrodama, noskaidrojiet tās nolūku un procesa īpašnieku. Reģistrs un līgums pilda dažādas funkcijas, bet tiem jāapraksta savstarpēji saskanīga darbība. Neievietojiet līgumā plašāku atļauju nekā nepieciešams tikai tādēļ, ka piegādātāja standarta veidlapā ir daudz iepriekš atzīmētu datu kategoriju.
Ja lomu sadalījums vēl nav skaidrs, izmantojiet 28. panta līguma ceļvedi pirms klauzulu apspriešanas. Īpaši uzmanīgi pārbaudiet atļauju izmantot klienta datus piegādātāja analītikai vai citu pakalpojumu uzlabošanai. Šādu nolūku nevar padarīt par klienta norādījumu tikai ar plašu formulējumu. Vispirms jānosaka faktiskā loma, tiesiskais pamats un attiecīgā informēšana.
Kā aizpildīt apstrādes pielikumu
Pirmajā pielikumā nosauciet apstrādes priekšmetu, raksturu, nolūkus un ilgumu. “Pakalpojuma sniegšana” var būt pārāk abstrakti, ja vienā līgumā apvienota glabāšana, komunikācija un cilvēku novērtēšana. Aprakstiet darbības tā, lai pārzinis varētu pārbaudīt izmaiņu un apstrādātājs saprastu norādījuma robežas. Šim pielikumam jāsaskan ar galvenā pakalpojuma aprakstu, nevis jāpiešķir neierobežotas papildu tiesības.
Datu subjektu kategorijās norādiet, piemēram, klientus, klientu pārstāvjus, darbiniekus vai kandidātus, ja attiecīgie dati tiešām nonāks pakalpojumā. Datu veidos nošķiriet identifikācijas, kontaktu, darījumu un citus datus. Ja pieļauj īpašo kategoriju datus, jābūt skaidram, kādi tie ir un kā tos aizsargās. Aizliegums tos iesniegt ir jāizvēlas tikai tad, ja paredzētajā procesā šo ierobežojumu var reāli ievērot.
Ilgumu sasaistiet ar pakalpojuma izmantošanu un izbeigšanas posmu. Norādiet, vai informācija paliks rezerves kopijās un kā notiks tās dzēšana vai izolēšana līdz kopiju nomaiņai. Izvairieties no neizskaidrota “30 dienu” termiņa tikai tādēļ, ka tas bieži sastopams paraugos. Pārzinim jāsaprot faktiskā glabāšana, un apstrādātājam jāspēj izpildīt apsolīto tehniskajā vidē, kuru tas izmanto.
Norādījumos var izmantot arī apstiprinātas sistēmas konfigurācijas atsauci. Tomēr jābūt iespējai noteikt, kura konfigurācijas versija ir apstiprināta un kas drīkst to mainīt. Lietotāja darbība, kas nejauši aktivizē datu publiskošanu, nav automātiski pietiekams pamats jebkādam turpmākam izmantojumam. Būtiskām izmaiņām izveidojiet saprotamu apstiprināšanas kārtību, nepadarot ikdienas pakalpojuma izmantošanu nesamērīgi sarežģītu.
Drošības pielikums ir saistību saturs
Otrajā pielikumā norādiet faktiskos pasākumus un sadaliet, ko dara katra puse. Piemēram, apstrādātājs nodrošina lomu mehānismu, bet pārzinis savlaicīgi aizver savu aizgājušo darbinieku kontus. Ja šo sadalījumu neapraksta, labs tehniskais risinājums var palikt neizmantots. Integrētā datu aizsardzība palīdz sasaistīt līguma solījumus ar piekļuves, datu minimizēšanas un noklusējuma iestatījumiem.
Pasākumu detalizāciju pielāgojiet apstrādes riskam. Šifrēšanas, atjaunošanas un piekļuves kontroles aprakstam jāļauj saprast, kā aizsardzība darbojas, bet nav nepieciešams līgumā publiskot slepenas atslēgas vai ievainojamības. Var izmantot kontrolētu pielikumu ar versiju un piekļuves noteikumiem. Atsauce uz maināmu politiku bez minimālā saistošā aizsardzības līmeņa var ļaut vājināt solījumus, pārzinim to nepamanot.
Ja apstrāde varētu radīt augstu risku, līguma sarunās savlaicīgi noskaidrojiet informāciju ietekmes novērtējumam. Apstrādātāja palīdzība ir viens no obligātajiem elementiem, bet pārzinim jāizdara pašam savi secinājumi par nolūku un samērīgumu. Gatavs piegādātāja drošības dokuments var sniegt pierādījumus; tas automātiski neaizstāj jūsu konkrētās apstrādes novērtējumu un lēmumu par tās sākšanu.
Izvēlieties apakšapstrādes kārtību apzināti
Konkrētas rakstiskas atļaujas gadījumā pirms jauna apakšapstrādātāja piesaistes jāsaņem pārziņa apstiprinājums. Vispārējas rakstiskas atļaujas gadījumā jāpaziņo plānotās izmaiņas un jādod iespēja iebilst. Paraugā jāatstāj izvēlētā kārtība un jāaizpilda saziņas process. Nedrīkst saglabāt divus savstarpēji pretrunīgus variantus, jo tad incidenta vai piegādātāja maiņas brīdī puses nevarēs noteikt piemērojamo procedūru.
Vispārējās atļaujas paziņojuma periodu puses nosaka tā, lai pārzinis varētu saņemt informāciju un pamatoti izvērtēt izmaiņu. Regulas 28. pants nenosaka visiem pakalpojumiem vienu konkrētu dienu skaitu. Ņemiet vērā saņēmēja datu veidus, piekļuvi un valstis. Ja paziņojums tiek nosūtīts uz nepārraudzītu kontu, formāla nosūtīšana nepalīdz faktiskajai pārvaldībai, tādēļ norādiet arī atbildīgo saņēmēju.
EDAK Atzinums 22/2024 skaidro piegādātāju ķēdes pārskatāmību un garantiju izvērtēšanu. Apakšapstrādātāju sarakstā norādiet juridisko personu, kontaktinformāciju un uzdevumu; papildus praktiski noder vietas un piekļuves apraksts. Sākotnējam apstrādātājam jānodod tālāk tās pašas datu aizsardzības saistības un jāpaliek pilnībā atbildīgam pārzinim par nākamā apstrādātāja pienākumu izpildi. Saraksts viens pats šo pienākumu neizpilda.
Palīdzības termiņi un incidentu informācija
Paraugā apzināti nav universālu skaitlisku termiņu katram palīdzības pieprasījumam. Vienojieties par laiku, kas ļauj pārzinim izpildīt savus juridiskos pienākumus. Piemēram, piekļuves pieprasījuma izpildei var būt nepieciešama meklēšana vairākās sistēmās un citu personu datu pārskatīšana. Apstrādātāja atbildi nevar ieplānot tikai pašās pārziņa atbildes termiņa beigās, ja pēc tās vēl vajadzīga būtiska pārbaude.
Pārkāpuma gadījumā apstrādātāja juridiskais pienākums ir informēt pārzini bez nepamatotas kavēšanās pēc uzzināšanas. Līgumā var saskaņot operacionālu termiņu un eskalāciju, bet tie nav atļauja gaidīt, ja informāciju iespējams sniegt agrāk. Norādiet sākotnējā paziņojuma saturu, kontaktus un turpmāko papildinājumu kārtību. Nenoteikta prasība iesniegt tikai “pilnu gala ziņojumu” var aizkavēt pārzinim nepieciešamos faktus.
Pārziņa paziņošanas pienākums uzraudzības iestādei ir atsevišķs: bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc uzzināšanas, ja vien ir maz ticams, ka pārkāpums varētu radīt risku cilvēku tiesībām un brīvībām. Vēlāks paziņojums jāpamato. Visi personas datu aizsardzības pārkāpumi jādokumentē; augsta riska gadījumā atsevišķi jāvērtē cilvēku informēšana. Līguma informācijas plūsmai jāļauj pārzinim savlaicīgi izdarīt šos vērtējumus.
Pielāgojamais līguma teksts
Tālāk norādītie lauki un izvēles jāaizpilda pirms vienošanās. Šis teksts nav Eiropas Komisijas apstiprinātu standartklauzulu reproducējums. Ja izvēlaties oficiālās Lēmuma 2021/915 klauzulas, izmantojiet to piemērošanas noteikumus un aizpildiet attiecīgos pielikumus. Abos gadījumos jānodrošina konkrētajam pakalpojumam atbilstošs saturs un saskaņa ar citiem pušu saistošajiem dokumentiem.
DATU APSTRĀDES LĪGUMS
Pārzinis: [juridiskais nosaukums, reģistrācijas numurs, adrese, kontaktpersona].
Apstrādātājs: [juridiskais nosaukums, reģistrācijas numurs, adrese, kontaktpersona].
Saistītais pakalpojuma līgums: [identifikācija un datums].
Spēkā stāšanās: [datums].
1. Priekšmets un pušu pienākumi
Apstrādātājs pārziņa vārdā veic tikai 1. pielikumā aprakstīto personas datu apstrādi. Pielikumā nosaka priekšmetu, ilgumu, raksturu un nolūkus, datu veidus un datu subjektu kategorijas. Pārzinis nosaka tiesiskus nolūkus, nodrošina savu pienākumu izpildi un dod dokumentētus, tiesiskus norādījumus. Pārzinim ir tiesības saņemt informāciju, pieprasīt palīdzību un pārbaudīt izpildi saskaņā ar šo līgumu. Puses nodrošina, ka to pilnvarotajiem pārstāvjiem ir nepieciešamās tiesības vienoties par apstrādi.
2. Dokumentēti norādījumi
Apstrādātājs apstrādā datus tikai pēc dokumentētiem pārziņa norādījumiem, tostarp par nosūtīšanu uz trešām valstīm vai starptautiskām organizācijām, ja vien apstrādi neprasa apstrādātājam piemērojamās Savienības vai dalībvalsts tiesības. Šādā gadījumā tas pirms apstrādes informē pārzini par juridisko prasību, izņemot, ja tiesības svarīgu sabiedrības interešu dēļ aizliedz šādu informēšanu. Apstrādātājs nekavējoties informē pārzini, ja uzskata norādījumu par pretrunīgu VDAR vai citiem Savienības vai dalībvalsts datu aizsardzības noteikumiem. Puses dokumentē jautājuma risinājumu pirms attiecīgā apstrīdētā norādījuma izpildes, ievērojot piemērojamās tiesības.
Norādījumu devēji un reģistrēšanas kanāls: [personas/lomas, kanāls un versiju kārtība].
3. Konfidencialitāte un piekļuve
Apstrādātājs nodrošina, ka personas, kuras pilnvarotas apstrādāt datus, ir uzņēmušās konfidencialitātes pienākumu vai ir pakļautas atbilstošam likumā noteiktam konfidencialitātes pienākumam. Piekļuvi piešķir tikai uzdevumam nepieciešamajā apjomā, to pārskata un atsauc, kad pamats beidzas. Apstrādātājs nodrošina personu informēšanu par piemērojamiem norādījumiem un aizsardzības pasākumiem.
4. Drošība
Apstrādātājs īsteno visus VDAR 32. pantā prasītos pasākumus, ņemot vērā tehnikas attīstību, ieviešanas izmaksas, apstrādes raksturu, apjomu, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma riskus cilvēku tiesībām un brīvībām. Konkrētie tehniskie un organizatoriskie pasākumi noteikti 2. pielikumā. Puses dokumentē būtiskas izmaiņas un pārbauda, ka aizsardzības līmenis paliek piemērots riskam.
5. Citi apstrādātāji
Izvēlētā iepriekšējas rakstiskas atļaujas kārtība: [konkrēta atļauja katrai piesaistei VAI vispārēja atļauja ar turpmāko paziņošanas kārtību; dzēst neizvēlēto variantu].
Pašreiz atļautās personas norādītas 3. pielikumā. Vispārējas atļaujas gadījumā apstrādātājs pirms paredzētās piesaistes vai aizstāšanas paziņo pārzinim izmaiņas, sniedzot identitāti, uzdevumu, vietas un garantiju izvērtēšanai vajadzīgo informāciju un dodot reālu iespēju iebilst.
Paziņošanas kanāls, iepriekšējais periods, iebilduma izskatīšana un neatrisināta iebilduma sekas: [aizpildīt].
Apstrādātājs citam apstrādātājam ar rakstisku, tostarp elektronisku, līgumu vai citu saistošu Savienības vai dalībvalsts tiesību aktu uzliek tās pašas datu aizsardzības saistības, īpaši pienākumu sniegt pietiekamas garantijas piemērotiem tehniskiem un organizatoriskiem pasākumiem. Sākotnējais apstrādātājs paliek pilnībā atbildīgs pārzinim par šā cita apstrādātāja saistību izpildi.
6. Datu subjektu tiesības
Ņemot vērā apstrādes raksturu, apstrādātājs iespēju robežās ar piemērotiem tehniskiem un organizatoriskiem pasākumiem palīdz pārzinim izpildīt pienākumu atbildēt uz VDAR III nodaļas tiesību pieprasījumiem. Saņemtu pieprasījumu tas bez nepamatotas kavēšanās pārsūta norādītajam kontaktam un patstāvīgi nepieņem pārziņa kompetencē esošu lēmumu, ja vien tas nav tiesiski pilnvarots. Meklēšanas, eksporta, labošanas, ierobežošanas un dzēšanas palīdzība, kanāli un termiņi norādīti 4. pielikumā.
7. Palīdzība drošībā un pārkāpumos
Ņemot vērā apstrādes raksturu un pieejamo informāciju, apstrādātājs palīdz pārzinim izpildīt VDAR 32.–36. panta pienākumus, tostarp drošībā, pārkāpumu izvērtēšanā un paziņošanā, ietekmes novērtējumā un iepriekšējā apspriešanā. Par personas datu aizsardzības pārkāpumu apstrādātājs informē pārzini bez nepamatotas kavēšanās pēc uzzināšanas. Tas sniedz pieejamos faktus par raksturu, skartajām kategorijām un iespējamo apjomu, sekām, pasākumiem un kontaktpunktu, papildinot informāciju bez turpmākas nepamatotas kavēšanās. Informēšanas kārtība nedod tiesības gaidīt izmeklēšanas noslēgumu, lai nosūtītu sākotnējo informāciju.
8. Pārbaude un informācija
Apstrādātājs sniedz pārzinim visu informāciju, kas vajadzīga 28. panta prasību izpildes pierādīšanai, un ļauj un palīdz veikt auditus, tostarp pārbaudes, ko veic pārzinis vai tā pilnvarots revidents. Puses vienojas par samērīgu organizatorisko un konfidencialitātes kārtību, kas neliedz nepieciešamās pārbaudes vai uzraudzības iestādes pilnvaras. Par būtisku neatbilstību puses dokumentē novēršanas pasākumus, atbildīgos un termiņus.
9. Starptautiska nosūtīšana
Apstrādātājs veic nosūtīšanu tikai saskaņā ar dokumentētiem norādījumiem un piemērojamo VDAR V nodaļu, ievērojot 2. punkta juridisko izņēmumu. 3. pielikumā norāda attiecīgās valstis, saņēmējus un piemērojamo nosūtīšanas mehānismu ar vajadzīgajiem dokumentiem. Šis līgums pats par sevi neaizstāj nepieciešamo starptautiskās nosūtīšanas pamatu.
10. Pakalpojuma izbeigšana
Pēc pārziņa izvēles apstrādātājs pēc apstrādes pakalpojuma beigām dzēš vai atdod visus personas datus un dzēš esošās kopijas, ja vien Savienības vai dalībvalsts tiesības neprasa datu glabāšanu. Piemērojama glabāšanas pienākuma gadījumā identificē tā pamatu, apjomu un ilgumu; datus neizmanto citiem nesaderīgiem nolūkiem. 4. pielikumā nosaka atdošanas formātu, termiņus, rezerves kopiju kārtību un izpildes apliecinājumu. Aizsardzības saistības turpinās, kamēr attiecīgie dati paliek apstrādātāja rīcībā.
11. Dokumentu saskaņa
Puses saglabā līguma un pielikumu apstiprinātās versijas. Šie noteikumi nedrīkst mazināt VDAR paredzētās tiesības un pienākumus. Attiecībā uz šeit regulēto personas datu apstrādi tie ir piemērojami pretrunīgu pakalpojuma līguma vispārīgo noteikumu vietā, ievērojot obligātās tiesību normas un piemērojamo standartklauzulu prioritāti. Izmaiņas dokumentē rakstiski, tostarp elektroniski.
1. PIELIKUMS — APSTRĀDE
Priekšmets un pakalpojums: [..]. Raksturs/darbības: [..]. Nolūki: [..].
Datu subjektu kategorijas: [..]. Datu veidi, tostarp īpašās kategorijas, ja piemērojams: [..].
Sākums, ilgums un glabāšanas nosacījumi: [..]. Pārziņa konkrētie norādījumi: [..].
Pārziņa tiesības, pienākumi un procesa kontaktpersona: [..].
2. PIELIKUMS — DROŠĪBA
Piekļuves piešķiršana, autentifikācija un pārskatīšana: [..].
Datu aizsardzība glabāšanā/pārsūtīšanā, atslēgu pārvaldība, ja piemērojams: [..].
Pieejamība, rezerves kopijas, atjaunošana un pārbaudes: [..].
Žurnāli, incidentu atklāšana, personāla un fiziskā drošība: [..].
Dzēšana, nodalīšana, efektivitātes pārbaudes un pušu atbildība: [..].
3. PIELIKUMS — ĶĒDE UN VIETAS
Katram apakšapstrādātājam: juridiskais nosaukums, adrese, kontaktpersona, uzdevums, datu/piekļuves apjoms, valstis, atļauja un tās datums [..].
Nosūtīšanas mehānisms un saistītie pierādījumi, ja piemērojams: [..].
4. PIELIKUMS — SADARBĪBA UN IZBEIGŠANA
Tiesību pieprasījumu kanāls, palīdzība, termiņi un eskalācija: [..].
Pārkāpumu kontaktpunkts, aizvietošana, informēšana un papildinājumi: [..].
NIDA, konsultāciju un auditu palīdzības kārtība: [..].
Atdošana/dzēšana, formāts, termiņi, kopijas un apliecinājums: [..].
Pušu pilnvarotie pārstāvji, apstiprinājumi un datumi: [..].
Pārbaudiet tekstu pret faktiskajām iespējām
Pēc pielikumu aizpildīšanas izspēlējiet parastu pieprasījumu un vienu steidzamu situāciju. Vai nosauktais kontakts saņem ziņu, prot atrast attiecīgā klienta datus un zina, kas pieņem lēmumu? Šī praktiskā pārbaude neizmaina juridiskos pienākumus, bet atklāj nepilnības, kuras formāls dokumenta lasījums var nepamanīt. Iesaistiet arī cilvēkus, kuri ikdienā izmantos pakalpojumu, ne tikai līguma parakstītājus.
Salīdziniet apakšapstrādātāju sarakstu ar tehnisko aprakstu. Ja infrastruktūras vai atbalsta piegādātājs nav norādīts, noskaidrojiet tā lomu un faktiskās piekļuves. Nosūtīšanas ārpus ES un EEZ vērtējums var būt vajadzīgs arī tad, ja galvenais serveris atrodas Latvijā. Tāpat ne katrs ārvalstu uzņēmums automātiski rada aizliegtu nosūtīšanu; lēmumam jābalstās konkrētajā plūsmā un piemērojamajā mehānismā.
Pārbaudiet, vai konfidencialitātes punkts saglabā abas regulas iespējas: personu uzņemtu pienākumu vai atbilstošu likumā noteiktu pienākumu. Atsevišķi noskaidrojiet apmācību un piekļuves pārvaldību. Formulējums par “visu darbinieku atbildību” var būt pārāk neskaidrs, ja pie datiem tiek ārpakalpojuma atbalsta komanda. Pienākumiem jāaptver faktiskās pilnvarotās personas, un apstrādātājam jāspēj izskaidrot, kā tas šo prasību nodrošina.
Saskaņojiet atlīdzību par papildu palīdzību, ja tāda paredzēta, ar pienākumu reāli palīdzēt pārzinim. Līgums var regulēt komerciālus jautājumus, bet neskaidras vai pārmērīgi kavējošas procedūras nedrīkst padarīt obligāto palīdzību neizmantojamu. Nosakiet, kuras darbības ietilpst pakalpojumā un kā tiek saskaņots papildu darbs, īpaši steidzamos incidentos, kad nav laika ilgām cenu sarunām pirms faktu saņemšanas.
Kā apspriest piegādātāja labojumus
Saņemot piegādātāja redakciju, vērtējiet katra labojuma ietekmi uz darbību, nevis tikai atšķirīgo vārdu skaitu. Izmaiņa no konkrēta termiņa uz pienākumu rīkoties bez nepamatotas kavēšanās var prasīt operacionālu precizējumu. Savukārt pienākuma palīdzēt pilnīga izslēgšana skar obligāto saturu. Sagatavojiet īsu komentāru, kurā norādīts vajadzīgais rezultāts un iemesls, lai saruna neiestrēgtu pie vienas iecienītas frāzes.
Īpaši pārbaudiet definīcijas. Ja “klienta dati” izslēdz tehniskos žurnālus, bet žurnālos ir identificējamu cilvēku darbības, jānoskaidro šo datu loma un aizsardzības režīms. Ne vienmēr visus žurnālus apstrādā klienta vārdā, taču tos nevar automātiski pasludināt par datiem ārpus regulas. Vienojieties par precīzu tvērumu, kas aptver faktisko pakalpojumu un atsevišķi identificē patstāvīgu apstrādi, ja tāda pastāv.
Pārskatiet arī izņēmumus, kuri sākas ar vārdiem “ciktāl iespējams” vai “pēc ieskatiem”. Regulā noteiktie kvalificējumi, piemēram, palīdzība tiesību izpildē, ņemot vērā apstrādes raksturu, jāsaglabā. Taču brīvi pievienota atruna nevar pārvērst obligātu informēšanu par izvēles pakalpojumu. Katram būtiskam izņēmumam jābūt saprotamam pamatam un robežai, nevis atvērtai iespējai nepildīt saistības pēc piegādātāja vienpersoniska lēmuma.
Ja piegādātājs atsaucas uz citu dokumentu, pieprasiet attiecīgo versiju un pārbaudiet tās prioritāti. Drošības politika var saturēt labu aprakstu, bet galvenais līgums var vienlaikus atļaut to vienpusēji mainīt. Pirms apstiprināšanas jāzina, kura saistība saglabājas un kā tiks kontrolēta aizsardzības līmeņa samazināšana. Svarīgākais nav pievienot pēc iespējas vairāk dokumentu, bet izveidot savstarpēji saskanīgu un izsekojamu vienošanos.
Apspriediet arī situāciju, kad pārzinis pats nosūta kļūdainu norādījumu vai datus ārpus saskaņotā tvēruma. Līgumam jāpalīdz to pamanīt, apturēt neatbilstošo darbību un atrisināt jautājumu. Tas nenozīmē, ka apstrādātājam jāuzņemas pārziņa visu nolūku juridiska pārbaude. Tomēr regulā paredzētais pienākums informēt par, tā ieskatā, prettiesisku norādījumu jāsaglabā, un kontaktpersonām jāzina, kā uz šādu ziņu reaģēt.
Galīgo redakciju salīdziniet ar apstiprinātajiem pielikumiem vēlreiz pēc komerciālo sarunu beigām. Cena vai pakalpojuma līmenis var mainīt pieejamo palīdzību un tehniskās funkcijas. Ja sākotnēji apspriestais drošības risinājums vairs nav iegādātajā piedāvājumā, līguma pielikums kļūst neprecīzs. Šī pēdējā saskaņošana ir īpaši svarīga, ja par dažādām daļām vienojušās atšķirīgas organizācijas komandas un piegādātāja kontaktpersonas.
Audits un atbildība nav tikai standarta rindkopas
Audita noteikumos var paredzēt iepriekšēju saskaņošanu, konfidencialitāti un citu klientu aizsardzību. Tomēr pārzinim jāpaliek iespējai saņemt vajadzīgo informāciju un veikt atbilstošu pārbaudi. Pārbaudiet, vai standarta noteikumi neierobežo auditu līdz vienam publiskam sertifikātam neatkarīgi no apstākļiem. Pēc nopietna incidenta pierādījumu vajadzība var būt cita nekā parastā ikgadējā piegādātāja pārskatā.
Apakšapstrādātāja saistību neizpildes gadījumā sākotnējā apstrādātāja pilnā atbildība pret pārzini izriet no 28. panta 4. punkta. Puses var apspriest komerciālo risku sadalījumu, bet nevar vienkārši izdzēst šo pienākumu, norādot uz trešās personas noteikumiem. Arī līguma atbildības ierobežojums pats par sevi neatceļ datu subjektu tiesības vai uzraudzības iestādes pilnvaras. Nesaskaņas jāatrisina pirms pakalpojuma sākšanas.
Ja apstrādātājs pats nosaka apstrādes nolūkus un līdzekļus, pārkāpjot regulas nosacījumus, attiecīgajā apstrādē tas var tikt uzskatīts par pārzini saskaņā ar 28. panta 10. punktu. Tādēļ plaša atļauja rīkoties pēc saviem ieskatiem nav tikai komerciāla ērtība. Pārzinim jāzina, kur beidzas tā uzticētais uzdevums un kur sākas citas personas patstāvīga darbība ar tās atsevišķiem pienākumiem.
Līguma izbeigšanu sagatavojiet jau sākumā
Datu atdošanas un dzēšanas punkta izvēle pieder pārzinim, ievērojot piemērojamos juridiskos glabāšanas pienākumus. Praktiski jāzina izvešanas formāts un tas, vai saņemtie dati būs lietojami citā vidē. PDF pārskats var būt pietiekams vienam dokumentēšanas mērķim un nepietiekams visas datubāzes pārcelšanai. Pirms noslēgšanas pārbaudiet paraugu ar izdomātiem datiem un vienojieties par nepieciešamajiem metadatiem un pielikumiem.
Rezerves kopiju dzēšanas kārtībai jāatbilst faktiskajai tehnoloģijai un pārziņa prasībām. Ja tūlītēja atsevišķa ieraksta dzēšana nav iespējama, jāizvērtē aizsardzība līdz kopijas nomaiņai, piekļuves ierobežošana un nepieļaušana atjaunot dzēstos datus parastā lietošanā. Šāds risinājums nav automātiski pieņemams visos gadījumos. Puses to izvērtē pēc riska, glabāšanas vajadzības un iespējamām alternatīvām, dokumentējot secinājumu.
Likumā noteikta glabāšana jāidentificē pēc pamata, apjoma un ilguma. Nedrīkst uzskatīt, ka vispārīga frāze “juridiskām vajadzībām” ļauj saglabāt visu klienta saturu bez termiņa. Vienojieties arī par informāciju, ar kuru apstrādātājs apliecinās izpildi. Šāds apliecinājums palīdz pārzinim noslēgt attiecīgo uzdevumu, bet neatceļ nepieciešamību izvērtēt uzticamību un neskaidrības, ja apstākļi liecina par problēmu.
Pakalpojuma beigās pārbaudiet arī lietotāju kontus, tehniskās integrācijas un piekļuves atslēgas. Datu izvešana pati par sevi nepārtrauc automātisku informācijas nosūtīšanu no citas sistēmas. Ja integrācija turpina darboties, pēc apstiprinātas dzēšanas var rasties jauni dati. Izbeigšanas plānā saskaņojiet šīs darbības ar procesa īpašnieku un tehnisko komandu, saglabājot pierādījumus par atslēgšanu un datu likteni.
Biežākie jautājumi pēc parauga sagatavošanas
Vai paraugu drīkst lietot bez izmaiņām? Tikai tad, ja aizpildītie noteikumi un pielikumi precīzi atbilst faktiskajai sadarbībai; tukšs paraugs to nenodrošina. Dažkārt piemērotāks ir piegādātāja dokuments vai oficiālās standartklauzulas, kuras pārbaudītas pret vajadzībām. Svarīga ir pilnīga un izpildāma vienošanās, nevis tas, kura puse pirmā piedāvājusi teksta projektu vai cik profesionāli tas izskatās.
Vai katru incidentu apstrādātājs pats paziņo DVI? Pamatpienākums apstrādātājam ir savlaicīgi informēt pārzini; pārzinis izvērtē savu paziņošanu, vajadzības gadījumā izmantojot pilnvarotu palīdzību. Pārkāpumu pārvaldības procedūrā un reģistrā jābūt redzamam, kurš apkopo faktus, pieņem lēmumu un saglabā iesniegšanas pierādījumu. Līguma pielikumā noteiktie kontakti jāsaskaņo ar šo kārtību, lai nenotiktu paralēla un pretrunīga saziņa.
Kas jāuztur pēc parakstīšanas? Saglabājiet līguma versiju, aizpildītos pielikumus, atļaujas, būtiskos norādījumus un piegādātāja garantiju pierādījumus. Nosakiet atbildīgo par izmaiņu paziņojumu saņemšanu un pārskatīšanu. Ja mainās pakalpojums, valstis vai datu veidi, pārbaudiet atbilstošos punktus pirms jaunās apstrādes. Tādējādi paraugs kļūst par sadarbības vadības dokumentu, kuru var izmantot arī sarežģītā situācijā, nevis tikai glabāt parakstīto failu mapē.