Datu apstrādes līgums nosaka, kā pakalpojuma sniedzējs apstrādā personas datus pārziņa vārdā. Saskaņā ar Vispārīgās datu aizsardzības regulas 28. pantu attiecības jāregulē līgumam vai citam pārzinim un apstrādātājam saistošam Savienības vai dalībvalsts tiesību aktam. Šim instrumentam jābūt rakstiskam, tostarp elektroniskam. Parastās komerciālās attiecībās nepieciešamos noteikumus visbiežāk ietver pakalpojuma līgumā vai tā pielikumā.
Parakstīts pielikums ir tikai daļa no pārziņa pienākumiem. Pirms datu nodošanas jāizvēlas apstrādātājs, kas sniedz pietiekamas garantijas, jāapraksta konkrētā apstrāde un jānodrošina iespēja pārbaudīt noteikumu izpildi. Šis ceļvedis paredzēts piegādātāja izvērtēšanai un līguma saskaņošanai. Tā praktiskais rezultāts ir pamatots lēmums par pakalpojuma izmantošanu, zināma apstrādātāju ķēde un izpildāmi pienākumi, kurus organizācija spēj uzraudzīt.
Vispirms nosakiet lomu konkrētajā darbībā
Apstrādātājs ir atsevišķa persona, kas apstrādā datus pārziņa vārdā. Lomu nosaka faktiskie apstākļi, nevis tikai līguma virsraksts. Ja ārējs grāmatvedības pakalpojums izmanto darbinieku datus klienta noteiktās algu aprēķina darbībās, iespējamas apstrādātāja attiecības. Savukārt saviem patstāvīgi noteiktiem nolūkiem veikta apstrāde jāvērtē atsevišķi. Vienam pakalpojuma sniedzējam dažādās darbībās var būt atšķirīgas lomas.
Pārbaudiet, kurš nosaka nolūkus un būtiskos līdzekļus: kāpēc datus izmanto, par kuriem cilvēkiem, kādā apjomā un cik ilgi. Apstrādātājs var patstāvīgi izvēlēties noteiktus tehniskās izpildes risinājumus, nekļūstot tādēļ par pārzini. Taču tiesības izmantot klienta datus saviem nesaistītiem komerciāliem nolūkiem nav vienkārši tehniska brīvība. Šāda klauzula prasa atsevišķu analīzi, informēšanu un piemērotu tiesisko pamatu.
Arī ne katrs piegādātājs kļūst par apstrādātāju. Vienkārša preču pārdošana vai nejauša iespēja ieraudzīt kontaktinformāciju pati par sevi nepierāda datu apstrādi klienta vārdā. Turpretī regulāra sistēmas uzturēšana ar nepieciešamu piekļuvi klienta datiem var to ietvert. Aprakstiet piekļuves mērķi un reālās darbības, lai nepievienotu nepiemērotu līgumu tur, kur vajadzīgs cits atbildības sadalījums.
Ja puses kopīgi nosaka nolūkus un līdzekļus, var būt jāvērtē kopīgu pārziņu attiecības pēc 26. panta. Datu apstrādes līguma nosaukums šo jautājumu neatrisina. Saglabājiet īsu lomu pamatojumu pie attiecīgās darbības apstrādes reģistrā, lai iepirkumu, juridiskā un tehniskā komanda izmanto vienu un to pašu pieņēmumu, arī atjaunojot pakalpojumu vēlāk.
Pietiekamas garantijas jāpārbauda pirms izvēles
Pārzinim jāizmanto tikai tādi apstrādātāji, kuri sniedz pietiekamas garantijas piemērotu tehnisko un organizatorisko pasākumu ieviešanai. Praktiskā pārbaudē jāņem vērā datu veids, cilvēku situācija, apjoms un pakalpojuma nozīme. Publiska klientu kontaktu saraksta glabāšana un detalizētu veselības lietu uzturēšana neprasa identisku pierādījumu dziļumu, taču abos gadījumos vajadzīgs saprotams pamatojums piegādātāja izvēlei.
Pieprasiet drošības aprakstu, piekļuves pārvaldības kārtību, incidentu kontaktus un informāciju par apakšapstrādātājiem. Sertifikācija vai neatkarīga pārbaude var būt viens pierādījums, bet jāzina tās tvērums, datums un ierobežojumi. Sertifikāts par vienu datu centru neapliecina visas lietotnes funkcijas. Ja materiāls ir konfidenciāls, vienojieties par pārskatīšanas iespēju, nevis automātiski pieņemiet, ka jebkura informācijas nesniegšana ir pietiekami pamatota.
EDAK Atzinums 22/2024, kas pieņemts 2024. gada 7. oktobrī, uzsver apstrādātāju un apakšapstrādātāju identitātes pieejamību un garantiju pārbaudi. Pārbaudes dziļums var atšķirties pēc riska. Tas nenozīmē pienākumu sistemātiski pieprasīt katru ķēdes līgumu: nepieciešamību vērtē konkrētajos apstākļos. Saglabājiet, ko pārbaudījāt un kā neatbildētie jautājumi tika atrisināti.
Ja atbildes ir nepilnīgas, nošķiriet būtisku šķērsli no precizējuma, kuru var pabeigt pirms ieviešanas. Piemēram, nezināma datu atrašanās vieta vai nespēja izdzēst klienta informāciju var ietekmēt pašu izvēli. Savukārt kontaktpersonas nomaiņa bieži ir atrisināma operacionāli. Lēmumu pieņem atbildīgā organizācijas persona, vajadzības gadījumā saņemot datu aizsardzības speciālista padomu; speciālists nekļūst par piegādātāja garantētāju.
Rakstiskais instruments un apstrādes apraksts
Regulas prasītais līgums vai cits saistošais tiesību akts var būt elektronisks. Nav vispārējas prasības katram pielikumam būt atsevišķai papīra vienošanai ar konkrētu nosaukumu. Toties organizācijai jāspēj pierādīt, kuri noteikumi ir saistoši attiecīgajām pusēm un kāda to versija piemērojama. Saite uz jebkurā brīdī pārrakstāmu tīmekļa lapu bez izmaiņu kontroles rada pierādīšanas grūtības.
Līgumā jānorāda apstrādes priekšmets un ilgums, raksturs un nolūks, personas datu veidi un datu subjektu kategorijas, kā arī pārziņa pienākumi un tiesības. Apraksts “visi dati visu pakalpojumu sniegšanai” nepasaka, ko puses faktiski ir paredzējušas. Pakalpojuma pielikumā jābūt pietiekamai informācijai, lai abas puses varētu atšķirt atļauto darbību no jauna vai neatbilstoša izmantošanas veida.
Piemēram, klientu atbalsta sistēmas pielikumā var nošķirt klientu kontaktus, sarakstes saturu un atbalsta darbinieku darbību žurnālus. Norādiet, vai lietotājs drīkst ievietot īpašo kategoriju datus, kā rīkoties nejaušas saņemšanas gadījumā un vai dati nonāk testa vidē. Ja aizliegums līgumā neatbilst paredzamajai faktiskajai lietošanai, jāmaina vai nu pakalpojuma process, vai prasības un aizsardzības pasākumi.
Ilgums ietver ne tikai abonēšanas periodu. Dati var saglabāties izvešanas posmā, rezerves kopijās un noteiktu pienākumu izpildei. Aprakstiet šīs situācijas un saistību ar izbeigšanas noteikumiem. Pārziņa tiesības dot norādījumus un saņemt pierādījumus nedrīkst pazust brīdī, kad beidzas piekļuve lietotnes lietotāja kontam, ja apstrādātājs vēl glabā tā vārdā apstrādātos datus.
Norādījumi un konfidencialitāte
Apstrādātājs drīkst apstrādāt datus tikai pēc dokumentētiem pārziņa norādījumiem, tostarp attiecībā uz nosūtīšanu uz trešo valsti vai starptautisku organizāciju. Izņēmums ir apstrādātājam piemērojams Savienības vai dalībvalsts tiesību pienākums. Tad pirms apstrādes jāinformē pārzinis par šo prasību, ja vien attiecīgās tiesības svarīgu sabiedrības interešu dēļ neaizliedz šādu informēšanu. Vispārīga atsauce uz jebkuru ārvalsts pieprasījumu nav šā izņēmuma aizstājējs.
Norādījumi var būt līgumā, apstiprinātā konfigurācijā vai reģistrētā pieprasījumā. Nosakiet, kurš pārziņa vārdā tos drīkst dot un kā tiek apstiprinātas būtiskas izmaiņas. Apstrādātājam nekavējoties jāinformē pārzinis, ja tas uzskata norādījumu par pretrunīgu regulai vai citiem Savienības vai dalībvalsts datu aizsardzības noteikumiem. Tādēļ līgumā vajadzīga arī praktiska strīda vai neskaidra norādījuma eskalācijas kārtība.
Personām, kuras ir pilnvarotas apstrādāt datus, jāuzņemas konfidencialitātes pienākums vai jābūt pakļautām atbilstošam likumā noteiktam pienākumam. Nav jēgas prasīt atsevišķu identisku apliecinājumu tur, kur piemērots likumiskais pienākums jau pastāv, taču tā esība jāspēj pamatot. Konfidencialitāte jāpapildina ar piekļuves ierobežojumiem: solījums klusēt pats par sevi neattaisno visu darbinieku piekļuvi visiem klienta datiem.
Pārbaudiet, kā piekļuvi piešķir, pārskata un atņem. Piegādātāja darbinieka aiziešanai, ārpakalpojuma speciālista līguma beigām un klienta administratora maiņai jābūt atspoguļotai procesā. Ja klientam ir iespēja pašam piešķirt piekļuvi, skaidri sadaliet pienākumus. Citādi abas puses var kļūdaini uzskatīt, ka nevajadzīgos kontus slēdz otra puse, lai gan praksē to nedara neviens.
Drošība un palīdzība pārzinim
Līgumam jāparedz visi saskaņā ar 32. pantu vajadzīgie pasākumi, ņemot vērā konkrēto risku. Drošības pielikumā aprakstiet īstenoto piekļuves kontroli, aizsardzību pārsūtīšanas un glabāšanas laikā, atjaunošanas spējas un regulāru efektivitātes pārbaudi. Ne katrs tehnoloģijas nosaukums ir obligāts visās situācijās. Svarīgi, lai izvēlētais pasākums risina identificēto risku un tā darbību var pārbaudīt.
Saskaņojiet drošību ar integrētās datu aizsardzības prasībām. Ja pārzinis izvēlas minimālu glabāšanas termiņu, bet pakalpojums to nevar īstenot, problēmu neatrisina vispārīga atbilstības klauzula. Noskaidrojiet konfigurācijas robežas, alternatīvus risinājumus un nepieciešamās izmaiņas pirms datu nodošanas. Šāda pārbaude ir daudz vienkāršāka iepirkumā nekā pēc vairāku gadu datu uzkrāšanas.
Apstrādātājam, ņemot vērā apstrādes raksturu, iespēju robežās ar piemērotiem pasākumiem jāpalīdz pārzinim izpildīt datu subjektu tiesību pieprasījumus. Tas nenozīmē, ka katru saņemtu pieprasījumu piegādātājs izlemj patstāvīgi. Vienojieties par pārsūtīšanu, meklēšanu, eksportu, labošanu un dzēšanu, saglabājot pārziņa lēmumu. Piekļuves tiesību ceļvedis palīdz sagatavot reprezentatīvu situāciju šīs palīdzības pārbaudei.
Palīdzība nepieciešama arī 32.–36. panta pienākumu izpildei, ņemot vērā apstrādes raksturu un apstrādātājam pieejamo informāciju. Tā ietver drošību, pārkāpumus, ietekmes novērtējumu un vajadzīgo iepriekšējo apspriešanos. Līgumā ir vērts noteikt saziņas kanālus, informācijas veidus un atbildīgos. Vispārīgs solījums palīdzēt var būt grūti izmantojams, ja projekta komandai nav zināms, kam pieprasījumu nosūtīt.
Apakšapstrādātāju ķēde
Apstrādātājs nedrīkst piesaistīt citu apstrādātāju bez pārziņa iepriekšējas konkrētas vai vispārējas rakstiskas atļaujas. Vispārējas atļaujas gadījumā jāpaziņo plānotās izmaiņas saistībā ar papildu apstrādātāju piesaisti vai aizstāšanu, dodot iespēju iebilst. Paziņojums pēc datu nodošanas neatbilst iepriekšējas kontroles jēgai. Vienojieties par informācijas saturu un praktisku laiku iebilduma izvērtēšanai pirms izmaiņu īstenošanas.
Norādiet juridisko personu, apstrādes uzdevumu un vietas, nevis tikai platformas tirdzniecības zīmi. Ne katrs uzņēmums piegādātāja iepirkumu sarakstā ir konkrētās apstrādes apakšapstrādātājs. Tomēr datu glabāšana, atbalsts vai cita uzticēta darbība var radīt šo lomu. Pārzinim vajadzīga pārskatāma ķēde, lai saprastu gan garantijas, gan datu saņēmējus un iespējamās starptautiskās plūsmas.
Apakšapstrādātājam ar rakstisku līgumu vai citu atbilstošu saistošu Savienības vai dalībvalsts tiesību aktu jāuzliek tās pašas datu aizsardzības saistības, īpaši pietiekamas garantijas piemērotiem pasākumiem. Sākotnējais apstrādātājs paliek pilnībā atbildīgs pārzinim par nākamā apstrādātāja saistību izpildi. Klauzula, kas vienkārši visu atbildību pārceļ uz izvēlēto infrastruktūras piegādātāju, šo regulas noteikumu neatceļ.
Iebilduma kārtībā paredziet, kas notiek, ja pieņemamu risinājumu nevar atrast. Var būt iespējams izmantot citu piegādātāju, izslēgt attiecīgo funkciju vai pārtraukt skarto pakalpojumu. Šīs komerciālās sekas jāizrunā, jo formālas tiesības iebilst ir maz noderīgas, ja līgums vienlaikus pieprasa turpināt neatbilstošu apstrādi bez alternatīvas. Tas nenozīmē automātiskas veto tiesības pār piegādātāja visu uzņēmējdarbību.
Starptautiska nosūtīšana un standartklauzulas
Līgums pēc 28. panta pats par sevi nav pamats jebkurai datu nosūtīšanai ārpus ES un EEZ. Jāizvērtē arī regulas V nodaļa, tostarp konkrētais saņēmējs, valsts, piemērojamais mehānisms un vajadzīgās garantijas. Datu centra atrašanās Eiropā neatklāj visas attālinātā atbalsta un tālāknodošanas situācijas. Savukārt ārvalsts elements pats par sevi nenozīmē, ka pakalpojums vienmēr aizliegts.
Eiropas Komisijas Lēmuma 2021/915 standartklauzulas ir paredzētas pārziņa un apstrādātāja attiecībām. Tās jānošķir no starptautiskās nosūtīšanas standartklauzulām saskaņā ar Lēmumu 2021/914. Kā skaidrots Komisijas jautājumu un atbilžu materiālā, atbilstoši izmantoti pēdējo otrais un trešais modulis var aptvert arī 28. panta prasības, tādēļ nav universāla pienākuma vienmēr parakstīt divus dublējošus dokumentus. Pārbaudiet izvēlētā instrumenta tvērumu un aizpildītos pielikumus.
Pārkāpumi, auditi un pakalpojuma beigas
Apstrādātājs par personas datu aizsardzības pārkāpumu informē pārzini bez nepamatotas kavēšanās pēc tam, kad tas kļuvis zināms. Tam nav atsevišķa vispārēja 72 stundu nogaidīšanas perioda. Līgumā var noteikt stingrāku praktisku informēšanas kārtību, taču tā nedrīkst attaisnot nepamatotu gaidīšanu. Sākotnēju paziņojumu var papildināt, kad iegūst jaunus faktus, negaidot pilnu izmeklēšanas ziņojumu.
Pārzinis atsevišķi izvērtē paziņošanu uzraudzības iestādei: bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc uzzināšanas, ja vien ir maz ticams, ka pārkāpums varētu radīt risku cilvēku tiesībām un brīvībām. Novēlota paziņošana jāpamato. Visi personas datu aizsardzības pārkāpumi jādokumentē, bet augsta riska informēšana cilvēkiem pēc 34. panta ir atsevišķs jautājums. Līgumam jāpalīdz savlaicīgi pieņemt šos lēmumus.
Apstrādātājam jāsniedz visa informācija, kas nepieciešama 28. panta izpildes pierādīšanai, un jāļauj pārzinim vai tā pilnvarotam revidentam veikt auditus, tostarp pārbaudes, tajos piedaloties. Puses var saskaņot saprātīgu organizatorisko kārtību un konfidencialitāti. Tomēr klauzula “pieejams tikai mūsu sertifikāts, citas pārbaudes aizliegtas” var liegt nepieciešamo kontroli, īpaši pēc incidenta vai būtiskām neatbilstības pazīmēm.
Beidzoties apstrādes pakalpojumam, pēc pārziņa izvēles dati jādzēš vai jāatdod un esošās kopijas jādzēš, ja vien Savienības vai dalībvalsts tiesības neprasa glabāšanu. Izskaidrojiet izvešanas formātu, termiņus, rezerves kopiju dzīves ciklu un dzēšanas pierādījumu. Juridisks glabāšanas pienākums jāidentificē; tas nav vispārējs pamats turpināt izmantot klienta datus jebkādiem citiem nolūkiem.
Ko darīt, ja piegādātājs piedāvā tikai standarta noteikumus
Liels piegādātājs var atteikties pārrakstīt savu pamatlīgumu katram klientam. Tas neatceļ pārziņa pienākumu izvērtēt atbilstību, taču arī nenozīmē, ka vienīgā pieņemamā iespēja ir jūsu pašu veidlapa. Salīdziniet saistošos dokumentus kopumā: pakalpojuma līgumu, datu apstrādes pielikumu, drošības saistības un piemērojamos nosūtīšanas instrumentus. Fiksējiet, kur katra būtiskā prasība ir atrisināta un kur saglabājas reāls trūkums.
Nošķiriet neērtu formulējumu no nepietiekama pienākuma. Citāds punkta nosaukums vai dokumentu struktūra var būt pieņemama, ja saturs ir skaidrs un saistošs. Savukārt tiesību veikt pārbaudes izslēgšana vai apakšapstrādātāju piesaiste bez vajadzīgās atļaujas nav tikai stila jautājums. Sarunās izskaidrojiet konkrēto darbību, kuru piedāvātais teksts neļauj veikt, un pieprasiet risinājumu ar līdzvērtīgu praktisko rezultātu.
Dažkārt problēmu var atrisināt ar pakalpojuma tvēruma ierobežojumu. Piemēram, organizācija var neizmantot funkciju, kas nosūta datus neatbilstošam saņēmējam, ja šo izslēgšanu var uzticami konfigurēt un kontrolēt. Mutiska vienošanās, ka darbinieki vienkārši nespiedīs noteiktu pogu, var būt nepietiekama. Pārbaudiet, vai piegādātājs šo robežu atbalsta un vai vēlākas izmaiņas neieslēdz funkciju automātiski.
Ja trūkumu nevar novērst, dokumentējiet lēmumu pakalpojumu neizmantot attiecīgajai apstrādei vai izvēlēties citu risinājumu. Tas nav piegādātāja vispārīgs kvalitātes vērtējums: konkrētajam pakalpojumam var būt lietojumi, kuriem tā nosacījumi ir piemēroti. Šāda precizitāte palīdz iepirkuma komandai pamatot atteikumu bez nepārbaudītiem apgalvojumiem par visu uzņēmumu vai tā citu klientu atbilstību.
Arī līguma izmaiņu mehānismu izvērtējiet pēc praktiskajām sekām. Nosakiet, kā pārzinis uzzina par jauniem noteikumiem, cik savlaicīgi tos var pārskatīt un kādas ir izstāšanās iespējas, ja izmaiņas vairs nav pieņemamas. Saglabājiet iepriekšējās versijas. Ar saņemtu paziņojumu vien nepietiek, ja neviens organizācijā nav atbildīgs par tā saturu un nepieciešamo lēmumu.
Pēc būtiskas izmaiņas var būt vajadzīgs arī līguma saistīto dokumentu labojums. Jauns datu veids var mainīt riska vērtējumu, saņēmējs var mainīt cilvēkiem sniedzamo informāciju, bet pakalpojuma izbeigšana var radīt migrācijas uzdevumu. Pievienojiet lēmumam šīs atkarības un atbildīgos. Tādā veidā līguma pārskatīšana kļūst par konkrētu darbību kopumu, nevis tikai juridiskās nodaļas apstiprinājumu e-pastā.
Kā noslēgt izvērtējumu un uzturēt līgumu
Pirms apstiprināšanas salīdziniet līgumu ar pakalpojuma tehnisko konfigurāciju un galvenajiem komerciālajiem noteikumiem. Ja drošības pielikums sola dzēšanu, bet sistēma to nevar izpildīt, pretruna jānovērš. Ja palīdzība tiesību pieprasījumos pieejama tikai pēc ilgas iepriekšējas pieteikšanās, jāvienojas par lietojamu procesu. Pieņemšanas lēmumā fiksējiet atvērtos jautājumus un pierādījumus, kas vajadzīgi pirms datu nodošanas.
Vai vajadzīgs atsevišķs līgums katram rīkam? Izšķirošs ir saistošo noteikumu tvērums un precīzs apstrādes apraksts, nevis dokumentu skaits. Viens instruments var aptvert vairākus pakalpojumus ar piemērotiem pielikumiem. Datu apstrādes līguma paraugs palīdz sagatavot tekstu, bet katram pakalpojumam jāpārbauda, vai izvēlētās klauzulas un aizpildītā informācija atbilst faktiskajām attiecībām.
Vai pēc parakstīšanas darbs ir pabeigts? Nē. Nosakiet, kurš saņem izmaiņu paziņojumus, pārskata garantijas un aktualizē pielikumus. Pakalpojuma paplašināšana, jauna valsts, cits apakšapstrādātājs vai būtisks incidents var prasīt jaunu izvērtējumu. Līgums ir izmantojams pārvaldības instruments tikai tad, ja organizācija zina tā saturu un spēj piemērot paredzētās tiesības visā apstrādes laikā.