Kui teenusepakkuja töötleb isikuandmeid teie nimel, nõuab GDPR-i artikkel 28 volitatud töötleja suhtes siduvat kirjalikku lepingut või muud liidu või liikmesriigi õiguse kohast õigusakti. Ka elektrooniline kirjalik vorm sobib. Alustage teenuse tegelikust rollist: kõik tarnijad ei ole volitatud töötlejad ja sama tarnija võib eri tegevustes täita eri rolle. Siin selgitame nõutavat sisu ning kontrolli enne sõlmimist ja teenuse jooksul. Kui vajate kohandatavat klausliteksti, kasutage eraldi volitatud töötleja lepingu näidist; näidis vajab siiski konkreetse teenuse faktidega täitmist.
Vastutav töötleja või volitatud töötleja?
Enne lepingu koostamist tuleb rollid õigesti määratleda. Vastutav töötleja määrab isikuandmete töötlemise eesmärgid ja vahendid – ta otsustab, miks ja kuidas andmeid töödeldakse. Volitatud töötleja töötleb andmeid üksnes vastutava töötleja nimel ja tema dokumenteeritud juhiste alusel.
Kvalifitseerimine ei sõltu sellest, mida pooled lepingus enda kohta kirjutavad, vaid tegelikust rollijaotusest. Kui teenusepakkuja määrab ise töötlemise eesmärgid, on ta vastutav töötleja või kaasvastutav töötleja (art. 26) ning lepinguline ülesehitus on teistsugune. Rollide määratlemine on esimene samm ka töötlemise registri koostamisel.
Artikli 28 lõike 3 kohustuslik sisu
Artikli 28 lõige 3 nõuab, et leping või muu siduv õigusakt määraks töötlemise eseme ja kestuse, laadi ja eesmärgi, andmete ja inimeste liigid ning vastutava töötleja õigused ja kohustused. Lisaks tuleb sätestada vähemalt järgmised volitatud töötleja kohustused:
- Töötlemine üksnes vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas kolmandatesse riikidesse edastamisel, välja arvatud volitatud töötlejale kohalduvast liidu või liikmesriigi õigusest tulenev kohustus; sellisel juhul teatab volitatud töötleja nõudest vastutavale töötlejale enne töötlemist, kui õigus seda olulise avaliku huvi tõttu ei keela;
- Andmeid töötlevate isikute konfidentsiaalsuskohustus või seadusest tulenev salastamiskohustus;
- Artikli 32 kohased riskile vastavad turvameetmed;
- Alltöötlemise kord artikli 28 lõigete 2 ja 4 järgi;
- Abistamine andmesubjektide õiguste taotluste täitmisel, arvestades töötlemise laadi;
- Abistamine artiklite 32–36 kohustuste täitmisel, arvestades töötlemise laadi ja kättesaadavat teavet;
- Vastutava töötleja valikul andmete kustutamine või tagastamine teenuse lõppedes ning olemasolevate koopiate kustutamine ka tagastamise valimisel, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab säilitamist;
- Nõuete täitmise tõendamiseks vajaliku teabe andmine ja auditite võimaldamine ning koostöö kontrollimisel.
Euroopa Komisjon on avaldanud artikli 28 jaoks tüüptingimused (otsus (EL) 2021/915), mida võib kasutada tervikuna või osaliselt koos sobivate lisadega, kahjustamata tingimusi. Praktiliste sõnastuste jaoks vaadake ka volitatud töötleja lepingu näidist.
Millised kohustused on volitatud töötlejal endal?
GDPR ei pane kohustusi üksnes vastutavale töötlejale. Volitatud töötleja vastutab ise järgmiste kohustuste eest:
- Töötleja register (art. 30 lg 2). Volitatud töötleja peab kohaldumisel pidama registrit iga vastutava töötleja jaoks tehtavate töötlemistoimingute kategooriate kohta. Artikli 30 lõike 5 alla 250 töötajaga organisatsiooni erandit tuleb hinnata konkreetse tegevuse kaupa: see ei vabasta mittejuhuslikku, inimestele tõenäoliselt ohtu tekitavat ega artikli 9 või 10 andmeid hõlmavat tegevust.
- Turvalisus (art. 32). Volitatud töötleja peab rakendama sobivaid tehnilisi ja korralduslikke meetmeid sõltumatult sellest, mida leping ütleb.
- Rikkumisest teavitamine (art. 33 lg 2). Volitatud töötleja peab teavitama vastutavat töötlejat isikuandmetega seotud rikkumisest põhjendamatu viivituseta.
- Alltöötlejate vastutus. Kui alltöötleja ei täida talle edasi antud andmekaitsekohustusi, jääb algne volitatud töötleja vastutava töötleja ees nende täitmise eest täielikult vastutavaks (art. 28 lg 4).
Kui volitatud töötleja väljub juhistest ja määrab ise töötlemise eesmärgid, käsitatakse teda kõnealuse töötlemise osas vastutava töötlejana (art. 28 lg 10) koos kõigi sellega kaasnevate kohustustega.
Levinud vead
- Teenusepakkuja lepingu allkirjastamine seda lugemata. Kontrollige, kas standardtingimused ja lisad katavad tegeliku teenuse, alltöötleja loa, rikkumisest teavitamise ning auditi tõendamise; turu kohta ei saa ühe pakkuja teksti põhjal üldistada.
- “Nähtamatute” teenusepakkujate unustamine: piletisüsteem, CRM, e-kirjade saatmise lahendus, arhiivide hävitamise teenus. Iga tegelik volitatud töötlemise suhe vajab nõutava sisuga siduvat instrumenti; üks raamleping võib katta mitut teenust. Võrrelge ulatust oma töötlemise registriga.
- Juhiste dokumenteerimata jätmine. Leping viitab “dokumenteeritud juhistele” – säilitage need (lisad, tellimused, päringud).
- Kolmandatesse riikidesse edastamise ignoreerimine, mida volitatud töötleja ise teostab (USA tugi, varumajutus). Kontrollige andmete tegelikku asukohta, mitte üksnes peakontori asukohta.
- Ilma järelevalveta jäämine. Leping peab kajastama tegelikku teenust: määrake ülevaatuse rütm ja kontrollige muutustel lisasid ning alltöötlejaid.
Tõendatavus ja järelevalve
Artikli 28 nõuded on iseseisvad ka siis, kui rikkumist ei ole toimunud. Võimalikus järelevalves peab organisatsioon suutma näidata poolte rolle, siduvat instrumenti, juhiseid, tegelikke alltöötlejaid ja turvameetmete hindamist. Ärge käsitage GDPR-i artikli 83 üldist ülemmäära kindla kohaliku trahvina ega väitke ilma konkreetse otsuseta, mida AKI „esimesena” kontrollib. Kontrollitav leping, muudatuste jälg ja rikkumise käsitlemise kord aitavad selgitada, kes tegelikult mida tegi.
Alltöötlemine ja pilveteenused
Volitatud töötleja suhe võib puudutada pilveteenust – majutust, tarkvara-teenust (SaaS), e-kirjade platvormi või varundust. Siin tasub eraldi kontrollida artikli 28 rakendamist. Esimene neist on alltöötlemise ahel: pilveteenuse pakkuja kasutab omakorda taristupakkujat (näiteks AWS, Microsoft Azure või Google Cloud), kes võib kasutada veel omakorda alltöötlejaid. Vastutav töötleja peab teadma kogu ahelat, sest ta jääb vastutavaks selle eest, kus tema andmeid tegelikult töödeldakse. Nõudke teenusepakkujalt ajakohast alltöötlejate nimekirja ja fikseerige lepingus üldise loa korral vastuväite õigus.
Teine korduv probleem on andmete tegelik asukoht. Euroopas registreeritud teenusepakkuja puhul tuleb eraldi kontrollida, kas tugi, varundus või taristu võimaldab ligipääsu kolmandast riigist. Kui konkreetne andmevoog on V peatüki mõttes kolmandasse riiki edastamine, tuleb kontrollida sobivat edastusalust ja vajaduse korral täiendavaid kaitsemeetmeid. Tingimused 2021/914 võivad olla üks sobiv mehhanism, kuid asjaolud vajavad eraldi hinnangut. Kontrollige andmete tegelikku asukohta, mitte üksnes teenusepakkuja peakontori asukohta.
Kolmas probleem on standardlepingu tasakaalustamatus. Teenusepakkuja standardlepingut tuleb sisuliselt lugeda: kontrollige vastutuse piiranguid, auditiõigust ja alltöötlejate muutmise korda. Kui tingimused ei kata artikli 28 nõudeid või tegelikku teenust, küsige selgitust, sobivat lisa või hinnake teist teenust. Väiksemal vastutaval töötlejal võib olla vähem läbirääkimisruumi, kuid ta peab ikkagi suutma põhjendada valitud suhte tingimusi. Pilveteenuste andmekaitse hindamine tuleb siduda töötlemise registriga, et iga pilves töödeldav andmekogum oleks kaetud kehtiva lepinguga.
Kaasvastutavad töötlejad: kui rollijaotus on jagatud
Kõik andmesuhted ei mahu vastutava ja volitatud töötleja skeemi. Kui kaks või enam organisatsiooni määravad ühiselt sama töötlemise eesmärgid ja olulised vahendid, võib tegemist olla kaasvastutavate töötlejatega artikli 26 tähenduses. Selle tegevuse jaoks tuleb teha kaasvastutuse korraldus, milles jaotatakse GDPR-i kohustused, eelkõige andmesubjektide õiguste tagamine ja teavitamine. Teist poolt ei saa üksnes mugavuse tõttu nimetada volitatud töötlejaks.
Rollijaotuse õige määratlemine on praktikas keeruline, kuid määrava tähtsusega, sest sellest sõltub kogu lepinguline ülesehitus. Näiteks kui turundusagentuur järgib rangelt kliendi juhiseid, on ta volitatud töötleja; kui ta aga kasutab kogutud andmeid ka oma eesmärkidel, võib ta selle eraldi eesmärgi suhtes olla vastutav töötleja või koos kliendiga kaasvastutav töötleja, sõltuvalt otsustusõigusest. Sama küsimus tekib ühiste kampaaniate, andmete vahetamise ja platvormide puhul, kus mitu osalist saavad andmetest kasu.
Kvalifitseerimisel tuleb lähtuda tegelikust rollist, mitte pooltevahelisest kokkuleppest. Euroopa Andmekaitsenõukogu suunised (07/2020) käsitlevad vastutava ja volitatud töötleja mõisteid põhjalikult ja aitavad piiripealseid olukordi lahendada. Enne mis tahes lepingu koostamist tuleb seega rollid selgelt määratleda – see on ka töötlemise registri korrektse täitmise eeldus, sest register kajastab, millises rollis organisatsioon iga töötlemistoimingu puhul tegutseb.
Enne kokkulepet: määrake ühe teenuse tegelik roll
Alustage ühest teenusest, mitte kogu tarnijanimest. Sama ettevõte võib majutada teie kliendiandmebaasi teie juhiste järgi ning samal ajal töödelda oma arveldamise kontaktandmeid iseseisva vastutava töötlejana. Esimesel tegevusel tuleb hinnata artiklit 28, teisel kirjeldada vastastikust andmevahetust ja teavitamist vastavalt tegelikule rollile. Vastutava töötleja avalik teade ja töötlemise register aitavad eri eesmärke eristada. Kui pooled määravad eesmärgid ja olulised vahendid koos, kontrollige artikli 26 kaasvastutust. Lepingu pealkiri ei saa seda faktilist analüüsi asendada.
Näiteks veebipoe palgaarvestaja võib saada töötajate palgaandmed poe nimel konkreetse palgaarvestuse tegemiseks. Selle tegevuse jaoks on vaja siduvat artikli 28 instrumenti ja dokumenteeritud juhiseid. Kui sama nõustaja kasutab andmeid oma seadusest tuleneva kutse- või raamatupidamiskohustuse täitmiseks, võib ta tegutseda selle piiratud tegevuse osas teises rollis. Ärge eeldage, et iga raamatupidaja on alati volitatud töötleja. Kirjutage rolliotsus tegevuse, andmeliigi ja eesmärgi kaupa; kui teenuse kirjeldus muutub, tehke otsus uuesti.
Tehke siduv instrument kontrollitavaks
Artikli 28 lõige 3 lubab kirjalikku lepingut või muud liidu või liikmesriigi õiguse kohast õigusakti, mis on volitatud töötleja suhtes vastutava töötleja ees siduv. Lõige 9 lubab kirjalikku elektroonilist vormi. Tavalise pilveteenuse puhul on lepingu lisa praktiline lahendus, kuid seadus ei kirjuta ette eraldi PDF-i iga tarnija kohta. Üks raamleping koos selgete teenuselisadega võib katta mitu töötlemist, kui pooled, kohustused, juhised ja ulatus on üheselt tuvastatavad. Kui tuginete muule õigusaktile, kontrollige, et selle sisu ja siduvus täidavad artikli 28 nõuded; üldine viide seadusele ei tõenda seda iseenesest.
Enne allkirja koostage lühike andmekaart: vastutav ja volitatud töötleja, teenuse eesmärk, andmesubjektide ja andmete liigid, süsteemid, ligipääsud, kestus, säilitamine, andmete tagastamise vorm ja kustutamise protsess. See on tööjuhis lepingu lisale, mitte uus GDPR-is nimetatud kohustuslik mall. Kui teenusepakkuja ütleb üksnes „töötleme teie juhiste järgi”, küsige, kus asuvad juhised, kes võib neid muuta ja kuidas tõendatakse uus korraldus. Volitatud töötleja peab vastutavat töötlejat viivitamata teavitama, kui tema hinnangul juhis rikub GDPR-i või muid liidu või liikmesriigi andmekaitsesätteid.
Kontrollige ka turvameetmete sobivust. Artikkel 32 nõuab riskile vastavat taset, mitte igale teenusele sama loetelu. Väikese uudiskirjaloendi ja terviseandmeid sisaldava rakenduse ligipääsu-, logi- ja varundusvajadus võib erineda. Kirjeldage, kuidas pääsu antakse ja eemaldatakse, kuidas rikkumist tuvastatakse, millal klienti teavitatakse ning milline tõend on kontrollimisel kättesaadav. Valmis lepinguvorm võib anda struktuuri; konkreetse teenuse risk ja rakendatavad meetmed peavad tulema tegelikust töökorraldusest. Klauslite sõnastamiseks on eraldi lepingu näidis, siin on tähelepanu rolli- ja sisukontrollil.
Kontrollige alltöötleja ahelat, mitte ainult nimekirja
Artikli 28 lõige 2 nõuab eelnevat konkreetset või üldist kirjalikku luba. Üldise loa puhul peab volitatud töötleja teavitama kavandatud lisamisest või asendamisest nii, et vastutav töötleja saab esitada vastuväite. Küsige, millise teenuse ja andmerühmani uus alltöötleja pääseb, kus asuvad tema võimalikud töötlemiskohad ning millal muudatus jõustub. Ainuüksi nimekirja olemasolu ei näita, et muudatustest teavitamise ja vastuväite mehhanism toimib. Proovige see läbi ühe varasema või näitliku muudatuse peal.
Lõige 4 nõuab, et algne volitatud töötleja paneks alltöötlejale sama andmekaitsekohustuste taseme siduva lepingu või muu liidu või liikmesriigi õiguse kohase õigusaktiga. Kui alltöötleja oma kohustusi ei täida, jääb algne volitatud töötleja vastutava töötleja ees tema kohustuste täitmise eest täielikult vastutavaks. See ei tähenda tingimata sõna-sõnalt identset lepinguteksti, vaid kaitsetaseme ja asjakohaste kohustuste jätkumist kogu ahelas. Küsige tõendit kohustuste edasiandmise viisi kohta, arvestades ärisaladusi ja mõistlikku auditikorraldust.
Kui teenus hõlmab rahvusvahelist edastust
Artikli 28 kokkulepe ja GDPR-i V peatüki edastusalus lahendavad eri küsimusi. Esimene määrab poolte rollid ja volitatud töötlemise kohustused; teine käsitleb andmete edastamist kolmandasse riiki või rahvusvahelisele organisatsioonile. Rahvusvahelise edastuse juhend aitab kontrollida riiki, andmesaajat, õiguslikku alust ja kaitsemeetmeid. EL-is asuv server ei tõenda üksi, et tugiteenusel, alltöötlejal või kaugjuurdepääsul puudub kolmanda riigi mõõde. Samal ajal ei tähenda üksnes teenusepakkuja peakontori asukoht, et iga teie teenuse andmevoog on edastus.
Ärge segage kahte Euroopa Komisjoni tingimuste komplekti: otsuse (EL) 2021/915 artikli 28 tüüptingimused reguleerivad vastutava ja volitatud töötleja suhet; otsuse (EL) 2021/914 tingimused võivad olla üks kolmandasse riiki edastamise mehhanism. Mõni teenus vajab mõlemat analüüsi. Valige õige moodul ja täitke teenuse faktilised lisad; ärge lubage endale, et valmis tekst asendab andmevoo kontrolli.
Lepingu eluiga: muutus, intsident ja lõpetamine
Pärast allkirja määrake omanik, kes vaatab läbi teenuse eesmärgi, andmekategooriate, alltöötlejate ja kaitsemeetmete muudatused. Üht seaduses ette antud iga-aastast kõikide lepingute ülevaatust ei ole; valige riskile vastav rütm ja muutuse käivitaja. Kui töötlemine laieneb uuele eesmärgile, tuleb vastutaval töötlejal enne jätkamist kontrollida õiguslikku alust, teavitust, registrit ja juhiseid. Pelk vana lisa kuupäeva muutmine ei tõenda, et uus töötlus on lubatud.
Kui teenusepakkuja saab teada isikuandmetega seotud rikkumisest, peab ta artikli 33 lõike 2 järgi vastutavat töötlejat teavitama põhjendamatu viivituseta. Vastutav töötleja hindab eraldi, kas järelevalveasutusele tuleb teatada põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul teadmisest, välja arvatud juhul, kui oht inimestele on ebatõenäoline. Kõik isikuandmetega seotud rikkumised dokumenteeritakse artikli 33 lõike 5 järgi; mitte iga tehniline tõrge ei ole selline rikkumine. Lepingu kontaktid ja faktivahetuse kord peavad toetama seda otsust, mitte asendama rikkumise käsitlemise töövoogu.
Lõpetamisel valib vastutav töötleja artikli 28 lõike 3 punkti g järgi üldjuhul tagastamise või kustutamise; erand on liidu või liikmesriigi õigusest tulenev säilituskohustus. Mõlemal valikul tuleb olemasolevad koopiad kustutada, kui sellist säilituskohustust ei ole. Kontrollige, millises vormingus andmed tagastatakse, millised aktiivsed koopiad eemaldatakse, kuidas käsitletakse varukoopiaid ja kuidas väljastatakse lõpetamise tõend. Tehke see läbi juba hankimisel, sest pärast lepingu lõppemist võib teenusepakkuja abi olla kallis või piiratud. Mõne kustutamistaotluse ja lepingu lõppemise kohustused on erinevad, kuid tehniline asukohtade kaart saab mõlemat toetada; vt kustutamise õiguse juhendit.
Kolm kontrolli hankes enne „sobib” otsust
Võtke hankes ette kolm tõendiküsimust. Esiteks valige üks tegelik andmekogum, näiteks klienditoe piletid, ja küsige, milline teenusepakkuja üksus sellele ligi pääseb ning kas tegu on volitatud töötlemisega. Teiseks paluge näidata, kuidas teie dokumenteeritud juhis jõuab teenusepakkuja töötajani ja kuidas tuvastatakse juhis, mis võib rikkuda andmekaitseõigust. Kolmandaks paluge kirjeldada ligipääsu lõppu: millised koopiad tagastatakse, mis kustutatakse ja millist osa peab seadus alles hoidma. Kui vastus on vaid üldine turvasertifikaat või brošüür, jääb artikli 28 konkreetne töövoog veel kontrollimata.
Sama proov sobib lepingulisandi ülevaatamiseks. Ärge kirjutage lubadust „teavitame kõigist intsidentidest 24 tunni jooksul” automaatselt GDPR-i sõnasõnaliseks tähtajaks; seaduse kohane volitatud töötleja kohustus on teatada vastutavale töötlejale isikuandmetega seotud rikkumisest põhjendamatu viivituseta. Pooled võivad kokku leppida kiirema praktilise eskalatsiooni, kuid see peab toimima ka nädalavahetusel ja puuduliku esmase teabega. Kontrollige, kas teenus suudab esitada esimesed faktid, seejärel täienduse. Vastutaval töötlejal on oma eraldi riskihinnang ja võimaliku ametiasutuse teavitamise otsus.
Lõpuks jagage vastutus organisatsiooni sees. Jurist kontrollib siduvat teksti; teenuse omanik kinnitab andmekategooriad ja tegeliku eesmärgi; turvatiim hindab asjakohaseid meetmeid; andmekaitse eest vastutav inimene võrdleb tulemust registri ning teavitusega. Ükski neist kontrollidest ei muuda platvormi või lepingu näidist vastutavaks töötlejaks teie eest. Salvestage otsuse kuupäev, avatud puudused ja järgmine ülevaatuspunkt. Nii on hiljem näha, kas tegu oli teadliku, kontrollitud valikuga või pelga allkirjaga.
Kui tarnija ütleb, et tingimusi muuta ei saa
Ka muutmatu tüüplepingu korral tehke sisuline kontroll. Paluge selgitada, kus on teenuselisade andmeliigid, juhiste muutmise kord, alltöötleja muudatustest teavitamine ja auditi tõendid. Võimalik, et osa nõutavast sisust asub põhilepingus, osa eraldi lisas või viidatud poliitikas; kontrollige, kas kõik dokumendid on lepingu osaks ning milline versioon kehtib. Kui mõni artikli 28 kohustus puudub või on vaid reklaamlehel, küsige parandust või valige teine teenus. Vastutav töötleja ei saa oma kohustust täita väitega, et turul on selline standard.
Hoidke eraldi nimekirja läbirääkimisel lahendamata teemadest. Kõik ärilised klauslid ei ole GDPR-i kohustuslikud, kuid turvalisuse, alltöötlemise, abi, tagastamise ja auditi puhul peab siduv instrument vastama määrusele. Kui teenuse ulatus väheneb, võib olla mõistlik piirata tarnija ligipääsu ja andmeliike, mitte aktsepteerida katmata riski. See otsus tuleb teha enne isikuandmete üleandmist ja säilitada koos sõlmitud versiooniga.
Korduma kippuvad küsimused
Kas pilveteenuse pakkuja standardleping on piisav?
Sageli on see lähtepunkt, kuid seda tuleb kontrollida, mitte pimesi allkirjastada. Veenduge, et siduv dokument hõlmab artikli 28 lõike 3 sisu, asjakohased teenuselisad, alltöötlemise loa ja muudatuste teavitamise, rikkumisest teatamise põhjendamatu viivituseta ning tegelikud edastused. Kui mõni element puudub, tuleb see lisada või pakkujaga läbi rääkida.
Kas leping on kohustuslik ka väikese teenusepakkujaga?
Jah. Artikli 28 lõige 3 ei sea tarnija suurusele künnist. Kui tegemist on teie nimel tegutseva volitatud töötlejaga, vajab suhe kirjalikku lepingut või muud liidu või liikmesriigi õiguse kohast siduvat õigusakti; elektrooniline kirjalik vorm on lubatud. Kontrollige esmalt tegelikku rolli.
Kas võib kasutada Euroopa Komisjoni tüüptingimusi?
Jah. Otsus (EL) 2021/915 pakub artikli 28 tüüptingimusi; neid võib kasutada tervikuna või osaliselt ning sobivate lisadega, kui tingimusi ei muudeta vastuoluliseks. Tähelepanu: need ei ole samad, mis 2021/914 kolmandatesse riikidesse edastamise tüüptingimused – kaht komplekti võib kohaldada koos.
Mis juhtub, kui volitatud töötleja lepingut ei ole?
Kui nõutav kirjalik leping või muu siduv õigusakt puudub, on artikli 28 täitmine puudulik ka ilma andmelekketa. Õiguslikud tagajärjed sõltuvad konkreetsetest asjaoludest ja järelevalve otsusest. Puuduv dokument raskendab lisaks juhiste, turvameetmete ja intsidendirollide tõendamist.
Kokkuvõte
Volitatud töötlemise puhul tuleb enne töö algust teha rolliotsus ning tagada artikli 28 lõike 3 ja lõike 9 järgi kirjalik leping või muu liidu või liikmesriigi õiguse kohane siduv õigusakt. Selle sisu peab katma töötlemise kirjelduse ja kõik nõutud kohustused, sealhulgas juhised, konfidentsiaalsuse või seadusliku salastamiskohustuse, riskipõhise turvalisuse, alltöötlejad, abistamise, tagastamise või kustutamise ning auditi. Hoidke lisad tegeliku teenusega kooskõlas, kontrollige ahela muutusi ja eristage artikli 28 küsimust rahvusvahelise edastuse alusest. Sõnastamiseks on olemas kohandatav lepingu näidis, kuid see ei asenda teenuse faktilist kontrolli.
Allikad, kontrollitud 27.09.2026: IKÜM artiklid 28 ja 30–33, EDPB vastutava ja volitatud töötleja suunised, Euroopa Komisjoni artikli 28 tüüptingimused.