Kas otsite volitatud töötleja lepingu (Data Processing Agreement, DPA) näidist, mis vastab isikuandmete kaitse üldmääruse (GDPR) artiklile 28? Siin on tööversioon, mille nurksulud ja lisad tuleb enne kasutamist konkreetse teenuse järgi täita. Kui teenusepakkuja töötleb isikuandmeid vastutava töötleja nimel, peab suhet reguleerima artikli 28 nõuetele vastav kirjalik leping või muu siduv liidu või liikmesriigi õigusakt. Majutus- ja tarkvarateenused võivad olla sellised suhted, kuid roll tuleb hinnata tegeliku tegevuse järgi. Puudulik õiguslik instrument on omaette vastavusprobleem ka siis, kui intsidenti pole toimunud. See juhend sisaldab näidisklausleid ja lisade täitmise otsuseid, seejärel selgitab, kuidas seda oma olukorra järgi kohandada, ja loetleb levinud vead. Õigusliku raamistiku üksikasjad leiate meie artikli 28 juhendist.
Kohandatav volitatud töötleja lepingu näidis
ISIKUANDMETE TÖÖTLEMISE LEPING
Sõlmitud [Ettevõte X OÜ], registrikood […], aadress […], edaspidi Vastutav töötleja, ja [Ettevõte Y OÜ], registrikood […], aadress […], edaspidi Volitatud töötleja, vahel.
1. Ese. Käesolev leping reguleerib isikuandmete töötlemist, mida Volitatud töötleja teostab Vastutava töötleja nimel [kuupäev] sõlmitud põhilepingu täitmisel, kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (GDPR) artikliga 28.
2. Töötlemise kirjeldus.
- Töötlemise laad: [kogumine, majutamine, salvestamine, päringute tegemine…]
- Eesmärk: [nt personalihaldustarkvara majutamine]
- Isikuandmete liigid: [nimi, kontaktandmed, isikukood, logiandmed…]
- Andmesubjektide liigid: [töötajad, kliendid, potentsiaalsed kliendid…]
- Kestus: [algus, lõpp ning koopiate tagastamise või kustutamise ajakava].
- Vastutava töötleja õigused ja kohustused: [juhiste andmine, valiku tegemine lepingu lõpul, kontroll].
3. Juhised. Volitatud töötleja töötleb isikuandmeid üksnes Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas kolmandatesse riikidesse edastamisel, välja arvatud kui seda nõuab Euroopa Liidu või liikmesriigi õigus; sellisest nõudest teatatakse enne töötlemist, kui õigus ei keela teavitamist olulise avaliku huvi tõttu. Volitatud töötleja teavitab Vastutavat töötlejat viivitamata, kui juhis on tema hinnangul vastuolus GDPR-i või muude liidu või liikmesriigi andmekaitsesätetega.
4. Konfidentsiaalsus. Volitatud töötleja tagab, et isikuandmeid töötlema volitatud isikud on võtnud konfidentsiaalsuskohustuse või on seotud asjakohase seadusest tuleneva saladuse hoidmise kohustusega.
5. Turvalisus. Volitatud töötleja rakendab GDPR artiklis 32 ette nähtud tehnilisi ja korralduslikke meetmeid, mis kirjeldatakse Lisas 2 teenuse riskide järgi; valitavad näited on asjakohane krüpteerimine, juurdepääsuõiguste haldus, logimine, testitud varukoopiad ja intsidentide käsitlemise kord.
6. Alltöötlemine. Volitatud töötleja ei kaasa teist töötlejat ilma Vastutava töötleja eelneva [üldise / konkreetse] kirjaliku loata. Üldise loa korral teavitab Volitatud töötleja Vastutavat töötlejat igast kavandatavast muudatusest (nimekiri Lisas 3), andes [30] päeva vastuväite esitamiseks. Volitatud töötleja paneb alltöötlejale artikli 28 lõike 4 järgi samad andmekaitsekohustused siduva lepingu või muu liidu või liikmesriigi õiguse kohase õigusaktiga ning jääb alltöötleja kohustuste täitmise eest Vastutava töötleja ees täielikult vastutavaks.
7. Andmesubjektide õigused. Volitatud töötleja abistab Vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega andmesubjektide õiguste teostamise taotlustele vastamisel (GDPR art. 15–22). Volitatud töötleja edastab talle otse laekunud taotlused viivitamata ja vastab ise ainult vastutava töötleja juhiste ning volituse piires.
8. Rikkumised. Volitatud töötleja teavitab Vastutavat töötlejat igast isikuandmetega seotud rikkumisest põhjendamatu viivituseta pärast sellest teadasaamist. Esimeses teates esitab ta teadaolevad asjaolud ja täiendab teavet selle selgumisel. Pooled võivad lisaks kokku leppida [24/48] tunni ülempiiri; see ei õigusta teavitamise edasilükkamist, kui teave on varem olemas.
9. Abistamine. Volitatud töötleja abistab Vastutavat töötlejat GDPR artiklite 32–36 kohustuste (turvalisus, rikkumisest teavitamine, mõjuhinnang, eelnev konsulteerimine) täitmisel, arvestades töötlemise laadi ja tema käsutuses olevat teavet.
10. Andmete saatus. Lepingu lõppedes Volitatud töötleja Vastutava töötleja valikul kas kustutab või tagastab kõik isikuandmed ja hävitab olemasolevad koopiad, välja arvatud seadusest tulenev säilitamiskohustus. Kustutamist kinnitatakse kirjalikult.
11. Audit. Volitatud töötleja teeb kättesaadavaks kogu teabe, mis on vajalik käesoleva lepingu täitmise tõendamiseks, ning võimaldab auditeid, sealhulgas kohapealseid kontrolle, Vastutava töötleja või tema volitatud audiitori poolt. Tavapärase kontrolli etteteatamine [15] päeva; kiireloomulise kontrolli korda tuleb eraldi täpsustada.
12. Kolmandatesse riikidesse edastamine. Iga edastamine kolmandasse riiki toimub kaitse piisavuse otsuse või GDPR artikli 46 asjakohaste kaitsemeetmete (2021/914 tüüptingimused) alusel, täiendatuna vajaduse korral edastamise mõjuhinnanguga.
Lisad: 1. Töötlemise üksikasjalik kirjeldus — 2. Turvameetmed — 3. Lubatud alltöötlejate nimekiri.
Kuidas näidist kohandada
Määratlege kõigepealt rollid. See näidis eeldab vastutava ja volitatud töötleja suhet. Kui teenusepakkuja määrab ise eesmärgid, on ta ise vastutav töötleja ja lepinguline ülesehitus on erinev. Rollide määratlemine on ka töötlemise registri alus.
Valige alltöötlemise režiim. Üldine luba (koos vastuväite õigusega) on SaaS-teenustes tavaline; konkreetne luba on põhjendatud tundlike andmete või kriitiliste töötlemiste puhul. Täitke Lisa 3 tegeliku alltöötlejate nimekirjaga – nõudke seda teenusepakkujalt.
Määrake rikkumisest teavitamise tähtaeg. Artikli 33 lõige 2 ütleb “põhjendamatu viivituseta” – võite kokku leppida sobiva lühema sisemise ülempiiri, kuid teavitamine peab igal juhul toimuma põhjendamatu viivituseta, et vastutav töötleja saaks hinnata, kas AKI-le teatamine on vajalik, ning täita põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul teatamise kohustuse. Eesti järelevalveasutuse rolli selgitab AKI ülevaade.
Täitke turvalisuse lisa konkreetselt. Tühi või üldsõnaline lisa (“tehnika tasemele vastavad meetmed”) ei täida artiklit 32. Valige riski järgi kontrollitavad meetmed; näiteks võivad sobida krüpteerimine, mitmeastmeline autentimine, testitud varukoopiad või juurdepääsuõiguste haldus.
Levinud vead
- Teenusepakkuja lepingu allkirjastamine seda lugemata. Suurte pakkujate mallid piiravad sageli vastutust ja auditiõigust.
- “Nähtamatute” teenusepakkujate unustamine: piletisüsteem, CRM, e-kirjade saatja, arhiivide hävitaja. Võrrelge iga leping oma registriga.
- Juhiste dokumenteerimata jätmine – säilitage juhised lisade ja tellimustena.
- Kolmandatesse riikidesse edastamise ignoreerimine, mida teenusepakkuja ise teostab (USA tugi, varumajutus).
- Lepingu jätmine ilma järelevalveta – kontrollige lisasid ja alltöötlejaid vähemalt kord aastas.
Lepingute ja töötlemistoimingute seoste haldamiseks võib kasutada ROPA tarkvara, kuid ka lihtne ajakohane register ja lepingute kaust toimivad, kui iga teenusepakkuja roll, kehtiv leping ning vastutav omanik on leitavad.
Lisade täitmine: turvameetmed ja alltöötlejad
Näidise kõige olulisem, kuid sageli hooletusse jäetud osa on lisad. Just lisad muudavad üldise malli konkreetse teenusepakkuja jaoks siduvaks ja auditeeritavaks.
Lisa 1 – töötlemise üksikasjalik kirjeldus peab vastama artikli 28 lõike 3 sissejuhatuse nõudele. See kordab ja täpsustab lepingu punkti 2: milliseid andmeliike, milliste andmesubjektide kohta, mis eesmärgil ja kui kaua töödeldakse – viimane peab järgima säilitamise piirangu põhimõtet. Kirjeldus peab langema kokku teie töötlemise registriga – kui register näitab, et teenusepakkuja töötleb töötajate palgaandmeid, peab seda kajastama ka lisa.
Lisa 2 – turvameetmed on koht, kus enamik lepinguid ebaõnnestub. Üldsõnaline lause “teenusepakkuja rakendab tehnika tasemele vastavaid meetmeid” ei täida artiklit 32. Lisas kirjeldage valitud kontrollitavad meetmed ja nende ulatus riski järgi. Näited, mille sobivust tuleb eraldi hinnata, on krüpteerimine edastamisel või säilitamisel, mitmeastmeline autentimine, rollipõhine juurdepääs, logimine, testitud varukoopiad, taasteplaan, haavatavuste haldus ja intsidentide käsitlemise kord. Mida konkreetsem lisa, seda tugevam on teie positsioon nii lepinguliselt kui ka rikkumise korral.
Lisa 3 – alltöötlejate nimekiri peab olema ajakohane ja tegelik. Nõudke teenusepakkujalt täielikku nimekirja koos iga alltöötleja rolli ja asukohaga. See võimaldab tuvastada kolmandatesse riikidesse edastamise ja hinnata kogu töötlemisahelat. Üldise loa korral fikseerige, et teenusepakkuja teavitab teid muudatustest ette, andes teile vastuväite õiguse. Tühi või vananenud Lisa 3 on klassikaline järelevalves märgatav puudus.
Lepingu allkirjastamine ja haldus
Artikli 28 kohane leping või muu liidu või liikmesriigi õiguse alusel siduv õigusakt peab olema kirjalik, sealhulgas elektrooniline (art. 28 lg 3 ja 9). Elektrooniline allkiri – näiteks eIDAS-määrusele vastav digiallkiri, mis on Eestis laialdaselt kasutusel – on täiesti piisav ja praktikas tavapärane. Leping ei pea olema paberil ega käsitsi allkirjastatud; oluline on, et selle olemasolu ja sisu oleks hiljem tõendatav.
Lepingu haldus ei lõpe allkirjastamisega. Leping on elav dokument, mille lisasid – eelkõige alltöötlejate nimekirja ja turvameetmeid – tuleb ajakohastada, kui teenusepakkuja muudab oma alltöötlejaid või taristut. Seetõttu tasub vähemalt kord aastas üle vaadata kõik kehtivad lepingud ja kontrollida, kas lisad vastavad tegelikkusele. Uue tegeliku volitatud töötleja kaasamisel peab artikli 28 kohane kirjalik leping või muu siduv liidu või liikmesriigi õigusakt kehtima enne töötlemise algust, mitte tagantjärele.
Kõige tõhusam viis lepinguid hallata on siduda need töötlemise registriga: iga registris nimetatud vastuvõtja, kes on volitatud töötleja, peab olema kaetud kehtiva artikli 28 lepinguga või muu siduva liidu või liikmesriigi õigusaktiga. Nii muutub nähtavaks, kui mõne tegeliku volitatud töötleja jaoks puudub nõutav siduv instrument – see on üks sagedasemaid järelevalves ilmnevaid puudusi.
Kontrollige rolli enne näidise kopeerimist
Artikli 28 näidis sobib olukorda, kus üks osaline töötleb isikuandmeid teise nimel ja tema dokumenteeritud juhiste järgi. Teenuse nimi üksi seda ei otsusta. Majutaja võib oma kliendi andmete säilitamisel olla volitatud töötleja, kuid sama teenusepakkuja otsustab ise oma töötajate palgaandmete eesmärgid ning on selle tegevuse vastutav töötleja. Maksevahendaja või kuller ei muutu automaatselt volitatud töötlejaks pelgalt seetõttu, et ta saab e-poelt andmeid. Kirjeldage iga andmevoo eesmärk, otsustusõigus ja juhiste tegelik ulatus enne lepingu vormi valimist. Eesti andmekaitse ülevaade annab üldise raamistiku; rollijaotus tehakse konkreetse teenuse põhjal.
Kui kaks organisatsiooni määravad eesmärgid ja olulised vahendid koos, võib küsimus olla kaasvastutuses artikli 26 järgi, mitte tavapärases volitatud töötleja lepingus. Kui teenusepakkuja kasutab kliendi andmeid oma eraldi eesmärgiks, ei muuda artikli 28 leping seda kasutust kliendi juhiste kohaseks. Nimetage need eraldi tegevused ja õiguslikud alused; vajaduse korral muutub teenusepakkuja selle osa suhtes vastutavaks töötlejaks. Selline analüüs säästab hilisema vaidluse selle üle, kes peaks vastama inimesele või teatama rikkumisest. AKI vastutava ja volitatud töötleja selgitus rõhutab tegelikke rolle ja konkreetset kokkulepet.
Tehke kohustuslikust sisust kontrollitav kokkulepe
Artikli 28 lõike 3 sissejuhatus nõuab töötlemise eset ja kestust, laadi ja eesmärki, andmeliike, andmesubjektide kategooriaid ning vastutava töötleja kohustusi ja õigusi. Need andmed ei selgu lausetest „osutatakse IT-teenust” ja „töödeldakse vajaduse korral”. Võtke üks päris teenus, näiteks palgaarvestuse majutus. Kirjeldage, kas teenusepakkuja üksnes säilitab, teeb varukoopiaid, parandab vigaseid kirjeid või saab tugipäringu ajal sisu avada. Eraldi märkige, millised töötajate ja ülalpeetavate andmed võivad süsteemi jõuda ning millal teenus ja selle koopiad lõpevad.
Juhiste kord peab olema kasutatav. Leppige kokku, kellelt tulevad kehtivad juhised, kuidas salvestatakse uus töötlemise eesmärk, kes saab anda erakorralise juhise ning mida teenusepakkuja teeb, kui juhis tundub vastuolus GDPR-i või muude liidu või liikmesriigi andmekaitsesätetega. Kui liidu või liikmesriigi õigus nõuab töötlemist ilma tavapärase juhiseta, nõuab artikkel 28 üldjuhul, et volitatud töötleja teavitaks vastutavat töötlejat sellest enne töötlemist, välja arvatud kui seadus sellise teavitamise keelab olulise avaliku huvi tõttu. Näidise juhiseklausel vajab seda täpsustust; pelk „seadus nõuab” ei ole täielik töökorraldus.
Konfidentsiaalsus võib tuleneda töötaja kohustusest või seadusest; igale isikule eraldi sama lepingu allkirjastamine ei ole ainus võimalus. Küsige siiski, kes teenusepakkuja juures andmeid näeb, kuidas õigused antakse ja ära võetakse ning kuidas rikkumisi uuritakse. Turvameetmeid hinnatakse artikli 32 riskipõhiselt. Üks jäik loend, näiteks „kõik andmed alati puhkeolekus krüpteeritud”, ei sobi igale teenusele ega vabasta kontrollist. Lisas kirjeldage valitud meetme ulatust, vastutajat ja tõendit: näiteks kellel on administraatori ligipääs, kuidas varukoopiat taastati ning kuidas kriitiline ligipääs pärast töötaja lahkumist suleti.
Hoidke alltöötlemine nähtavana
Artikli 28 lõige 2 lubab konkreetse või üldise eelneva kirjaliku loa. Üldise loa korral tuleb kavandatavatest muudatustest teatada nii, et vastutaval töötlejal oleks võimalus vastu vaielda. Seadus ei määra kõigile 30-päevast vastuväiteaega; näidise nurksulgudes tähtaeg on läbiräägitav valik. Küsimus on selles, kas muudatus, selle mõju ja vastuväitekanal jõuavad õigel ajal vastutava töötlejani. Kui uus alltöötleja saab ligipääsu eriliigilistele andmetele või väljaspool Euroopa Majanduspiirkonda asuvale toele, võib vajada rohkem teavet kui üks uus nimi nimekirjas.
Artikli 28 lõige 4 nõuab alltöötlejale sisuliselt samade andmekaitsekohustuste edasiandmist ja jätab algse volitatud töötleja vastutavale töötlejale täielikult vastutavaks alltöötleja kohustuste täitmise eest. Paluge teenusepakkujal näidata, kuidas need tingimused edasi kanduvad, kuidas ta kontrollib teenusepakkujat ja mis juhtub, kui too ei täida neid. Üks avalik tarnijate nimekiri ei tõenda edasiandmist. Hoidke töötlemisülevaates ajakohane teadmine, millise tegevuse juures vastav alltöötleja osaleb, kuid ärge kopeerige kogu lepingut registri igasse ritta.
Seadke rikkumise teabevoog õigesti
Artikli 33 lõige 2 kohustab volitatud töötlejat teavitama vastutavat töötlejat isikuandmete rikkumisest põhjendamatu viivituseta pärast sellest teadasaamist. Näidise 24 või 48 tunni ülempiir võib olla kokkulepitud sisemine täpsustus, kuid see ei anna luba oodata selle lõpuni, kui teave on varem olemas. Samuti ei pea teenusepakkuja esimeses sõnumis teadma kõiki artikli 33 lõike 3 üksikasju. Määrake esmateates teadaolevad faktid, kontakt, esialgne mõjutatud süsteem ja edasiste täienduste rütm; säilitage aeg, mil ta sai rikkumisest teada ja millal klient teate sai.
Vastutav töötleja hindab eraldi, kas isikuandmete rikkumine võib ohustada inimese õigusi. Vajaduse korral tuleb AKI-le teatada põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul oma teadasaamisest; hilisem teade vajab põhjendust. Kõik isikuandmete rikkumised tuleb dokumenteerida ka siis, kui teavitamislävend ei täitu. Andmesubjektide teavitamine on eraldi suure ohu otsus artikli 34 järgi. Ükski lepinguline 24/48 tunni kokkulepe ei muuda neid vastutava töötleja õiguslikke tingimusi ega tee igast tehnilisest häirest isikuandmete rikkumist.
Abistamine, kontroll ja lepingu lõpp
Volitatud töötleja peab sobivate tehniliste ja korralduslike meetmetega aitama vastutaval töötlejal täita isikute õigusi ning, arvestades teabe kättesaadavust ja töötlemise laadi, toetama artiklite 32–36 kohustusi. Praktikas võib see tähendada otsingut kliendi süsteemis, andmete parandamist juhise järgi, turvafaktide edastamist või mõjuhinnangu jaoks vajaliku arhitektuurikirjelduse andmist. Mõelge läbi, kas teenusepakkuja vastab inimesele ise ainult vastutava töötleja volituse ja juhise piires või edastab päringu õigesse kohta. Absoluutne keeld temal midagi vastata ei tulene artiklist 28.
Auditi puhul peab volitatud töötleja tegema nõuetele vastavuse tõendamiseks vajaliku teabe kättesaadavaks ning lubama ja toetama vastutava töötleja või tema määratud audiitori läbiviidavaid auditeid. Tavapärane etteteatamise aeg ja konfidentsiaalsuse kord võivad olla mõistlikud, kuid näidise „15 päeva” ei tohi muuta õigust kasutuks kiire puuduse või tõsise kahtluse korral. Küsige, kas aruanne, sertifikaat, küsimustele vastused või kohapealne kontroll annab teie riski kohta piisava tõendi; üks dokument ei sobi automaatselt kõigile klientidele. Kui teenusepakkuja teatab, et juhis rikub GDPR-i või muid liidu või liikmesriigi andmekaitsesätteid, peab selle lahendamiseks olema kontakt ja otsustusprotsess.
Lepingu lõpul valib vastutav töötleja artikli 28 lõike 3 punkti g järgi tagastamise või kustutamise; säilitamist võib nõuda liidu või liikmesriigi õigus. Küsige, kas valik hõlmab aktiivseid andmeid, varukoopiaid ja alltöötlejate koopiaid, millises järjekorras eksport ja kustutamine toimuvad ning kuidas lõpetamine tõendatakse. Varukoopiate kustutamine võib toimuda tehnilise tsükli jooksul, kui ajakava ja ligipääsupiirang on selged; näidis ei saa seda kõigi teenuste eest automaatselt lahendada. Testige ühte eksporti enne sõltuvuse teket. Väljapoole EMP-d edastamise juhend aitab eristada lepingu lõppu ja kolmandasse riiki edastamise eraldi nõudeid.
Otsustage, millist mudelit tegelikult kasutate
Euroopa Komisjoni rakendusotsuse (EL) 2021/915 tüüptingimused on artikli 28 lepingutingimuste mudel. Neid saab kasutada lepingus sobival viisil ja täiendada tingimustega, mis ei ole nendega vastuolus. Need ei ole samad kui väljapoole EMP-d edastamise 2021/914 tüüptingimused; üks dokumendipealkiri ei asenda teist õigusküsimust. Kui valite käesoleva näidise, kontrollige iga nurksulgu ning lisade sobivust oma teenusele. AKI soovitab lepingus kirjeldada konkreetset töötlemist, mitte lihtsalt korrata määruse teksti.
Artikli 28 lõigete 3 ja 9 järgi võib töötlemist reguleerida ka muu liidu või liikmesriigi õiguse kohane siduv õigusakt, mis seob volitatud töötlejat vastutava töötleja suhtes; see peab olema kirjalik, ka elektrooniline vorm sobib. Tavalise äriteenuse puhul on läbiräägitud leping enamasti praktiline tee, kuid ärge nimetage lepingut ainsaks õiguslikult võimalikuks vormiks. Kontrollige, et valitud instrument sisaldab nõutud sisu ja kehtib õigete osapoolte suhtes. Alltöötlemisel peavad samad kohustused jõudma järgmise töötlejani artikli 28 lõike 4 järgi.
Proovige lepingut ühe muudatusega enne allkirja
Valige läbirääkimisel olukord, kus teenusepakkuja võtab kasutusele uue pilvevarundaja. Kas üldine või konkreetne luba katab selle muutuse? Millal klient teate saab, milliseid andmeid uus alltöötleja näeb ja kuidas saab klient vastuväite esitada? Kui varundaja asub väljaspool Euroopa Majanduspiirkonda või tal on sealt kaugjuurdepääs, tuleb hinnata rahvusvahelise edastamise eraldi alust. Lepingu lause „kõik alltöötlejad on heaks kiidetud” ei vasta neile küsimustele. Paluge teenusepakkujal näidata tegelik muudatusteade ja osapoolte vahel toimiv kontaktkanal.
Teine proov on kiire andmepäring või rikkumiskahtlus. Kui inimene küsib oma andmeid, kas teenusepakkuja leiab need kliendi juhise alusel ning annab vastuse koostamiseks vajaliku teabe? Kui avastatakse võimalik isikuandmete rikkumine, kes fikseerib avastamise hetke ja kellele esimene faktiteade saadetakse? Mõlemas olukorras on lepingu väärtus töövoos, mitte sõnade arvus. Märkige ära puuduv kontakt, ebaselge roll või tööriist, millele kummalgi poolel ei ole tegelikku ligipääsu. Täitke need lüngad enne andmete üleandmist, et nurksulgudega näidisest saaks kasutatav kokkulepe.
Korduma kippuvad küsimused
Mitu volitatud töötleja lepingut tüüpiline ettevõte vajab?
Üht kõigile sobivat lepingute arvu ei ole. Iga tegeliku volitatud töötleja suhe peab olema kaetud artikli 28 nõuetele vastava kirjaliku lepingu või muu siduva liidu või liikmesriigi õigusaktiga; seadus ei nõua tingimata ühte eraldi dokumenti iga teenusepakkuja kohta. Kontrollige iga tegelikku volitatud töötlejat, näiteks: majutus, e-post ja SaaS, raamatupidamis- või palgateenus, CRM, e-kirjade platvorm, IT-tugi või arhiivihävitaja, kui see töötleb andmeid teie nimel. Maksevahendaja ja kulleri roll tuleb hinnata eraldi. Parim viis kontrollida, et ükski ei puudu, on võrrelda kehtivaid artikli 28 instrumente töötlemise registris nimetatud tegelike volitatud töötlejatega.
Kas leping on kohustuslik ka väikese teenusepakkujaga?
Jah, suurus ei loo artikli 28 erandit. Kui tegemist on tegeliku volitatud töötlejaga, peab suhet reguleerima kirjalik leping või muu siduv liidu või liikmesriigi õigusakt, sõltumata teenusepakkuja suurusest või andmemahust.
Kas võib kasutada Euroopa Komisjoni tüüptingimusi?
Jah. Rakendusotsus (EL) 2021/915 pakub artikli 28 tüüptingimusi. Neid võib kasutada ja täiendada tingimustega, mis ei lähe nendega vastuollu; käesolev näidis ei ole komisjoni kinnitatud tekst. Tähelepanu: need ei ole samad, mis kolmandatesse riikidesse edastamise tüüptingimused (2021/914).
Kes peaks lepingu koostama – klient või teenusepakkuja?
Praktikas pakub teenusepakkuja sageli oma standardlepingut. Mõlemal poolel on oma artikli 28 kohustused ning vastutav töötleja peab valima piisavaid tagatisi pakkuva töötleja, mistõttu klient peaks pakkuja malli alati üle vaatama, mitte pimesi allkirjastama.
Kokkuvõte
Artikli 28 nõuetele vastav leping või muu siduv õigusakt peab kirjeldama tegelikku töötlemist ja kõiki kohustuslikke elemente; siin esitatud kaksteist näidisklauslit ja kolm lisa on kohandatav lähtepunkt, mitte universaalselt allkirjastamiseks valmis instrument. Kasutage näidist lähtepunktina, kohandage lisad iga teenuse järgi ja kontrollige tegelikke kohustusi artikli 28 juhendi abil. Siduge iga tegeliku volitatud töötleja artikli 28 leping või muu siduv õigusakt oma töötlemise registriga, et vajalik instrument oleks leitav.
Allikad, kontrollitud 27.09.2026: IKÜM artikkel 28, AKI vastutava ja volitatud töötleja selgitus, komisjoni rakendusotsus 2021/915.