Договор за обработване на данни: контролен списък за уеб инструменти

Почти всеки инструмент, който използвате в уебсайта си, обработва данни по Ваше поръчение: уеб анализ, бюлетин, CRM, heatmap, чат. Щом при това са замесени лични данни, GDPR изисква договор с доставчика. Нарича се договор за обработване на данни, накратко ДОД (на немски AV-Vertrag или AVV). Тази статия обяснява кога Ви е нужен, какво трябва да съдържа и за какво да мислите при избора на инструмент.

Кога Ви е нужен договор за обработване на данни

Чл. 28 от GDPR се прилага, когато доставчик на услуги обработва лични данни по Ваше поръчение и според Вашите указания. Тогава Вие сте администраторът, а доставчикът е обработващият. Текста на закона ще намерите в GDPR в EUR-Lex.

Не всяко отношение е обработване на данни. Трябва да разграничавате три констелации:

Решаващо е кой определя целта и средствата, а не как се казва договорът. Доставчик, който използва данните и за собствени цели, например за подобряване на собствени продукти извън услугата за Вас, за тази част вече не е обработващ. Според чл. 28, пар. 10 обработващият, който сам определя целта и средствата, се счита за администратор за това обработване.

Задължително съдържание по чл. 28, пар. 3

Договорът трябва да определя предмета и срока на обработването, естеството и целта, вида данни и категориите субекти на данни. Освен това трябва да предвижда, че обработващият:

• а) обработва данните само по документирано указание, включително при предаване към трета държава,
• б) използва лица, задължени да пазят поверителност,
• в) предприема мерките по чл. 32,
• г) спазва условията за други обработващи,
• д) Ви подпомага при искания на субектите на данни,
• е) Ви подпомага при задълженията по чл. 32 до 36,
• ж) след края на услугата заличава или връща данните по Ваш избор,
• з) предоставя доказателства и дава възможност за проверки.

Договорът се съставя в писмена форма, електронен формат е достатъчен (пар. 9). Примерна рамка предлага Европейската комисия със стандартните договорни клаузи за обработване на данни. Според чл. 28, пар. 6 договорът може изцяло или отчасти да се основава на тях.

Подизпълнители

Ако доставчикът сам използва други доставчици на услуги, например хостинг доставчик, важат две правила от чл. 28, пар. 2 и 4:

• Нужно му е Вашето предварително конкретно или общо писмено разрешение. При общо разрешение той трябва да Ви информира за всяка планирана промяна. Тогава можете да възразите.
• Трябва да наложи на подизпълнителите същите задължения за защита на данните. Ако подизпълнител не го направи, първият обработващ носи отговорност спрямо Вас.

Затова попитайте доставчика за актуален списък на неговите подизпълнители, със седалище и задача.

Трета държава

Ако данните се обработват извън ЕС и ЕИП или могат да бъдат достъпвани оттам, допълнително важат правилата за предаване към трети държави (глава V, чл. 44 и сл. от GDPR). Обичайни са три пътя: решение на Комисията относно адекватното ниво на защита, стандартни договорни клаузи за предаване или задължителни фирмени правила. За САЩ от 2023 г. има решение относно адекватното ниво на защита за рамката за защита на личните данни между ЕС и САЩ. То важи само за фирми, които участват в рамката. Оспорва се по съдебен ред, проверявайте актуалното състояние. Сървър в ЕС решава въпроса, когато нито доставчикът, нито подизпълнител от трета държава може да достъпва данните.

Контролен списък за аналитични и маркетингови инструменти

1. Изяснете ролята. Обработва ли доставчикът само за Вас или и за собствени цели?
2. Проверете договора. Всички точки от чл. 28, пар. 3 ли са в него?
3. Опишете данните. Конкретно ли са посочени видът данни и категориите субекти?
4. Прегледайте подизпълнителите. Има ли списък и процедура при промени?
5. Попитайте за местоположението на сървъра. Къде са данните, кой може да ги достъпва?
6. Документирайте пътя за трета държава. Какво основание обхваща предаването?
7. Уредете заличаването. Какво се случва с данните след края на договора?
8. Прочетете техническите мерки. Криптиране, права за достъп, протоколиране.

Приложете договора към Вашата документация и включете инструмента във Вашия регистър на дейностите по обработване по чл. 30 от GDPR. Особено при инструменти, които се зареждат едва след съгласие, договорът е второ, отделно условие. Съгласието на устройството не го замества, както показва § 25 TDDDG: бисквитки и проследяване в Германия.

Какво грози при нарушения

Ако договорът липсва или е непълен, надзорният орган може да направи забележка. За нарушения на задълженията по чл. 28 чл. 83, пар. 4 от GDPR предвижда глоби до 10 милиона евро или до 2 процента от световния годишен оборот, според това коя сума е по-висока. Това е рамката, а не прогноза за конкретния случай.

А в Швейцария?

Швейцарският закон за защита на данните урежда обработването от обработващи в чл. 9 DSG. Идеята е сходна, формулировката е друга. Който се обръща към субекти на данни в ЕС, по правило се нуждае от договор по GDPR. Дали това важи за Вашата оферта, обяснява Проследяване на уебсайтове в Швейцария: revDSG и FMG.

Често задавани въпроси

Нужен ли ми е договор за обработване на данни, ако инструментът показва само имена на фирми? Това зависи от това дали доставчикът при това обработва лични данни за Вас, например IP адреси, макар и само за кратко. При съмнение сключете договора, той струва почти нищо. Дали един IP адрес е личен, обяснява IP адрес и GDPR: личен ли е?.

Достатъчно ли е да приема общите условия на доставчика? Само ако в тях са всички задължителни елементи и разпоредбата ясно се разпознава като договор или допълнение. Много доставчици предоставят договора за обработване на данни като отделен документ за сключване.

Трябва ли да подпиша договора? Той трябва да е съставен в писмена форма. Електронен формат е достатъчен според чл. 28, пар. 9, затова сключването с клик е обичайно.