Smlouva o zpracování osobních údajů: kontrolní seznam pro webové nástroje

Téměř každý nástroj, který na webu používáte, zpracovává údaje z vašeho pověření: webová analytika, newsletter, CRM, heatmapa, chat. Jakmile jsou ve hře osobní údaje, GDPR vyžaduje smlouvu s poskytovatelem. Nazývá se smlouva o zpracování osobních údajů, německy Auftragsverarbeitungsvertrag, zkráceně AV-Vertrag nebo AVV. Tento článek vysvětluje, kdy ji potřebujete, co musí obsahovat a na co myslet při výběru nástroje.

Kdy potřebujete smlouvu o zpracování

Čl. 28 GDPR platí, pokud poskytovatel služeb zpracovává osobní údaje z vašeho pověření a podle vašich pokynů. Vy jste pak správce, poskytovatel je zpracovatel. Znění právního předpisu najdete v GDPR na EUR-Lex.

Ne každý vztah je zpracování z pověření. Rozlišujte tři konstelace:

Rozhodující je, kdo určuje účel a prostředky, nikoli název smlouvy. Poskytovatel, který údaje využívá i k vlastním účelům, například ke zlepšování vlastních produktů nad rámec služby pro vás, už pro tuto část není zpracovatelem. Podle čl. 28 odst. 10 se zpracovatel, který sám určuje účel a prostředky, pro toto zpracování považuje za správce.

Povinné náležitosti podle čl. 28 odst. 3

Smlouva musí stanovit předmět a dobu trvání zpracování, povahu a účel, druh údajů a kategorie subjektů údajů. Dále musí stanovit, že zpracovatel:

• a) zpracovává údaje jen na základě zdokumentovaných pokynů, i při předání do třetí země,
• b) používá osoby zavázané k mlčenlivosti,
• c) přijímá opatření podle čl. 32,
• d) dodržuje podmínky pro další zpracovatele,
• e) pomáhá vám při žádostech subjektů údajů,
• f) pomáhá vám při plnění povinností podle čl. 32 až 36,
• g) po skončení služby podle vaší volby údaje vymaže nebo vrátí,
• h) poskytuje doklady a umožňuje kontroly.

Smlouva musí být uzavřena písemně, elektronická forma postačí (odst. 9). Vzorový rámec nabízí Evropská komise v podobě standardních smluvních doložek pro zpracování. Podle čl. 28 odst. 6 se na ně smlouva může opírat zcela nebo zčásti.

Subdodavatelé

Pokud poskytovatel sám využívá další dodavatele, například hostingovou firmu, platí dvě pravidla z čl. 28 odst. 2 a 4:

• Potřebuje vaše předchozí zvláštní nebo obecné písemné povolení. Při obecném povolení vás musí informovat o každé plánované změně. Pak můžete vznést námitku.
• Musí subdodavatelům uložit stejné povinnosti v oblasti ochrany údajů. Pokud to subdodavatel nesplní, odpovídá vám první zpracovatel.

Požádejte proto poskytovatele o aktuální seznam jeho subdodavatelů se sídlem a úkolem.

Třetí země

Pokud se údaje zpracovávají mimo EU a EHP nebo jsou odtud dostupné, platí navíc pravidla pro předání do třetích zemí (kapitola V, čl. 44 a násl. GDPR). Obvyklé jsou tři cesty: rozhodnutí Komise o odpovídající ochraně, standardní smluvní doložky pro předání, nebo závazná podniková pravidla. Pro USA existuje od roku 2023 rozhodnutí o odpovídající ochraně k rámci EU-US Data Privacy Framework. Platí jen pro podniky, které se do rámce zapojily. Je soudně napadáno, ověřte si aktuální stav. Server v EU téma vyřeší, pokud k údajům nemůže přistupovat ani poskytovatel, ani subdodavatel ze třetí země.

Kontrolní seznam pro analytické a marketingové nástroje

1. Ujasnit roli. Zpracovává poskytovatel jen pro vás, nebo i k vlastním účelům?
2. Zkontrolovat smlouvu. Jsou v ní všechny body z čl. 28 odst. 3?
3. Popsat údaje. Jsou druh údajů a kategorie subjektů uvedeny konkrétně?
4. Prohlédnout subdodavatele. Existuje seznam a postup při změnách?
5. Zjistit umístění serverů. Kde údaje leží, kdo k nim může přistupovat?
6. Zdokumentovat cestu pro třetí zemi. Jaký základ nese předání?
7. Upravit výmaz. Co se s údaji stane po skončení smlouvy?
8. Přečíst technická opatření. Šifrování, přístupová práva, protokolování.

Uložte smlouvu k dokumentaci a zahrňte nástroj do záznamů o činnostech zpracování podle čl. 30 GDPR. Právě u nástrojů, které se načítají až po souhlasu, je smlouva druhým, samostatným předpokladem. Souhlas na zařízení ji nenahrazuje, jak ukazuje článek § 25 TDDDG: cookies a tracking v Německu.

Co hrozí při porušení

Pokud smlouva chybí nebo je neúplná, může to dozorový úřad vytknout. Za porušení povinností podle čl. 28 stanoví čl. 83 odst. 4 GDPR pokuty až do výše 10 milionů eur nebo až 2 procent celosvětového ročního obratu, podle toho, která částka je vyšší. To je rámec, nikoli prognóza pro jednotlivý případ.

A ve Švýcarsku?

Švýcarský zákon o ochraně údajů upravuje zpracování zpracovatelem v čl. 9 DSG. Myšlenka je podobná, formulace jiná. Kdo v EU oslovuje subjekty údajů, zpravidla potřebuje smlouvu podle GDPR. Zda se to týká vaší nabídky, vysvětluje článek Webový tracking ve Švýcarsku: revDSG a FMG.

Časté otázky

Potřebuji smlouvu o zpracování, když nástroj zobrazuje jen názvy firem? Záleží na tom, zda poskytovatel přitom pro vás zpracovává osobní údaje, například IP adresy, byť jen krátce. V případě pochybností smlouvu uzavřete, stojí téměř nic. Zda je IP adresa osobním údajem, vysvětluje článek IP adresa a GDPR: je osobním údajem?.

Stačí přijmout obchodní podmínky poskytovatele? Jen pokud jsou v nich všechny povinné náležitosti a úprava je jasně rozpoznatelná jako smlouva nebo dodatek. Mnoho poskytovatelů nabízí smlouvu o zpracování k uzavření jako samostatný dokument.

Musím smlouvu podepsat? Musí být uzavřena písemně. Elektronická forma podle čl. 28 odst. 9 postačí, proto je běžné uzavření kliknutím.