Volitatud töötleja leping: kontrollnimekiri veebitööriistadele

Peaaegu iga tööriist, mida oma veebilehel kasutate, töötleb andmeid teie nimel: veebianalüütika, uudiskiri, CRM, kuumkaart, vestlus. Niipea kui mängus on isikuandmed, nõuab GDPR lepingut pakkujaga. Seda nimetatakse saksa keeles Auftragsverarbeitungsvertrag, lühidalt AV-Vertrag või AVV, eesti keeles volitatud töötleja leping. See artikkel selgitab, millal te seda vajate, mida selles peab olema ja millele tööriista valikul mõelda.

Millal vajate AV-lepingut

GDPR artikkel 28 kehtib, kui teenuseosutaja töötleb isikuandmeid teie nimel ja teie juhiste kohaselt. Siis olete vastutav töötleja ja pakkuja on volitatud töötleja. Õigusakti teksti leiate GDPR-ist EUR-Lexis.

Mitte iga suhe ei ole töötlemine teise nimel. Eristada tasub kolme olukorda:

Otsustav on see, kes määrab eesmärgi ja vahendid, mitte see, kuidas leping nimetatud on. Pakkuja, kes kasutab andmeid ka oma eesmärkidel, näiteks oma toodete parendamiseks üle teile osutatava teenuse, ei ole selles osas enam volitatud töötleja. Artikli 28 lõike 10 järgi loetakse volitatud töötleja, kes määrab eesmärgi ja vahendid ise, selle töötlemise osas vastutavaks töötlejaks.

Kohustuslikud sisud artikli 28 lõike 3 järgi

Leping peab kindlaks määrama töötlemise eseme ja kestuse, laadi ja eesmärgi, andmete liigi ja andmesubjektide kategooriad. Lisaks peab see ette nägema, et volitatud töötleja:

• a) töötleb andmeid ainult dokumenteeritud juhise alusel, ka kolmandasse riiki edastamisel,
• b) kasutab konfidentsiaalsuskohustusega isikuid,
• c) võtab artikli 32 kohased meetmed,
• d) peab kinni tingimustest, mis puudutavad teisi volitatud töötlejaid,
• e) toetab teid andmesubjektide taotluste korral,
• f) toetab teid artiklitest 32 kuni 36 tulenevate kohustuste täitmisel,
• g) kustutab või tagastab andmed teenuse lõppedes teie valikul,
• h) esitab tõendeid ja võimaldab kontrolle.

Leping tuleb vormistada kirjalikult, elektrooniline vorm on piisav (lõige 9). Näidisraamistiku pakub Euroopa Komisjon töötlemise standardlepingutingimustega. Artikli 28 lõike 6 järgi võib leping tervikuna või osaliselt neile tugineda.

Alltöövõtjad

Kui pakkuja kasutab ise teenuseosutajaid, näiteks hostimispakkujat, kehtivad artikli 28 lõigetest 2 ja 4 kaks reeglit:

• Ta vajab teie eelnevat eraldi või üldist kirjalikku luba. Üldise loa korral peab ta teid teavitama igast kavandatud muudatusest. Teil on siis õigus vastu vaielda.
• Ta peab panema alltöövõtjatele samad andmekaitsekohustused. Kui alltöövõtja seda ei täida, vastutab esimene volitatud töötleja teie ees.

Küsige pakkujalt seetõttu tema alltöövõtjate ajakohast nimekirja, koos asukoha ja ülesandega.

Kolmas riik

Kui andmeid töödeldakse väljaspool ELi ja EMPd või on need sealt kättesaadavad, kehtivad lisaks kolmandatesse riikidesse edastamise reeglid (V peatükk, GDPR artikkel 44 jj). Tavalised on kolm teed: komisjoni piisavusotsus, edastamise standardlepingutingimused või siduvad kontsernisisesed andmekaitsereeglid. USA kohta on alates 2023. aastast olemas piisavusotsus ELi ja USA andmekaitseraamistiku kohta. See kehtib ainult raamistikuga liitunud ettevõtetele. Seda vaidlustatakse kohtus, kontrollige kehtivat seisu. Server ELis lahendab teema, kui ei pakkuja ega ükski alltöövõtja kolmandast riigist andmetele ligi ei pääse.

Kontrollnimekiri analüüsi- ja turundustööriistadele

1. Selgitage roll. Kas pakkuja töötleb ainult teie jaoks või ka oma eesmärkidel?
2. Kontrollige lepingut. Kas selles on kõik artikli 28 lõike 3 punktid?
3. Kirjeldage andmeid. Kas andmete liik ja andmesubjektide kategooriad on konkreetselt nimetatud?
4. Vaadake alltöövõtjaid. Kas on nimekiri ja menetlus muudatuste puhuks?
5. Küsige serveri asukohta. Kus andmed asuvad, kes pääseb ligi?
6. Dokumenteerige kolmanda riigi tee. Milline alus edastamist kannab?
7. Reguleerige kustutamine. Mis saab andmetest pärast lepingu lõppu?
8. Lugege tehnilisi meetmeid. Krüpteerimine, ligipääsuõigused, logimine.

Pange leping oma dokumentatsiooni juurde ja kandke tööriist GDPR artikli 30 kohasesse töötlemistoimingute registrisse. Eriti tööriistade puhul, mis laaditakse alles pärast nõusolekut, on leping teine, eraldi eeldus. Seadmel antud nõusolek seda ei asenda, nagu näitab artikkel § 25 TDDDG: küpsised ja jälgimine Saksamaal.

Mis rikkumiste korral ähvardab

Kui leping puudub või on puudulik, võib järelevalveasutus seda vaidlustada. Artiklist 28 tulenevate kohustuste rikkumise eest näeb GDPR artikli 83 lõige 4 ette trahve kuni 10 miljonit eurot või kuni 2 protsenti ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem. See on raamistik, mitte prognoos üksikjuhtumi kohta.

Ja Šveitsis?

Šveitsi andmekaitseseadus reguleerib töötlemist töötleja nimel DSG artiklis 9. Mõte on sarnane, sõnastus teine. Kes pöördub ELis asuvate andmesubjektide poole, vajab reeglina GDPR-i kohast lepingut. Kas see kehtib teie pakkumise kohta, selgitab artikkel Veebilehe jälgimine Šveitsis: revDSG ja FMG.

Korduma kippuvad küsimused

Kas vajan AV-lepingut, kui tööriist näitab ainult ettevõtete nimesid? See oleneb sellest, kas pakkuja töötleb seejuures teie jaoks isikuandmeid, näiteks IP-aadresse ka vaid lühikeseks ajaks. Kahtluse korral sõlmige leping, see ei maksa peaaegu midagi. Kas IP-aadress on isikuandmed, selgitab artikkel IP-aadress ja GDPR: kas see on isikuandmed?.

Kas piisab pakkuja üldtingimuste nõustumisest? Ainult siis, kui seal on kõik kohustuslikud sisud ja reguleering on selgelt tuvastatav lepingu või lisana. Paljud pakkujad pakuvad AV-lepingut sõlmimiseks eraldi dokumendina.

Kas pean lepingu allkirjastama? See tuleb vormistada kirjalikult. Elektrooniline vorm on artikli 28 lõike 9 järgi piisav, seetõttu on tavaline sõlmida klõpsuga.