Zmluva o spracúvaní osobných údajov: kontrolný zoznam pre webové nástroje

Takmer každý nástroj, ktorý na webe používate, spracúva údaje vo vašom mene: webová analytika, newsletter, CRM, heatmapa, chat. Hneď ako ide o osobné údaje, GDPR vyžaduje zmluvu s poskytovateľom. Nazýva sa zmluva o spracúvaní osobných údajov, v nemčine Auftragsverarbeitungsvertrag, skrátene AV-Vertrag alebo AVV. Tento článok vysvetľuje, kedy ju potrebujete, čo v nej musí byť a na čo myslieť pri výbere nástroja.

Kedy potrebujete zmluvu o spracúvaní

Čl. 28 GDPR platí, ak poskytovateľ služby spracúva osobné údaje vo vašom mene a podľa vašich pokynov. Vy ste potom prevádzkovateľ, poskytovateľ je sprostredkovateľ. Text zákona nájdete v GDPR na EUR-Lex.

Nie každý vzťah je spracúvanie v mene prevádzkovateľa. Rozlišujte tri konštelácie:

Rozhodujúce je, kto určuje účel a prostriedky, nie ako sa zmluva volá. Poskytovateľ, ktorý údaje používa aj na vlastné účely, napríklad na zlepšovanie vlastných produktov nad rámec služby pre vás, nie je pre túto časť už sprostredkovateľom. Podľa čl. 28 ods. 10 sa sprostredkovateľ, ktorý určuje účel a prostriedky sám, pri tomto spracúvaní považuje za prevádzkovateľa.

Povinný obsah podľa čl. 28 ods. 3

Zmluva musí stanoviť predmet a dobu spracúvania, povahu a účel, druh údajov a kategórie dotknutých osôb. Okrem toho musí stanoviť, že sprostredkovateľ:

• a) spracúva údaje iba na základe zdokumentovaného pokynu, aj pri prenosoch do tretej krajiny,
• b) zapojí osoby viazané mlčanlivosťou,
• c) prijme opatrenia podľa čl. 32,
• d) dodržiava podmienky pre ďalších sprostredkovateľov,
• e) pomáha vám pri žiadostiach dotknutých osôb,
• f) pomáha vám pri povinnostiach podľa čl. 32 až 36,
• g) po skončení služby údaje podľa vášho výberu vymaže alebo vráti,
• h) poskytne dôkazy a umožní kontroly.

Zmluva sa musí vyhotoviť písomne, postačí elektronická forma (ods. 9). Vzorový rámec ponúka Európska komisia v štandardných zmluvných doložkách pre spracúvanie. Podľa čl. 28 ods. 6 sa na ne zmluva môže opierať celkom alebo sčasti.

Subdodávatelia

Ak poskytovateľ sám využíva ďalších poskytovateľov služieb, napríklad hostingovú firmu, platia dve pravidlá z čl. 28 ods. 2 a 4:

• Potrebuje vaše predchádzajúce osobitné alebo všeobecné písomné povolenie. Pri všeobecnom povolení vás musí informovať o každej plánovanej zmene. Vy potom môžete vzniesť námietku.
• Musí subdodávateľom uložiť rovnaké povinnosti na ochranu údajov. Ak to subdodávateľ nesplní, zodpovedá vám prvý sprostredkovateľ.

Opýtajte sa preto poskytovateľa na aktuálny zoznam jeho subdodávateľov so sídlom a úlohou.

Tretia krajina

Ak sa údaje spracúvajú mimo EÚ a EHP alebo sú odtiaľ dostupné, platia navyše pravidlá pre prenosy do tretích krajín (kapitola V, čl. 44 a nasl. GDPR). Zvyčajné sú tri cesty: rozhodnutie Komisie o primeranosti, štandardné zmluvné doložky pre prenos alebo záväzné vnútropodnikové pravidlá. Pre USA existuje od roku 2023 rozhodnutie o primeranosti k rámcu EU-US Data Privacy Framework. Platí iba pre spoločnosti, ktoré sa na rámci zúčastňujú. Súdne sa napáda, preverte si aktuálny stav. Server v EÚ túto tému rieši, ak k údajom nemá prístup ani poskytovateľ, ani subdodávateľ z tretej krajiny.

Kontrolný zoznam pre analytické a marketingové nástroje

1. Objasniť rolu. Spracúva poskytovateľ iba pre vás, alebo aj na vlastné účely?
2. Skontrolovať zmluvu. Sú v nej všetky body z čl. 28 ods. 3?
3. Opísať údaje. Sú druh údajov a kategórie dotknutých osôb pomenované konkrétne?
4. Pozrieť subdodávateľov. Existuje zoznam a postup pri zmenách?
5. Opýtať sa na umiestnenie serverov. Kde sú údaje, kto má k nim prístup?
6. Zdokumentovať cestu pre tretiu krajinu. Aký základ nesie prenos?
7. Upraviť vymazanie. Čo sa stane s údajmi po skončení zmluvy?
8. Prečítať technické opatrenia. Šifrovanie, prístupové práva, protokolovanie.

Zmluvu uložte do svojej dokumentácie a nástroj zaraďte do záznamov o spracovateľských činnostiach podľa čl. 30 GDPR. Najmä pri nástrojoch, ktoré sa načítajú až po súhlase, je zmluva druhým, samostatným predpokladom. Súhlas na zariadení ju nenahrádza, ako ukazuje článok § 25 TDDDG: cookies a sledovanie v Nemecku.

Čo hrozí pri porušeniach

Ak zmluva chýba alebo je neúplná, dozorný orgán to môže vytknúť. Za porušenie povinností podľa čl. 28 predpisuje čl. 83 ods. 4 GDPR pokuty do 10 miliónov eur alebo do 2 percent celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. To je rámec, nie prognóza pre jednotlivý prípad.

A vo Švajčiarsku?

Švajčiarsky zákon o ochrane údajov upravuje spracúvanie sprostredkovateľom v čl. 9 DSG. Myšlienka je podobná, formulácia iná. Kto oslovuje dotknuté osoby v EÚ, spravidla potrebuje zmluvu podľa GDPR. Či to platí pre vašu ponuku, vysvetľuje článok Sledovanie webu vo Švajčiarsku: revDSG a FMG.

Časté otázky

Potrebujem zmluvu o spracúvaní, ak nástroj zobrazuje iba názvy firiem? Závisí to od toho, či poskytovateľ pritom pre vás spracúva osobné údaje, napríklad IP adresy, aj keď len krátkodobo. V prípade pochybností zmluvu uzavrite, stojí takmer nič. Či je IP adresa osobným údajom, vysvetľuje článok IP adresa a GDPR: je osobným údajom?.

Stačí prijať VOP poskytovateľa? Iba ak sú v nich všetky povinné náležitosti a úprava je jasne rozpoznateľná ako zmluva alebo dodatok. Mnohí poskytovatelia dávajú zmluvu o spracúvaní k dispozícii ako samostatný dokument na uzavretie.

Musím zmluvu podpísať? Musí byť vyhotovená písomne. Podľa čl. 28 ods. 9 postačí elektronická forma, preto je bežné uzavretie kliknutím.