Datu apstrādes līgums un apakšapstrādātāji

9. modulis: Cilvēki un noteikumi · Lasīšanas laiks: 11 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izlasīt un pārbaudīt datu apstrādes līgumu atbilstoši VDAR prasībām, kā arī izvērtēt apakšapstrādātāju sarakstu.

Pamatjēdzieni: datu apstrādes līgums (VWO, DPA), VDAR 28. panta 3. punkts, rakstiskas instrukcijas, konfidencialitāte, drošības pasākumi, apakšapstrādātājs, vispārēja vai konkrēta atļauja, iebilduma tiesības, palīdzība, atdošana vai dzēšana, audits, nodošana ārpus EEZ, datu noplūdes paziņošanas termiņš, standarta līguma noteikumi apstrādātājiem

Kāpēc nepieciešams datu apstrādes līgums?

1.2. nodarbībā Jūs iepazināties ar lomām: Bakkerij De Korrel ir pārzinis, mākoņpakalpojums ir apstrādātājs. VDAR 28. panta 3. punkts nosaka, ka apstrādātāja veiktā apstrāde jāreglamentē līgumā (vai citā juridiskā aktā), kas noformēts rakstiski. Tas var būt arī elektroniskā formā. Tas ir datu apstrādes līgums, saīsināti VWO; angļu valodā Data Processing Agreement (DPA) vai Data Processing Addendum.

Lielos mākoņpakalpojumos Jūs pats nepaparakstāt dokumentu: datu apstrādes līgums ir daļa no noteikumiem, kuriem Jūs piekrītat, vai Jūs atzīmējat izvēles rūtiņu pārvaldības panelī. Mazākiem pakalpojumu sniedzējiem dažkārt lejupielādējat dokumentu, aizpildāt savus datus un parakstāt to. Jebkurā gadījumā, kā pārzinim Jums jāspēj parādīt, ka šāds līgums pastāv un kas tajā ir ietverts.

Šis ir skaidrojums, nevis juridisks padoms. Ja Jums ir šaubas par saviem līgumiem, konsultējieties ar juristu vai datu aizsardzības speciālistu.

Kas saskaņā ar VDAR tajā jāiekļauj

28. panta 3. punkts vispirms nosauc tēmas, kas līgumā jāapraksta: apstrādes priekšmets un ilgums, raksturs un mērķis, personas datu veids, datu subjektu kategorijas, kā arī pārziņa tiesības un pienākumi. Pēc tam seko astoņi apstrādātāja pienākumi (no a līdz h apakšpunktam). Zemāk tie izklāstīti vienkāršā valodā, kopā ar jautājumu, ko Jums vajadzētu uzdot, lasot līgumu:

Eiropas Komisija ir publicējusi arī standarta līguma noteikumus apstrādātājiem (Īstenošanas lēmums (ES) 2021/915). Tos drīkst izmantot kā datu apstrādes līgumu; tie ietver visus obligātos punktus. Daudzi mazāki pakalpojumu sniedzēji izmanto savu modeli, Nīderlandē bieži balstoties uz nozares organizāciju izstrādātu paraugu.

Apakšapstrādātāji: kas atrodas aiz Jūsu pakalpojumu sniedzēja?

Jūsu mākoņpakalpojums ne visu veic pats. Apakšapstrādātājs ir trešā puse, ko apstrādātājs iesaista un kurai ir piekļuve Jūsu datiem, piemēram:

• datu centrs (ja tas nepieder pašam pakalpojumu sniedzējam);
• rezerves kopiju glabāšanas pakalpojumu sniedzējs;
• uzņēmums, kas filtrē pastu, meklējot surogātpastu vai vīrusus;
• atbalsta partneris vai izstrādātājs, kas attālināti piekļūst sistēmai;
• MI pakalpojums, ja pakalpojumu sniedzējs piedāvā MI funkciju.

28. panta 2. punkts nosaka: apstrādātājs neiesaista apakšapstrādātāju bez iepriekšējas pārziņa konkrētas vai vispārējas rakstiskas atļaujas. Vispārējas atļaujas gadījumā apstrādātājam Jūs jāinformē par jauniem vai aizstātiem apakšapstrādātājiem, lai Jūs varētu iebilst. Praksē tas darbojas šādi: pakalpojumu sniedzējs publicē sarakstu, paziņo par izmaiņām (pa e-pastu vai lapā, ko varat sekot), un Jums ir termiņš iebildumu iesniegšanai. Ja iebilstat un risinājums netiek rasts, bieži vien varat izbeigt līgumu.

Saskaņā ar 4. punktu apakšapstrādātājam jāuzņemas tādi paši pienākumi, un apstrādātājs pret Jums paliek pilnībā atbildīgs.

Kam pievērst īpašu uzmanību, pārejot uz Eiropas pakalpojumu

Pārejot uz Eiropas pakalpojumu, apakšapstrādātāju sarakstā galvenokārt jāpievērš uzmanība diviem aspektiem:

1. Kur atrodas apakšapstrādātāji? Eiropas pakalpojumu sniedzējs, kas savu pastu filtrē ar Amerikas pakalpojuma starpniecību vai izvieto rezerves kopijas Amerikas mākonī, tomēr pakļauj Jūsu datus CLOUD Act (1.3. nodarbība). Pievērsiet uzmanību katra apakšapstrādātāja valstij un mātesuzņēmumam.
2. Ko tie dara? Domēna reģistrs, kas zina tikai Jūsu kā domēna turētāja vārdu un adresi, ir pavisam kas cits nekā puse, kas glabā Jūsu pastkastes.

Izlasiet arī rakstu par nodošanu. Labs Eiropas datu apstrādes līgums nosaka, ka dati tiek apstrādāti ES vai EEZ ietvaros un ka nodošana ārpus tās pieļaujama tikai ar Jūsu iepriekšēju piekrišanu. Ja ir teikts "mēs varam apstrādāt datus visā pasaulē, nodrošinot atbilstošas garantijas", tad zināt, ka nodošana ir iespējama.

Signāli, kuriem jāpievērš uzmanība

• Datu apstrādes līgums nav pieejams pakalpojumam, kas paredzēts komerciālai lietošanai: tā nav laba izvēle.
• Novecojis apakšapstrādātāju saraksts, kas neatbilst tam, ko pakalpojumu sniedzējs sludina citur (piemēram, cits datu centrs): pieprasiet skaidrojumu.
• Datu noplūdes paziņošanas termiņš, kas ir tik garš, ka Jums neizdodas ievērot savu 72 stundu termiņu (33. pants). Daudzi datu apstrādes līgumi min 24 vai 48 stundas.
• Atbildība, kas pilnībā izslēgta. Tas līdz zināmam apmēram ir ierasts, bet norāda, cik ļoti pakalpojumu sniedzējs ir pārliecināts par sevi.
• Nav noteikumu par pakalpojuma izbeigšanu: kas notiek ar Jūsu datiem pēc līguma izbeigšanas, un vai saņemsiet apstiprinājumu par dzēšanu?

Kas paraksta un kur to glabāt?

De Korrel uzņēmumā līgumu kā īpašniece paraksta Sanne. Viņa glabā datu apstrādes līgumu kopā ar apstrādes darbību reģistru (9.3. nodarbība), norādot datumu un versiju. Ja pakalpojumu sniedzējs maina datu apstrādes līgumu vai apakšapstrādātājus, viņa glabā arī šo paziņojumu. Uzraudzības iestādes pārbaudes gadījumā vai ja klients jautā ("kā jūs rīkojaties ar maniem datiem?"), viņa to var uzreiz parādīt.

Praksē: kā tas izskatās pie pakalpojumu sniedzēja

WebOké ir standarta datu apstrādes līgums ar pielikumu, kurā uzskaitītas iesaistītās trešās puses, un kurā noteikts, ka apstrāde notiek ES ietvaros un nodošana ārpus tās pieļaujama tikai ar rakstisku piekrišanu. Nextcloud rokasgrāmatas bieži uzdoto jautājumu sadaļā ir norādīts, kad šis līgums ir nepieciešams. Citiem pakalpojumu sniedzējiem dokumentu bieži sauc par "Data Processing Agreement", un apakšapstrādātāju saraksts atrodas atsevišķā lapā ("Subprocessors"). Salīdziniet šo sarakstu ar to, ko pakalpojumu sniedzējs savā vietnē apgalvo par datu centriem un atbalstu.

Kopsavilkums

• VDAR 28. panta 3. punkts pieprasa rakstisku datu apstrādes līgumu ar noteiktām tēmām un astoņiem apstrādātāja pienākumiem.
• Pārbaudiet it īpaši: datu neizmantošana saviem mērķiem, drošība, apakšapstrādātāji, palīdzība datu noplūžu gadījumā, atdošana vai dzēšana pēc līguma beigām, un auditi.
• Apakšapstrādātājus drīkst iesaistīt tikai ar Jūsu atļauju; vispārējas atļaujas gadījumā Jums jāsaņem informācija par izmaiņām un iespēja iebilst.
• Pārejot uz Eiropas pakalpojumu, apakšapstrādātāju sarakstā pārbaudiet katras puses valsti un mātesuzņēmumu.
• Glabājiet datu apstrādes līgumu un izmaiņu paziņojumus kopā ar apstrādes darbību reģistru.

Tests

Uzdevums

Uzdevums E9.2: Pārbaudiet datu apstrādes līgumu. Paņemiet sava pašreizējā vai jaunā mākoņpakalpojuma datu apstrādes līgumu. Izejiet cauri astoņiem punktiem no a līdz h un atzīmējiet pie katra: vai tas ir ietverts (jā, nē, neskaidrs) un kur. Izvērtējiet apakšapstrādātāju sarakstu: atzīmējiet katram apakšapstrādātājam valsti, mātesuzņēmumu un to, ko tas dara.

Papildu lasāmviela

Šajos rakstos aprakstītās darbības attiecas uz WebOké pakalpojumiem; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
• Nextcloud rokasgrāmata 14.8: MI asistents Jūsu Nextcloud
• Regula (ES) 2016/679 (VDAR), 28. pants, EUR-Lex vietnē
• Īstenošanas lēmums (ES) 2021/915 (standarta līguma noteikumi starp pārziņiem un apstrādātājiem), EUR-Lex vietnē
• Datu valsts inspekcija (DVI), tēma "Datu apstrādes līgums": https://www.autoriteitpersoonsgegevens.nl (Nīderlandes uzraudzības iestādes lapa)