Modulul 9 · 9.2
Acordul de prelucrare a datelor și subpersoanele împuternicite
Modulul 9: Persoane și reguli · Timp de citire: 11 minute
Obiectiv de învățare: După această lecție veți putea citi și verifica un acord de prelucrare a datelor conform punctelor impuse de GDPR, precum și evalua o listă de subpersoane împuternicite.
Concepte cheie: acord de prelucrare a datelor (DPA), art. 28 alin. 3 GDPR, instrucțiuni scrise, confidențialitate, măsuri de securitate, subpersoană împuternicită, consimțământ general sau specific, dreptul de opoziție, asistență, returnarea sau ștergerea datelor, audit, transfer în afara SEE, termen de notificare a încălcării securității datelor, clauze contractuale standard pentru persoanele împuternicite
De ce un acord de prelucrare a datelor?
În lecția 1.2 ați văzut rolurile: Bakkerij De Korrel este operator, iar serviciul cloud este persoană împuternicită de operator. Articolul 28 alineatul 3 din GDPR impune ca prelucrarea realizată de o persoană împuternicită de operator să fie reglementată printr-un contract (sau alt act juridic) consemnat în scris. Forma electronică este, de asemenea, permisă. Acesta este acordul de prelucrare a datelor, prescurtat DPA, în engleză Data Processing Agreement (DPA) sau Data Processing Addendum.
La serviciile cloud mari nu semnați dumneavoastră înșivă un document: acordul de prelucrare a datelor face parte din condițiile pe care le acceptați sau bifați o casetă în ecranul de administrare. La furnizorii mai mici, uneori descărcați un document, vă completați datele și îl semnați. Oricum ar fi, în calitate de operator trebuie să puteți demonstra că există un acord de prelucrare a datelor și ce conține acesta.
Aceasta este o explicație, nu o consultanță juridică. Dacă aveți îndoieli cu privire la propriile dumneavoastră contracte, adresați-vă unui jurist sau responsabilului cu protecția datelor.
Ce trebuie să conțină conform GDPR
Articolul 28 alineatul 3 menționează mai întâi subiectele pe care contractul trebuie să le descrie: obiectul și durata prelucrării, natura și scopul acesteia, tipul de date cu caracter personal, categoriile de persoane vizate, precum și drepturile și obligațiile operatorului. Urmează apoi opt obligații ale persoanei împuternicite de operator (literele a până la h). Mai jos, în limbaj simplu, împreună cu întrebarea pe care o puneți atunci când citiți:
| Art. 28 alin. 3 | Ce trebuie să facă persoana împuternicită de operator | Întrebarea dumneavoastră de verificare |
|---|---|---|
| a | Prelucrează datele numai pe baza instrucțiunilor dumneavoastră scrise, inclusiv în ceea ce privește transferul în afara SEE | Se precizează că furnizorul nu folosește datele în scopuri proprii? |
| b | Se asigură că angajații respectă confidențialitatea | Există o obligație de confidențialitate pentru personal? |
| c | Ia măsuri de securitate adecvate (art. 32) | Sunt menționate măsurile sau există o trimitere la un document actualizat? |
| d | Apelează la subpersoane împuternicite doar cu acordul dumneavoastră și cu aceleași obligații | Există o listă și puteți formula obiecții? |
| e | Ajută la cererile persoanelor vizate (acces, ștergere) | Poate furnizorul să găsească și să șteargă datele unei singure persoane? |
| f | Ajută în privința securității, încălcărilor securității datelor și DPIA (art. 32 până la 36) | Cât de repede notifică furnizorul o încălcare a securității datelor? |
| g | La finalul contractului, returnează sau șterge toate datele, la alegerea dumneavoastră | În cât timp după reziliere vă puteți recupera datele și când sunt șterse acestea? |
| h | Oferă informații și permite audituri | Există rapoarte de audit sau certificări și puteți solicita un audit? |
Comisia Europeană a publicat, de asemenea, clauze contractuale standard pentru persoanele împuternicite de operator (Decizia de punere în aplicare (UE) 2021/915). Le puteți folosi ca acord de prelucrare a datelor, acestea conțin toate punctele obligatorii. Mulți furnizori mai mici folosesc un model propriu, adesea bazat pe modelul organizațiilor de profil.
Subpersoane împuternicite: cine se află în spatele furnizorului dumneavoastră?
Serviciul dumneavoastră cloud nu face totul singur. O subpersoană împuternicită este o parte la care apelează persoana împuternicită de operator și care are acces la datele dumneavoastră, de exemplu:
- centrul de date (dacă nu aparține furnizorului însuși);
- un furnizor de stocare pentru copii de siguranță;
- o companie care filtrează e-mailurile de spam sau viruși;
- un furnizor de suport tehnic sau un dezvoltator care monitorizează de la distanță;
- un serviciu de inteligență artificială, dacă furnizorul oferă o funcție de AI.
Articolul 28 alineatul 2 prevede: o persoană împuternicită de operator nu apelează la o subpersoană împuternicită fără consimțământul scris specific sau general prealabil al operatorului. În cazul consimțământului general, persoana împuternicită de operator trebuie să vă informeze cu privire la subpersoanele împuternicite noi sau înlocuite, astfel încât să puteți formula obiecții. În practică funcționează astfel: furnizorul publică o listă, comunică modificările (prin e-mail sau pe o pagină pe care o puteți urmări), iar dumneavoastră aveți un termen pentru a formula obiecții. Dacă formulați o obiecție și nu se găsește o soluție, de regulă puteți rezilia contractul.
Conform alineatului 4, subpersoana împuternicită trebuie să primească aceleași obligații, iar persoana împuternicită de operator rămâne pe deplin răspunzătoare față de dumneavoastră.
La ce acordați atenție suplimentară la o trecere la un serviciu european
La trecerea la un serviciu european, în lista subpersoanelor împuternicite urmăriți în principal două aspecte:
- Unde se află subpersoanele împuternicite? Un furnizor european care își filtrează e-mailurile printr-un serviciu american sau își plasează copiile de siguranță într-un cloud american expune totuși datele dumneavoastră la CLOUD Act (lecția 1.3). Verificați țara și compania mamă a fiecărei subpersoane împuternicite.
- Ce fac acestea? Un registru de domenii care cunoaște doar numele și adresa dumneavoastră ca deținător de domeniu este cu totul altceva decât o parte care vă stochează cutiile poștale.
Citiți și articolul despre transfer. Un acord european bun de prelucrare a datelor menționează că datele sunt prelucrate în UE sau SEE și că transferul în afara acestora este permis doar cu consimțământul dumneavoastră prealabil. Dacă scrie "putem prelucra date la nivel mondial cu garanții adecvate", atunci știți că un transfer este posibil.
Semnale la care trebuie să fiți atenți
- Lipsa unui acord de prelucrare a datelor pentru un serviciu destinat utilizării profesionale: nu este o alegere bună.
- O listă învechită de subpersoane împuternicite care nu corespunde cu ceea ce furnizorul declară în altă parte (de exemplu un centru de date diferit): solicitați clarificări.
- Un termen de notificare a încălcărilor securității datelor atât de lung încât nu mai puteți respecta propriul dumneavoastră termen de 72 de ore (art. 33). Multe acorduri de prelucrare a datelor menționează 24 sau 48 de ore.
- Răspunderea exclusă în întregime. Acest lucru este obișnuit până la un anumit punct, dar spune ceva despre cât de sigur este furnizorul pe el însuși.
- Lipsa unei reglementări pentru final: ce se întâmplă cu datele dumneavoastră după reziliere și primiți o confirmare a ștergerii?
Cine semnează și unde păstrați documentul?
La De Korrel, Sanne semnează în calitate de proprietar. Ea păstrează acordul de prelucrare a datelor împreună cu evidența activităților de prelucrare (lecția 9.3), cu data și versiunea. Dacă furnizorul modifică acordul sau subpersoanele împuternicite, ea păstrează și acea notificare. În cazul unui control din partea autorității de supraveghere sau al unei întrebări din partea unui client ("cum gestionați datele mele?"), îl poate prezenta imediat.
În practică: cum arată la un furnizor
WebOké are un acord standard de prelucrare a datelor cu o anexă care listează terții implicați, în care se precizează că prelucrarea are loc în UE și că transferul în afara acesteia este permis doar cu consimțământ scris. În secțiunea de întrebări frecvente a ghidului Nextcloud se explică atunci când aveți nevoie de el. La alți furnizori, documentul se numește adesea "Data Processing Agreement", iar lista subpersoanelor împuternicite se găsește pe o pagină separată ("Subprocessors"). Comparați această listă cu ceea ce declară furnizorul pe site-ul său despre centrele de date și suport.
Rezumat
- Articolul 28 alineatul 3 GDPR impune un acord scris de prelucrare a datelor cu subiecte fixe și opt obligații ale persoanei împuternicite de operator.
- Verificați în special: lipsa scopurilor proprii, securitatea, subpersoanele împuternicite, asistența în caz de încălcare a securității datelor, returnarea sau ștergerea datelor la final și auditurile.
- Subpersoanele împuternicite doar cu acordul dumneavoastră; în cazul consimțământului general trebuie să fiți informat despre modificări și să puteți formula obiecții.
- La o trecere la un serviciu european, verificați în lista subpersoanelor împuternicite țara și compania mamă a fiecărei părți.
- Păstrați acordul de prelucrare a datelor și notificările de modificare împreună cu evidența activităților de prelucrare.
Quiz
Exercițiu
Exercițiul E9.2: Verificați un acord de prelucrare a datelor. Luați acordul de prelucrare a datelor al serviciului dumneavoastră cloud actual sau nou. Parcurgeți cele opt puncte, de la a la h, și notați pentru fiecare punct: dacă este menționat (da, nu, neclar) și unde anume. Evaluați lista subpersoanelor împuternicite: notați pentru fiecare subpersoană împuternicită țara, compania mamă și ce anume face aceasta.
Exercițiul E9.2: Verificați un acord de prelucrare a datelor
Luați acordul de prelucrare a datelor (art. 28 GDPR) al furnizorului dumneavoastră actual sau nou și parcurgeți punctele din lecție.
Un termen de notificare mai lung de 72 de ore face dificilă respectarea propriei obligații de notificare (art. 33 GDPR).
Un serviciu cloud fără niciun subîmputernicit este rar: solicitați lista dacă nu este menționată.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lectură suplimentară
Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează în mod similar.
- Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
- Manual Nextcloud 14.8: Asistent AI în Nextcloud-ul dumneavoastră
- Regulamentul (UE) 2016/679 (GDPR), articolul 28, pe EUR-Lex
- Decizia de punere în aplicare (UE) 2021/915 (clauze contractuale standard între operatori și persoanele împuternicite de operatori), pe EUR-Lex
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), subiectul "Acordul de prelucrare a datelor" (reglementare specifică Țărilor de Jos; în România se aplică reglementările ANSPDCP): https://www.autoriteitpersoonsgegevens.nl