Vaadake andmetöötlusleping üle tegeliku teenuse põhjal

Andmetöötlusleping muutub kasulikuks siis, kui selle kirjeldus vastab tegelikule teenusele. Täielikuna näiv leping võib siiski kirjeldada valesid andmeid, jätta välja tugiteenuse pakkuja või lubada kustutamist, mida toode teha ei suuda.

CTO jaoks seob ülevaatus õiguslikud kohustused arhitektuuri, konfiguratsiooni ja tööprotseduuridega. Õigus- või privaatsuskolleegid tõlgendavad klausleid; inseneritöö teeb kindlaks, kas need klauslid kirjeldavad tegelikkust. Tulemuseks peaks olema põhjendatud teenuseotsus, mida toetavad tõendid ja selge loetelu lahendamata tingimustest, mitte lihtsalt allkirjastatud PDF.

Tehke tarnija roll kindlaks enne klauslite ülevaatamist

Alustage sellest, et teete kindlaks, kas tarnija tegutseb asjakohase töötlemise puhul volitatud töötlejana. GDPR-i kohaselt töötleb volitatud töötleja isikuandmeid vastutava töötleja nimel. Mitte igal tarnijasuhtel ei ole seda rolli ja ühel tarnijal võivad eri tegevuste puhul olla eri rollid.

Majutatud tugiplatvorm võib töödelda kliendipileteid teie juhiste kohaselt, tegutsedes samal ajal osa oma kontohalduse puhul eraldi vastutava töötlejana. Kui selle tingimused lubavad ka piletite sisu kasutada iseseisvalt määratud eesmärkidel, vajab see tegevus eraldi analüüsi. Kõige nimetamine „teenuse parendamiseks“ ei lahenda rolli küsimust.

Valmistage enne lepingu märkustega varustamist ette lühike ulatuse kirjeldus:

• Tuvastage lepingupoolest üksus, toode, tellimuse tase ja sisse lülitatud funktsioonid.
• Kirjeldage, miks teie organisatsioon teenust kasutab ja kelle isikuandmeid see käsitleb.
• Eraldage juhiste kohane töötlemine tarnija määratud eesmärkidest.
• Nimetage teenuse sisemine omanik ning õigus- või privaatsusülevaataja.

Andmetöötlusleping ei ole artikli 6 kohane õiguslik alus ega rahulda automaatselt rahvusvahelise edastamise nõudeid. Need küsimused jäävad eraldiseisvaks. Kui teie organisatsioon on ise volitatud töötleja, tehke enne tarnija kaasamist alamtöötlejana kindlaks ülesvoolu vastutava töötleja juhised ja loa tingimused.

Koostage artikli 28 ülevaatusmaatriks

GDPR-i artikkel 28 nõuab siduvat lepingut või muud nõuetele vastavat õigusakti, mis reguleerib volitatud töötleja tegevust. See peab kirjeldama töötlemise eset ja kestust, laadi ja eesmärki, isikuandmete liike, andmesubjektide kategooriaid ning vastutava töötleja õigusi ja kohustusi.

Need üksikasjad peaksid kirjeldama tegelikku töötlemist. „Kõik teenuste osutamiseks vajalikud andmed“ võib jätta ülevaatajad olukorda, kus nad ei saa kindlaks teha, kas töötajate kirjed, klientide sõnumid või tundlikud manused on hõlmatud. Kontrollige lisasid konfigureeritud toote, sealhulgas valikuliste integratsioonide põhjal.

Kasutage järgmist maatriksit volitatud töötleja nõutavate kohustuste uurimiseks. Tõendite veerg sisaldab praktilisi ülevaatussoovitusi, mitte seadusest tulenevat nõuet hankida iga nimetatud dokument.

Volitatud töötleja peab ka viivitamata teavitama vastutavat töötlejat, kui tema arvates rikub mõni juhis kohaldatavat andmekaitseõigust. Kontrollige, kuhu see teade jõuab ja kes saab selle lahendada.

Märkige iga nõue kaetuks, ebaselgeks või puuduvaks koos viitega klauslile. Ärge liigitage kohustuslikku puudujääki tavapäraseks äriliseks eelistuseks. Artikli 28 lõige 1 nõuab ka, et vastutavad töötlejad kasutaksid volitatud töötlejaid, kes annavad piisavad tagatised; lepingu sõnastus üksi ei saa seda tõendada.

Jälitage esinduslikku kirjet läbi teenuse

Valige realistlik kirje ja järgige seda alates sisestamisest kuni kõrvaldamiseni. Klienditoe teenuse puhul võib see olla pilet, mis sisaldab nime, e-posti aadressi, konto identifikaatorit ja manust. Testimisel eelistage sünteetilisi andmeid.

Kaardistage kogumine, API kaudu sisestamine, peamine salvestus, indekseerimine, analüütika, tugitöötajate juurdepääs, ekspordid, integratsioonid, varukoopiad ja kustutamine. Küsige, millised komponendid saavad sisu ja millised ainult metaandmeid. Logid ja diagnostilised jäljed sisaldavad sageli identifikaatoreid isegi siis, kui põhirakenduse ulatus on õigesti määratud.

Pange iga etapi kohta kirja vastutav üksus, töötlemise eesmärk, asukoht, juurdepääsutee ja säilitusaeg. Võrrelge tulemust andmetöötluslepingu, turvalisuse lisa, alamtöötlejate loendi ja edastamiskorraldustega.

Pöörake erilist tähelepanu funktsioonidele, mida administraatorid saavad ilma hanke osaluseta aktiveerida: transkriptsioon, rikastamine, tehisintellekti kokkuvõtted, välised veebikonksud ja tugisessioonide salvestamine. Põhitoote jaoks üle vaadatud leping ei pruugi sisse lülitatud teenust piisavalt kirjeldada.

Tulemus võib olla lihtne andmevoo skeem ja lahknevuste logi. Iga lahknevus peaks määrama lepingulise väite, täheldatud käitumise, tagajärje, omaniku ja lahenduse. Näiteks „Andmetöötlusleping kirjeldab kliendi kontrollitavat säilitamist; diagnostilised logid säilivad kindla perioodi“ võimaldab tegutseda. „Säilitamine ebaselge“ ei ole küsimuse sulgemiseks piisav.

Kontrollige turvalubadusi rakenduse põhjal

Artikkel 32 nõuab riskile vastavaid turvameetmeid. See ei kehtesta üht universaalset tehnilist konfiguratsiooni. Hinnake meetmeid andmete tundlikkuse, mahu, kokkupuute ja kompromiteerimise tõenäoliste tagajärgede põhjal.

Lisa peaks selgitama piisavalt, et teenust hinnata, nõudmata ärakasutamiseks tundlike üksikasjade avalikustamist. Seadke esikohale rentnike isoleerimine, privilegeeritud juurdepääs, autentimine, krüpteerimine, vastupidavus, taastamine, haavatavuste haldus ja testimine. Tuvastage kontrollimeetmed, mida käitab tarnija, ja seadistused, mida peab konfigureerima teie meeskond.

Kui leping lubab piiratud tugitöötajate juurdepääsu, küsige, kuidas juurdepääsu taotletakse, heaks kiidetakse, ajaliselt piiratakse ja logitakse. Kui see lubab krüpteerimist, eristage kaitset edastamisel kaitsest salvestamisel ning tehke seejärel kindlaks, kes kontrollib võtmeid ja mida volitatud kasutajad endiselt lugeda saavad. Krüpteerimine ei lahenda rakenduse liigseid õigusi.

Käideldavuse ja taastamise puhul tehke kindlaks, millised varukoopiad on olemas, kuidas taastamist testitakse ja kas lepingulised taastamiskohustused katavad toodet, mida te ostate. Hoidke ärilised tööajaeesmärgid turvalisuse ja privaatsuse kohustustest lahus.

Sertifikaadid ja kindlustandvad aruanded võivad hindamist toetada, kuid nende ulatus on oluline. Kontrollige teenust, juriidilist isikut, hindamisperioodi, välistusi ja kliendi kohustusi. Majutusteenuse pakkuja aruanne ei ole tõend SaaS-rakenduse iga kontrollimeetme kohta ja sertifitseerimine ei tõenda vastavust GDPR-ile. Laiema tõendite ülevaatuse kohta vaadake artiklit turvalisuse kindlustandvate tõendite hindamisest.

Kui turvalisuse lisa on lepingusse lisatud veebilingi kaudu, säilitage kohaldatav versioon. Vaadake üle, kas muudatused võivad kaitset vähendada ja kuidas kliente teavitatakse. Käsitlege dateerimata ja muudetavat lehte lahendamist vajava tõendihalduse probleemina, mitte eeldades, et see on automaatselt piisav või automaatselt kehtetu.

Järgige alamtöötlejate ahelat ja hinnake edastamist eraldi

Artikli 28 lõige 2 nõuab teise volitatud töötleja kaasamiseks eelnevat konkreetset või üldist kirjalikku luba. Üldise loa korral peab volitatud töötleja teavitama vastutavat töötlejat kavandatud lisamistest või asendamistest ja andma võimaluse esitada vastuväiteid. Artikli 28 lõige 4 nõuab, et asjakohased andmekaitsekohustused kantaks edasi; esialgne volitatud töötleja jääb vastutava töötleja ees täielikult vastutavaks alamtöötleja poolt nende kohustuste täitmise eest.

Hankige kasutatav loend, millest nähtub iga teenusepakkuja juriidiline isik, funktsioon, asjakohased andmed ja töötlemiskohad. Mitte iga tarnijasõltuvus ei ole alamtöötleja, kuid taristu-, tugi- ja analüütikateenuse pakkujad ei tohiks ülevaatusest kaduda ainult seetõttu, et nad tegutsevad tooteliidese taga.

Hinnake muudatusmehhanismi:

• Kas teade jõuab jälgitavale aadressile või määratud omanikuni?
• Kas kavandatud muudatuse hindamiseks on piisavalt teavet ja aega?
• Kuidas vastuväide esitatakse ja lahendatakse?
• Mis juhtub, kui vastuvõetavat alternatiivi ei ole?

Lepinguline õigus, mida keegi ei saa operatiivselt kasutada, on hoiatusmärk. Tellige teated asjakohasele meeskonnale ja pange kirja, kes teateid hindab.

ELis majutamine on asjakohane, kuid see ei lõpeta edastamise hindamist. Uurige tegelikke vastuvõtjaid, kaugjuurdepääsu korraldust, tugiteenuste asukohti ja edasisi edastamisi. Samamoodi ei ole välismaine omand üksi edastamise täielik kirjeldus: dokumenteerige tegelikud üksused ja juurdepääsuteed.

Kui kohaldub V peatükk, tuvastage asjakohane edastamismehhanism ning vajalik toetav hinnang või meetmed. Hoidke see analüüs tarnija ülevaatusega seotuna, kuid artikli 28 järgimisest eraldi. Andmetöötlusleping ja piirkondlik majutusseadistus ei vasta iseseisvalt kõigile edastamise küsimustele.

Muutke abistamiskohustused täidetavaks

Rikkumisest teavitamine ja intsidendi üleandmine

Artikli 33 lõike 2 kohaselt peab volitatud töötleja pärast isikuandmetega seotud rikkumisest teadasaamist teavitama vastutavat töötlejat põhjendamatu viivituseta. Vastutav töötleja hindab eraldi järelevalveasutuse teavitamist, mis on nõutav põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast teadasaamist, välja arvatud juhul, kui rikkumisega ei kaasne tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele.

Ärge andke volitatud töötlejale vastutava töötleja tähtaega tema vaikimisi ooteajaks. Praktiline leping peaks kehtestama kiire esmase teavitamise, nimetatud kanalid ja järkjärgulised uuendused. Kokkulepitud teavitamise sihtaeg on operatiivne soovitus; see ei asenda seadusest tulenevat standardit.

Küsige teavet, mida on vaja mõjutatud andmete, isikute, süsteemide, tõenäoliste tagajärgede, ohjeldamise ja taastamise hindamiseks. Esimene teade võib olla puudulik, seega määratlege, kuidas uuendused ja tõendid järgnevad. Vastutav töötleja peab ka hindama, kas suur oht nõuab artikli 34 kohaselt mõjutatud isikute teavitamist, arvestades selle erandeid, ning dokumenteerima rikkumise hinnangu, sealhulgas teavitamata jätmise põhjused. Vaadake teavitamise käivitaja hoolikalt üle: protsess, mis ootab algpõhjuse uurimise lõpuleviimist, võib vastutava töötleja hindamist edasi lükata.

Katsetage üleandmist lauaharjutuse stsenaariumiga. Kinnitage, et teade jõuab intsidentidele reageerijate ja privaatsusülevaatajateni ka väljaspool tavapärast tööaega, mitte ainult kliendihaldurini.

Andmesubjektide taotlused

Volitatud töötleja abi peaks muutma teie enda õigustele vastamise protsessi teostatavaks. Katsetage, kas kirjeid saab leida sisust, manustest, indeksitest ja eksportidest ning kas kustutamine või parandamine jõuab asjakohaste komponentideni.

Leppige kokku vastamise tee ja eeldatav täitmisaeg. Vastutavatel töötlejatel on taotlusele vastamiseks tavaliselt üks kuu, arvestades GDPR-i pikendamise tingimusi; tarnija abi peab jätma ruumi isikusamasuse kontrollimiseks, õiguslikuks hindamiseks ja turvaliseks edastamiseks. Tarnija peaks teie juhiste kohast töötlemist puudutavad taotlused tavaliselt teile suunama, mitte ise nende tulemuse üle otsustama.

Tasud ja teenuse piirangud väärivad ülevaatamist. Täiendava abi tasud ei ole automaatselt keelatud, kuid need ei tohi muuta kohustuslikku abi ebatõhusaks. Siduge protseduur oma andmesubjekti juurdepääsutaotluste töövooga.

Tagastamine, kustutamine ja varukoopiad

Teenuse lõppedes nõuab artikkel 28 vastutava töötleja valikul kustutamist või tagastamist ning olemasolevate koopiate kustutamist, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab säilitamist. Tehke enne ostmist kindlaks, mida see tehniliselt tähendab.

Kontrollige ekspordi täielikkust, vormingut, kättesaadavuse akent ja seda, kas manused või konfiguratsioon on välistatud. Kustutamise puhul eristage aktiivseid kirjeid, vahemälusid, koopiaid, logisid ja varukoopiaid. Kui varukoopiate kustutamine järgib plaanilist tsüklit, dokumenteerige periood, juurdepääsupiirangud ja meetmed, mis takistavad kustutatud kirjete taastamise kaudu tagasitoomist.

Küsige, kuidas lõpuleviimist tõendatakse ja kuidas tuvastatakse seadusest tulenev säilitamine. Ärge pidage olekut „konto suletud“ tõendiks, et isikuandmed on eemaldatud.

Vaadake üle auditiõigused, vastutus ja lahendamata klauslid

Auditisätted peaksid andma sisuka kindluse, kaitstes samal ajal teisi kliente ja õigustatud turvahuve. Mõistlik ajastamine, konfidentsiaalsus ja sõltumatute aruannete kasutamine võivad muuta auditid toimivaks. Kuid ainult sertifikaadile tuginev klausel, mis ei anna teed vajaliku teabe saamiseks ega oluliste murede lahendamiseks, väärib õiguslikku ülevaatust artikli 28 lõike 3 punkti h valguses.

Tehke kindlaks eskaleerimistee juhuks, kui tõendid on ebapiisavad, toimub intsident või regulaator nõuab teavet. Uurige auditi kulusid, etteteatamisaegu ja piiranguid koos; nende koosmõju on olulisem kui ükski üksik väljend.

Vastutusklauslid vajavad eraldi ärilist hindamist. Artikli 82 kohane hüvitis sõltub määruse vastutustingimustest; volitatud töötlejad ei vastuta automaatselt iga vastutava töötleja vea eest. Kui artikli 82 alusel vastutab mitu osapoolt, võivad reeglid panna neile vastutuse kogu kahju eest, et tagada tõhus hüvitamine. Lepinguline piirmäär ei piira üksikisikute seadusest tulenevaid õigusi. Selle mõju jaotusele ja nõuetele osapoolte vahel vajab õiguslikku ülevaatust.

Kui tarnija keeldub muudatustest, eristage kolme tulemust:

• Täpsustamine: hankige autoriteetne sõnastus või tõend, mis lahendab ebaselguse.
• Tingimuslik aktsepteerimine: kiitke heaks seaduslik korraldus koos dokumenteeritud ärilise või operatiivse jääkriski ja täpsustatud kaitsemeetmetega.
• Mitte jätkata: peatage või kujundage töötlemine ümber, kui nõutavad kohustused jäävad täitmata.

Juhtkonna aktsepteerimine ei saa muuta ebaseaduslikku korraldust seaduslikuks. Andmekaitseametnik, kui ta on määratud, nõustab ja jälgib sõltumatult; vastutav äriomanik teeb teenuseotsused õigus- ja privaatsusalase sisendi põhjal. Ärge määrake andmekaitseametnikku töötlemise eesmärkide või vahendite kindlaksmääramise omanikuks.

Uurige tehisintellekti funktsioone kui täiendavaid töötlemisteid

Tehisintellekti funktsioonid toovad kaasa sisendeid, väljundeid ja vahepealseid artefakte, mida vanemad lisad ei pruugi kirjeldada. Vaadake asjakohasel juhul üle viibad, hangitud dokumendid, vektoresitused, genereeritud vastused, tagasiside, kuritarvitamise seire kirjed ja inimülevaatuse juurdepääs.

Tehke kindlaks, kas klientide andmeid kasutatakse mudelite treenimiseks või parendamiseks, kelle eesmärke see teenib ja milline üksus töötlemist teeb. „Treenimist ei toimu“ ei ole samaväärne väitega „säilitamist ei toimu“ ja kumbki lubadus ei tõenda, et tugilogid või seirekirjed ei sisalda isikuandmeid.

Kontrollige, et kohustused kehtivad ostetud tasemele, sisse lülitatud otspunktidele ja allavoolu mudelipakkujatele. Kinnitage säilitamisseadistused, erandid ja kustutamise käitumine. Kui tarnija väidab anonüümimist, küsige, mis seda väidet toetab, selle asemel et eeldada, et mudeli artefaktid on anonüümsed.

Salvestage lepinguline kohustus ja konfiguratsioonitõend koos. Iga uus eesmärk nõuab oma rolli ja seaduslikkuse hindamist; andmetöötlusleping seda õiguslikku alust ei anna. Tehisintellekti määruse kohaldatavus on samuti eraldi küsimus, mitte midagi, mis rahuldatakse volitatud töötleja tingimuste allkirjastamisega.

Näide: tugitarkvara valikulise kokkuvõtete funktsiooniga

Oletame illustreerivalt, et SaaS-ettevõte soovib tugiplatvormi, mis hoiab nimesid, ärilisi e-posti aadresse, piletite teksti ja manuseid. Piletid võivad kogemata sisaldada tundlikku teavet. Valikuline tehisintellekti funktsioon teeb vestlustest kokkuvõtteid.

Andmetöötluslepingu kavand kirjeldab piletite töötlemist ja salvestamist ELis. Tehniline läbivaatus paljastab kokkuvõtete teenuse pakkuja, tugitöötajate juurdepääsu teisest piirkonnast ja diagnostiliste andmete säilitamise, mis erineb piletite säilitamisest.

Ülevaatus annab neli konkreetset tegevust:

1. Täiendage ulatust. Lisage kirjeldusse manused, diagnostilised identifikaatorid ja tehisintellekti töötlemine; kontrollige, kas tarnija kasutab mingit sisu oma eesmärkidel.
2. Lahendage teenusepakkujate ahel. Hankige mudelipakkuja identiteet, töötlemiskohad, säilitamiskohustused ja loa kaetus. Hinnake asjakohaseid edastamisi eraldi.
3. Valideerige elutsükli käitumine. Viige sünteetiline pilet läbi ekspordi ja kustutamise. Hankige selgitus varukoopiate ja diagnostiliste andmete säilitamise kohta, selle asemel et eeldada, et pileti kustutamine eemaldab iga koopia.
4. Seadke kasutuselevõtu tingimus. Hoidke kokkuvõtete funktsioon välja lülitatuna, kuni selle leping ja andmevoog on üle vaadatud. Määrake rikkumisteadete ja alamtöötlejate muudatuste suunamine enne tootmiskasutust.

Otsusekirje eristab saadud tõendeid endiselt avatud küsimustest. Kui põhiteenus on vastuvõetav, võib heakskiit tehisintellekti funktsiooni selgesõnaliselt välistada. See piir peab olema olemas ka konfiguratsioonis ja muudatuste halduses; märge ülevaatusfailis ei takista kedagi seda hiljem sisse lülitamast.

Säilitage otsus ja avage see uuesti, kui teenus muutub

Hoidke koos kohaldatav lepinguversioon, töötlemise ulatus, andmevoo skeem, kindlustandvad tõendid, edastamise hinnang, lahknevuste logi ja heakskiit. Pange kirja aktsepteeritud jääkriskid, tingimused, omanikud ja järelkontrolli kuupäevad. Säilitage põhjus, miks korraldus aktsepteeriti, mitte ainult selle olek.

Vaadake uuesti üle, kui töötlemise eesmärgid, sisse lülitatud funktsioonid, alamtöötlejad, asukohad või lepingutingimused oluliselt muutuvad. Lisage käivitajateks olulised intsidendid ja uued tõendid kontrollimeetmete nõrkustest. Plaaniline ülevaatus täiendab neid käivitajaid, mitte ei asenda neid.

Secani saab seda töövoogu toetada, modelleerides teenust ja väliseid teenusepakkujaid, sidudes tõendid nõuete ja otsustega ning määrates ülevaatuse lüngad omanikele. Inimeste üle vaadatud järeldused, allikalingid, kommentaarid ja heakskiidud säilitavad aktsepteerimise taga oleva arutluskäigu. See seob lepingu ülevaatuse kolmandate osapoolte riskide juhtimisega, käsitlemata tarkvara õigusliku või tehnilise otsustuse asendajana.

Kas leping vajab omakäelist allkirja?

Artikli 28 lõige 9 nõuab kirjalikku vormi, sealhulgas elektroonilist vormi. Omakäeline allkiri ei ole olemuslikult nõutav. Säilitage tõend siduvast aktsepteerimisest ja kehtivast versioonist; paluge õigusülevaatajatel lahendada ebakindlus veebipõhise lisamise või vastuoluliste tingimuste kohta.

Kas iga alamtöötleja peab olema andmetöötluslepingus nimetatud?

Artikkel 28 ei näe ette kindlat dokumendisisest loendit. Hooldatav loend võib luba toetada, tingimusel et korraldus tagab nõutava teabe, muudatusteated ja võimaluse esitada vastuväiteid. Säilitage teie ülevaatuse jaoks asjakohane loend.

Järgmise tarnija ülevaatuse puhul alustage ühest esinduslikust andmevoost ja artikli 28 maatriksist. Lahendage lepinguliste lubaduste ja täheldatava toimimise vaheline lahknevus enne tootmises töötlemise lubamist.