Az adatfeldolgozási szerződés felülvizsgálata a valós szolgáltatás alapján

Egy adatfeldolgozási szerződés (DPA) akkor válik hasznossá, ha a leírása megfelel a tényleges szolgáltatásnak. Egy teljesnek tűnő szerződés is leírhat rossz adatokat, kihagyhat egy támogatási szolgáltatót, vagy olyan törlést ígérhet, amelyre a termék nem képes.

Egy CTO számára a felülvizsgálat a jogi kötelezettségvállalásokat kapcsolja össze az architektúrával, a konfigurációval és a működési eljárásokkal. A jogi vagy adatvédelmi kollégák értelmezik a kikötéseket; a fejlesztés megállapítja, hogy ezek a kikötések a valóságot írják-e le. Az eredmény egy védhető, bizonyítékokkal és a nyitott feltételek egyértelmű listájával alátámasztott szolgáltatási döntés legyen – ne csupán egy aláírt PDF.

A kikötések felülvizsgálata előtt tisztázza a szállító szerepét

Először határozza meg, hogy a szállító adatfeldolgozóként jár-e el az adott adatkezelés során. A GDPR szerint az adatfeldolgozó az adatkezelő nevében kezel személyes adatokat. Nem minden szállítói kapcsolatban van meg ez a szerep, és egyetlen szállítónak különböző tevékenységeknél különböző szerepei lehetnek.

Egy hosztolt ügyfélszolgálati platform az Ön utasításai szerint kezelheti az ügyféljegyeket, miközben saját fiókadminisztrációjának egy részénél önálló adatkezelőként jár el. Ha a feltételei azt is lehetővé teszik, hogy a jegyek tartalmát önállóan meghatározott célokra használja, ez a tevékenység külön elemzést igényel. Ha mindent „a szolgáltatás fejlesztésének” neveznek, attól még nem dől el a szerep.

A szerződés véleményezése előtt készítsen rövid hatókörnyilatkozatot:

• Nevezze meg a szerződő jogalanyt, a terméket, az előfizetési szintet és a bekapcsolt funkciókat.
• Írja le, miért használja szervezete a szolgáltatást, és kinek a személyes adatait kezeli.
• Válassza külön az utasításra végzett adatkezelést a szállító által meghatározott céloktól.
• Nevezze meg a belső szolgáltatásfelelőst és a jogi vagy adatvédelmi felülvizsgálót.

Egy DPA nem a 6. cikk szerinti jogalap, és nem teljesíti automatikusan a nemzetközi adattovábbításra vonatkozó követelményeket. Ezek a kérdések külön maradnak. Ha szervezete maga is adatfeldolgozó, a szállító további adatfeldolgozóként való igénybevétele előtt azonosítsa a felette álló adatkezelő utasításait és engedélyezési feltételeit.

Készítsen a 28. cikk szerinti felülvizsgálati mátrixot

A GDPR 28. cikke az adatfeldolgozói tevékenységet szabályozó, kötelező erejű szerződést vagy más megfelelő jogi aktust ír elő. Ennek le kell írnia az adatkezelés tárgyát és időtartamát, jellegét és célját, a személyes adatok típusait, az érintettek kategóriáit, valamint az adatkezelő jogait és kötelezettségeit.

Ezeknek a részleteknek a tényleges adatkezelést kell azonosítaniuk. A „szolgáltatások nyújtásához szükséges összes adat” megfogalmazás alapján a felülvizsgálók esetleg nem tudják megállapítani, hogy kiterjed-e a munkavállalói nyilvántartásokra, az ügyfélüzenetekre vagy az érzékeny mellékletekre. Vesse össze a mellékleteket a konfigurált termékkel, az opcionális integrációkat is beleértve.

Az előírt adatfeldolgozói kötelezettségek vizsgálatához használja az alábbi mátrixot. A bizonyítékok oszlopa gyakorlati felülvizsgálati ajánlásokat tartalmaz, nem pedig jogszabályi kötelezettséget az egyes megnevezett dokumentumok beszerzésére.

Az adatfeldolgozónak haladéktalanul tájékoztatnia kell az adatkezelőt is, ha véleménye szerint valamely utasítás sérti az alkalmazandó adatvédelmi jogszabályokat. Ellenőrizze, hová érkezik ez az értesítés, és ki tudja rendezni.

Minden követelményt jelöljön lefedettként, tisztázatlanként vagy hiányzóként, a kikötésre való hivatkozással. Egy kötelező elem hiányát ne sorolja be hétköznapi üzleti preferenciaként. A 28. cikk (1) bekezdése azt is előírja, hogy az adatkezelők megfelelő garanciákat nyújtó adatfeldolgozókat vegyenek igénybe; ezt a szerződéses megfogalmazás önmagában nem igazolhatja.

Kövessen végig egy reprezentatív rekordot a szolgáltatáson

Válasszon ki egy valószerű rekordot, és kövesse a beérkezéstől a megsemmisítésig. Egy ügyfélszolgálati szolgáltatásnál ez lehet egy nevet, e-mail-címet, fiókazonosítót és mellékletet tartalmazó jegy. Teszteléskor lehetőleg szintetikus adatokat használjon.

Térképezze fel a gyűjtést, az API-n keresztüli beérkezést, az elsődleges tárolást, az indexelést, az analitikát, a támogatási hozzáférést, az exportokat, az integrációkat, a mentéseket és a törlést. Kérdezze meg, mely komponensek kapják meg a tartalmat, és melyek csak a metaadatokat. A naplók és a diagnosztikai nyomkövetések gyakran akkor is tartalmaznak azonosítókat, ha a fő alkalmazás hatóköre helyesen van meghatározva.

Minden szakaszban rögzítse a felelős jogalanyt, az adatkezelés célját, a helyszínt, a hozzáférési útvonalat és a megőrzési időt. Vesse össze az eredményt a DPA-val, a biztonsági melléklettel, a további adatfeldolgozók listájával és az adattovábbítási megoldásokkal.

Különösen figyeljen azokra a funkciókra, amelyeket az adminisztrátorok a beszerzés bevonása nélkül bekapcsolhatnak: átirat-készítés, adatgazdagítás, MI-alapú összefoglalás, külső webhookok és a támogatási munkamenetek rögzítése. Egy az alaptermékre felülvizsgált szerződés nem feltétlenül írja le megfelelően a bekapcsolt szolgáltatást.

Az eredmény lehet egy egyszerű adatfolyam-ábra és egy eltérésnapló. Minden eltérésnél meg kell nevezni a szerződéses állítást, a megfigyelt viselkedést, a következményt, a felelőst és a megoldást. Például az „a DPA ügyfél által szabályozott megőrzést ír le; a diagnosztikai naplók rögzített ideig megmaradnak” megállapítás alapján lehet cselekedni. A „megőrzés tisztázatlan” nem elég a kérdés lezárásához.

Tesztelje a biztonsági ígéreteket a megvalósításon

A 32. cikk a kockázatnak megfelelő biztonsági intézkedéseket ír elő. Nem ír elő egyetlen univerzális műszaki konfigurációt. Az intézkedéseket az adatok érzékenysége, mennyisége, kitettsége és egy kompromittálódás valószínű következményei alapján értékelje.

Egy mellékletnek eleget kell elmagyaráznia a szolgáltatás értékeléséhez, anélkül hogy kihasználásra érzékeny részletek felfedését követelné meg. Priorizálja a bérlők elkülönítését, a privilegizált hozzáférést, a hitelesítést, a titkosítást, az ellenálló képességet, a helyreállítást, a sérülékenységkezelést és a tesztelést. Azonosítsa, mely kontrollokat működteti a szállító, és mely beállításokat kell az Ön csapatának konfigurálnia.

Ha a szerződés korlátozott támogatási hozzáférést ígér, kérdezze meg, hogyan kérik, hagyják jóvá, korlátozzák időben és naplózzák a hozzáférést. Ha titkosítást ígér, különböztesse meg az átvitel közbeni védelmet a tárolt adatok védelmétől, majd állapítsa meg, ki kezeli a kulcsokat, és mit olvashatnak továbbra is a jogosult felhasználók. A titkosítás nem oldja meg a túlzott alkalmazásjogosultságokat.

A rendelkezésre állás és a helyreállítás tekintetében határozza meg, milyen mentések léteznek, hogyan tesztelik a visszaállítást, és hogy a szerződéses helyreállítási vállalások kiterjednek-e a megvásárolt termékre. Az üzleti rendelkezésre állási célokat tartsa elkülönítve a biztonsági és adatvédelmi kötelezettségektől.

A tanúsítványok és bizonyossági jelentések támogathatják az értékelést, de a hatókörük számít. Ellenőrizze a szolgáltatást, a jogalanyt, az értékelési időszakot, a kizárásokat és az ügyféloldali felelősségeket. Egy tárhelyszolgáltatóról szóló jelentés nem bizonyíték a SaaS-alkalmazás minden kontrolljára, és a tanúsítás nem igazolja a GDPR-nak való megfelelést. A bizonyítékok tágabb felülvizsgálatáról lásd a biztonsági bizonyosság értékeléséről szóló cikket.

Ha a biztonsági mellékletet webes hivatkozással építik be, őrizze meg az alkalmazandó verziót. Vizsgálja meg, csökkenthetik-e a változtatások a védelmet, és hogyan tájékoztatják az ügyfeleket. Egy dátum nélküli, módosítható oldalt rendezendő bizonyítékkezelési problémaként kezeljen, ahelyett hogy automatikusan elegendőnek vagy automatikusan érvénytelennek tekintené.

Kövesse végig a további adatfeldolgozók láncát, és az adattovábbításokat külön értékelje

A 28. cikk (2) bekezdése további adatfeldolgozó igénybevételéhez előzetes eseti vagy általános írásbeli felhatalmazást ír elő. Általános felhatalmazás esetén az adatfeldolgozónak tájékoztatnia kell az adatkezelőt a tervezett bővítésekről vagy cserékről, és lehetőséget kell adnia a kifogásolásra. A 28. cikk (4) bekezdése előírja a releváns adatvédelmi kötelezettségek továbbhárítását; az eredeti adatfeldolgozó teljes felelősséggel tartozik az adatkezelő felé azért, hogy a további adatfeldolgozó teljesíti-e ezeket a kötelezettségeket.

Szerezzen be egy használható listát, amely mutatja az egyes szolgáltatók jogi azonosságát, funkcióját, a releváns adatokat és az adatkezelés helyszíneit. Nem minden szállítói függőség további adatfeldolgozó, de az infrastruktúra-, támogatási és analitikai szolgáltatók nem tűnhetnek el a felülvizsgálatból pusztán azért, mert a termék felülete mögött működnek.

Értékelje a változtatási mechanizmust:

• Monitorozott címre vagy kijelölt felelőshöz érkezik-e az értesítés?
• Elegendő információ és idő áll-e rendelkezésre a tervezett változás értékeléséhez?
• Hogyan lehet kifogást benyújtani, és hogyan rendezik azt?
• Mi történik, ha nincs elfogadható alternatíva?

Egy szerződéses jog, amelyet operatívan senki sem tud gyakorolni, figyelmeztető jel. Iratkoztassa fel a megfelelő csapatot, és rögzítse, ki értékeli az értesítéseket.

Az uniós tárhely releváns, de nem zárja le az adattovábbítás értékelését. Vizsgálja meg a tényleges címzetteket, a távoli hozzáférési megoldásokat, a támogatás helyszíneit és a továbbtovábbításokat. Ugyanígy a külföldi tulajdonlás önmagában nem teljes leírása egy adattovábbításnak: dokumentálja a tényleges jogalanyokat és hozzáférési útvonalakat.

Ha az V. fejezet alkalmazandó, azonosítsa a releváns adattovábbítási mechanizmust és az esetleg szükséges kiegészítő értékelést vagy intézkedéseket. Ezt az elemzést tartsa összekapcsolva a szállítói felülvizsgálattal, de válassza külön a 28. cikknek való megfeleléstől. Egy DPA és egy regionális tárhelybeállítás önmagában nem válaszol meg minden adattovábbítási kérdést.

Tegye végrehajthatóvá a segítségnyújtási kötelezettségeket

Incidensbejelentés és az incidens átadása

A 33. cikk (2) bekezdése szerint az adatfeldolgozónak indokolatlan késedelem nélkül értesítenie kell az adatkezelőt, miután tudomást szerzett egy adatvédelmi incidensről. Az adatkezelő külön értékeli a felügyeleti hatóság felé történő bejelentést, amely indokolatlan késedelem nélkül, és ha lehetséges, a tudomásszerzéstől számított 72 órán belül kötelező, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.

Ne az adatkezelő határidejét adja meg az adatfeldolgozónak alapértelmezett várakozási időként. Egy gyakorlati szerződés gyors első értesítést, megnevezett csatornákat és fokozatos frissítéseket rögzít. Egy egyeztetett értesítési cél működési ajánlás; nem helyettesíti a jogszabályi mércét.

Kérje be azokat az információkat, amelyek szükségesek az érintett adatok, személyek, rendszerek, a valószínű következmények, a kárelhárítás és a helyreállítás értékeléséhez. Az első értesítés hiányos lehet, ezért határozza meg, hogyan követik a frissítések és a bizonyítékok. Az adatkezelőnek azt is értékelnie kell, hogy a magas kockázat a 34. cikk szerint – annak kivételeire is figyelemmel – megköveteli-e az érintettek tájékoztatását, és dokumentálnia kell az incidens értékelését, beleértve a bejelentés mellőzésének okait is. Gondosan vizsgálja felül az értesítés kiváltó eseményét: egy olyan folyamat, amely egy befejezett kiváltóok-vizsgálatra vár, késleltetheti az adatkezelő értékelését.

Tesztelje az átadást egy asztali gyakorlattal. Győződjön meg arról, hogy az értesítés a szokásos munkaidőn kívül is eljut az incidenskezelőkhöz és az adatvédelmi felülvizsgálókhoz, nem csak egy ügyfélkapcsolati menedzserhez.

Érintetti kérelmek

Az adatfeldolgozó segítségnyújtásának megvalósíthatóvá kell tennie az Ön saját, az érintetti jogokra adott válaszfolyamatát. Tesztelje, hogy a rekordok megtalálhatók-e a tartalmakban, mellékletekben, indexekben és exportokban, és hogy a törlés vagy helyesbítés eléri-e a releváns komponenseket.

Egyezzenek meg a válaszadási útvonalról és a várt átfutási időről. Az adatkezelőknek általában egy hónapjuk van egy kérelem megválaszolására, a GDPR meghosszabbítási feltételeire is figyelemmel; a szállítói segítségnyújtásnak időt kell hagynia a személyazonosság ellenőrzésére, a jogi értékelésre és a biztonságos átadásra. A szállítónak az Ön utasítására végzett adatkezelést érintő kérelmeket általában Önhöz kell továbbítania, ahelyett hogy önállóan döntene azok kimeneteléről.

A díjak és a szolgáltatási korlátok felülvizsgálatot érdemelnek. A további segítségnyújtásért felszámított díjak nem automatikusan tilosak, de nem tehetik hatástalanná a kötelező segítségnyújtást. Kapcsolja az eljárást az érintetti hozzáférési kérelmek munkafolyamatához.

Visszaadás, törlés és mentések

A szolgáltatás végén a 28. cikk az adatkezelő választása szerinti törlést vagy visszaadást, valamint a meglévő másolatok törlését írja elő, kivéve, ha uniós vagy tagállami jog a tárolást írja elő. Már a beszerzés előtt tisztázza, mit jelent ez műszakilag.

Ellenőrizze az export teljességét, formátumát, elérhetőségi időablakát, és hogy kimaradnak-e belőle a mellékletek vagy a konfiguráció. A törlésnél különböztesse meg az aktív rekordokat, a gyorsítótárakat, a replikákat, a naplókat és a mentéseket. Ha a mentések törlése ütemezett ciklust követ, dokumentálja az időtartamot, a hozzáférési korlátozásokat és azokat az intézkedéseket, amelyek megakadályozzák, hogy a törölt rekordok egy visszaállítás során újra bekerüljenek.

Kérdezze meg, hogyan igazolják a befejezést, és hogyan azonosítják a jogszabályban előírt megőrzést. Ne hagyatkozzon a „fiók lezárva” állapotra annak bizonyítékaként, hogy a személyes adatokat eltávolították.

Vizsgálja felül az auditjogokat, a felelősséget és a nyitott kikötéseket

Az auditrendelkezéseknek érdemi bizonyosságot kell nyújtaniuk, miközben védik a többi ügyfelet és a jogos biztonsági érdekeket. Az észszerű ütemezés, a titoktartás és a független jelentések felhasználása működőképessé teheti az auditokat. Egy csak tanúsítványra hagyatkozó kikötés azonban, amely nem biztosít utat a szükséges információk beszerzésére vagy a lényeges aggályok kezelésére, a 28. cikk (3) bekezdésének h) pontja alapján jogi felülvizsgálatot indokol.

Határozza meg az eszkalációs útvonalat arra az esetre, ha a bizonyítékok elégtelenek, incidens történik, vagy egy hatóság információt kér. Az auditköltségeket, az értesítési határidőket és a korlátozásokat együtt vizsgálja meg; az együttes hatásuk többet számít, mint bármelyik egyedi megfogalmazás.

A felelősségi kikötések külön üzleti értékelést igényelnek. A 82. cikk szerinti kártérítés a rendelet felelősségi feltételeitől függ; az adatfeldolgozók nem felelnek automatikusan az adatkezelő minden mulasztásáért. Ha a 82. cikk szerint több fél felelős, a szabályok alapján a hatékony kártérítés biztosítása érdekében a teljes kárért felelhetnek. Egy szerződéses felelősségkorlátozás nem korlátozza az érintettek jogszabályi jogait. A felek közötti felelősségmegosztásra és megtérítésre gyakorolt hatását jogilag felül kell vizsgálni.

Ha a szállító elutasítja a módosításokat, különböztessen meg három kimenetelt:

• Pontosítás: szerezzen be olyan hiteles megfogalmazást vagy bizonyítékot, amely feloldja a kétértelműséget.
• Feltételes elfogadás: hagyjon jóvá egy jogszerű megoldást dokumentált üzleti vagy működési maradványkockázattal és meghatározott biztosítékokkal.
• Nem folytatja: állítsa le vagy tervezze újra az adatkezelést, ha az előírt kötelezettségek teljesítése továbbra is hiányzik.

A vezetői elfogadás nem teheti jogszerűvé a jogszerűtlen megoldást. Az adatvédelmi tisztviselő (DPO), ha kinevezték, függetlenül ad tanácsot és végez ellenőrzést; a szolgáltatási döntéseket az elszámoltatható üzleti felelős hozza meg jogi és adatvédelmi szakmai közreműködéssel. Ne bízza az adatvédelmi tisztviselőre az adatkezelés céljainak vagy eszközeinek meghatározását.

Vizsgálja meg az MI-funkciókat további adatkezelési útvonalakként

Az MI-funkciók olyan bemeneteket, kimeneteket és köztes termékeket vezetnek be, amelyeket a régebbi mellékletek esetleg nem írnak le. Adott esetben vizsgálja felül a promptokat, a lekért dokumentumokat, az embeddingeket, a generált válaszokat, a visszajelzéseket, a visszaélés-figyelési nyilvántartásokat és az emberi felülvizsgálathoz való hozzáférést.

Állapítsa meg, hogy az ügyféladatokat használják-e modellek tanítására vagy fejlesztésére, kinek a céljait szolgálja ez, és melyik jogalany végzi az adatkezelést. A „nincs tanítás” nem egyenértékű a „nincs megőrzés” állítással, és egyik ígéret sem bizonyítja, hogy a támogatási naplók vagy monitorozási nyilvántartások nem tartalmaznak személyes adatot.

Ellenőrizze, hogy a vállalások vonatkoznak-e a megvásárolt szintre, a bekapcsolt végpontokra és a további modellszolgáltatókra. Erősítse meg a megőrzési beállításokat, a kivételeket és a törlés működését. Ha egy szállító anonimizálást állít, kérdezze meg, mi támasztja alá ezt az állítást, ahelyett hogy feltételezné, hogy a modelltermékek anonimek.

A szerződéses vállalást és a konfigurációs bizonyítékot együtt rögzítse. Minden új cél saját szerep- és jogszerűségi értékelést igényel; a DPA nem biztosítja ezt a jogalapot. Az MI-rendelet alkalmazhatósága szintén külön kérdés, amelyet nem teljesít az adatfeldolgozói feltételek aláírása.

Gyakorlati példa: ügyfélszolgálati szoftver opcionális összefoglaló funkcióval

Tegyük fel szemléltetésképpen, hogy egy SaaS-vállalkozás olyan ügyfélszolgálati platformot szeretne, amely neveket, üzleti e-mail-címeket, jegyszövegeket és mellékleteket tárol. A jegyek véletlenül érzékeny információkat is tartalmazhatnak. Egy opcionális MI-funkció összefoglalja a beszélgetéseket.

A DPA-tervezet a jegyek kezelését és az uniós tárolást írja le. A műszaki bejárás feltár egy összefoglaló szolgáltatót, egy másik régióból történő támogatási hozzáférést és a jegyek megőrzésétől eltérő diagnosztikai megőrzést.

A felülvizsgálat négy konkrét intézkedést eredményez:

1. A hatókör kiegészítése. Adják hozzá a leíráshoz a mellékleteket, a diagnosztikai azonosítókat és az MI-alapú adatkezelést; ellenőrizzék, hogy a szállító használ-e bármilyen tartalmat saját céljaira.
2. A szolgáltatói lánc tisztázása. Szerezzék be a modellszolgáltató azonosságát, az adatkezelés helyszíneit, a megőrzési vállalásokat és a felhatalmazás lefedettségét. A releváns adattovábbításokat külön értékeljék.
3. Az életciklus-viselkedés validálása. Futtassanak végig egy szintetikus jegyet az exportáláson és a törlésen. Kérjék be a mentések és a diagnosztikai adatok megőrzésének magyarázatát, ahelyett hogy feltételeznék, hogy a jegy törlése minden másolatot eltávolít.
4. Kiadási feltétel meghatározása. Az összefoglaló funkció maradjon kikapcsolva, amíg a szerződését és az adatfolyamát felül nem vizsgálták. Az éles használat előtt alakítsák ki az incidensértesítések és a további adatfeldolgozókat érintő változások továbbításának rendjét.

A döntési nyilvántartás megkülönbözteti a beérkezett bizonyítékokat a még nyitott kérdésektől. Ha az alapszolgáltatás elfogadható, a jóváhagyás kifejezetten kizárhatja az MI-funkciót. Ennek a határnak a konfigurációban és a változáskezelésben is léteznie kell; egy megjegyzés a felülvizsgálati fájlban nem akadályozza meg, hogy valaki később bekapcsolja.

Őrizze meg a döntést, és nyissa meg újra, ha a szolgáltatás megváltozik

Tartsa együtt az alkalmazandó szerződésverziót, az adatkezelési hatókört, az adatfolyam-ábrát, a bizonyossági bizonyítékokat, az adattovábbítási értékelést, az eltérésnaplót és a jóváhagyást. Rögzítse az elfogadott maradványkockázatokat, a feltételeket, a felelősöket és a nyomon követési dátumokat. Ne csak az állapotot őrizze meg, hanem azt az okot is, amiért egy megoldást elfogadtak.

Vizsgálja felül újra, ha az adatkezelési célok, a bekapcsolt funkciók, a további adatfeldolgozók, a helyszínek vagy a szerződéses feltételek lényegesen megváltoznak. A jelentős incidenseket és a kontrollgyengeségekre utaló új bizonyítékokat is vegye fel kiváltó eseményként. Egy ütemezett felülvizsgálat kiegészíti ezeket a kiváltó eseményeket, nem helyettesíti őket.

A Secani ezt a munkafolyamatot azzal támogathatja, hogy modellezi a szolgáltatást és a külső szolgáltatókat, összekapcsolja a bizonyítékokat a követelményekkel és döntésekkel, és a felülvizsgálati hiányosságokat felelősökhöz rendeli. Az ember által felülvizsgált következtetések, a forráshivatkozások, a megjegyzések és a jóváhagyások megőrzik az elfogadás mögötti érvelést. Ez a szerződés felülvizsgálatát a harmadik felekkel kapcsolatos kockázatkezeléshez kapcsolja, anélkül hogy a szoftvert a jogi vagy műszaki ítélőképesség helyettesítőjeként kezelné.

Kell-e a szerződést saját kezűleg aláírni?

A 28. cikk (9) bekezdése írásbeli formát ír elő, ideértve az elektronikus formát is. Saját kezű aláírás nem feltétlenül szükséges. Őrizze meg a kötelező erejű elfogadás bizonyítékát és a hatályos verziót; az online beépítéssel vagy az egymásnak ellentmondó feltételekkel kapcsolatos bizonytalanság tisztázását kérje a jogi felülvizsgálóktól.

Minden további adatfeldolgozót meg kell nevezni a DPA-ban?

A 28. cikk nem ír elő rögzített, dokumentumon belüli listát. Egy karbantartott lista támogathatja a felhatalmazást, feltéve, hogy a megoldás biztosítja az előírt információkat, a változásokról szóló értesítéseket és a kifogásolás lehetőségét. Őrizze meg a felülvizsgálata szempontjából releváns listát.

A következő szállítói felülvizsgálatnál egy reprezentatív adatfolyammal és a 28. cikk szerinti mátrixszal kezdjen. Az éles adatkezelés engedélyezése előtt oldja fel a szerződéses ígéretek és a megfigyelhető működés közötti eltérést.