Zmluva o spracúvaní údajov

Čo to znamená

Zmluva o spracúvaní údajov upravuje vzťah medzi prevádzkovateľom, ktorý určuje účel a prostriedky spracúvania, a sprostredkovateľom, ktorý údaje spracúva v jeho mene. GDPR ju vyžaduje vždy, keď takýto vzťah vznikne.

Musí obsahovať predmet a dobu spracúvania, povahu a účel, kategórie údajov a dotknutých osôb a povinnosti oboch strán - vrátane mlčanlivosti, bezpečnostných opatrení a osudu údajov po skončení spolupráce.

Nie každý dodávateľ, ktorý vidí osobné údaje, je sprostredkovateľ. Audítor, advokát či banka spracúvajú údaje na vlastné účely podľa osobitných predpisov a sú samostatnými prevádzkovateľmi; zmluva o spracúvaní sa s nimi neuzatvára, hoci mlčanlivosť a ochranu údajov vo vzťahu upravujú iné pravidlá.

Ako to funguje v praxi

Vo firme sa týka bežných dodávateľov: účtovnej kancelárie, mzdového systému, cloudového úložiska, e-mailovej služby, CRM, marketingových nástrojov a IT podpory. Nie je to formalita pre veľké spoločnosti, ale štandardná príloha k zmluve.

Rieši aj ďalších sprostredkovateľov: dodávateľ nesmie zapojiť subdodávateľa bez súhlasu a musí naň preniesť rovnaké povinnosti. Preto sa pri outsourcingu pýtame, kde dáta fyzicky ležia.

S každým klientom, ktorému vedieme mzdy, uzatvárame zmluvu o spracúvaní ako sprostredkovateľ. Klient ju potom uvedie v zázname o spracovateľských činnostiach pri mzdovej agende, takže pri kontrole vie ukázať, kto k údajom zamestnancov pristupuje a na akom základe.

Na čo si dať pozor

Chýbajúca zmluva je porušením zistiteľným pri prvej kontrole - a to na strane prevádzkovateľa, teda vašej. Samotný dokument však nestačí: musia mu zodpovedať skutočné prístupy a opatrenia ako pseudonymizácia či šifrovanie.

Pri dodávateľovi so servermi alebo podporou mimo EÚ nestačí samotná zmluva o spracúvaní: prenos do tretej krajiny potrebuje vlastný právny základ, napríklad štandardné zmluvné doložky. Ak chýba, porušenie nesie prevádzkovateľ, a pokutu ani náklady incidentu mu kybernetické poistenie kryť nemusí.