Zmluva o spracúvaní osobných údajov (DPA)
Zmluva o spracúvaní údajov upravuje právne povinnosti medzi prevádzkovateľom a sprostredkovateľom pri spracúvaní osobných údajov. Podľa článku 28 GDPR je povinná vždy, keď poskytovateľ služieb získa prístup k zákazníckym údajom, údajom zamestnancov alebo iným osobným informáciám v mene prevádzkovateľa. Bez zmluvy hrozia pokuty až do výšky 10 miliónov eur alebo 2 % celkového celosvetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.
Zmluva o spracúvaní údajov sa líši od zásad ochrany osobných údajov, ktoré ukazuješ koncovým zákazníkom. Zatiaľ čo tie informujú dotknuté osoby o spracúvaní, zmluva definuje oprávnenie na pokyny: ty zostávaš prevádzkovateľom, poskytovateľ smie konať len podľa tvojich pokynov. Pri marketingovej automatizácii s nástrojmi zo Spojených štátov ako HubSpot alebo Mailchimp sa tento rozdiel stáva prakticky relevantným. Poskytovateľ spracúva tvoje kontaktné údaje, ale nerobí žiadne samostatné rozhodnutia o účele alebo spôsobe spracovania. Táto viazanosť na pokyny ho robí sprostredkovateľom, nie spoločným prevádzkovateľom.
V každodennej B2B praxi potrebuješ zmluvy prakticky pre každého poskytovateľa SaaS, ktorý spracúva osobné údaje: CRM systémy, e-mailové nástroje, analytické platformy, poskytovateľov chatbotov. Väčšina amerických poskytovateľov ponúka štandardizované zmluvy, ktoré môžeš akceptovať online. Pri platformách zákazníckych údajov alebo AI agentoch sa to komplikuje, pretože toky údajov do tretích krajín bez rozhodnutia o primeranosti vyžadujú dodatočné ochranné opatrenia. Od rozhodnutia Schrems II už štandardné zmluvné doložky nestačia automaticky: v každom jednotlivom prípade musíš posúdiť, či právny poriadok cieľovej krajiny nenarúša zmluvné záruky, a len ak posúdenie odhalí medzery, potrebuješ dodatočné opatrenia ako šifrovanie alebo pseudonymizáciu, ktoré tamojším orgánom fakticky znemožnia prístup.
Najväčšia pasca spočíva v ilúzii súladu. Podpísaná zmluva ťa automaticky nechráni pred pokutami. Dozorné orgány čoraz viac kontrolujú, či skutočne monitoruješ dodržiavanie zmluvných povinností. To znamená pravidelné audity, dokumentáciu incidentov ochrany údajov, dôkaz o lehotách vymazania. Pri AI systémoch mnohí poskytovatelia nedokážu úplne izolovať tréningové údaje. Ak tvoje zákaznícke údaje vtečú do modelu, ktorý používajú iní zákazníci, porušuje to viazanosť na pokyny. Náklady vznikajú menej zo samotnej zmluvy ako z priebežnej práce na súlade: právne poradenstvo, zodpovedné osoby za ochranu údajov, technické kontroly.
Pri výbere poskytovateľov dbaj na to, aby zmluva konkrétne menovala technické a organizačné opatrenia, nie len všeobecné vyhlásenia o úmysloch. Skontroluj, či poskytovateľ využíva ďalších sprostredkovateľov a ako je upravený ich dohľad. Pre ochranu údajov v marketingu platí: čím citlivejšie údaje, tým užšie oprávnenie na pokyny. Pre doručovanie newsletterov stačí štandardná zmluva. Pre prediktívnu analytiku so zdravotnými údajmi potrebuješ individuálne dohody, ktoré presne definujú účelové obmedzenie a lehoty vymazania. Zmluva o spracúvaní údajov nie je formulár, ale nástroj riadenia tokov údajov, ktorý musíš aktívne spravovať.
Súvisiace pojmy
Takto vyzerá táto technológia v praxi.
Pozrite sa, ako technológie ako táto nasadzujeme pre firmy, alebo sa s nami spojte priamo.