Zpracovatelská smlouva a subzpracovatelé

Modul 9: Lidé a pravidla · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete přečíst a zkontrolovat zpracovatelskou smlouvu podle bodů, které vyžaduje GDPR, a posoudit seznam subzpracovatelů.

Klíčové pojmy: zpracovatelská smlouva (VWO, DPA), čl. 28 odst. 3 GDPR, písemné pokyny, mlčenlivost, bezpečnostní opatření, subzpracovatel, obecný nebo konkrétní souhlas, právo vznést námitku, součinnost, vrácení nebo výmaz, audit, předání mimo EHP, lhůta pro oznámení porušení zabezpečení, standardní smluvní doložky pro zpracovatele

Proč zpracovatelská smlouva?

V lekci 1.2 jste viděli role: Bakkerij De Korrel je správce, cloudová služba je zpracovatel. Článek 28 odstavec 3 GDPR vyžaduje, aby zpracování prováděné zpracovatelem bylo upraveno smlouvou nebo jiným právním aktem, který je písemně vyhotoven. Elektronická forma je také možná. Jde o zpracovatelskou smlouvu, zkráceně VWO; v angličtině Data Processing Agreement (DPA) nebo Data Processing Addendum.

U velkých cloudových služeb sami žádný dokument nepodepisujete: zpracovatelská smlouva je součástí podmínek, se kterými vyjádříte souhlas, nebo zaškrtnete políčko ve správcovském rozhraní. U menších poskytovatelů si někdy stáhnete dokument, vyplníte své údaje a podepíšete jej. Tak či onak: jako správce musíte umět doložit, že zpracovatelská smlouva existuje a co v ní stojí.

Toto je vysvětlení, nikoli právní poradenství. V případě pochybností o Vašich vlastních smlouvách se obraťte na právníka nebo pověřence pro ochranu osobních údajů.

Co podle GDPR musí smlouva obsahovat

Článek 28 odstavec 3 nejprve uvádí témata, která musí smlouva popisovat: předmět a dobu trvání zpracování, povahu a účel, druh osobních údajů, kategorie subjektů údajů a práva a povinnosti správce. Poté následuje osm povinností zpracovatele (písmena a) až h)). Níže v běžném jazyce, s otázkou, kterou si při čtení kladete:

Evropská komise rovněž zveřejnila standardní smluvní doložky pro zpracovatele (prováděcí rozhodnutí (EU) 2021/915). Ty můžete použít jako zpracovatelskou smlouvu; obsahují všechny povinné body. Mnoho menších poskytovatelů používá vlastní vzor, v Nizozemí často založený na vzoru oborových organizací.

Subzpracovatelé: kdo stojí za Vaším poskytovatelem?

Vaše cloudová služba nedělá vše sama. Subzpracovatel je strana, kterou zpracovatel zapojuje a která se dostává k Vašim údajům, například:

• datacentrum (pokud nepatří přímo poskytovateli);
• dodavatel zálohovacího úložiště;
• firma, která filtruje poštu proti spamu nebo virům;
• podpůrná strana nebo vývojář, který vzdáleně přistupuje k systému;
• AI služba, pokud poskytovatel nabízí funkci AI.

Článek 28 odstavec 2 stanoví: zpracovatel nezapojí žádného subzpracovatele bez předchozího konkrétního nebo obecného písemného souhlasu správce. Při obecném souhlasu musí zpracovatel informovat o nových nebo nahrazovaných subzpracovatelích, abyste mohli vznést námitku. V praxi to funguje tak, že poskytovatel zveřejní seznam, oznamuje změny (e‑mailem nebo na stránce, kterou můžete sledovat) a máte lhůtu na vznesení námitky. Pokud vznesete námitku a nedojde k řešení, můžete smlouvu obvykle vypovědět.

Podle odstavce 4 musí mít subzpracovatel stejné povinnosti a zpracovatel vůči Vám zůstává plně odpovědný.

Na co si dát extra pozor při přechodu na evropskou službu

Při přechodu na evropskou službu se v seznamu subzpracovatelů zaměřte především na dvě věci:

1. Kde subzpracovatelé sídlí? Evropský poskytovatel, který nechává svou poštu filtrovat americkou službou nebo ukládá zálohy u amerického cloudu, přesto vystavuje Vaše údaje CLOUD Act (lekce 1.3). Podívejte se na zemi i mateřskou společnost každého subzpracovatele.
2. Co dělají? Registr domén, který zná pouze Vaše jméno a adresu jako držitele domény, je něco jiného než strana, která ukládá Vaše e‑mailové schránky.

Přečtěte si také článek o předávání údajů. Dobrá evropská zpracovatelská smlouva uvádí, že údaje jsou zpracovávány v rámci EU nebo EHP a že předání mimo tento prostor je možné pouze s Vaším předchozím souhlasem. Pokud tam stojí „smíme zpracovávat údaje po celém světě s vhodnými zárukami“, víte, že předání je možné.

Signály, kterým je třeba věnovat pozornost

• Žádná zpracovatelská smlouva k dispozici u služby pro firemní použití: není to dobrá volba.
• Zastaralý seznam subzpracovatelů, který neodpovídá tomu, co poskytovatel uvádí jinde (například jiné datacentrum): požádejte o vysvětlení.
• Lhůta pro oznámení porušení zabezpečení, která je tak dlouhá, že nestihnete svou vlastní lhůtu 72 hodin (čl. 33). Mnoho zpracovatelských smluv uvádí 24 nebo 48 hodin.
• Odpovědnost, která je zcela vyloučena. To je do určité míry obvyklé, ale vypovídá to o tom, jak si je poskytovatel sám sebou jistý.
• Žádná úprava pro ukončení: co se stane s Vašimi údaji po výpovědi a dostanete potvrzení o výmazu?

Kdo podepisuje a kde smlouvu uchovávat?

U De Korrel podepisuje Sanne jako majitelka. Zpracovatelskou smlouvu uchovává spolu se záznamy o činnostech zpracování (lekce 9.3), s datem a verzí. Pokud poskytovatel smlouvu nebo subzpracovatele změní, uchová i toto oznámení. Při kontrole toho, zda dohlíží ÚOOÚ, nebo při dotazu klienta („jak nakládáte s mými údaji?“), to tak může kdykoli doložit.

V praxi: jak to vypadá u poskytovatele

WebOké má standardní zpracovatelskou smlouvu s přílohou se zapojenými třetími stranami, ve které stojí, že zpracování probíhá v rámci EU a předání mimo tento prostor je možné pouze s písemným souhlasem. V často kladených otázkách příručky Nextcloud najdete, kdy ji potřebujete. U jiných poskytovatelů se dokument často nazývá „Data Processing Agreement“ a seznam subzpracovatelů bývá na samostatné stránce („Subprocessors“). Porovnejte tento seznam s tím, co poskytovatel uvádí na svých webových stránkách o datacentrech a podpoře.

Shrnutí

• Článek 28 odstavec 3 GDPR vyžaduje písemnou zpracovatelskou smlouvu s pevnými tématy a osmi povinnostmi zpracovatele.
• Zkontrolujte především: žádné vlastní účely, zabezpečení, subzpracovatele, pomoc při porušeních zabezpečení, vrácení nebo výmaz po skončení a audity.
• Subzpracovatelé pouze s Vaším souhlasem; při obecném souhlasu musíte být informováni o změnách a mít možnost vznést námitku.
• Při přechodu na evropskou službu se v seznamu subzpracovatelů podívejte na zemi a mateřskou společnost každé strany.
• Uchovávejte zpracovatelskou smlouvu a oznámení o změnách spolu se záznamy o činnostech zpracování.

Kvíz

Úkol

Úkol E9.2: Zkontrolujte zpracovatelskou smlouvu. Vezměte zpracovatelskou smlouvu Vaší současné nebo nové cloudové služby. Projděte osm bodů a) až h) a u každého bodu poznamenejte: je v ní uveden (ano, ne, nejasné) a kde. Posuďte seznam subzpracovatelů: u každého subzpracovatele poznamenejte zemi, mateřskou společnost a co dělá.

Doporučená literatura

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• Příručka k Nextcloud 14.8: AI asistent ve vaší instanci Nextcloud
• Nařízení (EU) 2016/679 (GDPR), článek 28, na EUR-Lex
• Prováděcí rozhodnutí (EU) 2021/915 (standardní smluvní doložky mezi správci a zpracovateli), na EUR-Lex
• Nizozemský Úřad pro ochranu osobních údajů, téma „Zpracovatelská smlouva“ (zdroj se týká nizozemského práva): https://www.autoriteitpersoonsgegevens.nl