Η σύμβαση επεξεργασίας δεδομένων και οι υποεκτελούντες την επεξεργασία @@ΟΜΣΧΡΙΨΗ@@

Ενότητα 9: Άνθρωποι και κανόνες · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να διαβάσετε και να ελέγξετε μια σύμβαση επεξεργασίας δεδομένων ως προς τα σημεία που απαιτεί ο ΓΚΠΔ, και να αξιολογήσετε μια λίστα υποεκτελούντων την επεξεργασία.

Κεντρικές έννοιες: σύμβαση επεξεργασίας δεδομένων (ΣΕΔ, DPA), άρθρο 28 παρ. 3 ΓΚΠΔ, γραπτές εντολές, εμπιστευτικότητα, μέτρα ασφαλείας, υποεκτελών την επεξεργασία, γενική ή ειδική άδεια, δικαίωμα αντίρρησης, συνδρομή, επιστροφή ή διαγραφή, έλεγχος (audit), διαβίβαση εκτός ΕΟΧ, προθεσμία αναφοράς παραβίασης δεδομένων, τυποποιημένες συμβατικές ρήτρες για εκτελούντες την επεξεργασία

Γιατί χρειάζεται σύμβαση επεξεργασίας δεδομένων;

Στο μάθημα 1.2 είδατε τους ρόλους: η Bakkerij De Korrel είναι υπεύθυνος επεξεργασίας, η υπηρεσία cloud είναι εκτελών την επεξεργασία. Το άρθρο 28 παράγραφος 3 του ΓΚΠΔ απαιτεί η επεξεργασία από έναν εκτελούντα να ρυθμίζεται με σύμβαση (ή άλλη νομική πράξη) που καταρτίζεται γραπτώς. Επιτρέπεται και ηλεκτρονικά. Αυτή είναι η σύμβαση επεξεργασίας δεδομένων, συντομογραφία ΣΕΔ· στα αγγλικά Data Processing Agreement (DPA) ή Data Processing Addendum.

Σε μεγάλες υπηρεσίες cloud δεν υπογράφετε εσείς οι ίδιοι ένα έγγραφο: η ΣΕΔ αποτελεί μέρος των όρων με τους οποίους συμφωνείτε, ή επιλέγετε ένα πλαίσιο επιβεβαίωσης στην οθόνη διαχείρισης. Σε μικρότερους παρόχους, μερικές φορές κατεβάζετε ένα έγγραφο, συμπληρώνετε τα στοιχεία σας και το υπογράφετε. Σε κάθε περίπτωση: ως υπεύθυνος επεξεργασίας πρέπει να μπορείτε να αποδείξετε ότι υπάρχει ΣΕΔ και τι περιέχει.

Αυτό είναι επεξηγηματικό υλικό, όχι νομική συμβουλή. Αν έχετε αμφιβολίες σχετικά με τις δικές σας συμβάσεις, συμβουλευτείτε έναν νομικό ή τον υπεύθυνο προστασίας δεδομένων σας.

Τι πρέπει να περιέχει σύμφωνα με τον ΓΚΠΔ

Το άρθρο 28 παράγραφος 3 αναφέρει πρώτα τα θέματα που πρέπει να περιγράφει η σύμβαση: το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό, το είδος των δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων, και τα δικαιώματα και τις υποχρεώσεις του υπευθύνου επεξεργασίας. Στη συνέχεια ακολουθούν οκτώ υποχρεώσεις του εκτελούντος την επεξεργασία (στοιχεία α έως η). Παρακάτω σε απλή γλώσσα, με την ερώτηση που θέτετε κατά την ανάγνωση:

Η Ευρωπαϊκή Επιτροπή έχει επίσης δημοσιεύσει τυποποιημένες συμβατικές ρήτρες για εκτελούντες την επεξεργασία (Εκτελεστική Απόφαση (ΕΕ) 2021/915). Αυτές μπορείτε να τις χρησιμοποιήσετε ως ΣΕΔ· περιέχουν όλα τα υποχρεωτικά σημεία. Πολλοί μικρότεροι πάροχοι χρησιμοποιούν δικό τους πρότυπο, στην Ολλανδία συχνά βασισμένο σε πρότυπο κλαδικών οργανισμών.

Υποεκτελούντες την επεξεργασία: ποιος κρύβεται πίσω από τον πάροχό σας;

Η υπηρεσία cloud σας δεν κάνει τα πάντα μόνη της. Ένας υποεκτελών την επεξεργασία είναι ένα μέρος που χρησιμοποιεί ο εκτελών την επεξεργασία και το οποίο έχει πρόσβαση στα δεδομένα σας, για παράδειγμα:

• το κέντρο δεδομένων (αν δεν ανήκει στον ίδιο τον πάροχο)·
• ένας πάροχος αποθήκευσης αντιγράφων ασφαλείας·
• μια εταιρεία που φιλτράρει την αλληλογραφία για spam ή ιούς·
• ένα μέρος υποστήριξης ή έναν προγραμματιστή που παρακολουθεί εξ αποστάσεως·
• μια υπηρεσία AI, αν ο πάροχος προσφέρει λειτουργία AI.

Το άρθρο 28 παράγραφος 2 ορίζει: ο εκτελών την επεξεργασία δεν προσλαμβάνει υποεκτελούντα χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του υπευθύνου επεξεργασίας. Στην περίπτωση γενικής άδειας, ο εκτελών την επεξεργασία οφείλει να σας ενημερώνει για νέους ή αντικαθιστούμενους υποεκτελούντες, ώστε να μπορείτε να υποβάλετε αντίρρηση. Στην πράξη λειτουργεί ως εξής: ο πάροχος δημοσιεύει μια λίστα, κοινοποιεί αλλαγές (μέσω email ή σε σελίδα που μπορείτε να παρακολουθείτε), και έχετε μια προθεσμία για να υποβάλετε αντίρρηση. Αν υποβάλετε αντίρρηση και δεν βρεθεί λύση, συνήθως μπορείτε να καταγγείλετε τη σύμβαση.

Σύμφωνα με την παράγραφο 4, ο υποεκτελών πρέπει να αναλαμβάνει τις ίδιες υποχρεώσεις, ενώ ο εκτελών την επεξεργασία παραμένει πλήρως υπεύθυνος απέναντί σας.

Σε τι να προσέξετε επιπλέον κατά τη μετάβαση σε ευρωπαϊκή υπηρεσία

Κατά τη μετάβαση σε ευρωπαϊκή υπηρεσία, στη λίστα υποεκτελούντων εξετάζετε κυρίως δύο πράγματα:

1. Πού βρίσκονται οι υποεκτελούντες; Ένας ευρωπαϊκός πάροχος που αναθέτει το φιλτράρισμα της αλληλογραφίας του σε αμερικανική υπηρεσία, ή τοποθετεί τα αντίγραφα ασφαλείας του σε αμερικανικό cloud, εκθέτει και πάλι τα δεδομένα σας στον CLOUD Act (μάθημα 1.3). Εξετάστε τη χώρα και τη μητρική εταιρεία κάθε υποεκτελούντος.
2. Τι κάνουν; Ένα μητρώο καταχώρισης domain που γνωρίζει μόνο το όνομα και τη διεύθυνσή σας ως κατόχου domain, είναι κάτι διαφορετικό από ένα μέρος που αποθηκεύει τα γραμματοκιβώτιά σας.

Διαβάστε επίσης το άρθρο σχετικά με τη διαβίβαση. Μια καλή ευρωπαϊκή ΣΕΔ αναφέρει ότι τα δεδομένα υποβάλλονται σε επεξεργασία εντός ΕΕ ή ΕΟΧ, και ότι η διαβίβαση εκτός αυτών επιτρέπεται μόνο με προηγούμενη άδειά σας. Αν αναγράφεται «μπορούμε να επεξεργαζόμαστε δεδομένα παγκοσμίως με κατάλληλες διασφαλίσεις», τότε γνωρίζετε ότι η διαβίβαση είναι πιθανή.

Σήματα στα οποία να προσέχετε

• Καμία διαθέσιμη ΣΕΔ σε υπηρεσία για επαγγελματική χρήση: όχι καλή επιλογή.
• Μια ξεπερασμένη λίστα υποεκτελούντων που δεν συμφωνεί με όσα δηλώνει ο πάροχος αλλού (π.χ. διαφορετικό κέντρο δεδομένων): ζητήστε διευκρινίσεις.
• Μια προθεσμία αναφοράς παραβιάσεων δεδομένων τόσο μεγάλη που δεν προλαβαίνετε τη δική σας προθεσμία των 72 ωρών (άρθρο 33). Πολλές ΣΕΔ αναφέρουν 24 ή 48 ώρες.
• Ευθύνη που αποκλείεται πλήρως. Αυτό είναι σύνηθες μέχρι ένα βαθμό, αλλά δείχνει πόσο σίγουρος είναι ο πάροχος για τον εαυτό του.
• Καμία ρύθμιση για τη λήξη: τι συμβαίνει με τα δεδομένα σας μετά την καταγγελία, και λαμβάνετε επιβεβαίωση διαγραφής;

Ποιος υπογράφει, και πού το φυλάσσετε;

Στην De Korrel, η Sanne υπογράφει ως ιδιοκτήτρια. Φυλάσσει τη ΣΕΔ μαζί με το αρχείο δραστηριοτήτων επεξεργασίας (μάθημα 9.3), με την ημερομηνία και την έκδοση. Αν ο πάροχος τροποποιήσει τη ΣΕΔ ή τους υποεκτελούντες, φυλάσσει και αυτή την ειδοποίηση. Σε περίπτωση ελέγχου από την εποπτική αρχή, ή σε ερώτηση πελάτη («πώς χειρίζεστε τα δεδομένα μου;»), μπορεί έτσι να τα επιδείξει.

Στην πράξη: πώς μοιάζει σε έναν πάροχο

Η WebOké διαθέτει τυποποιημένη σύμβαση επεξεργασίας δεδομένων με παράρτημα για τρίτα μέρη που χρησιμοποιούνται, στο οποίο αναφέρεται ότι η επεξεργασία γίνεται εντός ΕΕ και ότι η διαβίβαση εκτός αυτής επιτρέπεται μόνο με γραπτή άδεια. Στις συχνές ερωτήσεις του οδηγού Nextcloud αναφέρεται πότε τη χρειάζεστε. Σε άλλους παρόχους, το έγγραφο ονομάζεται συχνά «Data Processing Agreement» και η λίστα υποεκτελούντων βρίσκεται σε ξεχωριστή σελίδα («Subprocessors»). Συγκρίνετε αυτή τη λίστα με όσα δηλώνει ο πάροχος στον ιστότοπό του σχετικά με τα κέντρα δεδομένων και την υποστήριξη.

Σύνοψη

• Το άρθρο 28 παράγραφος 3 ΓΚΠΔ απαιτεί γραπτή σύμβαση επεξεργασίας δεδομένων με καθορισμένα θέματα και οκτώ υποχρεώσεις του εκτελούντος την επεξεργασία.
• Ελέγξτε κυρίως: καμία χρήση για δικούς του σκοπούς, ασφάλεια, υποεκτελούντες, συνδρομή σε παραβιάσεις δεδομένων, επιστροφή ή διαγραφή μετά τη λήξη, και ελέγχους.
• Υποεκτελούντες μόνο με τη δική σας άδεια· στην περίπτωση γενικής άδειας πρέπει να ενημερώνεστε για αλλαγές και να μπορείτε να υποβάλλετε αντίρρηση.
• Κατά τη μετάβαση σε ευρωπαϊκή υπηρεσία, εξετάζετε στη λίστα υποεκτελούντων τη χώρα και τη μητρική εταιρεία κάθε μέρους.
• Φυλάσσετε τη ΣΕΔ και τις ειδοποιήσεις αλλαγών μαζί με το αρχείο δραστηριοτήτων επεξεργασίας.

Κουίζ

Άσκηση

Άσκηση E9.2: Ελέγξτε μια σύμβαση επεξεργασίας δεδομένων. Πάρτε τη σύμβαση επεξεργασίας δεδομένων της τρέχουσας ή της νέας σας υπηρεσίας cloud. Εξετάστε τα οκτώ σημεία α έως η και σημειώστε για καθένα: αναφέρεται (ναι, όχι, ασαφές) και πού. Αξιολογήστε τη λίστα υποεκτελούντων: σημειώστε για κάθε υποεκτελούντα τη χώρα, τη μητρική εταιρεία και τι κάνει.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες της WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.

• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• Οδηγός Nextcloud 14.8: Βοηθός AI στο Nextcloud σας
• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρο 28, στο EUR-Lex
• Εκτελεστική Απόφαση (ΕΕ) 2021/915 (τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία), στο EUR-Lex
• Ολλανδική Αρχή Προστασίας Δεδομένων (Autoriteit Persoonsgegevens), θέμα «Verwerkersovereenkomst» (σύμβαση επεξεργασίας δεδομένων): https://www.autoriteitpersoonsgegevens.nl