Ang kasunduan sa pagproseso ng datos ay ang nakasulat na kontrata kung saan itinatakda ng isang controller ang mga tuntunin kung paano pinangangasiwaan ng isang processor ang personal na datos para sa kanya. Ginagawang mandatory ng GDPR ang kontratang ito sa sandaling i-outsource mo ang pagproseso, at itinatakda ang mga paksang dapat nitong saklawin.
Batayang legal
Ang obligasyon ay nakapaloob sa Artikulo 28(3) ng Pangkalahatang Regulasyon sa Proteksyon ng Datos. Dapat ilarawan ng kasunduan ang paksa, tagal, katangian at layunin ng pagproseso, at tukuyin ang mga uri ng personal na datos at mga kategorya ng mga paksa ng datos. Dapat din itong maglaman ng walong partikular na gawain: pagproseso lamang batay sa mga dokumentadong tagubilin, pagiging kumpidensyal, seguridad sa ilalim ng Artikulo 32 GDPR, mga kondisyon para sa pakikipag-ugnayan sa mga sub-processor, tulong sa mga kahilingan ng paksa ng datos, tulong sa mga paglabag at pagtatasa ng epekto, pagbabalik o pagbura pagkatapos ng pagtatapos, at paggawa ng impormasyon na magagamit para sa mga pag-awdit. Idinagdag pa ng Artikulo 28(1) na maaari ka lamang gumamit ng mga processor na nag-aalok ng sapat na mga garantiya.
Paano ito gumagana sa pagsasanay
Halos lahat ng kasunduan sa outsourcing ay nahuhuli: payroll, hosting, iyong CRM supplier, ang kumpanyang naghihiwalay ng iyong mga archive. Karamihan sa mga supplier ay gumagamit ng sarili nilang template, na nakalakip bilang iskedyul sa pangunahing kontrata. Ang template na iyon ay maaaring pag-usapan, kahit na ipinakita bilang nakapirmi. Bigyang-pansin ang iskedyul na naglalarawan sa mga operasyon sa pagproseso: dapat itong sumasalamin sa kung ano talaga ang nangyayari, hindi isang pangkalahatang paglalarawan na akma sa bawat customer. Ang mga paglilipat sa labas ng European Economic Area ay nangangailangan ng karagdagang batayan, kadalasan ang mga karaniwang sugnay sa kontrata ng European Commission.
Kung saan ito nagkakamali
Tatlong pagkakamali ang nauulit. Ang una ay ang pagpirma ng kasunduan sa pagproseso sa isang partido na hindi naman talaga isang processor ngunit ang nagtatakda ng mga layunin at paraan mismo; na ginagawa itong isang joint controller, na may iba't ibang mga patakaran. Ang pangalawa ay ang blanket authorization para sa mga sub-processor, na nangangahulugang nawawalan ka ng paningin kung saan pisikal na nakalagay ang iyong data. Ang pangatlo ay isang iskedyul ng seguridad na tumutukoy lamang sa "mga naaangkop na hakbang" nang hindi binabanggit ang isang konkretong pamantayan, na walang iniaalok na panghahawakan kapag nangyari ang isang insidente.
Mga kaugnay na termino
Ang kasunduan sa pagproseso ay malapit na nauugnay sa paglabag sa personal na datos , dahil dapat nitong itakda ang huling araw kung kailan dapat ipaalam sa iyo ng processor, at sa pagtatasa ng epekto ng proteksyon ng datos , kung saan dapat magbigay ng impormasyon ang processor. Nakikipag-ugnayan din ito sa mga pangkalahatang tuntunin at kundisyon , dahil madalas itong sumasalungat sa limitasyon ng pananagutan sa pangunahing kontrata.
Higit pang pagbabasa
Higit pa tungkol sa paksang ito: Ang kasunduan sa pagproseso ng datos (verwerkersovereenkomst) sa ilalim ng GDPR: isang gabay sa pagsasagawa ng mga Dutch.
Gusto mo bang repasuhin ang iyong mga kasunduan sa pagproseso? Sinusuri ng aming mga abogado sa IT ang mga ito at nakikipagnegosasyon kung saan kinakailangan.
