zmluva o spracúvaní osobných údajov

Akonáhle externý dodávateľ spracúva osobné údaje v mene spoločnosti, napríklad cloudový poskytovateľ ukladajúci záznam z kamier alebo IT dodávateľ so vzdialeným prístupom do systémov, GDPR na to vyžaduje samostatnú zmluvu. Táto zmluva o spracúvaní osobných údajov určuje, na čo sa dáta smú použiť, aké technické a organizačné opatrenia platia a čo sa s dátami stane po ukončení zmluvy. Dodávateľ pritom smie konať len na základe zdokumentovaných pokynov prevádzkovateľa, nie samostatne rozhodovať o dátach.

V praxi sa táto zmluva zvyčajne uzatvára ako samostatný dokument popri hlavnej dodávateľskej alebo servisnej zmluve a typicky upravuje dôvernosť, subdodávateľov spracúvania, povinnosť hlásiť únik dát a vymazanie po ukončení zmluvy. Mnohí dodávatelia softvéru ponúkajú na to štandardizované vzory, ktoré je aj tak potrebné preveriť a prispôsobiť konkrétnej situácii. Ak takáto zmluva úplne chýba, hoci sa osobné údaje spracúvajú v mene spoločnosti, ide o otvorený bod z technickej aj organizačnej stránky.

Hraničný prípad, ktorý sa často prehliada: nie každý dodávateľ je automaticky sprostredkovateľ. Kto samostatne rozhoduje o účele a prostriedkoch spracúvania, je sám prevádzkovateľom a potrebuje iný zmluvný základ. Či je v konkrétnom prípade potrebná zmluva o spracúvaní osobných údajov a ako ju presne naformulovať, je právna otázka, ktorú treba prekonzultovať s vlastným právnym poradcom.