Metodické pokyny ke zpracovatelským smlouvám

Transkript

1 Metodické pokyny ke zpracovatelským smlouvám 1. Úvod 1.1. Veškeré smlouvy uzavřené ode dne 25. května 2018 budou muset splňovat nové požadavky GDPR Je tedy třeba zkontrolovat stávající smlouvy se zpracovateli, abyste se ujistili, že obsahují všechny požadované prvky. Pokud tomu tak není, bude potřeba připravit a podepsat smlouvy nové a aktualizovat vzory, které pro smlouvy používáte Bylo by také vhodné zajistit, aby Váš zpracovatel chápal důvody změn a nové povinnosti, které GDPR na sebe kladou. Váš zpracovatel by měl pochopit, že může podléhat správní pokutě nebo jiné sankci, pokud nesplní své povinnosti. 2. Obecná pravidla 2.1. Písemnou smlouvu potřebujete vždy, když zaměstnáte zpracovatele pro zpracování osobních údajů. To zahrnuje Kdykoli správce používá zpracovatele (třetí osobu, která zpracovává osobní údaje jménem správce) Podobně, pokud zpracovatel zaměstnává jiné zpracovatele Definice stran Správce je fyzická nebo právnická osoba nebo organizace, která určuje účel a způsob zpracování osobních údajů; Zpracovatel je fyzická nebo právnická osoba nebo organizace, která zpracovává osobní údaje jménem správce GDPR ukládá oběma stranám právní povinnost formalizovat jejich pracovní vztahy. Kromě právních požadavků je to praktický a obchodní smysl. Uzavřením smlouvy s požadovanými podmínkami: zajišťujete, že dodržujete GDPR; chráníte osobní údaje studentů, zaměstnanců a dalších osob; obě strany mají jasně definované úlohy v oblasti zpracovávaných osobních údajů Smlouva by měla stanovit, jaké činnosti v rámci zpracování dat se od Zpracovatele očekávají. Dotčené osoby mají jistotu, že mezi osobami, které se zabývají jejich osobními údaji, existuje formální smlouva, která stanoví jejich povinnosti, odpovědnosti a závazky. 1

2 3. Oblasti smlouvy 3.1. Smlouva (nebo jiný právní akt) o zpracování musí obsahovat následující údaje o zpracování: Předmět; doba trvání; způsoby zpracování; účel zpracování; druh osobních údajů; kategorie osob údajů; povinnosti a práva správce údajů Od začátku musí být jasný rozsah zpracování, pro který smlouvu uzavíráte. Nelze jej definovat obecně pro všechny možné způsoby zpracování. To má pomoci i při ochraně před možnými změnami v rozsahu zpracování v průběhu času, aniž by byla zohledněna jakákoli další rizika, která to představuje pro subjekty údajů Minimální požadované podmínky pro zpracování dat. Toto minimum můžete Vy a Váš zpracovatel na základě dohody rozšířit o vlastní podmínky Zpracovávají se pouze písemné pokyny správce Zpracovatel smí zpracovávat osobní údaje pouze v souladu s Vašimi písemnými pokyny (včetně mezinárodního předávání osobních údajů), pokud to jinak nestanoví zákon V takovém případě musí zpracovatel sdělit, co je podle zákona povinen udělat a to dříve, než to učiní. (výjimkou je situace, kdy to zákon znemožňuje z důvodů důležitého veřejného zájmu). Tyto výjimky by měly být jasně stanoveny ve smlouvě Povinnost mlčenlivosti. Váš zpracovatel musí obdržet závazek zachovávat mlčenlivost o komkoliv, kdo umožňuje zpracovávat osobní údaje, pokud již taková povinnost nepodléhá zákonu. Týká se to i zaměstnanců zpracovatele, jakož i všech dočasných pracovníků a agenturních pracovníků Vhodná bezpečnostní opatření. Zpracovatel podléhá stejným požadavkům jako správce, jelikož uchovává osobní údaje. Podle GDPR musíme samozřejmě přijmout opatření, která zajistí bezpečnost veškerých zpracovávaných osobních údajů. Smlouva však musí od Vašeho zpracovatele vyžadovat také "příslušná technická a organizační opatření", která musí přijmout, aby zajistil bezpečnost zpracování osobních údajů s přihlédnutím k rizikům plynoucí ze zpracování Používání dílčích procesorů - smlouva musí stanovit, že: a) Váš zpracovatel by neměl používat jiného zpracovatele bez Vašeho předchozího písemného povolení; b) jestliže Váš zpracovatel chce zaměstnat dalšího zpracovatele, musí Vás informovat o všech provedených změnách a dát Vám možnost vznést námitky; 2

3 Všichni zpracovatelé, kteří se podílejí na Vašem procesu zpracování dat, podléhají stejným podmínkám jako primární zpracovatel. Znamená to, že primární zpracovatel se nemůže zbavit odpovědnosti zaměstnáním dalšího zpracovatele či třetí strany Ukončení smlouvy, smlouva musí obsahovat podmínky pro ukončení smlouvy: a) Po uplynutí platnosti smlouvy musí Váš zpracovatel podle Vašeho výběru buď vymazat nebo vrátit osobní údaje, které zpracoval pro Vás; b) Výjimka z tohoto obecného pravidla platí, pokud je zpracovatel povinen uchovávat osobní údaje ze zákona. c) Smlouva musí zahrnovat toto ustanovení, aby zajistila trvalou ochranu osobních údajů po ukončení smlouvy. Odráží skutečnost, že je potřeba smluvně rozhodnout, co se stane se zpracovávanými osobními údaji po dokončení zpracování Audity a inspekce. Smlouva musí stanovit povinnost zpracovatele poskytnout Vám veškeré informace, které mají přispívat k auditům a kontrolám, a to přímo nebo jinému auditorovi, který je oprávněn provádět audity Odpovědnosti správce při výběru zpracovatele Správce má zodpovědnost za to, že zpracovatel je způsobilý zpracovávat osobní údaje v souladu se všemi požadavky GDPR. Vaše posouzení by mělo vzít v úvahu povahu zpracování a rizika pro subjekty údajů Zpracovatel musí prokázat "Dostatečné záruky" z hlediska zdrojů a odborných znalostí k provádění technických a organizačních opatření, k dodržování GDPR a ochraně práv subjektů údajů Jakmile zvolíte vhodného zpracovatele, musíte uzavřít smlouvu, která splňuje všechny požadavky GDPR Odpovědnosti správce při použití zpracovatelů Jako správce údajů bude nakonec ZČU zodpovědná za to, že osobní údaje budou zpracovávány v souladu s GDPR. To znamená, že bez ohledu na to, že používáte zpracovatele, může být ZČU předmětem jakéhokoli nápravného opatření a sankcí stanovených v GDPR. Jedná se o příkazy k přizpůsobení zpracování, nároky na náhradu od subjektu údajů a správní pokuty Pokud nebudeme moci prokázat, že jsme "nebyli v žádném případě odpovědni za událost, která způsobila škodu", budeme plně zodpovědní za jakékoli škody způsobené nekompatibilním zpracováním bez ohledu na to, jaké používáme zpracovatele. Tím je zajištěno, že subjekt údajů je řádně kompenzován. Můžeme však mít nárok na navrácení celé částky nebo její části, náhrady od našeho zpracovatele v rozsahu, v jakém je zodpovědný. A to tak, že zajistíme povinnost zpracovatele uchovávat záznamy o zpracování, které provádí Jakou autonomii má zpracovatel 3

4 Přestože zpracovatel může provádět vlastní každodenní provozní rozhodnutí, GDPR stanovuje, že by měl zpracovávat osobní údaje pouze v souladu s pokyny ZČU, pokud to zákon neupravuje jinak Pokud se zpracovatel chová bez Vašich pokynů tak, že určuje účel a způsob zpracování, bude považován za správce a bude mít stejné závazky jako správce Jaké další povinnosti má zpracovatel sám o sobě Váš zpracovatel má také některé přímé odpovědnosti a závazky podle GDPR. Při sestavování a vyjednávání smlouvy o zpracování dat je dobré se ujistit, že jim Váš zpracovatel rozumí. Můžete zahrnout klauzuli, která specifikuje, že nic v rámci smlouvy nezbavuje Vašeho zpracovatele své vlastní přímé odpovědnosti, a závazky v rámci GDPR - a definovat, jaké to jsou. Dodatečně by smlouva mohla specifikovat rozsah všech odškodnění, která jste dohodli Některé z přímých zodpovědností zpracovatele dle GDPR jsou uvedeny níže a mají být zahrnuty do smlouvy. a) Používání dílčích procesorů - Zpracovatel by neměl zapojit jiného zpracovatele bez Vašeho předchozího písemného souhlasu. Vaše oprávnění může být specifické nebo obecné. Pokud je Vaše oprávnění obecné, musí Vás zpracovatel předem informovat o všech změnách, které zamýšlí provést ohledně přidání nebo výměny dalších zpracovatelů, takže máte možnost vznést námitku. b) Spolupráce s orgány dohledu - Zpracovatelé i kontroloři musí na požádání spolupracovat s orgány dohledu. c) Bezpečnost zpracování - Zpracovatelé i správci musí provádět technická a organizační opatření k zajištění bezpečnosti osobních údajů, které jsou zpracovávány v ustanovení GDPR. d) Záznamy o zpracovatelských činnostech - zpracovatelé musí vést záznamy o zpracovatelských činnostech, které provádějí ve Vašem zastoupení. e) Oznamování ztráty osobních údajů správci - zpracovatel musí informovat správce o ztrátě osobních údajů "bez zbytečného odkladu" poté, jak to zjistí. f) Pověřenec osobních údajů - zpracovatelé i správci musí určit za určitých okolností osobu odpovědnou za ochranu údajů, poskytnout jim nezbytné zdroje a zajistit jejich nezávislost Zodpovědnost zpracovatele za nedodržení předpisů a) Podle smluvního práva může být zpracovatel přímo zodpovědný za případné nesplnění podmínek smlouvy. Samozřejmě to závisí na přesných podmínkách smlouvy. b) Podléhá příslušným vyšetřovacím a nápravným pravomocím orgánu dozoru a mohou rovněž podléhat správním pokutám nebo jiným sankcím. 4

5 c) Zpracovatel může být rovněž odpovědný za náhradu škody způsobené zpracováním, pokud: i. nedodržel ustanovení GDPR výslovně vztahující se na zpracovatele nebo; ii. pokud jednal bez zákonných pokynů správce nebo proti těmto pokynům. d) Nebude odpovědný, pokud prokáže, že není "v žádném případě odpovědný za událost, která způsobila škodu". Může mít nárok na vrácení částky odškodnění, kterou ZČU zaplatila, za náš podíl odpovědnosti. e) To vše je dostatečným důvodem pro to, abyste se ujistili, že zpracovatel si je vědom důsledků a sankcí, které mohou být předmětem, pokud nedodrží GDPR. GDPR má skutečně účinné nástroje z hlediska prosazování, což by mohlo mít vážné provozní a finanční důsledky jak pro správce, tak pro zpracovatele Zodpovědnost za použití subdodavatelů Pokud zpracovatel používá subdodavatele k provedení zpracování jménem zpracovatele, musí uzavřít smlouvu (nebo jiný právní akt). To by mělo na subdodavatele vložit stejné právní povinnosti, které má zpracovatel vůči správci. Subdodavatel má stejné přímé odpovědnosti a závazky v rámci GDPR jako původní zpracovatel. Pokud se používá subdodavatel a někdo uplatňuje nárok na náhradu, existují potenciálně tři odpovědné strany: ZČU jako kontrolor, původní zpracovatel a subdodavatel. Kterýkoli z nich může mít nárok vůči ostatním za svůj podíl na ručení. 4. Checklist Následuje vzor Checklistu: Kontrolní seznam smluv mezi správci a zpracovateli, Kontrolní seznam povinností a odpovědností zpracovatelů. 5. Kontrolní seznam smluv mezi správci a zpracovateli 5.1. Povinné údaje do zpracovatelských smluv: předmět a doba zpracování; povaha a účel zpracování; druh osobních údajů a kategorií subjektů údajů; 5

6 povinnosti a práva správce Povinné podmínky zpracovatelských smluv: zpracovatel musí jednat pouze v souladu s písemnými pokyny správce (pokud zákon nepovoluje jednat bez těchto pokynů); zpracovatel musí zajistit, aby lidé zpracovávající údaje podléhali povinnosti důvěry; zpracovatel musí přijmout vhodná opatření k zajištění bezpečnosti zpracování; zpracovatel může zapojit subdodavatele pouze s předchozím souhlasem správce údajů a písemnou smlouvou se subdodavatelem; zpracovatel musí pomáhat správci údajů při poskytování přístupu subjektům a umožnění subjektům údajů vykonávat svá práva podle GDPR; (práva na informace o rozsahu zpracování) ; zpracovatel musí napomáhat správci údajů při plnění závazků GDPR ve vztahu k bezpečnosti zpracování, oznámení o narušení osobních údajů a posouzení dopadů ochrany údajů; zpracovatel musí vymazat, pseudonimizovat nebo vrátit veškeré osobní údaje správci podle požadavku po ukončení platnosti smlouvy; zpracovatel musí pro potřeby auditů a kontrol poskytnout veškeré informace, které je povinen evidovat a dokládat tak, aby zajistil, že obě splňují své povinnosti; neprodleně, po zjištění informuje správce, o porušení některého z předpisů GDPR nebo jiný zákon o ochraně údajů EU či členského státu Z pohledu osvědčených postupů: uvést klausuli, že nic v rámci smlouvy nezbavuje zpracovatele jeho vlastní přímé odpovědnosti plynoucí ze závazků v rámci GDPR; definovat způsob odškodnění. 6

7 6. Kontrolní seznam povinností a odpovědností zpracovatelů 6.1. Zpracovatel má podle GDPR následující přímé odpovědnosti. Zpracovatel musí: jednat pouze podle písemných pokynů správce; nepoužívat subdodavatele bez předchozího písemného souhlasu správce; spolupracovat s orgány dohledu zajistit bezpečnost zpracování v souladu s GDPR vést záznamy o svých zpracovatelských činnostech v souladu s GDPR oznámit správci řízení jakoukoli ztrátu/zcizení osobních údajů v souladu s GDPR zaměstnávat Pověřence osobních údajů v případě potřeby. jmenovat (písemně) zástupce v rámci Evropské unie, pokud je to požadováno Zpracovatel by si měl také uvědomit, že: může být předmětem vyšetřovacích a nápravných pravomocných orgánů dohledu podle GDRP; jestliže nesplní své povinnosti, může podléhat správní pokutě podle GDPR; pokud nesplní své závazky GDPR, může podléhat pokutě podle GDPR; pokud nesplní své závazky GDPR, bude muset zaplatit náhradu podle GDPR. 7