Zpracování osobních údajů u dodavatelů: co v praxi vyžaduje čl. 28 GDPR?

Zpracovatelem je ten, kdo zpracovává osobní údaje pro správce a podle jeho pokynů (čl. 4 bod 8 GDPR). Typickými případy jsou hosting a služby datových center, software jako služba, IT údržba s přístupem k datům nebo rozesílání pošty a e-mailů na zakázku.

O zpracování zpracovatelem nejde tam, kde poskytovatel služby nemá k osobním údajům vůbec přístup, nebo sám rozhoduje o účelech a prostředcích zpracování.

Podle čl. 28 odst. 3 GDPR smlouva stanoví předmět a dobu trvání, povahu a účel zpracování, typ osobních údajů, kategorie subjektů údajů a povinnosti a práva správce. Zpracovatel se zavazuje zejména: zpracovávat údaje pouze na základě doložených pokynů (písm. a), zajistit důvěrnost (písm. b), přijmout opatření podle čl. 32 (písm. c), dodržovat pravidla pro zapojení dalších zpracovatelů (písm. d), pomáhat při plnění práv subjektů údajů (písm. e) a při plnění povinností podle čl. 32 až 36 (písm. f), po skončení poskytování služeb údaje vymazat nebo vrátit (písm. g) a poskytnout veškeré potřebné informace a umožnit audity (písm. h).

Smlouva musí být uzavřena písemně, což zahrnuje i elektronickou formu (čl. 28 odst. 9). Jako základ mohou posloužit standardní smluvní doložky Evropské komise (prováděcí rozhodnutí (EU) 2021/915).

Již před uzavřením smlouvy musí zadavatel prověřit, zda dodavatel poskytuje dostatečné záruky (čl. 28 odst. 1). Patří k nim zdokumentovaná technická a organizační opatření podle čl. 32 – například ochrana přístupu, šifrování, zálohování a postupy pro pravidelné testování.

Schválené kodexy chování nebo osvědčení podle GDPR lze využít jako prvek k prokázání dostatečných záruk (čl. 28 odst. 5). Samotné prověření však nenahrazují.

Další zpracovatele smí dodavatel zapojit pouze s předchozím konkrétním nebo obecným písemným povolením (čl. 28 odst. 2). V případě obecného povolení informuje o každé zamýšlené změně a zadavatel může vznést námitku.

Subzpracovateli musí být uloženy stejné povinnosti v oblasti ochrany osobních údajů; neplní-li je, odpovídá dodavatel zadavateli (čl. 28 odst. 4).

Často smlouva úplně chybí, nebo byla jednou podepsána a už nikdy nikdo do ní nenahlédl. Stejně časté jsou zastaralé seznamy subzpracovatelů, technická a organizační opatření v podobě obecných textových šablon bez vztahu ke službě a chybějící úprava výmazu po skončení smlouvy.

Porušení povinností podle čl. 28 lze podle čl. 83 odst. 4 GDPR postihnout pokutou až do výše 10 milionů eur nebo až 2 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Katalog Vendo4u se ptá na body, které jsou pro prověření podle čl. 28 rozhodující – zda je k dispozici zpracovatelská smlouva, kde se údaje zpracovávají, kteří subzpracovatelé jsou zapojeni – a dodavatelé k nim nahrávají příslušné dokumenty. Nákupčí vidí údaje všech dodavatelů ve stejné struktuře a pomocí exportu je ukládají do vlastního spisu.