Επεξεργασία δεδομένων από προμηθευτές: τι απαιτεί στην πράξη το άρθρο 28 GDPR;

Εκτελών την επεξεργασία είναι όποιος επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό και κατ' εντολή ενός υπευθύνου επεξεργασίας (άρθρο 4 σημείο 8 GDPR). Τυπικές περιπτώσεις είναι η φιλοξενία και οι υπηρεσίες κέντρων δεδομένων, το λογισμικό ως υπηρεσία (SaaS), η συντήρηση IT με πρόσβαση σε δεδομένα ή η αποστολή επιστολών και e-mail για λογαριασμό τρίτου.

Δεν υπάρχει επεξεργασία για λογαριασμό άλλου όταν ένας πάροχος υπηρεσιών δεν έχει καθόλου πρόσβαση σε δεδομένα προσωπικού χαρακτήρα ή αποφασίζει ο ίδιος για τους σκοπούς και τα μέσα της επεξεργασίας.

Σύμφωνα με το άρθρο 28 παρ. 3 GDPR, η σύμβαση καθορίζει το αντικείμενο και τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες των υποκειμένων των δεδομένων, καθώς και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Ειδικότερα, ο εκτελών την επεξεργασία δεσμεύεται: να επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων εντολών (στοιχείο α), να διασφαλίζει την εμπιστευτικότητα (στοιχείο β), να λαμβάνει τα μέτρα του άρθρου 32 (στοιχείο γ), να τηρεί τους κανόνες για τους υπεργολάβους επεξεργασίας (στοιχείο δ), να συνδράμει στην ικανοποίηση των δικαιωμάτων των υποκειμένων των δεδομένων (στοιχείο ε) και στην τήρηση των υποχρεώσεων των άρθρων 32 έως 36 (στοιχείο στ), να διαγράφει ή να επιστρέφει τα δεδομένα μετά το τέλος της παροχής υπηρεσιών (στοιχείο ζ) και να θέτει στη διάθεση όλες τις αναγκαίες πληροφορίες, καθώς και να επιτρέπει ελέγχους (στοιχείο η).

Η σύμβαση συνάπτεται γραπτώς, μεταξύ άλλων σε ηλεκτρονική μορφή (άρθρο 28 παρ. 9). Ως βάση μπορούν να χρησιμοποιηθούν οι τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής (Εκτελεστική απόφαση (ΕΕ) 2021/915).

Ήδη πριν από τη σύμβαση, ο πελάτης πρέπει να ελέγξει αν ο προμηθευτής παρέχει επαρκείς διαβεβαιώσεις (άρθρο 28 παρ. 1). Σε αυτές περιλαμβάνονται τεκμηριωμένα τεχνικά και οργανωτικά μέτρα σύμφωνα με το άρθρο 32 – για παράδειγμα προστασία πρόσβασης, κρυπτογράφηση, αντίγραφα ασφαλείας και διαδικασίες για τακτικό έλεγχο.

Η τήρηση εγκεκριμένων κωδίκων δεοντολογίας ή πιστοποιήσεων σύμφωνα με το GDPR μπορεί να χρησιμοποιηθεί ως στοιχείο για την απόδειξη επαρκών διαβεβαιώσεων (άρθρο 28 παρ. 5). Δεν υποκαθιστά όμως τον ίδιο τον έλεγχο.

Ο προμηθευτής επιτρέπεται να προσλαμβάνει άλλους εκτελούντες την επεξεργασία μόνο με προηγούμενη ειδική ή γενική γραπτή άδεια (άρθρο 28 παρ. 2). Σε περίπτωση γενικής άδειας, ενημερώνει τον πελάτη για κάθε σκοπούμενη αλλαγή και ο πελάτης μπορεί να αντιταχθεί.

Στον υπεργολάβο επεξεργασίας πρέπει να επιβάλλονται οι ίδιες υποχρεώσεις προστασίας δεδομένων· αν δεν τις εκπληρώνει, ο προμηθευτής παραμένει υπεύθυνος έναντι του πελάτη (άρθρο 28 παρ. 4).

Συχνά η σύμβαση λείπει εντελώς ή υπογράφηκε κάποτε και δεν εξετάστηκε ποτέ ξανά. Εξίσου συχνά είναι οι παρωχημένοι κατάλογοι υπεργολάβων επεξεργασίας, τα τεχνικά και οργανωτικά μέτρα ως γενικά τυποποιημένα κείμενα χωρίς σχέση με την υπηρεσία και η απουσία ρύθμισης για τη διαγραφή στο τέλος της σύμβασης.

Σύμφωνα με το άρθρο 83 παρ. 4 GDPR, οι παραβάσεις των υποχρεώσεων του άρθρου 28 μπορούν να επισύρουν πρόστιμα έως 10 εκατ. ευρώ ή έως το 2 % του παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο ποσό είναι υψηλότερο.

Ο κατάλογος του Vendo4u ζητά τα σημεία που μετρούν σε έναν έλεγχο σύμφωνα με το άρθρο 28 – αν υπάρχει σύμβαση επεξεργασίας δεδομένων, πού γίνεται η επεξεργασία των δεδομένων, ποιοι υπεργολάβοι επεξεργασίας χρησιμοποιούνται – και οι προμηθευτές καταχωρίζουν τα σχετικά έγγραφα. Οι αγοραστές βλέπουν αυτά τα στοιχεία για όλους τους προμηθευτές με την ίδια δομή και τα αρχειοθετούν μέσω της εξαγωγής στον δικό τους φάκελο.