Volitatud töötlemine tarnijatega: mida nõuab GDPR-i artikkel 28 praktikas?

Volitatud töötleja on see, kes töötleb isikuandmeid vastutava töötleja nimel ja tema juhiste kohaselt (GDPR-i artikli 4 punkt 8). Tüüpilised juhud on majutus- ja andmekeskuseteenused, tarkvara kui teenus, IT-hooldus koos juurdepääsuga andmetele või kirjade ja e-kirjade saatmine kellegi teise nimel.

Volitatud töötlemisega ei ole tegemist, kui teenuseosutajal puudub igasugune juurdepääs isikuandmetele või kui ta otsustab ise töötlemise eesmärgid ja vahendid.

GDPR-i artikli 28 lõike 3 kohaselt määratakse lepingus kindlaks töötlemise sisu ja kestus, laad ja eesmärk, isikuandmete liik, andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. Eelkõige kohustub volitatud töötleja töötlema andmeid ainult dokumenteeritud juhiste alusel (punkt a), tagama konfidentsiaalsuse (punkt b), võtma artikli 32 kohased meetmed (punkt c), järgima alltöötlejate kaasamise reegleid (punkt d), abistama andmesubjekti õiguste tagamisel (punkt e) ja artiklites 32–36 sätestatud kohustuste täitmisel (punkt f), kustutama või tagastama andmed teenuse osutamise lõppedes (punkt g) ning tegema kättesaadavaks kogu vajaliku teabe ja võimaldama auditeid (punkt h).

Leping peab olema kirjalik, sealhulgas elektrooniline (artikli 28 lõige 9). Aluseks võivad olla Euroopa Komisjoni tüüplepingutingimused (rakendusotsus (EL) 2021/915).

Juba enne lepingu sõlmimist peab klient kontrollima, kas tarnija annab piisavad tagatised (artikli 28 lõige 1). Nende hulka kuuluvad artikli 32 kohased dokumenteeritud tehnilised ja korralduslikud meetmed – näiteks juurdepääsukaitse, krüpteerimine, varundamine ja korrapärase kontrollimise menetlused.

Heakskiidetud toimimisjuhendite või GDPR-i kohaste sertifitseerimismehhanismide järgimist võib kasutada elemendina, mis tõendab piisavate tagatiste olemasolu (artikli 28 lõige 5). Kontrolli ennast need ei asenda.

Teisi volitatud töötlejaid võib tarnija kaasata ainult eelneva konkreetse või üldise kirjaliku loa alusel (artikli 28 lõige 2). Üldise loa korral teavitab ta klienti igast kavandatavast muudatusest ja klient võib esitada vastuväite.

Alltöötlejale tuleb panna samad andmekaitsekohustused; kui ta neid ei täida, vastutab tarnija kliendi ees (artikli 28 lõige 4).

Sageli puudub leping täielikult või allkirjastati see kunagi ja seda pole enam kordagi vaadatud. Sama sagedased on aegunud alltöötlejate loetelud, tehnilised ja korralduslikud meetmed üldise standardtekstina, millel puudub seos teenusega, ning puuduv kord andmete kustutamiseks lepingu lõppemisel.

GDPR-i artikli 83 lõike 4 kohaselt võib artiklist 28 tulenevate kohustuste rikkumise eest määrata trahvi kuni 10 miljonit eurot või kuni 2 % ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem.

Vendo4u kataloog küsib punkte, mis on artikli 28 kohases kontrollis olulised – kas andmetöötlusleping on olemas, kus andmeid töödeldakse, milliseid alltöötlejaid kasutatakse –, ning tarnijad laadivad üles nendega seotud dokumendid. Ostjad näevad kõigi tarnijate andmeid samas struktuuris ja salvestavad need ekspordi abil oma toimikusse.