Adatfeldolgozás beszállítókkal: mit ír elő a gyakorlatban a GDPR 28. cikke?

Adatfeldolgozó az, aki az adatkezelő nevében és utasítása alapján kezel személyes adatokat (GDPR 4. cikk 8. pont). Tipikus esetek a tárhely- és adatközponti szolgáltatások, a szoftver mint szolgáltatás, az adatokhoz hozzáféréssel járó informatikai karbantartás, illetve levelek és e-mailek kiküldése megbízásból.

Nem beszélhetünk adatfeldolgozásról, ha egy szolgáltató egyáltalán nem fér hozzá személyes adatokhoz, vagy maga dönt az adatkezelés céljairól és eszközeiről.

A GDPR 28. cikk (3) bekezdése szerint a szerződés rögzíti az adatkezelés tárgyát és időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait. Az adatfeldolgozó különösen arra vállal kötelezettséget, hogy az adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli [a) pont], biztosítja a titoktartást [b) pont], megteszi a 32. cikk szerinti intézkedéseket [c) pont], betartja a további adatfeldolgozókra vonatkozó szabályokat [d) pont], segíti az érintetti jogok teljesítését [e) pont] és a 32–36. cikk szerinti kötelezettségek teljesítését [f) pont], a szolgáltatás befejezését követően törli vagy visszajuttatja az adatokat [g) pont], valamint rendelkezésre bocsát minden szükséges információt, és lehetővé teszi az auditokat [h) pont].

A szerződést írásban kell megkötni, ideértve az elektronikus formát is (28. cikk (9) bekezdés). Alapul szolgálhatnak az Európai Bizottság általános szerződési feltételei (az (EU) 2021/915 végrehajtási határozat).

A megbízónak már a szerződés megkötése előtt ellenőriznie kell, hogy a beszállító nyújt-e megfelelő garanciákat (28. cikk (1) bekezdés). Ide tartoznak a 32. cikk szerinti dokumentált technikai és szervezési intézkedések – például a hozzáférés-védelem, a titkosítás, az adatmentés és a rendszeres tesztelési eljárások.

A jóváhagyott magatartási kódexekhez való csatlakozás vagy a GDPR szerinti tanúsítások felhasználhatók a megfelelő garanciák igazolásának elemeként (28. cikk (5) bekezdés). Magát az ellenőrzést azonban nem váltják ki.

A beszállító további adatfeldolgozót csak előzetes, eseti vagy általános írásbeli felhatalmazással vehet igénybe (28. cikk (2) bekezdés). Általános felhatalmazás esetén minden tervezett változásról tájékoztatja a megbízót, aki kifogást emelhet.

A további adatfeldolgozóra ugyanazokat az adatvédelmi kötelezettségeket kell telepíteni; ha nem teljesíti azokat, a beszállító felel a megbízóval szemben (28. cikk (4) bekezdés).

Gyakran teljesen hiányzik a szerződés, vagy egyszer aláírták, és azóta senki sem nézte meg. Ugyanilyen gyakoriak az elavult listák a további adatfeldolgozókról, a szolgáltatáshoz nem kapcsolódó, általános szövegsablonként megfogalmazott technikai és szervezési intézkedések, valamint a szerződés megszűnésekor esedékes törlés szabályozásának hiánya.

A GDPR 83. cikk (4) bekezdése szerint a 28. cikkben foglalt kötelezettségek megsértése legfeljebb 10 millió euró összegű közigazgatási bírsággal, vagy a teljes éves világpiaci forgalom legfeljebb 2%-ának megfelelő összeggel sújtható, attól függően, hogy melyik a magasabb.

A Vendo4u katalógusa azokra a pontokra kérdez rá, amelyek a 28. cikk szerinti ellenőrzésnél számítanak – rendelkezésre áll-e adatfeldolgozói szerződés, hol történik az adatok feldolgozása, milyen további adatfeldolgozókat vesznek igénybe –, a beszállítók pedig feltöltik a kapcsolódó dokumentumokat. A beszerzők minden beszállító adatait ugyanabban a szerkezetben látják, és az exporttal saját aktájukban helyezik el azokat.