Datu apstrāde, ko veic piegādātāji: ko VDAR 28. pants prasa praksē?

Apstrādātājs ir ikviens, kas apstrādā personas datus pārziņa vārdā un pēc tā norādījumiem (VDAR 4. panta 8. punkts). Tipiski gadījumi ir mitināšanas un datu centru pakalpojumi, programmatūra kā pakalpojums, IT uzturēšana ar piekļuvi datiem vai vēstuļu un e-pasta ziņojumu sūtīšana kāda uzdevumā.

Apstrāde pasūtītāja uzdevumā nenotiek, ja pakalpojumu sniedzējam vispār nav piekļuves personas datiem vai tas pats nosaka apstrādes nolūkus un līdzekļus.

Saskaņā ar VDAR 28. panta 3. punktu līgumā nosaka apstrādes priekšmetu un ilgumu, apstrādes raksturu un nolūku, personas datu veidu, datu subjektu kategorijas un pārziņa pienākumus un tiesības. Apstrādātājs jo īpaši apņemas apstrādāt datus tikai saskaņā ar dokumentētiem norādījumiem (a apakšpunkts), nodrošināt konfidencialitāti (b apakšpunkts), veikt 32. pantā prasītos pasākumus (c apakšpunkts), ievērot noteikumus par apakšapstrādātājiem (d apakšpunkts), palīdzēt saistībā ar datu subjektu tiesībām (e apakšpunkts) un 32.–36. pantā noteikto pienākumu izpildē (f apakšpunkts), pēc pakalpojuma sniegšanas beigām dzēst vai atdot datus (g apakšpunkts) un darīt pieejamu visu nepieciešamo informāciju, kā arī ļaut veikt revīzijas (h apakšpunkts).

Līgumam jābūt rakstveidā, kas ietver arī elektronisku formu (28. panta 9. punkts). Par pamatu var izmantot Eiropas Komisijas līguma standartklauzulas (Īstenošanas lēmums (ES) 2021/915).

Jau pirms līguma noslēgšanas pasūtītājam jāpārbauda, vai piegādātājs sniedz pietiekamas garantijas (28. panta 1. punkts). Pie tām pieder dokumentēti tehniskie un organizatoriskie pasākumi saskaņā ar 32. pantu – piemēram, piekļuves aizsardzība, šifrēšana, rezerves kopijas un regulāras testēšanas procedūras.

Apstiprinātu rīcības kodeksu ievērošanu vai sertifikāciju saskaņā ar VDAR var izmantot kā elementu, lai pierādītu pietiekamas garantijas (28. panta 5. punkts). Pašu pārbaudi tās neaizstāj.

Citus apstrādātājus piegādātājs drīkst piesaistīt tikai ar iepriekšēju konkrētu vai vispārēju rakstisku atļauju (28. panta 2. punkts). Vispārējas atļaujas gadījumā tas informē pasūtītāju par katrām plānotajām izmaiņām, un pasūtītājs var iebilst.

Apakšapstrādātājam jāuzliek tie paši datu aizsardzības pienākumi; ja tas tos nepilda, piegādātājs joprojām ir atbildīgs pret pasūtītāju (28. panta 4. punkts).

Bieži līguma nav vispār vai tas reiz parakstīts un vairs nekad nav pārskatīts. Tikpat bieži sastopami novecojuši apakšapstrādātāju saraksti, tehniskie un organizatoriskie pasākumi kā vispārīgi teksta šabloni bez saistības ar pakalpojumu un neregulēta datu dzēšana pēc līguma beigām.

Saskaņā ar VDAR 83. panta 4. punktu par 28. pantā noteikto pienākumu pārkāpumiem var piemērot naudas sodu līdz 10 miljoniem eiro vai līdz 2 % no kopējā gada apgrozījuma pasaulē atkarībā no tā, kura summa ir lielāka.

Vendo4u katalogs aptver jautājumus, kas ir svarīgi pārbaudē saskaņā ar 28. pantu, – vai ir pieejams datu apstrādes līgums, kur dati tiek apstrādāti, kādi apakšapstrādātāji tiek izmantoti –, un piegādātāji iesniedz attiecīgos dokumentus. Pircēji šo informāciju par visiem piegādātājiem redz vienā un tajā pašā struktūrā un ar eksporta palīdzību saglabā to savā lietā.