Dodávateľ ako sprostredkovateľ: čo v praxi vyžaduje čl. 28 GDPR?

Sprostredkovateľ je ten, kto spracúva osobné údaje v mene prevádzkovateľa a podľa jeho pokynov (čl. 4 bod 8 GDPR). Typickými prípadmi sú hosting a služby dátových centier, softvér ako služba, údržba IT s prístupom k údajom alebo rozosielanie listov a e-mailov v mene iného.

O spracúvanie v mene prevádzkovateľa nejde tam, kde poskytovateľ služby nemá k osobným údajom vôbec prístup alebo sám rozhoduje o účeloch a prostriedkoch spracúvania.

Podľa čl. 28 ods. 3 GDPR zmluva stanovuje predmet a dobu spracúvania, povahu a účel spracúvania, typ osobných údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Sprostredkovateľ sa zaväzuje najmä: spracúvať údaje len na základe zdokumentovaných pokynov (písm. a), zabezpečiť dôvernosť (písm. b), prijať opatrenia podľa čl. 32 (písm. c), dodržiavať pravidlá pre ďalších sprostredkovateľov (písm. d), pomáhať pri právach dotknutých osôb (písm. e) a pri povinnostiach podľa čl. 32 až 36 (písm. f), po skončení poskytovania služieb údaje vymazať alebo vrátiť (písm. g) a poskytnúť všetky potrebné informácie a umožniť audity (písm. h).

Zmluva musí byť v písomnej forme, čo zahŕňa aj elektronickú formu (čl. 28 ods. 9). Ako základ môžu slúžiť štandardné zmluvné doložky Európskej komisie (vykonávacie rozhodnutie (EÚ) 2021/915).

Ešte pred uzavretím zmluvy musí zákazník preveriť, či dodávateľ poskytuje dostatočné záruky (čl. 28 ods. 1). Patria k nim zdokumentované technické a organizačné opatrenia podľa čl. 32 – napríklad ochrana prístupu, šifrovanie, zálohovanie a postupy pravidelného testovania.

Dodržiavanie schválených kódexov správania alebo certifikácia podľa GDPR sa môžu použiť ako prvok na preukázanie dostatočných záruk (čl. 28 ods. 5). Samotné preverenie nenahrádzajú.

Dodávateľ smie zapojiť ďalších sprostredkovateľov len s predchádzajúcim osobitným alebo všeobecným písomným povolením (čl. 28 ods. 2). Pri všeobecnom povolení informuje zákazníka o každej zamýšľanej zmene a zákazník môže namietať.

Ďalšiemu sprostredkovateľovi sa musia uložiť rovnaké povinnosti týkajúce sa ochrany údajov; ak ich nesplní, dodávateľ zodpovedá zákazníkovi (čl. 28 ods. 4).

Často zmluva úplne chýba alebo bola raz podpísaná a nikto sa na ňu už nepozrel. Rovnako časté sú zastarané zoznamy ďalších sprostredkovateľov, technické a organizačné opatrenia vo forme všeobecných textových šablón bez vzťahu k službe a chýbajúca úprava vymazania údajov po skončení zmluvy.

Za porušenie povinností podľa čl. 28 možno podľa čl. 83 ods. 4 GDPR uložiť pokutu do 10 miliónov eur alebo do 2 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia.

Katalóg Vendo4u sa pýta na body, ktoré sú rozhodujúce pri preverení podľa čl. 28 – či je k dispozícii zmluva o spracúvaní osobných údajov, kde sa údaje spracúvajú, ktorí ďalší sprostredkovatelia sú zapojení –, a dodávatelia k nim zadajú príslušné dokumenty. Nákupcovia vidia tieto údaje pri všetkých dodávateľoch v rovnakej štruktúre a exportom ich uložia do vlastného spisu.