Zpracovatelská smlouva (Data Processing Agreement)

Příklady z praxe

1. 01

   Externí zákaznická podpora pro e-shop

   Středně velký e-shop s kosmetikou předal provoz zákaznické podpory externímu helpdesku, který viděl jména zákazníků, e-maily, čísla objednávek a obsah reklamací. Právník při auditu zjistil, že smlouva obsahovala jen obecnou mlčenlivost, nikoli pravidla podle GDPR pro zpracovatele. E-shop doplnil zpracovatelskou smlouvu s vymezením účelu podpory, dobou uchování tiketů, povinností hlásit incidenty a zákazem používat kontakty zákazníků pro vlastní marketing helpdesku. Spolupráce mohla pokračovat a dodavatel po ukončení pilotního projektu část starých tiketů prokazatelně smazal.

2. 02

   Cloudová evidence docházky zaměstnanců

   Personální oddělení výrobní firmy začalo používat cloudový systém pro evidenci docházky a ukládalo do něj jména zaměstnanců, pracovní směny, příchody, odchody a žádosti o dovolenou. Dodavatel systému chtěl do podmínek vložit právo využívat agregovaná data pro vývoj vlastních produktů bez bližšího omezení. Firma trvala na zpracovatelské smlouvě, která dovolila zpracování pouze pro vedení docházky, stanovila technická bezpečnostní opatření, pravidla pro subdodavatele a vrácení nebo výmaz dat po skončení licence. Dodavatel podmínky upravil a firma systém nasadila bez toho, aby ztratila kontrolu nad zaměstnaneckými údaji.

Časté omyly

MýtusStačí mít v obchodních podmínkách větu, že dodavatel dodržuje GDPR.

Ve skutečnostiZpracovatelská smlouva musí popsat konkrétní zpracování a povinnosti podle článku 28 GDPR. Obecná deklarace souladu s GDPR obvykle neřeší pokyny, bezpečnost, subdodavatele ani návrat nebo výmaz dat.

MýtusZpracovatel za GDPR odpovídá místo správce.

Ve skutečnostiSprávce zůstává odpovědný za účel zpracování a výběr vhodného dodavatele. Zpracovatel má vlastní povinnosti, ale smlouva neslouží k úplnému přesunu odpovědnosti ze správce na dodavatele.

MýtusDPA potřebujeme pro každého dodavatele softwaru.

Ve skutečnostiZpracovatelská smlouva je nutná jen tam, kde dodavatel zpracovává osobní údaje jménem správce. Software bez přístupu k osobním údajům nebo služba, kde dodavatel vystupuje jako samostatný správce, vyžaduje jiné posouzení.

Časté dotazy

Musí být zpracovatelská smlouva samostatný dokument?

Zpracovatelská smlouva nemusí být vždy samostatná listina s vlastním názvem. GDPR připouští smlouvu nebo jiný právní akt, takže zpracovatelská ustanovení mohou být součástí hlavní servisní smlouvy, dodatku nebo elektronicky přijatých podmínek. Podstatné je, aby obsahovala povinné prvky, byla závazná pro zpracovatele a šla prokázat při kontrole nebo sporu.

Kdy zpracovatelská smlouva není potřeba u dodavatele IT služby?

Zpracovatelská smlouva není potřeba, pokud dodavatel osobní údaje pro zákazníka vůbec nezpracovává, nebo pokud vystupuje jako samostatný správce. Příkladem může být dodavatel kancelářských židlí bez přístupu k zákaznické databázi. Hraniční případy vyžadují posouzení reality služby, protože samotný fakt, že firma používá software, ještě automaticky nevytváří vztah správce a zpracovatele.

Může zpracovatel zapojit dalšího dodavatele bez souhlasu správce?

Zpracovatel může zapojit dalšího zpracovatele jen podle pravidel dohodnutých se správcem. Souhlas může být konkrétní pro jednu službu, nebo obecný s povinností správce předem informovat o změnách. Další zpracovatel musí dostat v podstatě stejné povinnosti ochrany dat, protože řetězec subdodavatelů nesmí oslabit práva lidí, jejichž údaje se zpracovávají.

Kdo odpovídá za bezpečnost osobních údajů po podpisu zpracovatelské smlouvy?

Zpracovatelská smlouva nerozděluje bezpečnost tak, že by správce po podpisu přestal odpovídat. Správce musí vybrat vhodného zpracovatele a hlídat přiměřenost nastavení, zatímco zpracovatel musí plnit smluvená i zákonná bezpečnostní opatření. Při incidentu se posuzuje konkrétní role, pokyny, technická opatření a skutečné jednání obou stran.

Zdroje

1. Regulation (EU) 2016/679 of the European Parliament and of the Council(otevře se v novém okně)EUR-Lex, 2016
2. Guidelines 07/2020 on the concepts of controller and processor in the GDPR(otevře se v novém okně)European Data Protection Board, 2021
3. Zákon č. 110/2019 Sb., o zpracování osobních údajů(otevře se v novém okně)Zákony pro lidi, 2019

Související pojmy

• GDPRGDPR je evropské nařízení pro ochranu osobních údajů, které stanovuje, kdy a jak mohou organizace údaje lidí shromažďovat, používat, sdílet a mazat. Pro vývojáře znamená požadavky na minimalizaci dat, právní důvod zpracování, bezpečnost, auditovatelnost a podporu práv uživatelů, například přístupu k údajům nebo jejich výmazu.
• Správce osobních údajůSprávce osobních údajů je podle GDPR ten, kdo určuje účel a prostředky zpracování osobních údajů, tedy rozhoduje proč a jak se s daty nakládá. Může jím být firma, spolek, úřad i podnikající fyzická osoba. Správce nese hlavní odpovědnost vůči subjektům údajů i dozorovému úřadu a odpovídá i za zpracovatele, které si najme.
• DPIADPIA je písemné posouzení vlivu zamýšleného zpracování osobních údajů na práva a svobody lidí, které podle článku 35 GDPR musí správce provést dřív, než rizikové zpracování spustí. Popisuje účel, nutnost a přiměřenost zpracování, pojmenuje rizika a stanoví opatření, jimiž je správce sníží na přijatelnou úroveň.
• Zpracování osobních údajůZpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.
• Právní titul zpracováníPrávní titul zpracování je důvod uznaný nařízením GDPR, bez kterého správce nesmí osobní údaje vůbec zpracovávat. Článek 6 nabízí šest titulů: souhlas, plnění smlouvy, právní povinnost, ochrana životně důležitých zájmů, veřejný zájem a oprávněný zájem. Správce musí titul určit před zahájením zpracování a nemůže ho pak libovolně měnit.
• Práva subjektu údajůPráva subjektu údajů je soubor oprávnění, která GDPR dává fyzické osobě vůči správci zpracovávajícímu její osobní údaje. Patří sem přístup ke kopii údajů, oprava, výmaz, omezení zpracování, přenositelnost, námitka a právo nebýt předmětem čistě automatizovaného rozhodování. Správce musí žádost vyřídit zpravidla do jednoho měsíce a bezplatně.
• Předávání údajů do třetích zemíPředávání údajů do třetích zemí je zpřístupnění osobních údajů příjemci mimo Evropský hospodářský prostor, které GDPR dovoluje jen na základě rozhodnutí o odpovídající ochraně, standardních smluvních doložek, závazných podnikových pravidel nebo výjimky. Za předání se považuje i pouhý vzdálený přístup správce, zpracovatele či supportu z takové země.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.