DPA
Smlouva o zpracování osobních údajů – povinná mezi správcem a zpracovatelem
Co je DPA
DPA (Data Processing Agreement) je smlouva o zpracování osobních údajů uzavíraná mezi správcem a zpracovatelem. GDPR ji pro takový vztah vyžaduje, takže to není dobrovolná formalita, ale podmínka, aby zpracování stálo na pevném základě.
Co v ní musí být
- předmět, doba a účel zpracování, plus kategorie údajů a lidí, kterých se týkají
- povinnost jednat jen podle doložených pokynů správce a mlčenlivost osob, které se k datům dostanou
- zabezpečení a pravidla pro přibrání dalšího dodavatele
- co se s daty stane po skončení spolupráce: vrácení, nebo smazání
- součinnost při žádostech lidí a při kontrole ze strany správce
Jak se uzavírá
U velkých platforem se DPA obvykle nepodepisuje ručně. Bývá součástí obchodních podmínek nebo se odklikne v administraci účtu, což řada firem přehlédne a pak marně hledá podepsaný papír. U menších dodavatelů a u freelancerů se naopak řeší samostatnou smlouvou. V obou případech platí, že se to má stihnout dřív, než se první data předají.
Do soupisu nástrojů, který si u klienta dělám, píšu ke každé službě i to, kde má DPA. U velkých platforem to bývá odkaz do administrace, u drobných dodavatelů příloha smlouvy. Když u některé položky nezbyde nic, je to nález, který stojí za zmínku, i když měření samotné funguje bez chyby. Zvláštní pozornost si zaslouží předávání dat mimo EU, které potřebuje vlastní právní záruku.