Pogodba o obdelavi osebnih podatkov: kaj podpisati z IT dobaviteljem

Zakaj pogodbo o obdelavi osebnih podatkov potrebujete z IT dobaviteljem

Pogodba o obdelavi osebnih podatkov je dogovor med upravljavcem (vašim podjetjem, ki odloča, zakaj in kako se podatki obdelujejo) in obdelovalcem (zunanjim izvajalcem, ki podatke obdeluje po vaših navodilih). IT dobavitelj je skoraj vedno obdelovalec, tudi če podatkov namerno ne odpira. Dovolj je, da se lahko prijavi v Microsoft 365 kot skrbnik, upravlja strežnik z bazo računovodskega programa ali hrani varnostne kopije v svojem oblaku.

Kratek odgovor na vprašanje, kaj podpisati: pisno pogodbo, ki opiše, katere podatke dobavitelj obdeluje, za kakšen namen in kako dolgo, kakšne varnostne ukrepe izvaja, koga sme vključiti kot podobdelovalca, kako vas obvesti o incidentu in kaj se s podatki zgodi ob koncu sodelovanja. Brez tega dokumenta kršite GDPR vi kot upravljavec, ne le dobavitelj.

Ko izjava o zaupnosti ni dovolj

Pogosta napaka v malih podjetjih je, da serviser ob začetku sodelovanja podpiše enostransko »izjavo o varovanju poslovne skrivnosti« in s tem je zadeva zaključena. Taka izjava ščiti vaše poslovne informacije, ne ureja pa obveznosti, ki jih GDPR in ZVOP-2 nalagata obdelovalcu. Manjka seznam podatkov, manjkajo navodila, manjka postopek ob kršitvi.

Recimo, da imate računovodski servis v Kranju z dvanajstimi zaposlenimi. Vodite plače za štirideset strank, kar pomeni davčne številke, TRR, podatke o bolniških odsotnostih in rubežih. Zunanji informatik ima oddaljeni dostop do strežnika, kjer teče računovodski program, in skrbniški račun v Microsoft 365. Če Informacijski pooblaščenec po pritožbi stranke vpraša, kdo vse ima dostop do teh podatkov in na kakšni podlagi, morate pokazati podpisano pogodbo o obdelavi. Izjava o zaupnosti iz leta, ko je informatik prvič prišel, tega ne nadomesti.

Kaj mora vsebovati pogodba

GDPR našteva obvezne sestavine. V praksi jih je smiselno preveriti po spodnjem seznamu, preden kar koli podpišete:

Večina tega je v predlogah, ki jih dobavitelji pošiljajo. Razlike nastanejo v podrobnostih, zato je vredno brati prav tiste dele, ki se zdijo najbolj suhoparni.

Točke, pri katerih se zatakne

Podobdelovalci

Vaš IT dobavitelj skoraj nikoli ne dela sam. Uporablja orodje za oddaljeni dostop, sistem za zahtevke, ponudnika oblaka za varnostne kopije, morda še zunanjega strokovnjaka za varnost. Vsak od njih je podobdelovalec. V pogodbi želite seznam teh ponudnikov ali vsaj povezavo do seznama, ki ga dobavitelj sproti posodablja, in pravico, da spremembi ugovarjate. Splošno soglasje je v redu, če vas o novem podobdelovalcu obvestijo vnaprej.

Prenos v tretje države

Če dobavitelj ali kateri od njegovih podobdelovalcev podatke hrani ali do njih dostopa izven Evropskega gospodarskega prostora, mora pogodba to povedati in navesti podlago za prenos, na primer standardne pogodbene klavzule. To ni nujno ovira, mora pa biti zapisano. Vprašajte tudi, kje fizično ležijo varnostne kopije: v podatkovnih centrih v EU ali drugje.

Obveščanje o kršitvi

Kot upravljavec imate za prijavo kršitve Informacijskemu pooblaščencu 72 ur od trenutka, ko za kršitev izveste. Če vas dobavitelj obvesti šele čez teden dni, ker »je najprej raziskoval«, tega roka ne morete ujeti. V pogodbi naj piše, da vas obvesti brez nepotrebnega odlašanja, po možnosti z jasnim rokom v urah, in komu točno pošlje obvestilo.

Varnostni ukrepi kot priloga

Stavek »obdelovalec izvaja ustrezne tehnične in organizacijske ukrepe« ne pove ničesar. Bolje je, da je v prilogi naštetih nekaj preverljivih ukrepov: večfaktorska prijava za vse skrbniške račune, beleženje oddaljenih sej, šifrirane varnostne kopije, ločeni računi za vsakega tehnika, redno odstranjevanje dostopov ob odhodu zaposlenih pri dobavitelju.

Kdo pripravi besedilo in kdo ga podpiše

V praksi pogodbo največkrat predlaga dobavitelj, ker ima enoten vzorec za vse stranke. To je smiselno, ne pomeni pa, da ga morate sprejeti brez sprememb. Nekaj nasvetov:

• pogodbo o obdelavi podpišite hkrati z glavno pogodbo o storitvah, ne nekaj mesecev pozneje
• v evidenco dejavnosti obdelave vpišite dobavitelja kot obdelovalca in navedite, pri katerih obdelavah sodeluje
• shranite jo tam, kjer jo bo našel tudi naslednik, ki bo za to odgovoren, ne le v predalu direktorja
• ko dobavitelju razširite storitve (na primer dodate gostovanje ali varnostne kopije v oblaku), preverite, ali pogodba še pokriva novo obdelavo
• pravno presojo končnega besedila prepustite svojemu pravnemu svetovalcu ali pooblaščeni osebi za varstvo podatkov, če jo imate

Tudi obratno velja: če vaš IT dobavitelj pogodbe o obdelavi sploh ne omenja, je to znak, da varstvu podatkov ne posveča dovolj pozornosti. Resen dobavitelj vam jo ponudi sam, še preden dobi prve gesla.

Kako začeti, če pogodbe še nimate

Najprej naredite seznam vseh zunanjih izvajalcev, ki imajo dostop do vaših sistemov: IT podpora, izdelovalec spletne strani, ponudnik računovodskega programa, ponudnik e-pošte, morda agencija za digitalni marketing z dostopom do baze naročnikov. Za vsakega preverite, ali imate podpisano pogodbo o obdelavi in ali še ustreza dejanskemu stanju. Pri velikih ponudnikih, kot sta Microsoft ali Google, je pogodba del splošnih pogojev, ki ste jih sprejeli ob nakupu licenc, zato jo poiščite v skrbniškem portalu in shranite kopijo.

Pri manjših dobaviteljih jih prosite za vzorec in ga primerjajte s seznamom zgoraj. Kjer manjka seznam podobdelovalcev, rok za obveščanje ali opis ukrepov, zahtevajte dopolnitev.

Če želite, da tehnični del za vas pregleda nekdo, ki pozna obe strani, vam lahko pomagamo v okviru storitve GDPR in varstvo osebnih podatkov: popišemo, kateri izvajalci dostopajo do katerih podatkov, pripravimo opis tehničnih ukrepov za priloge in označimo vrzeli, ki jih nato uredi vaš pravnik. Če pa želite urediti celoten sistem varstva podatkov, od evidence do postopka ob kršitvi, si oglejte rešitev Skladnost z GDPR.