Vzor zmluvy o spracúvaní osobných údajov
Povinná zmluva s dodávateľom, ktorý spracúva údaje vašich zákazníkov
Tento dokument stojí na pevnom vzore pripravenom Paragrafom, nejde o šablónu advokátskej kancelárie. Jeho text nepíše AI, dopĺňajú sa doň údaje z formulára. Pri neštandardnej situácii odporúčame advokáta.
Právny stav k
Zmluva o spracúvaní osobných údajov
- I. Zmluvné strany
- II. Predmet zmluvy
- III. Predmet, povaha, účel a doba spracúvania
- IV. Pokyny prevádzkovateľa
- V. Práva a povinnosti prevádzkovateľa
- VI. Dôvernosť
Keď za vás niekto spracúva osobné údaje vašich zákazníkov, potrebujete s ním písomnú zmluvu o spracúvaní. Netýka sa to len veľkých systémov: rovnako to platí pre hosting, účtovníka, nástroj na rozposielanie e-mailov, kuriéra alebo externú podporu.
Nie je to odporúčanie, je to povinnosť. Nariadenie hovorí, že spracúvanie sprostredkovateľom sa riadi zmluvou, a samo vymenúva, čo v nej musí byť. Zmluvu potrebuje prevádzkovateľ, teda vy, aj keď dodávateľ vlastný vzor ponúka.
Bežný omyl je, že stačí mať zverejnené zásady ochrany osobných údajov. Tie hovoria vašim zákazníkom, čo s ich údajmi robíte. Zmluva o spracúvaní rieši niečo iné: čo smie s tými údajmi robiť váš dodávateľ.
Kto tento dokument potrebuje
- E-shopy, ktorých web beží na cudzom hostingu
- Firmy, ktorým účtovníctvo vedie externý účtovník
- Prevádzkovatelia, ktorí rozposielajú newsletter cez službu tretej strany
- Firmy využívajúce externú zákaznícku podporu alebo call centrum
- Každý, kto zveril údaje zákazníkov dodávateľovi softvéru alebo cloudu
- Účtovníci, IT firmy a agentúry, od ktorých klient zmluvu o spracúvaní žiada; vzor sa dá vyhotoviť aj zo strany dodávateľa
Čo má dokument obsahovať
- Predmet a dobu spracúvania
- Povahu a účel spracúvania
- Typ osobných údajov a kategórie dotknutých osôb
- Povinnosť spracúvať údaje len na zdokumentované pokyny prevádzkovateľa
- Povinnosť mlčanlivosti osôb, ktoré k údajom pristupujú
- Bezpečnostné opatrenia podľa čl. 32 nariadenia (EÚ) 2016/679
- Podmienky zapojenia ďalšieho sprostredkovateľa
- Pomoc prevádzkovateľovi pri žiadostiach dotknutých osôb a pri oznamovaní porušení
- Vymazanie alebo vrátenie údajov po skončení služby
- Poskytovanie informácií a umožnenie auditu
Právny základ
Nariadenie (EÚ) 2016/679 (GDPR)
Článok 28 hovorí, že spracúvanie sprostredkovateľom sa riadi zmluvou, a vymenúva jej obsah aj požiadavku písomnej podoby.
Zákon č. 18/2018 Z. z. o ochrane osobných údajov
Upravuje to, čo nariadenie ponecháva členským štátom.
Najčastejšie chyby
Spoliehanie sa na zásady ochrany údajov
Zverejnené zásady informujú zákazníkov o tom, čo s ich údajmi robíte vy. O tom, čo s nimi smie robiť dodávateľ, nehovoria nič. Sú to dva rôzne dokumenty a jeden druhý nezastúpi.
Prijatie vzoru dodávateľa bez prečítania
Dodávatelia vzory ponúkajú a bývajú napísané v ich prospech, najčastejšie pri zapojení ďalších sprostredkovateľov a pri prenose mimo Európsky hospodársky priestor. Zodpovednosť prevádzkovateľa to však neprenáša.
Chýbajúci typ údajov a kategórie dotknutých osôb
Zmluva, ktorá hovorí len o „osobných údajoch“, nesplní to, čo nariadenie žiada. Typ údajov a kategórie dotknutých osôb sú vymenované ako jej obsah.
Všeobecné povolenie pre ďalších sprostredkovateľov bez informovania
Ak dodávateľ smie zapojiť ďalšieho sprostredkovateľa všeobecným povolením, musí prevádzkovateľa o každej zmene informovať a dať mu možnosť namietať. Bez toho je povolenie napísané inak, než ho pozná nariadenie.
Nedoriešený stav po skončení služby
Po skončení sa údaje na rozhodnutie prevádzkovateľa vymažú alebo vrátia a kópie sa vymažú. Bez dojednania zostávajú u dodávateľa a nikto nevie ako dlho.
Ústna dohoda
Zmluva sa vypracuje v písomnej podobe vrátane elektronickej. Telefonická dohoda s dodávateľom túto podmienku nesplní.
Zmluva „podľa § 34 zákona č. 18/2018 Z. z.“
Takto začína 25 zo 48 zmlúv o spracúvaní, ktoré sme prešli v Centrálnom registri zmlúv. Na spracúvanie, na ktoré sa vzťahuje nariadenie (EÚ) 2016/679, sa však druhá časť zákona č. 18/2018 Z. z. vrátane § 34 nepoužije (§ 3 ods. 2 zákona č. 18/2018 Z. z.). Zmluva sa uzatvára podľa čl. 28 nariadenia (EÚ) 2016/679; zo zákona sa na ňu vzťahuje napríklad povinnosť mlčanlivosti podľa § 79 zákona č. 18/2018 Z. z.
Časté otázky
Potrebujem takú zmluvu s hostingom, keď sa k údajom nedostane?
Ak sú údaje na jeho serveroch, spracúva ich vo vašom mene, aj keď sa do nich nikto nepozerá. Prístupnosť údajov rozhoduje o rozsahu opatrení, nie o tom, či zmluvu treba.
Je účtovník sprostredkovateľ?
Pri spracúvaní údajov podľa vašich pokynov áno. Tam, kde má vlastné zákonné povinnosti a rozhoduje o účeloch sám, vystupuje ako samostatný prevádzkovateľ. Rozhoduje to, kto o spracúvaní rozhoduje, nie kto vydal faktúru.
Stačí, keď mi dodávateľ pošle svoje podmienky?
Môže stačiť, ak obsahujú to, čo nariadenie žiada, a sú v písomnej podobe. Zodpovednosť za výber dodávateľa a za obsah zmluvy však zostáva na prevádzkovateľovi.
Čo ak dodávateľ spracúva údaje v USA?
Prenos mimo Európsky hospodársky priestor je možný len na zdokumentovaný pokyn a pri splnení podmienok pre prenosy do tretích krajín. V zmluve sa preto uvádza, kde sa spracúva.
Koľko takých zmlúv potrebuje bežný e-shop?
Zvyčajne niekoľko: hosting, účtovníctvo, rozposielanie e-mailov, doprava a prípadne externá podpora. Každý dodávateľ, ktorý spracúva údaje vo vašom mene, je samostatná zmluva.
Zmluva o spracúvaní osobných údajov na mieru
Doplníte údaje o svojej firme a dokument máte hotový za necelú minútu.
Vygenerovať dokument