Isikuandmete töötlemise leping ja alltöötlejad

Moodul 9: Inimesed ja reeglid · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda tundi oskad lugeda isikuandmete töötlemise lepingut ja kontrollida, kas see vastab IKÜM nõuetele, ning hinnata alltöötlejate nimekirja.

Põhimõisted: isikuandmete töötlemise leping (IKÜM artikkel 28), IKÜM art. 28 lg 3, kirjalikud juhised, konfidentsiaalsus, turvameetmed, alltöötleja, üldine või konkreetne luba, vastuväite esitamise õigus, abistamiskohustus, tagastamine või kustutamine, audit, edastamine väljapoole EMP-d, andmelekkest teatamise tähtaeg, volitatud töötlejate standardlepingutingimused

Miks on vaja isikuandmete töötlemise lepingut?

Tunnist 1.2 nägid rolle: Bakkerij De Korrel on vastutav töötleja, pilveteenus on volitatud töötleja. IKÜM artikli 28 lõige 3 nõuab, et volitatud töötleja tehtav töötlemine reguleeritakse lepingu või muu õigusaktiga, mis on kirjalikult vormistatud. Elektrooniline vorm on samuti lubatud. See ongi isikuandmete töötlemise leping, inglise keeles Data Processing Agreement (DPA) või Data Processing Addendum.

Suurte pilveteenuste puhul ei allkirjasta sa ise eraldi dokumenti: leping on osa tingimustest, millega nõustud, või märgid halduspaneelis linnukese. Väiksemate pakkujate puhul laed mõnikord alla dokumendi, täidad oma andmed ja allkirjastad selle. Igal juhul pead sa vastutava töötlejana suutma näidata, et leping on olemas ja mis selles kirjas on.

See on selgitav tekst, mitte juriidiline nõuanne. Kui sul on kahtlusi oma lepingute osas, pöördu juristi või oma andmekaitseametniku poole.

Mida IKÜM nõuab lepingus sisalduvat

Artikli 28 lõige 3 nimetab kõigepealt teemad, mida leping peab kirjeldama: töötlemise ese ja kestus, olemus ja eesmärk, isikuandmete liik, andmesubjektide kategooriad ning vastutava töötleja õigused ja kohustused. Seejärel järgneb kaheksa volitatud töötleja kohustust (punktid a kuni h). Allpool on need selgitatud lihtsas keeles, koos küsimusega, mida sina lugemisel endalt küsid:

Euroopa Komisjon on avaldanud ka volitatud töötlejate standardlepingutingimused (rakendusotsus (EL) 2021/915). Neid võib kasutada isikuandmete töötlemise lepinguna, kuna need sisaldavad kõiki kohustuslikke punkte. Paljud väiksemad pakkujad kasutavad oma mudellepingut, mis sageli põhineb vastava riigi erialaliitude mudelil.

Alltöötlejad: kes on su pakkuja taga?

Sinu pilveteenus ei tee kõike ise. Alltöötleja on osapool, kelle volitatud töötleja kaasab ja kellel on ligipääs su andmetele, näiteks:

• andmekeskus (kui see ei kuulu pakkujale endale);
• varukoopiate salvestusteenuse pakkuja;
• ettevõte, kes filtreerib kirju rämpsposti või viiruste suhtes;
• tugiteenuse osutaja või arendaja, kes jälgib süsteemi kaugligipääsuga;
• tehisintellektiteenus, kui pakkuja pakub tehisintellekti funktsiooni.

Artikli 28 lõige 2 ütleb: volitatud töötleja ei kaasa alltöötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise loa puhul peab volitatud töötleja teavitama sind uutest või asendatud alltöötlejatest, et sul oleks võimalik vastuväiteid esitada. Praktikas toimib see nii: pakkuja avaldab nimekirja, teatab muudatustest (e-kirjaga või lehel, mida saad jälgida) ning sul on tähtaeg vastuväite esitamiseks. Kui esitad vastuväite ja lahendust ei leita, saad tavaliselt lepingu üles öelda.

Lõike 4 kohaselt peab alltöötlejale panema samad kohustused ja volitatud töötleja jääb sinu ees täielikult vastutavaks.

Millele pöörata erilist tähelepanu Euroopa teenusele üleminekul

Euroopa teenusele üleminekul vaata alltöötlejate nimekirjas eelkõige kahte asja:

1. Kus alltöötlejad asuvad? Euroopa pakkuja, kes laseb oma kirju filtreerida Ameerika teenuse abil või paneb varukoopiad Ameerika pilve, toob su andmed ikkagi CLOUD Act'i mõjuvälja (tund 1.3). Vaata iga alltöötleja riiki ja emaettevõtet.
2. Mida nad teevad? Domeeniregister, kes teab ainult su nime ja aadressi domeeni omanikuna, on midagi muud kui osapool, kes salvestab su postkaste.

Loe ka artiklit edastamise kohta. Hea Euroopa leping ütleb, et andmeid töödeldakse ELis või EMP-s ning et edastamine väljapoole on lubatud ainult sinu eelneval loal. Kui seal on kirjas „me võime andmeid töödelda kogu maailmas asjakohaste kaitsemeetmetega“, siis tead, et edastamine on võimalik.

Mille suhtes olla tähelepanelik

• Leping puudub ärilise kasutuse teenuse puhul: ei ole hea valik.
• Aegunud nimekiri alltöötlejatest, mis ei lähe kokku sellega, mida pakkuja mujal räägib (näiteks teine andmekeskus): küsi selgitust.
• Andmelekkest teatamise tähtaeg, mis on nii pikk, et sa ei jõua enda 72-tunnise tähtajaga (art. 33). Paljudes lepingutes on nimetatud 24 või 48 tundi.
• Vastutus, mis on täielikult välistatud. See on teatud määral tavaline, kuid ütleb midagi selle kohta, kui kindel pakkuja endas on.
• Lõppu puudutav regulatsioon puudub: mis juhtub su andmetega pärast lepingu lõppu ja kas saad kustutamise kinnituse?

Kes allkirjastab ja kus seda hoida?

De Korrel'is allkirjastab lepingu omanik Sanne. Ta hoiab lepingut koos isikuandmete töötlemise toimingute registriga (tund 9.3), koos kuupäeva ja versiooniga. Kui pakkuja muudab lepingut või alltöötlejaid, hoiab ta alles ka selle teate. Järelevalveasutuse kontrolli korral või kliendi küsimuse korral („kuidas te minu andmetega ümber käite?“) saab ta need kiiresti näidata.

Praktikas: kuidas see pakkuja juures välja näeb

WebOkél on standardne isikuandmete töötlemise leping koos lisaga, kus on loetletud kaasatud kolmandad osapooled ning kus on kirjas, et töötlemine toimub ELis ja edastamine väljapoole on lubatud ainult kirjaliku loaga. Nextcloudi juhendi korduma kippuvates küsimustes on kirjas, millal seda vaja läheb. Teiste pakkujate puhul kannab dokument sageli nime „Data Processing Agreement“ ja alltöötlejate nimekiri asub eraldi lehel („Subprocessors“). Võrdle seda nimekirja sellega, mida pakkuja oma veebilehel andmekeskuste ja toe kohta ütleb.

Kokkuvõte

• IKÜM artikli 28 lõige 3 nõuab kirjalikku isikuandmete töötlemise lepingut kindlaksmääratud teemadega ja kaheksa volitatud töötleja kohustusega.
• Kontrolli eelkõige: oma eesmärkide puudumine, turvalisus, alltöötlejad, abi andmelekete korral, andmete tagastamine või kustutamine lepingu lõppedes ning auditid.
• Alltöötlejaid kasutatakse ainult sinu loal; üldise loa puhul peavad muudatused jõudma sinuni ja sul peab olema võimalus esitada vastuväiteid.
• Euroopa teenusele üleminekul vaata alltöötlejate nimekirjast iga osapoole riiki ja emaettevõtet.
• Hoia lepingut ja selle muudatusteateid koos oma isikuandmete töötlemise toimingute registriga.

Test

Ülesanne

Ülesanne E9.2: Kontrolli isikuandmete töötlemise lepingut. Võta oma praeguse või uue pilveteenuse isikuandmete töötlemise leping. Vaata läbi kaheksa punkti a kuni h ja märgi iga punkti kohta: kas see on lepingus kirjas (jah, ei, ebaselge) ja kus. Hinda alltöötlejate nimekirja: märgi iga alltöötleja kohta riik, emaettevõte ja mida ta teeb.

Rohkem lugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste pakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• Nextcloudi juhend 14.8: AI-assistent sinu Nextcloudis
• Määrus (EL) 2016/679 (IKÜM), artikkel 28, EUR-Lexis
• Rakendusotsus (EL) 2021/915 (vastutavate töötlejate ja volitatud töötlejate vahelised standardlepingutingimused), EUR-Lexis
• Hollandi andmekaitse järelevalveasutus (Autoriteit Persoonsgegevens), teema „Verwerkersovereenkomst“ (isikuandmete töötlemise leping): https://www.autoriteitpersoonsgegevens.nl