Prevádzkovateľ verzus sprostredkovateľ: kedy potrebujete DPA

Vaša firma používa cloudové úložisko, externú mzdovú službu, nástroj na rozposielanie newslettra a účtovníka. Každému z nich odovzdávate osobné údaje svojich zamestnancov alebo zákazníkov. A vo väčšine firiem sa to deje bez jedinej písomnej zmluvy o tom, ako s tými údajmi smú narábať.

To je slabé miesto, ktoré si firmy uvedomia až pri kontrole alebo úniku. Keď niekto spracúva osobné údaje za vás, GDPR z vás nerobí nevinného objednávateľa. Robí vás zodpovedným za to, komu ste údaje zverili. A ak s ním nemáte sprostredkovateľskú zmluvu, porušujete čl. 28 obaja, vy aj on. Rozdiel je v tom, že vy navyše zodpovedáte za jeho výber.

Aký je rozdiel medzi prevádzkovateľom a sprostredkovateľom?

Rozdiel je v tom, kto rozhoduje. Prevádzkovateľ je ten, kto určuje, prečo a akým spôsobom sa údaje spracúvajú. Sprostredkovateľ je ten, kto spracúvanie vykonáva v mene prevádzkovateľa a riadi sa jeho pokynmi. Rozhoduje teda účel a kontrola, nie to, kto má údaje fyzicky na svojom serveri.

Príklad to spraví jasnejším. Vy ako firma rozhodnete, že budete posielať newsletter svojim zákazníkom, na aký účel a komu. Ste prevádzkovateľ. Externá e-mailová služba, cez ktorú newsletter reálne odošlete, je sprostredkovateľ, lebo spracúva vaše kontakty podľa vášho zadania, nie na svoje vlastné ciele. Rovnako je to s poskytovateľom cloudu, s mzdovou firmou alebo s IT dodávateľom, ktorý spravuje váš systém.

Tretia situácia nastane, keď dve strany určujú účel spoločne. Vtedy ide o spoločných prevádzkovateľov (čl. 26 GDPR) a musia si transparentne rozdeliť povinnosti, najmä pri vybavovaní práv dotknutých osôb a pri informačnej povinnosti. Podstatu svojej dohody musia sprístupniť dotknutým osobám.

Tento prípad sa podceňuje. Netýka sa len zložitých partnerstiev: ak máte na webe merací alebo reklamný kód sociálnej siete, ktorý zbiera údaje o návštevníkoch aj pre prevádzkovateľa tej siete, ide o situáciu, ktorou sa opakovane zaoberal Súdny dvor a ktorá sa dotýka takmer každého firemného webu. Neznamená to automaticky spoločné prevádzkovateľstvo, ale radšej si to preverte.

Prečo na tom záleží a kto nesie zodpovednosť?

Toto rozlíšenie nie je akademické, rozhoduje o tom, kto za čo zodpovedá. GDPR kladie na prevádzkovateľa povinnosť vyberať len takých sprostredkovateľov, ktorí poskytujú dostatočné záruky, že spracúvanie bude v súlade s GDPR (čl. 28 ods. 1). Nemôžete teda zveriť údaje komukoľvek, výber je vaša zodpovednosť.

Sprostredkovateľ má popritom vlastné povinnosti priamo z nariadenia a za ich porušenie mu môže byť uložená pokuta rovnako ako vám. Nie je to teda tak, že riziko nesiete len vy. Pri vyjednávaní s dodávateľom, ktorý zmluvu podpísať nechce, je to najsilnejší argument, ktorý máte.

Ak sprostredkovateľ začne spracúvať údaje na vlastné účely nad rámec vášho zadania, sám sa v tej časti stáva prevádzkovateľom so všetkými dôsledkami.

Jedna povinnosť sprostredkovateľa stojí za osobitnú zmienku, lebo sa často prehliada: ak sa domnieva, že váš pokyn porušuje predpisy o ochrane údajov, musí vás na to bezodkladne upozorniť. Je to poistka proti tomu, aby sa neskôr schoval za formuláciu, že len plnil zadanie, a pre vás užitočné kritérium pri výbere dodávateľa.

Čo musí obsahovať sprostredkovateľská zmluva?

Sprostredkovateľská zmluva nie je formalita, ktorú stačí mať „nejakú“. Článok 28 ods. 3 presne vymenúva, čo v nej musí byť, a chýbajúce náležitosti sú samy osebe nedostatok.

Začína sa opisnou časťou, na ktorú sa zabúda najčastejšie. Zmluva musí stanoviť predmet a dobu spracúvania, povahu a účel spracúvania, typ osobných údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. V praxi býva táto časť v prílohe, ktorá ostane nevyplnená alebo sa vôbec nepriloží. Zmluva potom síce existuje, ale nikto z nej nezistí, aké údaje a na aký účel dodávateľ spracúva.

Ďalej musí zmluva zaviazať sprostredkovateľa, že bude údaje spracúvať len na základe vašich zdokumentovaných pokynov, že osoby, ktoré k údajom pristupujú, sú viazané mlčanlivosťou a že prijme primerané bezpečnostné opatrenia. Musí upraviť zapojenie ďalších subdodávateľov a pomoc pri vybavovaní žiadostí dotknutých osôb.

Pomoc sa pritom nekončí pri bezpečnosti a hlásení únikov. Zmluva má sprostredkovateľa zaviazať pomáhať vám pri plnení povinností podľa čl. 32 až 36, teda aj pri posúdení vplyvu na ochranu údajov a pri predchádzajúcej konzultácii s úradom. Bez technických podkladov od dodávateľa posúdenie nespravíte a toto je jediná páka, ktorú môžete použiť.

Zmluva napokon musí upraviť výmaz alebo vrátenie údajov po skončení spolupráce, sprístupnenie informácií potrebných na preukázanie súladu a umožnenie auditov vrátane inšpekcií, ktoré vykonáte vy alebo audítor, ktorého poveríte. Práve právo na audit býva z dodávateľských zmlúv vypustené alebo zúžené na predloženie certifikátu. Je to pritom vaša jediná praktická možnosť, ako si overiť záruky, ktoré ste podľa čl. 28 ods. 1 mali preveriť. Zmluva musí mať písomnú formu, postačuje aj elektronická.

Dobrá správa je, že znenie nemusíte vymýšľať od nuly. Európska komisia vydala pre vzťah prevádzkovateľa a sprostredkovateľa vzorové zmluvné doložky, ktoré tieto náležitosti pokrývajú. Ich použitie nie je povinné, ale je to spoľahlivé východisko.

Tu je ale dôležité rozlíšenie. Komisia vydala dva odlišné súbory doložiek a oba sa bežne nazývajú štandardné zmluvné doložky. Jeden pokrýva vzťah prevádzkovateľa a sprostredkovateľa podľa čl. 28, druhý sa používa na prenos údajov do tretej krajiny. Nezastupujú sa navzájom: pri dodávateľovi mimo Európskeho hospodárskeho priestoru potrebujete oba nástroje. Väčšina serióznych dodávateľov má vlastné DPA pripravené, vašou úlohou je nepodpísať ho naslepo, ale overiť, či spĺňa čl. 28.

Čo so subdodávateľmi?

Tu je pasca, na ktorú sa zabúda. Váš sprostredkovateľ má často vlastných dodávateľov, takzvaných subsprostredkovateľov. E-mailový nástroj beží na cudzom cloude, mzdová firma používa iný softvér.

Platia tri pravidlá. Sprostredkovateľ smie zapojiť ďalšieho subdodávateľa len s vaším predchádzajúcim písomným povolením, konkrétnym alebo všeobecným, a pri všeobecnom povolení vás musí informovať o zmenách, na ktoré môžete namietať. Subsprostredkovateľovi musí zmluvne uložiť tie isté povinnosti, aké má sám voči vám. A ak subsprostredkovateľ svoje povinnosti nesplní, váš sprostredkovateľ voči vám zostáva plne zodpovedný.

To tretie je pre vás v praxi najužitočnejšie, lebo znamená, že sa nemusíte zmluvne naťahovať s každým článkom reťazca. Zodpovednosť má ten, s kým máte zmluvu.

Napriek tomu by ste mali vedieť, kto všetko sa za vaším dodávateľom reťazí a kde vaše údaje reálne končia. Aktuálny zoznam subsprostredkovateľov je nielen požiadavka GDPR, ale aj základný prehľad, bez ktorého neviete posúdiť riziko.

Čo keď je sprostredkovateľ mimo Európskeho hospodárskeho priestoru?

Vtedy k sprostredkovateľskej zmluve pribúda ďalšia vrstva. Ak sprostredkovateľ alebo jeho subdodávateľ spracúva údaje mimo Európskeho hospodárskeho priestoru, napríklad na serveroch v USA, ide o prenos do tretej krajiny a ten má vlastné pravidlá, ktorým sa venujeme v článku o prenose údajov do tretích krajín.

Všimnite si, že hovoríme o Európskom hospodárskom priestore, nie o Európskej únii. Dodávateľ v Nórsku alebo na Islande nie je dodávateľom v tretej krajine.

Toto je zároveň praktický dôvod, prečo si mnohé firmy vyberajú dodávateľov s hostingom v Európe. Ušetria si tým celú vrstvu okolo prenosov a majú menej vecí na preukazovanie. Platí to však s podmienkou, ktorá vyplýva z predchádzajúcej sekcie: európsky hosting túto vrstvu odbúra len vtedy, keď je európsky celý reťazec vrátane subsprostredkovateľov a podpory dodávateľa. Ak k údajom pristupuje podpora z inej krajiny alebo ak dodávateľ používa mimoeurópsky subsystém, prenos nastáva bez ohľadu na to, kde stoja hlavné servery.

Čo ak ste sprostredkovateľom vy

Doteraz sme sa na vec pozerali očami firmy, ktorá si robí poriadok v dodávateľoch. Mnohé firmy sú ale v opačnej role: účtovnícke kancelárie, správcovia informačných systémov, marketingové agentúry, prevádzkovatelia platforiem pre e-shopy alebo personálne agentúry sú voči svojim klientom sprostredkovateľmi. Ich klienti od nich zmluvu podľa čl. 28 vyžadujú a oni by mali vedieť, k čomu sa podpisom zaväzujú.

Ako sprostredkovateľ máte tieto povinnosti priamo z nariadenia, nezávisle od toho, čo je v zmluve:

1. Spracúvať osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa.
2. Viesť vlastný záznam o kategóriách spracovateľských činností, ktoré vykonávate pre klientov (čl. 30 ods. 2). Nie je to ten istý dokument ako záznam prevádzkovateľa.
3. Prijať primerané technické a organizačné opatrenia podľa čl. 32.
4. Bez zbytočného odkladu oznámiť prevádzkovateľovi porušenie ochrany osobných údajov (čl. 33 ods. 2). Vy úradu nehlásite, hlási klient, ale bez vášho oznámenia mu nezačne plynúť lehota.
5. Upozorniť prevádzkovateľa, ak je jeho pokyn podľa vás v rozpore s predpismi o ochrane údajov.
6. Zapojiť subdodávateľa len s povolením klienta a zostať zaňho plne zodpovedný.

Dve veci k tomu. Za porušenie týchto povinností zodpovedáte priamo voči úradu, nie cez klienta. A ak začnete údaje spracúvať na vlastné účely nad rámec zadania, v tej časti sa stávate prevádzkovateľom, so všetkým, čo k tomu patrí, teda vlastným právnym základom aj informačnou povinnosťou.

Ako spraviť poriadok

Nezačínajte podpisovaním zmlúv, ale zoznamom dodávateľov. Prejdite si, komu všetkému odovzdávate osobné údaje: cloud, mzdy, účtovníctvo, e-mailové nástroje, IT správa, marketingové agentúry. Tento zoznam už z veľkej časti máte, ak vediete záznam o spracovateľských činnostiach, kde sú títo dodávatelia uvedení ako príjemcovia. Ku každému potom overte, či máte platnú zmluvu podľa čl. 28, a kde chýba, doplňte ju.

Rolu ale neurčujte podľa toho, aké služby dodávateľ vykonáva. Pri každom si položte tri otázky: Určujete účel a prostriedky vy, alebo on? Koná na základe vlastnej zákonnej povinnosti? Má pri svojej činnosti odbornú nezávislosť, ktorú mu vaším pokynom nemôžete prekaziť? Ak sú odpovede na druhú a tretiu otázku áno, pravdepodobne nejde o sprostredkovateľa.

Námietka „to je len účtovník, zmluvu netreba“ je jedna z tých, ktoré vedú priamo k porušeniu GDPR. Externý účtovník totiž spracúva osobné údaje zamestnancov a klientov firmy v jej mene, čo ho spravidla zaraďuje medzi sprostredkovateľov vyžadujúcich zmluvu. Zmluvu s ním potrebujete rovnako ako s veľkým cloudom. Časť jeho činnosti pritom stojí na jeho vlastných zákonných povinnostiach, napríklad pri vlastnej archivácii, a v tej časti koná vo vlastnom mene.

Neplatí to však plošne pre všetkých externých odborníkov. Advokát pri výkone advokácie je samostatný prevádzkovateľ, nie sprostredkovateľ, a vyplýva to aj z kódexu správania, ktorý pre advokátov schválil úrad. Zmluva podľa čl. 28 by s ním bola vecne nesprávna, ide o vzťah dvoch prevádzkovateľov. Pri daňovom poradcovi či audítorovi sa rola posudzuje rovnakým testom, teda podľa toho, či konajú podľa vášho zadania, alebo na základe vlastných zákonných povinností a odbornej nezávislosti.

Práve u samozrejmých, roky zabehnutých dodávateľov chýba DPA najčastejšie, lebo „to sa predsa rozumie samo“.

Ak si chcete spraviť poriadok v dodávateľoch a zmluvách a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.