Veri işleme sözleşmesi, veri sorumlusunun, veri işleyicisinin kendi adına kişisel verileri nasıl işleyeceği konusunda şartları belirlediği yazılı sözleşmedir. GDPR, veri işlemeyi dış kaynaklara devrettiğiniz anda bu sözleşmeyi zorunlu hale getirir ve kapsaması gereken konuları belirler.
Yasal dayanak
Bu yükümlülük, Genel Veri Koruma Yönetmeliği'nin 28(3) maddesinde yer almaktadır. Sözleşme, işlemenin konusunu, süresini, niteliğini ve amacını açıklamalı ve kişisel veri türlerini ve veri sahibi kategorilerini belirlemelidir. Ayrıca sekiz özel taahhüt içermelidir: yalnızca belgelenmiş talimatlar doğrultusunda işleme, gizlilik, GDPR'nin 32. maddesi uyarınca güvenlik, alt yüklenicilerle çalışma koşulları, veri sahibi taleplerine yardımcı olma, ihlaller ve etki değerlendirmelerine yardımcı olma, fesih sonrasında iade veya silme ve denetimler için bilgi sağlama. 28(1) maddesi, yalnızca yeterli güvenceler sunan işlemcileri kullanabileceğinizi ekler.
Pratikte nasıl çalışır
Hemen hemen her dış kaynak kullanım düzenlemesi bu kapsamdadır: bordro, hosting, CRM tedarikçiniz, arşivlerinizi imha eden şirket. Çoğu tedarikçi, ana sözleşmeye ek olarak kendi şablonunu kullanır. Bu şablon, sabit olarak sunulsa bile, müzakere edilebilir. İşlem süreçlerini açıklayan çizelgeye özellikle dikkat edin: her müşteriye uyan genel bir açıklama değil, gerçekte olanları yansıtmalıdır. Avrupa Ekonomik Alanı dışına yapılan transferler ek bir temele ihtiyaç duyar, genellikle Avrupa Komisyonu'nun standart sözleşme maddeleri.
İşlerin ters gittiği yer
Üç hata tekrar ediyor. Birincisi, aslında veri işleyicisi olmayan ancak amaçları ve yöntemleri kendisi belirleyen bir tarafla veri işleme sözleşmesi imzalamak; bu da onu farklı kurallara sahip ortak bir veri sorumlusu haline getiriyor. İkincisi, alt veri işleyicilerine genel yetkilendirme vermek; bu da verilerinizin fiziksel olarak nerede bulunduğunu gözden kaçırmanıza neden oluyor. Üçüncüsü ise, tek bir somut standart belirtmeden yalnızca "uygun önlemlere" atıfta bulunan bir güvenlik planı; bu da bir olay meydana geldiğinde tutunacak hiçbir şey sunmuyor.
İlgili terimler
Veri işleme sözleşmesi , veri işleyicisinin sizi bilgilendirmesi gereken son tarihi belirlemesi gerektiği için kişisel veri ihlaliyle ve veri koruma etki değerlendirmesiyle yakından bağlantılıdır ; bu değerlendirme için veri işleyicisi bilgi sağlamak zorundadır. Ayrıca , ana sözleşmedeki sorumluluk sınırıyla sıklıkla çeliştiği için genel hüküm ve koşullarla da etkileşim halindedir.
Ek okuma
Bu konu hakkında daha fazla bilgi: GDPR kapsamındaki veri işleme sözleşmesi (verwerkersovereenkomst): Hollanda uygulama kılavuzu.
Veri işleme sözleşmelerinizin incelenmesini ister misiniz? Bilişim avukatlarımız sözleşmelerinizi değerlendirir ve gerektiğinde müzakere eder.
