Gjithçka që kompanitë duhet të dinë për Marrëveshjen e Përpunimit të të Dhënave

Kuptimi i Roleve: Drejtuesi i të Dhënave vs Përpunuesi i të Dhënave

Kur hyni në një Marrëveshje të Përpunimit të të Dhënave (DPA), është thelbësore që kompanitë të kuptojnë dallimet mes drejtuesit të të dhënave dhe përpunuesit të të dhënave sipas Rregullores së Përgjithshme për Mbrojtjen e të Dhënave (GDPR). Drejtuesi përcakton qëllimet dhe mënyrat e përpunimit të të dhënave personale, ndërsa përpunuesi vepron në emër të drejtuesit për të përpunuar të dhënat.

Në kontekstin e hostingut dhe shërbimeve cloud, kompanitë veprojnë zakonisht si drejtues, duke vendosur çfarë të dhënash grumbullojnë dhe pse, ndërsa ofruesit e tyre janë zakonisht si përpunues, duke trajtuar ruajtjen, menaxhimin dhe përpunimin teknik të të dhënave.

Përbërësit Kryesorë për Verifikim në një Marrëveshje të Përpunimit të të Dhënave

Para nënshkrimit të një DPA me ofruesin e shërbimeve hosting ose teknologjisë, kompanitë duhet të rishikojnë me kujdes elementët kontraktualë për t’u siguruar që përputhen me kërkesat e GDPR:

• Udhëzimet për Përdorim: Këto duhet të përcaktojnë hapur që përpunuesi vepron vetëm sipas udhëzimeve të dokumentuara të drejtuesit. Kjo kufizon aktivitetet e pamerituara ose të papërshtatshme të përpunimit.
• Kategoritë e të Dhënave Personale: Identifikimi i qartë i llojeve të të dhënave personale që do të përpunohen, si detajet e klientit, informacioni i pagesës ose regjistrimet e punonjësve.
• Qëllimet e Përdorimit: DPA duhet të përcaktojë qartë qëllimet për të cilat të dhënat përpunohen—çdo gjë jashtë këtij kuadri mund të studiohet si rrezik ligjor për drejtuesin.
• Maserat e Sigurisë: Përshkrim i detajuar i masave teknike dhe organizative (TOMs) që ofruesi përdor për të mbrojtur të dhënat, si enkriptimi, kontrolli i aksesit, dhe vlerësimet e rregullta të dobësive.
• Konfidencialiteti: Detyrimet për personelin e përpunuesit për të ruajtur konfidencialitetin përmes marrëveshjeve të duhura.
• Menaxhimi i Sub-përpunuesve: Lista e sub-përpunuesve të miratuar ose një angazhim për të njoftuar dhe marrë miratimin e kontrolluesit para rekrutimit të sub-përpunuesve të rinj. Kjo siguron transparencën e rrjedhës së të dhënave.
• Transferimet Ndërkombëtare të të Dhënave: Klauzola që trajton procesimin ndërkombëtar të të dhënave, duke përfshirë mekanizmat si Klauzolat Standarde të Kontratës (SCC), për të siguruar përputhshmëri kur të dhënat kalojnë jashtë Rezervës Ekonomike Evropiane (REE).
• Njoftimi i Shkeljes së të Dhënave: Angazhimet e ofruesit për të informuar shpejt kontrolluesin për çdo shkelje të të dhënave personal, duke përfshirë afatet dhe detajet e nevojshme për raportimin rregullator.
• Ndihma në të Drejtat e Subjekteve të të Dhënave: Si do të ndihmojë përpunuesi kontrolluesin në përgjigje të kërkesave për akses, korrigjim, fshirje, ose njështrimin e të dhënave nga subjektet e të dhënave.
• Returnimi ose Fshirja e të Dhënave: Udhëzime mbi mënyrën dhe kohën kur do të fshihen ose kthehen të dhënat personale pas përfundimit të kontratës.
• Të Drejtat për Auditin dhe Inspektimin: Aftësia për të kontrolluar nga drejtuesit përpunuesit ose për të kërkuar dokumentacion për të vërtetuar përputhshmëri të vazhdueshme.

Vlerësimi i Marrëveshjeve me Sub-përpunuesit

Sub-përpunuesit luajnë rol të rëndësishëm kur ofruesit e hostingut ose cloud-it shkyçin në pjesë të procesimit të të dhënave. Kompanitë duhet të:

• Kërkojnë transparencë dhe përditësime të rregullta për subprocessoret e përfshirë.
• Konfirmojnë që subprocessoret janë të detyruar nga detyrime të përputhshme me GDPR si ato në DPA kryesorë.
• Vlerësojnë nëse ofruesi lejon zgjedhjen nga subprocessoret të vecantë ose kërkon marrëveshje të drejtpërdrejtë me ta.
• Verifikojnë që subprocessoret i përmbahen të njëjave standarte sigurie dhe masave mbrojtëse të të dhënave.

Pse të jeni veçanërisht të kujdesshëm për dispozitat e sigurisë dhe auditit?

MMG nuk është vetëm një bazë kontraktuale, por përputhshmëria me GDPR varet shumë nga masat teknike dhe organizative të zbatuara. Kompanitë duhet të:

• Korrilojnë masat e sigurisë së përmendura në DPA me certifikatat e ofruesit (ISO 27001, SOC 2, etj.) dhe raportet e auditit të pavarur.
• Sigurojnë që klauzolat e auditit lejojnë inspektime të rregullta ose ad hoc, qoftë në distancë ose në vend, për të verifikuar përputhshmërinë.
• Pyetjes në lidhje me mënyrën se si ofruesi menaxhon incidente sigurie dhe publikimin e dobësive.

Raportimi i Shkeljes së të Dhënave: Komunikim i Saktë dhe Transparant

GDPR kërkon që drejtuesit të raportojnë shkelje të caktuara të të dhënave brenda 72 orësh pasi të bëhen të vetëdijshëm. Ofruesit që veprojnë si përpunues duhet të angazhohen të njoftojnë kontrolluesin pa vonesë të panevojshme. Një DPA duhet të:

• Përcaktojë afate të qarta për njoftim dhe procedura eskalimi.
• Detajojë llojin e informacionit që duhet të jepet, si shtrirja e shkeljes, kategoritë e të dhënave të prekur, dhe masat e rimëkëmbjes që janë ndërmarrë.

Ndihma për të Drejtat e Subjekteve të Të Dhënave

Drejtuesit janë përgjegjës për përgjigjen ndaj kërkesave të subjekteve të të dhënave. Megjithatë, përpunuesit duhet të:

• Ofrojnë qasje në të dhënat relevante kur kërkohet.
• Mbështesin korrigjimin, fshirjen dhe veprime të tjera të të drejtave.
• Sigurojnë që të dhënat janë të disponueshme dhe të aksesueshme, duke ruajtur standardet e të dhënave të portabilitetit.

Returnimi ose Fshirja e të Dhënave Pas Fundit të Kontratës

Drejtuesit duhet të verifikojnë që DPA përmban dispozita të qarta për atë që ndodh me të dhënat personale pas përfundimit të shërbimeve. Kjo përfshin shpesh:

• Opsione për kthimin e të dhënave në një format të strukturuar dhe të përdorshëm.
• Procedura të sigurta për fshirjen që sigurojnë që kopje të papërpunuara nuk mbeten në sistemet e kopjimit ose arkivimit.

Zgjedhja e një Ofruesi Hosting që Përputhet me GDPR: Lidhje e Relevancës për Eurhosting.net

Zgjedhja e një ofruesi hosting ose cloud që kupton thellësisht kërkesat e GDPR dhe sovranitetin e të dhënave është një vendimmarrje kyçe. Ofruesit si Eurhosting.net janë të specializuar në infrastrukturë që përmbush kritere të rrepta të privatësisë dixhitale evropiane. Ofertat e tyre përfshijnë kushte të qarta të DPA-së, garantime të vendndodhjes së të dhënave dhe masa të forta sigurie të përshtatura për bizneset evropiane që duan të kontrollojnë gjurmën e të dhënave të tyre.

Këshilla Praktike Para Nënshkrimit të një DPA

• Përfshini oficerët tuaj ligjorë dhe të mbrojtjes së të dhënave herët për të rishikuar marrëveshjen.
• Kërkoni sqarime ose ndryshime për klauzola të paqarta, posaçërisht rreth subprocessorëve dhe njoftimeve për shkelje.
• Përputhni kushtet e DPA me dokumentacionin teknik të sigurisë së ofruesit.
• Vlerësoni strategjitë e monitorimit të vazhdueshëm për të siguruar që përputhshmëria është jo vetëm kontraktuale por edhe praktike.

Për studim të mëtejshëm, bizneset mund të konsultohen me burime të detajuara mbi GDPR dhe udhëzimet rregullatore. Një vend fillestar i dobishëm është kërkimi në Google për kërkesat e Marrëveshjes së Përpunimit të të Dhënave nën GDPR, e cila mban të përditësuar analizat ligjore, modelet dhe komentimet ekspertësh.