AVV-Generator

Umowa powierzenia przetwarzania danych (Auftragsverarbeitungsvertrag, w skrócie AVV) to jeden z najczęściej pomijanych obowiązków wynikających z DSGVO. Wszędzie tam, gdzie zewnętrzny dostawca przetwarza dane osobowe na twoje zlecenie, Art. 28 DSGVO wymaga pisemnej umowy o ustalonej minimalnej treści. Dotyczy to więcej przypadków, niż większość osób myśli: e-mail marketing, przechowywanie w chmurze, oprogramowanie księgowe, systemy obsługi klienta, hosting stron. Bez AVV przetwarzanie jest formalnie niezgodne z prawem, a w razie kontroli grożą kary pieniężne.

AVV-Generator zdejmuje z ciebie przygotowanie umowy. Prowadzi cię krok po kroku przez strony (administrator i podmiot przetwarzający), przedmiot i rodzaj przetwarzania, kategorie osób i danych, środki techniczne i organizacyjne, podwykonawców oraz klauzule prawne. Gotowe wzory dla typowych układów z dostawcami dają rozsądny punkt wyjścia.

Sercem umowy są środki techniczne i organizacyjne, czyli TOM zgodnie z Art. 32 DSGVO. Generator dzieli je na dziewięć kategorii: osiem stosowanych w praktyce (kontrola wstępu, kontrola dostępu do systemu, kontrola dostępu do danych, kontrola przekazywania, kontrola wprowadzania, kontrola zleceń, kontrola dostępności, zasada rozdzielności) oraz dodatkowo ocenę i organizację z regularnym przeglądem zgodnie z Art. 32 Abs. 1 lit. d DSGVO, szkoleniami i procedurą awaryjną. Dla każdej kategorii wybierasz odpowiednie środki, zamiast formułować je od zera.

Jeden z punktów, na których wiele AVV się wykłada, to transfer do kraju trzeciego. Gdy dostawca lub jego podwykonawca ma siedzibę poza UE, potrzebny jest ważny mechanizm transferu - decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne (SCC). Generator rozpoznaje po lokalizacji, czy zachodzi transfer do kraju trzeciego, i wskazuje, czy i jaki mechanizm jest potrzebny, żeby to nie umknęło.

Podwykonawcy są prowadzeni systematycznie. Jeśli twój dostawca sam korzysta z kolejnych dostawców, AVV musi to uregulować, razem ze zgodą i przekazaniem obowiązków dalej. Generator zarządza podwykonawcami jako listą, sprawdza ich lokalizacje pod kątem krajów trzecich i włącza ich do umowy. Do tego dochodzi lista kontrolna Art. 28 jako pomoc w sprawdzaniu, pokazująca, które kluczowe punkty twój formularz już obejmuje.

Uczciwość należy do sprawy: wygenerowana AVV to solidna podstawa oparta na DSGVO, ale w trudnych układach nie zastępuje oceny inspektora ochrony danych (Datenschutzbeauftragter) ani wyspecjalizowanego prawnika (Fachanwalt). W większości standardowych przypadków z typowymi dostawcami to dobra podstawa do pracy. Wszystko działa oszczędnie dla danych, a gotowy dokument eksportujesz jako PDF, gotowy do podpisu przez obie strony.