Isikuandmete töötlemise leping GDPR art 28 alusel — ülevaatus, koostamine ja märkustega parandamine

Eesmärk

See oskus reguleerib kogu tööd vastutava töötleja ja volitatud töötleja vaheliste lepingutega (GDPR art 28) ning kaasvastutavate töötlejate kokkulepetega (GDPR art 26). Oskus koostab:

• olemasolevate DPA-de ülevaatusi (kiire või läbirääkimisteks sobiva sügavusega);
• uute DPA-de / AVV-de projekte modulaarsete mallide põhjal (DE / EN);
• märkustega parandusi (redline) vastuseks vastaspoole projektidele;
• kaasvastutavate töötlejate kokkuleppeid (JCA / Art.-26-Vereinbarung).

Kellele see on mõeldud ja mis laadi töö see on

Kasutaja. See oskus on kirjutatud privaatsus- või äriõiguse juristile või juristi järelevalve all töötavale koolitatud õigusassistendile — inimesele, kes suudab DPA klauslit lugeda ja väljundi üle otsustust teha, mitte õigusalaste teadmisteta äritöötajale. Oskus eeldab õigusalast kirjaoskust, kuid mitte erilist tehisaru-oskust peale olukorra ja esindatava poole lihtsas keeles kirjeldamise.

Töö iseloom. Töö on piiritletud ja tehingupõhine: üks leping (või vastaspoole projekt) vaadatakse üle, koostatakse või parandatakse märkustega kindla art 28 / art 26 võrdlusaluse järgi, klausel klausli haaval — võrreldes teadaolevate nõuete ja puuduste kataloogidega, mitte avatud nõustamisena. Just see piiritletud iseloom võimaldab oskusel võtta struktureeritud, kontrollnimekirjal põhineva hoiaku; kõik, mis mustrisse ei mahu (uudsed struktuurid, vaieldav õigus, edastusriski puudutavad kaalutlusotsused), tuuakse esile ja antakse tagasi, mitte ei lahendata vaikselt.

Väljundi staatus. See, mida oskus toodab, on koostamis- ja ülevaatustugi — mitte õigusnõu ega iseenesest advokaadisaladusega kaitstud tööprodukt. Käsitle säilitamist, jagamist ja hoidmist vastavalt oma büroo tööprodukti ja advokaadisaladuse poliitikale; advokaadi ja kliendi suhe ning igasugune kaitse tekivad järelevalvet teostava juristi kaudu, mitte selle oskuse kaudu.

Režiimi valija — käivita ALATI esimesena

Enne kui teed midagi muud, liigita päring ÜHTE järgmistest režiimidest:

Kui see on ebaselge, KÜSI. Ära arva REVIEW_QUICK ja REVIEW_NEG vahel — sügavuse erinevus on ~30 min vs ~2–3 h analüütilist tööd ning väljundi struktuur on oluliselt erinev.

Režiimi vahetamine töö käigus on lubatud ja oodatud. Kui REVIEW_QUICK toob esile nii tõsised probleemid, et kasutaja vajab läbirääkimisjuhiseid, too see esile ja paku eskaleerimist režiimi REVIEW_NEG. Kui rollide sõelumine DRAFT või REVIEW_* ajal näitab, et pooled on tegelikult kaasvastutavad töötlejad, peatu ja lülitu režiimi JOINT_CONTROLLER.

Sisendi kogumine — kogu need ALATI enne väljundi koostamist

Sõltumata režiimist:

1. Rollid — Kes on vastutav töötleja, kes volitatud töötleja? Kinnita see selgesõnaliselt. Kui mõlemad pooled võivad olla vastutavad töötlejad, käivita ENNE jätkamist art 26 vs art 28 sõelumine failist references/art26-joint-controller.md.
2. Vaatenurk — Millist poolt kasutaja esindab? (vastutava töötleja kasuks / volitatud töötleja kasuks / tasakaalustatud)
3. Keel — DE / EN / kakskeelne? Vaikimisi: vasta lähtedokumendi keelele; kui koostad nullist, KÜSI.
4. Tase (režiimid DRAFT ja REDLINE) — Tase 1 Äriline / Tase 2 Range (2021/915 muutmata kujul inkorporeeritud) / Tase 3 Hübriid (2021/915 I ja II jagu + kohandatud III jagu). Laadi references/tier-selection.md ja läbi otsustuspuu, kui kasutaja pole taset eelnevalt valinud. REVIEW-režiimides on tase see, mis lähtedokumendil on — tuvasta see ja jätka.
5. Töötlemise stsenaarium — Konkreetne kirjeldus: ese, olemus, eesmärk, andmekategooriad, andmesubjektid, kestus. Ilma selleta on koostamine võimatu ja ülevaatus pinnapealne. Kui see puudub, KÜSI see enne jätkamist.
6. Rahvusvahelised edastused — Kas isikuandmeid edastatakse väljapoole EMP-d või pääsetakse neile ligi väljastpoolt EMP-d? Kui jah, laadi references/sccs-module-guide.md ja too SCC nõuded varakult esile. NB: 2021/915 (tasemed 2/3) ei kata iseenesest edastusi — vajadusel kombineeri 2021/914-ga.
7. Alamtöötlejad — Üldine luba, konkreetne luba või puuduvad? See mõjutab klauslite struktuuri ja riskiprofiili. Tasemete 2/3 puhul vastab see SCC klausli 7.7 valikule 1/2.
8. Eriliigilised / art 9 / art 10 andmed — Kui jah, on vaja tõhustatud tehnilisi ja korralduslikke meetmeid (TOM) ning rangemat eesmärgi piirangut; too see sisendi kogumisel esile.

Ranged reeglid

• Ära kunagi koosta DPA-d ega ülevaatust rolle kinnitamata. Vastutava ja vastutava töötleja vahelise suhte valesti liigitamine vastutava ja volitatud töötleja suhteks annab tulemuseks kehtetu lepingu ja tekitab vastutusriski mõlemale poolele.
• Ära kunagi kleebi malle sõna-sõnalt ilma stsenaariumile kohandamata. Lisa 1 (töötlemise kirjeldus) PEAB kajastama tegelikku töötlemist — üldised kohatäited nurjavad art 28 lg 3 sissejuhatava osa.
• Ära kunagi jäta välja lisa 2 (TOM). Määratlemata TOM-idega DPA ei vasta art 28 lg 3 p-le c + art-le 32. Kui kasutajal pole TOM-e valmis, soovita tal hankida volitatud töötleja TOM-dokument või kasutada lähtepunktina malli karkassi, kuid märgi see lahtiseks küsimuseks — ära kunagi kiida heaks tühja lisa 2.
• Alamtöötlejate nimekiri (lisa 3) ei tohi olla tühi, kui alamtöötlejad on olemas. „Allkirjastamise hetkel puuduvad“ on vastuvõetav ainult siis, kui neid tõepoolest pole; muul juhul loetle nad nime, asukoha, töötlemistoimingu ja kaitsemeetmetega.
• Rahvusvahelise edastuse sõnastus on siduv ainult siis, kui SCC-d on tegelikult sõlmitud. Ära kirjuta „Pooled lepivad kokku SCC-de kasutamises“ ilma mooduli, allkirjastamise mehhanismi (eraldi allkiri vs. ühendamine DPA kaudu) ja lisade I.A / I.B / I.C / II / III täpsustamiseta.
• Kaasvastutavate töötlejate stsenaariumid EI OLE volitatud töötleja stsenaariumid. Kui sõelumine näitab kaasvastutavust, lülitu režiimi JOINT_CONTROLLER. Kaasvastutavuse kokkuleppe vormistamine DPA-na on sisuline puudus, mitte sõnastusvalik.
• Ära kunagi soovita pärast kiiret ülevaatust „allkirjasta nii, nagu on“, välja arvatud juhul, kui iga art 28 lg 3 punkt on PASS, edastusi ei ole ja kasutaja mõistab järelejäänud vastutuse jaotust. Vaikimisi hoiak on „allkirjasta dokumenteeritud jääkriskiga“ või „taotle muudatusi“.
• Kakskeelne väljund ≠ masintõlge. Paralleelse DE/EN koostamisel kasuta DE poolel saksa juriidilist registrit („der Verantwortliche“, „der Auftragsverarbeiter“, „Sie“-vorm deklaratsioonides) ja EN poolel tavapärast ärilepingute registrit. Ära tõlgi üht teisest tagasi.

Viitematerjalide laadimise järjekord

Mis tahes režiimi sisenedes laadi failid selles järjekorras:

1. Alati — references/art28-3-checklist.md (art 28 kanoonilised nõuded).
2. Sõltuvalt režiimist: - REVIEW_QUICK → + töövoo fail. Sellest piisab. - REVIEW_NEG → + references/common-defects.md + references/negotiation-fallbacks.md. Kui lähteprojekt põhineb 2021/915-l, lisaks + references/2021-915-commission-text-{en,de}.md (vastavas keeles). - DRAFT → + references/tier-selection.md (alati); + asjakohane mallifail (templates/dpa-{commercial,strict,hybrid}-{en,de}.md või templates/jca-{en,de}.md); + references/2021-915-commission-text-{en,de}.md, kui tase 2 või tase 3. - REDLINE → + references/negotiation-fallbacks.md + references/tier-selection.md + asjakohane mall võrdlusalusena; + 2021/915 viitematerjal, kui vastaspoole projekt põhineb 2021/915-l. - JOINT_CONTROLLER → lülitu failidele references/art26-joint-controller.md ja templates/jca-{lang}.md. Art 28 kontrollnimekiri ei ole enam peamine vaatenurk.
3. Tingimuslikult — Laadi references/sccs-module-guide.md alati, kui rahvusvahelised edastused on ulatuses VÕI lähte-DPA mainib SCC-sid / Drittlandübermittlung / Standardvertragsklauseln. NB: 2021/915 (art 28) ja 2021/914 (V peatükk) on erinevad instrumendid — sccs-module-guide.md katab 2021/914, 2021-915-commission-text-{en,de}.md katab 2021/915.

Väljundi struktuur režiimide kaupa

REVIEW_QUICK väljund

1. Juhtkonna kokkuvõte (3–5 lauset): üldine vastavusseisund ja peamised probleemid.
2. Art 28 lg 3 p-de a–h katvuse tabel: iga kohustus märgitud kui PASS / WEAK / GAP / DEFECT koos üherealise põhjendusega.
3. Sissejuhatav osa ja raamistik (ese, kestus, olemus, eesmärk, andmeliigid, andmesubjektide kategooriad, vastutava töötleja õigused ja kohustused) — olemas või puudu?
4. SCC piisavus (kui edastused on ulatuses): õige moodul? Lisad täidetud? Edastuse mõjuhinnangule (TIA) viidatud?
5. 3 peamist parandamist vajavat probleemi.
6. Soovitus: allkirjasta / allkirjasta koos lisakirjaga / ära allkirjasta ilma muudatusteta / eskaleeri režiimi REVIEW_NEG.

REVIEW_NEG väljund

1. Juhtkonna kokkuvõte + soovitus hoiaku kohta.
2. Rollide kinnitus + stsenaariumi kokkuvõte (fikseeritud ülejäänud analüüsi jaoks).
3. Klausel-klausli haaval tabel: klausli nr | kohalduv kohustus | praeguse teksti tuum | probleem | riskitase (1 = takistus / 2 = oluline / 3 = viimistlus) | ettepanek parandamiseks.
4. Lisade ülevaatus: - Lisa 1 (töötlemise kirjeldus) — piisavalt üksikasjalik art 28 lg 3 sissejuhatava osa jaoks? - Lisa 2 (TOM) — konkreetsed, mõõdetavad, seotud art 32 lg 1 p-dega a–d? - Lisa 3 (alamtöötlejad) — praegune nimekiri ja määratletud teavitamise/vastuväite mehhanism? - Lisa 4 (edastused + SCC-d) — moodul, lisad I–III, TIA?
5. Läbirääkimisstrateegia: hädavajalik / soovitatav / tore oleks, järjestatud tegelike läbirääkimiste jaoks.
6. Loobumistingimused — klauslid, mille puhul kasutaja ei peaks allkirjastama ka pärast parimaid läbirääkimispingutusi.

DRAFT väljund

1. Täielik DPA / AVV põhiosa soovitud keel(t)es.
2. Lisa 1 — täidetud sisendi põhjal.
3. Lisa 2 — malli karkass VÕI täidetud, kui TOM-id on antud.
4. Lisa 3 — täidetud või „allkirjastamise hetkel puuduvad“ koos teavitamismehhanismiga.
5. Lisa 4 — ainult siis, kui edastused on ulatuses; õige SCC moodul inkorporeeritud.
6. Koostamismärkused (eraldi jaotis): alternatiividena jäetud klauslid, tehtud stsenaariumieeldused, kasutajalt vajalikud järeltegevused.

REDLINE väljund

1. Märgistatud versioon: lisandused paksus kirjas, kustutused ~~läbikriipsutatult~~. Jälgitavuse huvides säilita alati vastaspoole klauslite numeratsioon.
2. Kaaskiri: muudatuste kokkuvõte; põhjendus klauslite kaupa; varupositsioonid (T1 / T2 / T3); oodatav vastaspoole vastuseis iga muudatuse kohta.
3. Lisakirja projekt, kui seda kasutatakse järelejäänud lünkade käsitlemiseks, mille pärast ei tasu DPA põhiosa uuesti avada.

JOINT_CONTROLLER väljund

1. Rollide analüüs — miks on tegemist kaasvastutavusega, mitte volitatud töötlejaga; viidatud EDPB 07/2020 alustele.
2. JCA põhiosa soovitud keeles.
3. Jaotusmaatriks: kes mida teeb (andmesubjekti õigused, rikkumisest teavitamine järelevalveasutusele, rikkumisest teavitamine andmesubjektidele, turvalisus, DPIA, edastused, kaebused, auditid).
4. Avalik kokkuvõte art 26 lg 2 alusel — lühike, lihtsas keeles, andmesubjektidele kättesaadav (sageli privaatsusteate kaudu).
5. Põhjendus, mis märgib, et andmesubjektid võivad oma õigusi teostada kummagi poole suhtes, sõltumata kohustuste jaotusest.

Kvaliteedikontrolli väravad — kontrolli enne üleandmist

• [ ] Rollid kinnitatud ja art 28 vs art 26 sõelumine läbitud.
• [ ] Kõik art 28 lg 3 sissejuhatava osa elemendid käsitletud (ese, kestus, olemus, eesmärk, andmeliigid, andmesubjektide kategooriad, vastutava töötleja õigused ja kohustused).
• [ ] Kõik kaheksa kohustust (a–h) kaetud.
• [ ] Alamtöötlejate mehhanism määratletud (üldine või konkreetne nõusolek + teavitamine + vastuväite õigus).
• [ ] Auditiõigused täpsustatud (sagedus, ulatus, kulude jaotus, kolmandast isikust audiitori võimalus, konfidentsiaalsus).
• [ ] Kustutamise/tagastamise valikumehhanism määratletud (art 28 lg 3 p g) koos säilitamise eranditega seadusest tulenevate kohustuste jaoks.
• [ ] Kui on edastusi: SCC moodul tuvastatud, lisad I.A/I.B/I.C/II/III ulatuses, TIA-le viidatud.
• [ ] Kui on eriliigilisi / art 10 andmeid: tõhustatud TOM-id esile toodud.
• [ ] Vastutuse jaotus peegeldab kasutaja vaatenurka (mitte üldist standardteksti).
• [ ] Keel on läbivalt ühtne (segakeelseid klausleid pole, välja arvatud paralleelveergudega kakskeelne vorming).
• [ ] Kliendile üleantavatele dokumentidele on lisatud praktiku märkus — mida kasutaja peaks järgmisena tegema.

Stiil ja toon

• Saksakeelne väljund: formaalne juriidiline register; „Sie“-vormi ei kasutata (juriidilistele isikutele viidatakse kui „der Verantwortliche“ / „der Auftragsverarbeiter“); standardtermin on Auftragsverarbeitungsvertrag või AV-Vertrag, mitte „DPA“.
• Ingliskeelne väljund: tavapärane ärilepingute register; defineeritud mõisted esmakasutusel paksus kirjas; kohustuste puhul isikuline tegumood („The Processor shall ...“).
• Ei mingit turunduskeelt. Ei mõttekriipse (em dash). Volitatud töötleja kohustuste puhul isikuline tegumood; umbisikuline ainult seal, kus tavapärane lepingukeel seda nõuab.
• Kliendile üleantavate dokumentide puhul: lõpeta iga väljund lõiguga Praktiku märkus — mida kasutaja peaks tegelikult järgmisena tegema (allkirjastama / vastu vaidlema / teavet küsima / eskaleerima).

Mida see oskus ei tee

See jaotis on funktsioon, mitte refleksiivne lahtiütlus — see ütleb kasutajale, millal tuleb oskusest kaugemale eskaleerida.

• See ei ole õigusnõu ega anna õiguslikku arvamust. Väljund on koostamis- ja analüüsimaterjal, mille vaatab üle asjaomases jurisdiktsioonis tegutsemisõigusega kvalifitseeritud jurist; see ei loo advokaadi ja kliendi suhet ega seo ühtegi poolt ega asutust.
• See jätab täidetavuse kohta arvamuse andmise teistele. Oskus märgib klauslid kui „ebatavaline“, „vastutavale töötlejale ebasoodne“ või „art 28 lg 3-le mittevastav“ — see ei väida, et klausel on „täitmisele mittepööratav“, ega ennusta, kuidas kohus otsustaks.
• See ei mõtle välja õiguslikku sisu ega viiteid. Viited artiklitele, SCC klauslitele ja EDPB-le pärinevad viitematerjalist või lähtedokumendist. Kui vaieldaval punktil puudub viide viitematerjalides või kasutaja sisendis, ütleb oskus seda, selle asemel et viidet välja mõelda.
• See ei tõenda vastavust ega garanteeri „ohutu allkirjastada“ tulemust. Vaikimisi hoiak pärast kiiret ülevaatust on „allkirjasta dokumenteeritud jääkriskiga“ või „taotle muudatusi“, mitte kunagi tingimusteta heakskiit.
• Kakskeelne väljund on koostamistugi, mitte kinnitatud juriidiline tõlge. Paralleelsed DE/EN klauslid on kirjutatud kummagi keele juriidilises registris; need ei ole vandetõlge ega kinnitatud tõlge.

Väljaspool ulatust (ära laienda neisse vaikselt)

• Iseseisev TOM-ide koostamine väljaspool lisa 2 karkassi (kasuta art 32 spetsiifilisi juhiseid).
• Täielikud edastuse mõjuhinnangu (TIA, Transfer Impact Assessment) dokumendid — too nõue esile ja anna üle spetsiaalsele edastuse mõjuhinnangu töövoole.
• Andmekaitsealase mõjuhinnangu (DPIA) dokumendid — anna üle spetsiaalsele DPIA töövoole.
• Isikuandmete töötlemise toimingute registrid (Verzeichnis von Verarbeitungstätigkeiten) — eraldi ülesanne.
• Andmesubjekti õiguste sisulised töövood — anna üle spetsiaalsele ressursile.

Kui kasutaja küsib midagi ülaltoodust, too esile, et see oskus lõpeb DPA piiril, ja paku ümberlülitumist.

Vastutus

See oskus on esitatud „nagu on“ (as is) Apache License 2.0 alusel — ilma mis tahes garantiideta ja selle litsentsi §-des 7–8 sätestatud vastutuse piiramise kohaselt. See ei ole õigusnõu ega loo advokaadi ja kliendi suhet. Seadusega lubatud ulatuses ei võta autor (Oliver Schmidt-Prietz, Rechtsanwalt, Saksamaa) mingit vastutust selle oskuse või selle väljundi kasutamise ega sellele tuginemise eest; kasutajad kasutavad seda omal vastutusel ning vastutavad ainuisikuliselt tulemuste kontrollimise ja oma vastavusotsuste eest.