Čo je Sprostredkovateľ údajov (Data Processor)?
Sprostredkovateľ údajov (data processor) je subjekt, ktorý spracúva osobné údaje v mene správcu údajov. Koná výlučne na základe pokynov správcu a musí mať s ním uzavretú zmluvu o spracovaní údajov (DPA).
Definícia Sprostredkovateľ údajov
Čo je sprostredkovateľ údajov
Sprostredkovateľ údajov (anglicky data processor, v slovenskej legislatíve „sprostredkovateľ") je podľa GDPR fyzická alebo právnická osoba, orgán verejnej moci alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa (správcu). Sprostredkovateľ sám neurčuje účel ani prostriedky spracovania.
Typické príklady sprostredkovateľov
- Poskytovatelia cloudových služieb — AWS, Google Cloud, Microsoft Azure
- E-mail marketingové platformy — Mailchimp, SendGrid, Ecomail
- Účtovné služby — externá účtovná firma spracúvajúca údaje o zamestnancoch
- Webhosting — hostingová spoločnosť, na ktorej serveroch bežia údaje
- CRM systémy — Salesforce, HubSpot spracúvajúce zákaznícke dáta
Povinnosti sprostredkovateľa
Sprostredkovateľ musí: spracúvať údaje len na základe zdokumentovaných pokynov správcu, zabezpečiť dôvernosť, implementovať bezpečnostné opatrenia, nepoužiť sub-sprostredkovateľa bez súhlasu správcu a po ukončení spolupráce údaje vymazať alebo vrátiť.
Zmluva o spracovaní údajov (DPA)
Článok 28 GDPR vyžaduje, aby vzťah medzi správcom a sprostredkovateľom bol upravený zmluvou o spracovaní údajov (Data Processing Agreement). DPA musí definovať predmet a dobu spracovania, povahu a účel, typ osobných údajov, kategórie dotknutých osôb a povinnosti sprostredkovateľa.
Praktický príklad
Príklad: Vaša firma používa Mailchimp na rozosielanie newslettrov zákazníkom.
Mailchimp je v tomto vzťahu sprostredkovateľ — spracúva e-mailové adresy vašich zákazníkov podľa vašich pokynov. Vy ste správca. Musíte mať s Mailchimpom uzavretú DPA zmluvu (väčšina veľkých SaaS poskytovateľov ju ponúka ako štandardnú súčasť podmienok).
Často kladené otázky
Ako zistím, či som správca alebo sprostredkovateľ?
Ak vy rozhodujete o tom, prečo a ako sa údaje spracúvajú, ste správca. Ak spracúvate údaje podľa pokynov niekoho iného, ste sprostredkovateľ. Jedna organizácia môže byť v rôznych vzťahoch v rôznych rolách.
Čo je DPA zmluva?
Data Processing Agreement (zmluva o spracovaní údajov) je právne záväzný dokument medzi správcom a sprostredkovateľom, ktorý definuje podmienky spracovania osobných údajov. Je povinná podľa článku 28 GDPR.
Môže sprostredkovateľ dostať pokutu podľa GDPR?
Áno. Od roku 2018 GDPR ukladá priame povinnosti aj sprostredkovateľom. Za ich porušenie môžu byť sankcionovaní pokutou rovnako ako správcovia.
Súvisiace pojmy
Potrebujete pomôcť s webom?
Napíšte mi a poradím vám s vaším projektom. Prvá konzultácia je zadarmo a nezáväzná.