اتفاقية معالجة البيانات هي عقد مكتوب يحدد فيه المتحكم بالبيانات الشروط التي بموجبها يقوم المعالج بمعالجة البيانات الشخصية نيابةً عنه. ويجعل النظام الأوروبي العام لحماية البيانات (GDPR) هذا العقد إلزاميًا بمجرد إسناد معالجة البيانات إلى جهة خارجية، كما يحدد الجهات التي يجب أن يشملها.
الأساس القانوني
ينص البند 3 من المادة 28 من اللائحة العامة لحماية البيانات على هذا الالتزام. يجب أن يصف الاتفاق موضوع المعالجة ومدتها وطبيعتها والغرض منها، وأن يحدد أنواع البيانات الشخصية وفئات أصحاب البيانات. كما يجب أن يتضمن ثمانية تعهدات محددة: المعالجة بناءً على تعليمات موثقة فقط، والسرية، والأمان بموجب المادة 32 من اللائحة العامة لحماية البيانات، وشروط إشراك معالجين فرعيين، والمساعدة في طلبات أصحاب البيانات، والمساعدة في حالات الاختراق وتقييمات الأثر، وإعادة البيانات أو حذفها بعد انتهاء الخدمة، وإتاحة المعلومات للتدقيق. وتضيف المادة 1 من المادة 28 أنه لا يجوز استخدام إلا المعالجين الذين يقدمون ضمانات كافية.
كيف يعمل في الممارسة
يشمل هذا البند تقريبًا جميع ترتيبات الاستعانة بمصادر خارجية: الرواتب، والاستضافة، ومزود نظام إدارة علاقات العملاء، والشركة التي تتلف أرشيفاتك. يستخدم معظم الموردين نموذجًا خاصًا بهم، مرفقًا كملحق بالعقد الرئيسي. هذا النموذج قابل للتفاوض، حتى وإن عُرض على أنه ثابت. انتبه جيدًا للملحق الذي يصف عمليات المعالجة: يجب أن يعكس ما يحدث فعليًا، وليس وصفًا عامًا يناسب جميع العملاء. تتطلب عمليات النقل خارج المنطقة الاقتصادية الأوروبية أساسًا إضافيًا، عادةً ما يكون البنود التعاقدية القياسية للمفوضية الأوروبية.
أين يحدث الخطأ
تتكرر ثلاثة أخطاء. أولها توقيع اتفاقية معالجة بيانات مع جهة ليست في الواقع جهة معالجة، بل تحدد الأغراض والوسائل بنفسها؛ مما يجعلها جهة تحكم مشتركة، تخضع لقواعد مختلفة. ثانيها منح تفويض شامل لجهات معالجة فرعية، ما يعني فقدان السيطرة على مكان تخزين البيانات فعليًا. ثالثها جدول أمني يشير فقط إلى "التدابير المناسبة" دون تحديد معيار ملموس واحد، ما لا يوفر أي مرجع يمكن الرجوع إليه عند وقوع حادث.
المصطلحات ذات الصلة
ترتبط اتفاقية المعالجة ارتباطًا وثيقًا بخرق البيانات الشخصية ، إذ ينبغي أن تحدد الموعد النهائي الذي يجب على المعالج إبلاغك خلاله، وكذلك بتقييم أثر حماية البيانات ، الذي يجب على المعالج تقديم معلومات بشأنه. كما تتداخل هذه الاتفاقية مع الشروط والأحكام العامة ، لأنها غالبًا ما تتعارض مع الحد الأقصى للمسؤولية في العقد الرئيسي.
لمزيد من القراءة
المزيد حول هذا الموضوع: اتفاقية معالجة البيانات (verwerkersovereenkomst) بموجب اللائحة العامة لحماية البيانات: دليل الممارسة الهولندي.
هل ترغب في مراجعة اتفاقيات معالجة البيانات الخاصة بك؟ يقوم محامونا المتخصصون في تكنولوجيا المعلومات بتقييمها والتفاوض بشأنها عند الحاجة.
