Pogodba o obdelavi osebnih podatkov ni formalnost
Vsak ponudnik, ki v vašem imenu obdeluje osebne podatke, potrebuje pogodbo po 28. členu GDPR. Kaj mora vsebovati in kdo odgovarja ob incidentu.
Podjetja pogodbo o obdelavi običajno podpišejo, ne da bi jo prebrala — največkrat je priloga k splošnim pogojem ponudnika. Ob incidentu se izkaže, da je odgovornost razporejena drugače, kot so mislila.
Pogodba mora določati predmet in trajanje obdelave, vrste podatkov in kategorije posameznikov, navodila upravljavca, obveznost zaupnosti, varnostne ukrepe, pravila o podobdelovalcih in usodo podatkov ob prenehanju pogodbe.
Najpomembnejši je rok, v katerem vas mora obdelovalec obvestiti o kršitvi. Upravljavec ima za prijavo nadzornemu organu dvainsedemdeset ur — če ponudnik obvešča »brez nepotrebnega odlašanja«, je rok že zamujen.
