データ処理契約

データ処理契約とは、データ管理者が処理者に対し、個人データの取り扱いに関する条件を定める書面による契約です。GDPR（一般データ保護規則）は、データ処理を外部委託する時点でこの契約を義務付け、契約に含めるべき事項を規定しています。

法的根拠

この義務は、一般データ保護規則第28条(3)に規定されています。契約書には、処理の対象、期間、性質、目的を記載し、個人データの種類とデータ主体のカテゴリーを特定する必要があります。また、文書化された指示に基づく処理のみ、機密保持、GDPR第32条に基づくセキュリティ、下請け業者の利用条件、データ主体の要求への対応、違反および影響評価への対応、契約終了後の返却または削除、監査のための情報提供という8つの具体的な約束事項を含める必要があります。第28条(1)では、十分な保証を提供する処理業者のみを利用できると規定されています。

それが実際にどのように機能するか

ほぼすべての外部委託契約が対象となります。給与計算、ホスティング、CRMサプライヤー、アーカイブのシュレッダー処理業者などです。ほとんどのサプライヤーは独自のテンプレートを使用し、それをメイン契約のスケジュールとして添付します。このテンプレートは、固定されているように見えても交渉可能です。処理作業を記述したスケジュールには特に注意してください。それは、すべての顧客に当てはまる一般的な記述ではなく、実際に行われる作業を反映したものでなければなりません。欧州経済領域外へのデータ移転には、通常、欧州委員会の標準契約条項などの追加の根拠が必要です。

どこで問題が発生するのか

3つの間違いが繰り返されています。1つ目は、実際にはデータ処理者ではないにもかかわらず、目的と手段を自ら決定する相手と処理契約を締結することです。これにより、相手は共同管理者となり、異なる規則が適用されます。2つ目は、サブプロセッサーに対して包括的な承認を与えることです。これは、データが物理的にどこに保存されているかを把握できなくなることを意味します。3つ目は、具体的な基準を一つも示さずに「適切な措置」にしか言及しないセキュリティスケジュールです。これでは、インシデントが発生した際に頼れるものが何もありません。