Zpracovatelská smlouva (GDPR)
čl. 28 nařízení (EU) 2016/679 (GDPR); zák. č. 110/2019 Sb.
Zpracovatelská smlouva je jediný typ smlouvy, u kterého zákon vypisuje obsah bod po bodu. Článek 28 odst. 3 GDPR jmenuje pět věcí, které musí smlouva popsat, a osm povinností, které musí uložit. Chybí-li kterákoli, smlouva požadavky nesplňuje — a to není otázka vkusu, ale nařízení.
Co má zpracovatelská smlouva (GDPR) obsahovat
1. Předmět a doba zpracováníčl. 28 odst. 3 GDPR
Co zpracovatel dělá a jak dlouho. Doba může být navázána na trvání hlavní smlouvy, ale musí být určitelná.
2. Povaha a účel zpracováníčl. 28 odst. 3 GDPR
Jaké operace se s údaji provádějí (ukládání, zpřístupňování, výmaz) a k čemu je správce zpracovává.
3. Typy osobních údajů a kategorie subjektůčl. 28 odst. 3 a čl. 9 GDPR
Vyjmenujte konkrétní údaje — jméno, adresa, číslo účtu — a čí jsou: zaměstnanci, zákazníci, uchazeči. Obecné „osobní údaje" nestačí. Zahrnuje-li zpracování zvláštní kategorie podle čl. 9, uveďte to výslovně.
4. Zpracování jen na doložené pokyny správcečl. 28 odst. 3 písm. a)
První z osmi povinností. Zpracovatel nesmí s údaji nakládat po svém, včetně předání do třetí země.
5. Mlčenlivost oprávněných osobčl. 28 odst. 3 písm. b)
Osoby, které se k údajům dostanou, musí být vázány mlčenlivostí — smluvně nebo ze zákona.
6. Konkrétní technická a organizační opatřeníčl. 28 odst. 3 písm. c) a čl. 32
Ne odkaz na čl. 32, ale výčet toho, co je skutečně zavedeno: šifrování v úložišti i při přenosu, řízení přístupových práv, zálohy a testovaná obnovitelnost, dvoufaktorové ověření.
7. Režim dalších zpracovatelůčl. 28 odst. 2 a odst. 3 písm. d)
Buď konkrétní souhlas pro každého, nebo obecné povolení s povinností oznámit změnu a s právem správce vznést námitku. Na subdodavatele musí být přeneseny tytéž povinnosti.
8. Součinnost při právech subjektů údajůčl. 28 odst. 3 písm. e)
Zpracovatel pomáhá správci vyřídit žádosti o přístup, opravu nebo výmaz. Uveďte lhůtu — správce má na vyřízení jeden měsíc a potřebuje podklady dřív.
9. Ohlašování porušení zabezpečeníčl. 28 odst. 3 písm. f) a čl. 33
Uveďte lhůtu v hodinách. Správce musí ohlásit dozorovému úřadu do 72 hodin od okamžiku, kdy se o porušení dozvěděl — pokud mu zpracovatel slíbí jen „bez zbytečného odkladu", nemá jak lhůtu dodržet.
10. Výmaz nebo vrácení údajů po skončeníčl. 28 odst. 3 písm. g)
Volbu činí správce, nikoli zpracovatel. Uveďte i lhůtu a to, že se mažou i kopie a zálohy.
11. Doložení souladu a právo na auditčl. 28 odst. 3 písm. h)
Zpracovatel musí poskytnout informace potřebné k doložení splnění povinností a umožnit audit. Upravte praktické podmínky — oznámení předem, četnost, náklady.
Časté chyby
Smlouva, která jen opisuje nařízeníEDPB Guidelines 07/2020
Nejčastější vada. Evropský sbor pro ochranu osobních údajů výslovně uvádí, že smlouva nemá text čl. 28 opakovat, ale konkrétně popsat, jak budou požadavky splněny. Věta „zpracovatel přijme vhodná technická opatření" neříká správci nic, co by nevěděl už ze zákona.
Uzavření zpracovatelské smlouvy tam, kde nepatříčl. 4 bod 7 a 8 GDPR
Zpracovává-li druhá strana údaje pro vlastní účely, jde o samostatného správce a čl. 28 se nepoužije. Zpracovatelská smlouva mezi dvěma správci je nadbytečná a vytváří falešný dojem, že je vztah ošetřen.
Ohlašování incidentu „bez zbytečného odkladu"čl. 33 GDPR
Pro správce nepoužitelné. Jeho vlastní lhůta je 72 hodin od zjištění, takže potřebuje od zpracovatele zprávu řádově dřív — v praxi do 24 nebo 48 hodin.
Paušální souhlas se subdodavateličl. 28 odst. 2 GDPR
Obecné povolení je přípustné, ale musí být doprovázeno oznamováním změn a právem správce vznést námitku. Bez toho správce ztrácí přehled o tom, kdo s údaji nakládá.
Předání mimo EHP bez mechanismučl. 44–49 GDPR
Souhlas správce sám o sobě nestačí. Je třeba uvést rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo závazná podniková pravidla. Odkaz na Safe Harbor nebo Privacy Shield je neplatný — obě rozhodnutí byla zrušena.
Vyloučení odpovědnosti zpracovatelečl. 82 GDPR
Vůči subjektům údajů je takové ujednání neúčinné. Zpracovatel odpovídá za újmu, pokud nedodržel povinnosti uložené přímo jemu nebo jednal mimo pokyny správce.
Jak si připravit návrh v Právo365
- Vyberte typ smlouvy — Zpracovatelská smlouva (GDPR).
- Vyplňte údaje o stranách, předmětu a ceně. Povinná pole vás nepustí dál prázdná.
- Projděte si výstup, doplňte označená místa a exportujte do DOCX nebo PDF.
Výstup je pracovní návrh s odkazy na příslušná ustanovení, nikoli hotový dokument k okamžitému podpisu. Před použitím jej doporučujeme nechat zkontrolovat advokátem.
Časté otázky
Kdy zpracovatelskou smlouvu potřebuji?
Vždy, když pro vás někdo zpracovává osobní údaje — účetní, mzdová firma, poskytovatel cloudu, e-mailingový nástroj, vývojář se přístupem k produkční databázi. Nepotřebujete ji tam, kde druhá strana zpracovává údaje pro sebe.
Musí být písemná?
Ano, ale postačí elektronická forma podle čl. 28 odst. 9 GDPR.
Stačí mi vzor z internetu?
Jako kostra ano, jako hotový dokument ne. Vzory bývají opisem nařízení a neobsahují to podstatné — jmenovaná bezpečnostní opatření, konkrétní lhůty a seznam subdodavatelů. Právě to od smlouvy dozorový úřad čeká.
Co když zpracovatel používá subdodavatele?
Musí mít vaše povolení — konkrétní pro každého, nebo obecné s oznamováním změn a vaším právem vznést námitku. Na subdodavatele musí přenést tytéž povinnosti, které má sám.
Jak rychle mi musí zpracovatel nahlásit únik dat?
Zákon říká „bez zbytečného odkladu", ale vy máte na ohlášení úřadu 72 hodin. Ve smlouvě si proto sjednejte konkrétní lhůtu v hodinách, typicky 24 nebo 48.
Kdo rozhoduje, zda se údaje po skončení smažou nebo vrátí?
Správce. Čl. 28 odst. 3 písm. g) dává volbu jemu, nikoli zpracovateli.
Připraveno začít?
Vyplňte údaje a Právo365 sestaví strukturovaný návrh podle českého práva během několika minut.
Související vzory
- Smlouva o mlčenlivosti (NDA) — § 1746 odst. 2, § 504, § 2976 zák. č. 89/2012 Sb.
- Smlouva o poskytování služeb — § 1746 odst. 2 a § 2430 a násl. zák. č. 89/2012 Sb., občanský zákoník
- Licenční smlouva — § 2358–2383 zák. č. 89/2012 Sb. a zák. č. 121/2000 Sb., autorský zákon
- Kupní smlouva — § 2079–2183 zák. č. 89/2012 Sb., občanský zákoník
Tato stránka má informativní charakter a popisuje obecnou právní úpravu. Neposkytuje právní poradenství ve smyslu zák. č. 85/1996 Sb., o advokacii, a nenahrazuje posouzení konkrétního případu advokátem.