DPA. Acordul Obligatoriu între Operator și Procesator.

Art. 28 alin. 3 GDPR enumeră limitativ clauzele pe care trebuie să le conțină DPA-ul:

• Obiectul și durata prelucrării: ce date se prelucrează, cât timp, în ce scop
• Natura și scopul prelucrării: operațiunile concrete (stocare, transmitere, analiză)
• Tipul de date personale: date de identificare, date financiare, date de sănătate etc.
• Categoriile de persoane vizate: clienți, angajați, utilizatori, potentiali clienți
• Instrucțiunile operatorului: procesatorul prelucrează doar conform instrucțiunilor documentate ale operatorului
• Confidențialitatea: persoanele autorizate s-au angajat la confidențialitate
• Măsuri de securitate: conform art. 32 GDPR (pseudonimizare, criptare, confidențialitate, integritate, disponibilitate, rezistență)
• Sub-procesatori: condiții de autorizare și responsabilitate
• Asistență la drepturi: procesatorul asistă operatorul la exercitarea drepturilor persoanelor vizate
• Ștergere/returnare: la încetarea contractului, procesatorul șterge sau returnează toate datele
• Audit: procesatorul pune la dispoziție informațiile necesare și permite auditul

• Operator (controller): determină scopurile și mijloacele prelucrării. Exemplu: compania care colectează datele clienților
• Procesator (processor): prelucrează date în numele operatorului. Exemplu: provider de hosting, agenție de marketing, contabil extern, furnizor SaaS
• Operator asociat (joint controller): două sau mai multe entități care determină împreună scopurile și mijloacele prelucrării. Exemplu: organizatorii comuni ai unui eveniment. Necesită acord specific (art. 26 GDPR), nu DPA
• Greșeala frecventă: calificarea incorectă a relației. Dacă „procesatorul" determină de fapt scopurile prelucrării (decide ce face cu datele), este operator — și are obligații mult mai extinse

• Autorizare prealabilă specifică: operatorul aprobă fiecare sub-procesator individual. Cel mai protectiv pentru operator
• Autorizare generală: operatorul autorizează utilizarea de sub-procesatori, cu obligația procesatorului de a notifica orice adăugare/modificare. Operatorul are drept de obiecție în 30 de zile
• Obligația procesatorului: impune sub-procesatorilor aceleași obligații de protecție a datelor din DPA. Procesatorul rămâne responsabil față de operator pentru actele sub-procesatorilor
• Lista sub-procesatorilor: procesatorul menține o listă actualizată a tuturor sub-procesatorilor (nume, locație, serviciu prestat)

• Măsuri tehnice (art. 32 GDPR): criptare la repaus și în tranzit, pseudonimizare, controlul accesului, backup, teste de securitate periodice
• Măsuri organizatorice: politici de securitate, training angajați, NDA-uri cu personalul, proceduri de răspuns la incidente
• Notificarea breșelor (art. 33): procesatorul notifică operatorul „fără întârziere nejustificată" de la descoperirea breșei. Operatorul notifică ANSPDCP în maximum 72 de ore. Informații obligatorii: natura breșei, categorii și număr estimat de persoane vizate, consecințele, măsurile de remediere
• Notificarea persoanelor vizate (art. 34): dacă breșa prezintă risc ridicat, operatorul notifică direct persoanele vizate

• Dreptul de audit: operatorul are dreptul de a audita (sau de a desemna un auditor independent) respectarea DPA de către procesator. Procesatorul cooperează și furnizează toate informațiile necesare
• Alternative la audit: certificări (ISO 27001, SOC 2 Type II), rapoarte de audit terț, chestionare de compliance
• Ștergere la încetare: la încetarea DPA, procesatorul șterge toate datele personale ale operatorului, cu excepția obligaților legale de păstrare. Certificare scrisă de ștergere
• Returnare la încetare: alternativ, la cererea operatorului, procesatorul returnează toate datele în format standard (CSV, JSON, XML) înainte de ștergere