Persetujuan pangolahan data (verwerkersovereenkomst) miturut GDPR: pandhuan praktik Walanda

Meh saben perusahaan sing beroperasi ing Walanda ngirim kontrak sing ana gandhengane karo data pribadi: penggajian, hosting, CRM, pemasaran, rekrutmen, dhukungan. Nalika supplier ngolah data pribadi miturut pandhuan sampeyan, pasal 28 GDPR mbutuhake kontrak tertulis, ing basa Walanda diarani verwerkersovereenkomst . Pandhuan iki nyakup kapan dibutuhake, apa sing kudu ana ing njero, kepiye panguwasa pengawas Walanda nangani, lan kepiye klausa sing penting dirembug.

Nalika perjanjian pangolahan dibutuhake, lan nalika ora dibutuhake

Iki dibutuhake mung ing siji kahanan: nalika salah siji pihak ngolah data pribadi atas jenenge pihak liyane. Pihak sing nemtokake kenapa lan, intine, kepiye data kasebut diproses minangka pengontrol; pihak sing tumindak miturut pandhuane minangka prosesor. Tugas kasebut terus-terusan, mula prosesor sing nglibatake sub-prosesor kudu nggawe kontrak sing padha karo sub-prosesor kasebut. Ora ana sing dibutuhake nalika para pihak minangka pengontrol independen sing saben-saben nggayuh tujuane dhewe, nalika dheweke minangka pengontrol gabungan, sing mbutuhake pengaturan miturut pasal 26 GDPR, utawa nalika ora ana data pribadi sing terlibat.

Nandhatangani kontrak karo pihak sing sejatine minangka pengontrol independen ora mbebayani: iku salah nyebutake sapa sing tanggung jawab lan nggawe ilusi instruksi sing ora bisa diajeni dening pihak sing ora ana. Kesalahan pangilon uga umum, ing ngendi pemasok sing tumindak atas jenenge dhewe nampa syarat-syarat mung instruksi sing ora bisa dipatuhi.

Kontroler utawa prosesor: kepiye bedane kasebut sejatine ditaksir

Penilaian kasebut fungsional, ora formal: apa sing diarani kontrak marang para pihak minangka bukti, dudu jawaban, lan bedane antarane pengontrol lan prosesor minangka perkara pertama sing diuji dening otoritas pengawas. Titik referensi yaiku Pedoman EDPB 07/2020 babagan pengontrol lan prosesor, sing versi pungkasane diadopsi tanggal 7 Juli 2021.

Tujuan lan sarana penting

Kontroler nemtokake tujuan lan sarana sing penting : kategori data endi sing diproses, babagan sapa, suwene, lan marang sapa data kasebut diungkapake. Keputusan kasebut ana gandhengane karo sah lan kabutuhan lan ora bisa didelegasikan. Sarana sing ora penting , yaiku rincian implementasine, bisa ditinggalake marang pemasok: piranti lunak endi sing dilakokake lan kepiye carane ngrancang kontrole.

Mula, sawijining organisasi bisa dadi pengontrol sanajan ora nate ndemek data kasebut. Ing putusan tanggal 5 Desember 2023 ing kasus C-683/21 (Nacionalinis visuomenės sveikatos centras), Pengadilan Kehakiman mutusake manawa entitas sing nemtokake tujuan lan cara pangolahan sing ditindakake liwat aplikasi sing wis ditugasake minangka pengontrol, lan pengontrol gabungan bisa muncul saka keputusan konvergensi tanpa pengaturan formal. Kosok baline, prosesor sing ngluwihi instruksi kanggo ngolah kanggo tujuane dhewe dianggep dening pasal 28 GDPR minangka pengontrol kanggo pangolahan kasebut.

Kahanan sing nggawe perusahaan dadi bingung

• Biro penggajian. Nalika biro ngetik data sing sampeyan wenehake lan ngasilake slip gaji, iku minangka prosesor. Nalika keterlibatan kasebut nganti saran independen lan pamriksan kepatuhan miturut penilaian perusahaan dhewe, pandhuan badan profesional Walanda tanggal 1 Oktober 2019 kanggo akuntan, penasihat pajak, lan profesional penggajian nganggep minangka pengontrol.
• Akuntan lan penasihat pajak. Audit statutori, kompilasi, lan pengembalian pajak ditindakake miturut tugas profesional lan statutori perusahaan dhewe, kanthi penilaian independen. Iku nuduhake status pengontrol, lan perjanjian pangolahan banjur dadi dokumen sing salah.
• Agensi pemasaran. Agensi sing nglakokake kampanye nglawan dhaptar pelanggan sampeyan iku kaya prosesor. Agensi sing mbangun utawa ngkayaake pamirsa, utawa nglakokake teknologi iklan ing ngendi platform kasebut nyetel parameter, duwe tujuan dhewe, lan kontroler bebarengan karo platform kasebut minangka kemungkinan nyata.
• Supplier IT, hosting lan SaaS. Lumrahé prosesor, nanging priksa klausa sing njaga hak kanggo nggunakake data "agregat" utawa "panggunaan" kanggo perbaikan layanan, benchmarking, utawa pelatihan model. Sakabehe sing nglibatake data pribadi, iku minangka tujuan supplier dhewe lan minangka pengontrol kanggo iku.
• Para perekrut. Agensi sing njaga database calon dhewe minangka pengendali. Ngolah pelamar sing wis ditunjuk kanggo lowongan sampeyan biasane campuran saka rong pengendali kanthi pamrosesan instruksi winates ing antarane.

Pengawasan gabungan lan pengaturan sing dibutuhake

Nalika rong pihak bebarengan nemtokake tujuan lan sarana, apa kanthi keputusan umum utawa kanthi keputusan sing padha lan ora bisa dipisahake, pasal 26 GDPR mbutuhake pengaturan tinimbang perjanjian pangolahan. GDPR kudu nemtokake kanthi transparan sapa sing mangsuli subjek data lan sapa sing nangani informasi transparansi, keamanan, kabar pelanggaran, penilaian dampak, lan transfer. Intine kudu kasedhiya kanggo subjek data, sing bisa nggunakake hak marang salah siji pihak nanging pihak-pihak kasebut wis misahake perkara, lan ora ngiket Autoriteit Persoonsgegevens utawa pengadilan.

Isi wajib miturut pasal 28 GDPR

Kontrak kasebut kudu awujud tulisan, kalebu wujud elektronik, lan kaiket dening prosesor. Pasal 28 GDPR nyetel dhaptar tetep, lan EDPB kanthi jelas yen maca maneh peraturan kasebut dhewe ora cukup.

Sub-prosesor lan rezim otorisasi

Prosesor ora kena nggunakake sub-prosesor tanpa idin saka controller. Otorisasi sadurunge sing spesifik nyetujoni saben sub-prosesor kanthi individu, sing bisa digunakake kanggo rantai stabil cilik nanging ora kanggo layanan maya sing gedhe. Otorisasi tertulis umum ngidini prosesor nambah utawa ngganti sub-prosesor anggere menehi informasi marang controller babagan owah-owahan sing dimaksud lan ngidini dheweke mbantah.

Meh saben perjanjian pemasok standar nawakake wewenang umum, dhaptar, lan periode kabar, mula negosiasi kasebut babagan regane kabar kasebut: rute sing ora gumantung karo sampeyan ngawasi kaca web, periode sing cukup suwe kanggo tumindak, lan akibat sing kasebut yen sampeyan mbantah, kanthi realistis mungkasi tanpa paukuman. Kepiye wae, prosesor kudu ngetrapake kewajiban sing padha lan tetep tanggung jawab kanggo sub-prosesor. Ing Opini 22/2024 tanggal 9 Oktober 2024, EDPB ngonfirmasi manawa akuntabilitas ngluwihi kabeh rantai: pengontrol kudu bisa ngenali saben sub-prosesor lan marem yen perlindungan kasebut ana ing saindenging.

Kewajiban keamanan, digawe konkret

"Prosesor kudu ngetrapake langkah-langkah teknis lan organisasi sing cocog miturut pasal 32 GDPR" iku mung basa krama: ora ngandhani apa-apa lan ora mbuktekake apa-apa. Lampiran sing bisa digunakake nyatakake enkripsi nalika transit lan nalika disimpen lan kepiye kunci dikelola; kontrol akses, kalebu proses gabung-pindhah-ninggalake lan otentikasi multi-faktor; apa sing dicathet lan suwene; frekuensi serep lan pemulihan sing diuji; jangka waktu patching lan uji penetrasi; sertifikasi sing diandelake, karo ruang lingkupe; lan ing ngendi data disimpen lan diakses , kalebu staf dhukungan.

Iki penting banget. Ing putusan tanggal 14 Desember 2023 ing kasus C-340/21 (Natsionalna agensia za prihodite), Pengadilan Kehakiman mutusake yen kedadeyan keamanan ora kanthi otomatis netepake manawa langkah-langkah kasebut ora cukup, nanging kontroler kudu nanggung beban kanggo nuduhake yen langkah-langkah kasebut cocog. Lampiran sing tanggal minangka bukti kasebut; referensi silang ora.

Bantuan karo hak subjek data lan kabar pelanggaran

Kaloro kewajiban kasebut adhedhasar tenggat wektu, lan tenggat wektu kasebut duweke pengontrol. Babagan hak subjek data, pengontrol kudu nanggapi sajrone sewulan, mula "bantuan sing cukup" tanpa wektu sing ditemtokake ngidini sampeyan ngatasi wektu tundha kasebut. Ndandani: panjaluk apa wae sing ditampa supplier bakal dikirim sajrone sawetara dina kerja sing wis ditemtokake lan ora nate dijawab; kutipan lengkap digawe ing format sing bisa digunakake sajrone limang nganti sepuluh dina kerja; lan iki kalebu ing biaya tinimbang micu faktur.

Ing babagan pelanggaran, pengontrol kudu menehi kabar marang Autoriteit Persoonsgegevens tanpa wektu tundha sing ora perlu lan, yen bisa, sajrone 72 jam sawise ngerti, miturut pasal 33 GDPR. Nggawe tugas prosesor dadi konkret: kabar sajrone 24 jam, menyang kontak sing ditunjuk kanthi rute ing njaba jam kerja, kanthi konten minimal sing wis ditemtokake sanajan fakta ora lengkap; kerjasama karo forensik; lan larangan menehi kabar marang panguwasa utawa subjek data tanpa persetujuan sampeyan. Organisasi ing lingkup uga nglaporake kedadeyan menyang CSIRT miturut Cyberbeveiligingswet Walanda, sing ngetrapake Arahan NIS2 lan wis ditrapake wiwit 15 Agustus 2026.

Hak audit lan kepiye cara negosiasi kasebut

Pasal 28 GDPR mbutuhake prosesor kanggo nyedhiyakake informasi sing dibutuhake kanggo nduduhake kepatuhan lan ngidini lan nyumbang kanggo audit, kalebu inspeksi, dening controller utawa auditor sing diwajibake. Klausul sing mung nawakake "sertifikasi paling anyar" ora cukup. Kompromi sing paling akeh ditindakake dening negosiasi Walanda: laporan jaminan taunan minangka hak, karo dokumen ruang lingkup; audit sing didokumentasikake setaun sepisan, ditambah audit luwih lanjut sawise pelanggaran sing mengaruhi data sampeyan utawa miturut panyuwunan panguwasa pengawas; kabar telung puluh dina sadurunge; ruang lingkup diwatesi kanggo layanan sampeyan; auditor sing dudu pesaing; lan biaya sing ditanggung dening sampeyan kajaba ditemokake ketidakpatuhan materi.

Bali utawa mbusak ing pungkasan

Pilihané ana ing kontroler, lan kontrak kudune nyebutké kuwi tinimbang mung nyimpen waé ing supplier. Nemtokaké format ekspor, tenggat wektu, umumé telung puluh dina saka pungkasaning proses, konfirmasi tertulis babagan pambusakan, lan cara serep ditangani, sing tegesé data tetep ana ing siklus sing didokumentasikaké, dilindhungi lan ora digunakaké, nganti ditulis ulang. Setuju karo bantuan lan tarif metu luwih dhisik, lan ora kalebu hak apa waé kanggo nahan data sing ana gandhèngané karo biaya sing dibantah.

Tanggung jawab, ganti rugi, lan rezim tanggung jawab GDPR dhewe

Pasal 82 GDPR menehi hak marang subjek data kanggo ganti rugi kanggo kerusakan materi lan non-materi. Pengontrol tanggung jawab kanggo kerusakan sing disebabake dening pangolahan sing nglanggar peraturan; prosesor tanggung jawab yen ora netepi kewajiban sing ditujokake khusus kanggo prosesor, utawa tumindak ing njaba utawa bertentangan karo pandhuan sing sah. Yen loro-lorone melu pangolahan sing padha, saben wong bisa dianggep tanggung jawab kanggo kabeh kerusakan, kanthi ganti rugi sawise iku. Paparan kasebut ora bisa diilangi; kontrak kasebut ngalokasikan bagean internal. Denda kapisah: pelanggaran pasal 28 GDPR kalebu ing kurung ngisor ing pasal 83 GDPR.

• Istilah standar mbatesi tanggung jawab kanthi kelipatan biaya lan ora kalebu "kerugian ora langsung lan konsekuensial". Yen denda peraturan, biaya notifikasi lan forensik, lan kompensasi kanggo subjek data kalebu ing pengecualian kasebut, ganti rugi kasebut dekoratif: dhaptar minangka kerugian langsung sing bisa dipulihake.
• Nggoleki hukuman carve-out, utawa watesan sing luwih dhuwur, kanggo pelanggaran perjanjian pangolahan, pelanggaran kerahasiaan, lan pelanggaran sing disengaja utawa sembrono.
• Denda sing ditanggung ora bisa dianggep minangka denda, nanging bisa dituntut minangka kerugian miturut ganti rugi sing wis dirancang kanthi bener. Tindakan kolektif Walanda ing sangisore rezim WAMCA ndadekake klaim agregat minangka paparan sing realistis, sing mbantah watesan sing ngremehake.

Transfer internasional lan klausul standar

Yen prosesor, sub-prosesor, utawa staf dhukungan bisa ngakses data saka njaba EEA, Bab V GDPR lan rezim kanggo transfer data internasional ditrapake ing ndhuwur seni. 28. Akses jarak jauh diitung, lan uga meja dhukungan ing luar negeri.

Tanpa keputusan kecukupan miturut pasal 45 GDPR, alat sing biasane digunakake yaiku klausa kontrak standar sing diadopsi dening Keputusan Pelaksana Komisi (EU) 2021/914 tanggal 4 Juni 2021, miturut pasal 46 GDPR. Rong poin sing kerep ora digatekake. Modul sing nyakup transfer controller-to-processor lan prosesor-to-sub-processor uga nyukupi syarat pasal 28 GDPR, mula perjanjian pangolahan sing kapisah ora dibutuhake kanggo bagean kasebut, sanajan akeh kontrak sing nggabungake loro-lorone. Lan sawise putusan Pengadilan Kehakiman tanggal 16 Juli 2020 ing kasus C-311/18 (Schrems II), penandatanganan dudu pungkasan: para pihak kudu netepake apa hukum lan praktik negara tujuan nyegah importir saka tundhuk, lan nambah langkah-langkah tambahan yen ditindakake. Dokumentasikake penilaian kasebut; Rekomendasi EDPB 01/2020, sing diadopsi tanggal 18 Juni 2021, isih nyetel pendekatan kasebut.

Kanggo Amerika Serikat, keputusan kecukupan Komisi tanggal 10 Juli 2023 kanggo Kerangka Privasi Data EU-AS tetep berlaku, nanging mung mbantu yen panampa tartamtu aktif disertifikasi dhewe kanggo kategori data sing relevan, mula verifikasi sertifikasi kasebut. Pengadilan Umum lestari saka tantangan pertama: Pengadilan Umum mbatalake tindakan kasebut kanthi putusan tanggal 3 September 2025 ing kasus T-553/23 (Latombe v Komisi). Banding diajukake tanggal 31 Oktober 2025 minangka kasus C-703/25 P lan Pengadilan Kehakiman durung nutup kasus kasebut ing tanggal kaca iki ing taun 2026; keputusan kecukupan kasebut durung ditundha utawa diowahi. Aja nganti dadi siji-sijine titik kegagalan: simpen klausa lan penilaian sing didokumentasikake minangka cadangan, lan anggep banding sing ditundha minangka alesan kanggo duwe siji tinimbang alesan kanggo ngenteni. Autoriteit Persoonsgegevens ngukum Uber €290 yuta miturut keputusan tanggal 22 Juli 2024 amarga nransfer data driver menyang Amerika Serikat tanpa alat transfer sing cocog sawise mandheg nggunakake klausul kasebut; Uber nyatakake yen dheweke pengin mbantah, AP durung nerbitake keputusan babagan keberatan kasebut, lan mulane denda kasebut kudu diwaca minangka pernyataan posisi regulator tinimbang preseden sing wis ditemtokake.

Ana siji kekurangan ing toolkit iki. Komisi wis ujar manawa lagi nyiapake sakumpulan klausa kontrak standar luwih lanjut kanggo importir ing njaba EU sing pangolahane dhewe tundhuk langsung karo GDPR miturut pasal 3 — kahanan ing ngendi klausa 2021 ora cocog. Klausa kasebut durung diadopsi wiwit tanggal kaca iki ing taun 2026, mula kanggo konfigurasi kasebut, penilaian lan perlindungan kudu dibangun ing kontrak kanthi manual.

Apa klausul pengontrol-prosesor Komisi iku wajib?

No. Keputusan Pelaksana Komisi (EU) 2021/915 tanggal 4 Juni 2021 nyedhiyakake klausul kontrak standar antarane pengontrol lan prosesor kanggo digunakake ing EEA, nanging panggunaan kasebut opsional: para pihak bisa negosiasi kontrak dhewe yen ngemot kabeh sing dibutuhake dening pasal 28 GDPR. Klausul kasebut bisa dilebokake ing njero kontrak sing luwih jembar kanthi syarat tambahan sing ora kontradiksi, nanging ora bisa diowahi dhewe, mula kustomisasi kedadeyan ing lampiran. Perjanjian khusus lan model sektor tetep dadi norma Walanda, sing bisa ditampa yen substansine ana.

Penegakan dening Autoriteit Personsgegevens

AP wis nliti iki kanthi langsung. AP nliti perjanjian pangolahan sing digunakake dening 31 organisasi sektor swasta ing perdagangan, kesehatan, media, rekreasi lan energi, nerbitake temuan ing taun 2020 kanthi irah-irahan yen perjanjian pangolahan "ora ana". AP nemokake yen perjanjian kasebut mung ngutip peraturan kasebut, basa keamanan nyathet yen ana kabijakan tanpa nyebutake apa sing dibutuhake, lan perjanjian isih disusun miturut undang-undang perlindungan data Walanda lawas.

Ing sawijining investigasi, AP kudu nggarap saka cathetan aktivitas pangolahan sampeyan nganti kontrak karo pemasok sing kasebut ing kono, banjur menyang lampiran keamanan, dhaptar sub-prosesor lan dokumentasi transfer, banjur menyang bukti yen sampeyan nindakake apa-apa karo dheweke: laporan jaminan sing durung diwaca dudu pengawasan. Kesalahan uga penting, amarga ing kasus C-683/21 Pengadilan Kehakiman ngonfirmasi yen denda mbutuhake pelanggaran sing disengaja utawa kelalaian. Fokus strategis AP kanggo taun 2026 nganti 2028 nyakup pengawasan massal, kecerdasan buatan lan ketahanan digital, sing terakhir kanthi tegas kalebu keamanan rantai pasokan.

Dhaptar priksa kanggo mriksa perjanjian pangolahan standar pemasok

• Apa perané wis bener? Nèk supplier kuwi pengendali independen, aja nandatangani perjanjian pangolahan babar pisan.
• Apa katrangan pangolahan wis rampung, utawa lampiran kosong, lan apa ana sing ngidini pangolahan kanggo perbaikan, analitik, utawa pelatihan model saka supplier dhewe?
• Apa langkah-langkah keamanan kasebut wis dilampirake lan spesifik, kanthi sertifikasi sing kasebut lan ruang lingkupe?
• Apa dhaptar sub-prosesor kasedhiya, apa kabar wis dikirim menyang sampeyan, apa ana akibat sing ditanggung, lan apa sub-prosesor kaiket bebarengan?
• Apa kabar pelanggaran kasebut sajrone wektu sing cendhak lan tetep, lan apa pemasok ora diidini menehi kabar marang pihak berwenang dhewe?
• Apa tenggat wektu panjalukan subjek data wis ditemtokake lan kalebu ing biaya, lan apa ana hak audit asli tinimbang mung sertifikat?
• Apa mbusak utawa mbalekake iku gumantung saka pilihanmu, nganggo format, tenggat wektu, lan cara serep?
• Ing ngendi data disimpen lan diakses, lan apa alat transfer sing pas wis disiyapake kanggo saben tahapan?
• Apa watesan lan pengecualian kerugian ora langsung ninggalake ganti rugi kanthi konten nyata, lan apa ana pemilik internal lan tanggal review?

Law & More nyusun draf, nliti, lan negosiasi perjanjian pangolahan kanggo bisnis Walanda lan internasional saka Eindhoven lan Amsterdam, lan menehi saran babagan peran pengontrol lan prosesor, transfer ing njaba EEA lan investigasi dening Autoriteit Persoonsgegevens.

carane Law & More bisa mbantu sampeyan karo iki diterangake ing kita Pengacara IT kaca.