Andmetöötlusleping

Andmetöötlusleping on leping, millega andmete vastutaja ja andmetöötluse teostaja määravad kokku isikuandmete töötlemise tingimused nende nimel. Lepingul on eesmärk tagada, et personali-, organisatsiooni- või tegevuslikul tasandil toimuv töötlus oleks kooskõlas kohaliku ja Euroopa andmekaitse õigusaktidega.

Osapooled ja rollid: andmete vastutaja otsustab, milliseid andmeid töödeldakse ning millisel eesmärgil; andmetöötluse teostaja töötleb neid andmeid vastutaja nimel ning ainult vastutaja kirjeldatud juhiste alusel. Teostaja peab järgima konfidentsiaalsust ja täitma tehnilisi ning korralduslikke meetmeid andmete turvaliseks töötlemiseks.

Ulatus ja sisu: leping kirjeldab andmetüübid, andmesubjektide kategooriad, töödeldava tegevuse laad ning geograafilised asukohad. Samuti määratakse töödeldavate andmete kasutamise piirid ning andmete säilitamise ja kustutamise reeglid lõppstaadiumis.

Kohustused ja turvalisus: teostaja peab rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, mis vastavad riskiastmele ja õiguslikele nõuetele. Ta peab järgima dokumenteeritud juhiseid ning aitama vastutajal isikuandmete subjekti õiguste teostamisel ning rikkumise korral teavitama viivitamatult.

Alamtöötlejad ja ülekanded: teostaja võib kaasata alam-töötlejaid ainult vastutaja eelneva loaga ning adekvaatselt allakinnitatud lepinguga. Isikuandmete rahvusvahelised ülekanded peavad toimuma asjakohaste kaitsemeetmetega, näiteks siduvate näitajate või standardite alusel.

Lõpetamine ja andmete tagastamine: lepingu lõppemisel tuleb andmed tagastada või kustutada vastavalt juhistele, kui see ei ole vajalik teisaldatavate eesmärkide jaoks.

Rikkumised ja auditeerimine: vastutaja ja teostaja võivad korraldada turvalisuse jälgimist, auditeid ning järelevalvet, tagades kontrollitud vastavuse.

Õiguslik raamistik: leping põhineb üldise andmekaitse määruse (GDPR) nõuetel ning Eesti andmekaitse seadustel.