{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/et\/alltoovotja-rolli-moistmine-isikuandmete-kaitse-uldmaaruse-gdpr-alusel-kohustused-ja-tagajarjed\/","title":{"rendered":"Allt\u00f6\u00f6v\u00f5tja rolli m\u00f5istmine GDPR-i alusel: kohustused ja tagaj\u00e4rjed"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

GDPR-i allt\u00f6\u00f6v\u00f5tja: miks on teenusepakkujate hindamine teie ettev\u00f5tte jaoks muutunud oluliseks k\u00fcsimuseks<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Andmete t\u00f6\u00f6tlemise teenusepakkujale tellimine ei vabasta ettev\u00f5tet kunagi vastutusest. Alates 2021. aastast CNIL<\/strong> on suurendanud sanktsioone organisatsioonide vastu, kes ei olnud oma tegevust n\u00f5uetekohaselt hinnanud ega reguleerinud. GDPR-i allt\u00f6\u00f6v\u00f5tja<\/strong> 1 miljon eurot Mobius Solutionsi vastu 2025. aasta detsembris, 1,5 miljonit eurot Dedalus Biologie vastu, 600 000 eurot Canal+ Groupi vastu, 800 000 eurot Discordi vastu. S\u00f5num on selge: andmete t\u00f6\u00f6tlemine tuleb tellida allt\u00f6\u00f6v\u00f5tjalt. isikuandmed<\/strong> ei delegeeri vastavuskohustust.<\/p>\n

Juhtide jaoks on teema nihkunud juriidilistelt k\u00fcsimustelt riskijuhtimisele. Teenusepakkujate hindamine, vormistamine GDPR-i allt\u00f6\u00f6v\u00f5tuleping<\/strong>Keti j\u00e4lgimine aja jooksul: need on juriidilised kohustused, mille mittet\u00e4itmine on kulukas.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

GDPR-i allt\u00f6\u00f6v\u00f5tja rolli ja kohustuste m\u00f5istmine<\/h2>

Kes on allt\u00f6\u00f6v\u00f5tja GDPR-i t\u00e4henduses?<\/h3>

GDPR m\u00e4\u00e4ratleb andmet\u00f6\u00f6tleja kui f\u00fc\u00fcsilise v\u00f5i juriidilise isiku, kes t\u00f6\u00f6tleb isikuandmed<\/strong> kellegi nimel andmet\u00f6\u00f6tleja<\/strong>Niipea kui teenusepakkuja p\u00e4\u00e4seb juurde, majutab, anal\u00fc\u00fcsib v\u00f5i salvestab isikuandmed<\/strong> mille te talle usaldate, on ta allt\u00f6\u00f6v\u00f5tja: pilvehostid, SaaS-i avaldajad, palgaarvestuse pakkujad, turundusagentuurid, k\u00f5nekeskused, CRM-i pakkujad, e-posti pakkujad, IT-hooldusettev\u00f5tted.<\/p>

Piir staatusega andmet\u00f6\u00f6tleja<\/strong> ei ole alati ilmne. Teenusepakkuja, kes otsustab andmet\u00f6\u00f6tluse eesm\u00e4rgi v\u00f5i vahendid, liigub k\u00f5rgemasse kategooriasse ja kannab seej\u00e4rel t\u00e4ielikku vastutust. Just sellesse l\u00f5ksu langes Mobius Solutions Ltd, kellele m\u00e4\u00e4rati miljoni euro suurune trahv. CNIL<\/strong> 2025. aasta detsembris Deezeri andmete taaskasutamise eest oma teenuste t\u00e4iustamiseks ilma kliendi juhisteta.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Allt\u00f6\u00f6v\u00f5tja kohustused vastavalt artiklile 28<\/h3>

Isikuandmete kaitse \u00fcldm\u00e4\u00e4ruse artikkel 28 loetleb konkreetselt allt\u00f6\u00f6v\u00f5tja kohustused<\/strong> tegutseda ainult dokumenteeritud juhiste kohaselt, tagada volitatud isikute konfidentsiaalsus, rakendada asjakohaseid tehnilisi ja korralduslikke turvameetmeid, abistada andmet\u00f6\u00f6tleja<\/strong> \u00fcksikisikute \u00f5iguste haldamisel ja rikkumistest teatamisel, andmete kustutamisel v\u00f5i tagastamisel teenuse l\u00f5ppedes ning t\u00f6\u00f6tlemistoimingute register<\/strong> oma tegevusele omane.<\/p>

See viimane kohustus j\u00e4etakse sageli t\u00e4helepanuta. CNIL (Prantsuse andmekaitseamet) on seda aga mitmes hiljutises sanktsioonis, sealhulgas Mobius Solutionsi kohtuasjas, viidanud. Registri pidamata j\u00e4tmine t\u00e4hendab auditi korral peamise vastavust\u00f5endi kaotamist.<\/p>

Kaskaadne allt\u00f6\u00f6v\u00f5tt: eelnev luba on kohustuslik<\/h3>

Allt\u00f6\u00f6v\u00f5tja v\u00f5ib kaasata j\u00e4rgneva allt\u00f6\u00f6v\u00f5tja ("kaskaad") ainult eelneva kirjaliku loaga, olgu see siis konkreetne v\u00f5i \u00fcldine, allt\u00f6\u00f6v\u00f5tjalt. andmet\u00f6\u00f6tleja<\/strong>\u00dcldise volituse korral peab teenusepakkuja klienti muudatustest teavitama, et tal oleks v\u00f5imalik vastuv\u00e4iteid esitada. SaaS-teenusepakkuja, kes tugineb pilvemajutusteenuse pakkujale, kes ise kasutab j\u00e4lgimist pakkuvat allteenusepakkujat, peab suutma dokumenteerida iga ahela l\u00fcli.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Allt\u00f6\u00f6v\u00f5tjate hindamise kohustus: liiga sageli t\u00e4helepanuta j\u00e4etud \u00fclesanne<\/h2>

GDPR-i selges\u00f5naline ja struktureeriv kohustus<\/h3>

GDPR-i artikli 28 l\u00f5ige 1 on \u00fchem\u00f5tteline: andmet\u00f6\u00f6tleja<\/strong> \u201eKasutab ainult allt\u00f6\u00f6v\u00f5tjaid, kes pakuvad piisavaid tagatisi.\u201c See ei ole soovitus, vaid positiivne kohustus. Enne lepingu s\u00f5lmimist peab haldur veenduma, et tema teenusepakkujal on oskused, protseduurid ja korraldus andmete t\u00f6\u00f6tlemiseks vastavalt m\u00e4\u00e4rusele.<\/p>

See eeldab ametlikku hindamisprotseduuri: kriteeriumide tabel, vastavusk\u00fcsimustik, lisadokumentide (turvapoliitika, sertifikaadid, ...) taotlemine. Andmekaitse<\/strong>, register, a m\u00e4\u00e4ramine Andmekaitseametnik<\/strong>), j\u00e4rgnevate allt\u00f6\u00f6v\u00f5tjate anal\u00fc\u00fcs, serveri asukoha ja v\u00f5imalike andmeedastus<\/strong> v\u00e4ljaspool ELi. Seda hinnangut tuleb j\u00e4lgida ja s\u00e4ilitada \u2013 ilma selleta ei saa juht t\u00f5endada oma hoolsust ega vastutusp\u00f5him\u00f5tte j\u00e4rgimist.<\/p>

CNIL-i sanktsioonid, mis peaksid juhte hoiatama<\/h3>

2024. aastal CNIL<\/strong> See kehtestas 87 sanktsiooni kogusummas \u00fcle 55 miljoni euro. Mitmed hiljutised juhtumid n\u00e4itavad, et teenusepakkujate hindamisest ja reguleerimisest on saanud peamine kontrollivaldkond.<\/p>

Dedalus Biologie juhtum (aprill 2022, 1,5 miljonit eurot) on endiselt s\u00fcmboolse t\u00e4htsusega. CNIL<\/strong> Prantsuse konkurentsiamet m\u00e4\u00e4ras sellele meditsiinilaborite tarkvara v\u00e4ljaandjale sanktsioonid p\u00e4rast ulatuslikku terviseandmeid h\u00f5lmavat andmete rikkumist. Lisaks turvaveale oli peamiseks p\u00f5hjuseks artiklis 28 s\u00e4testatud kohustuslike klauslite puudumine t\u00fc\u00fcplepingutes. See otsus t\u00e4histas p\u00f6\u00f6rdepunkti: allt\u00f6\u00f6v\u00f5tjat saab n\u00fc\u00fcd otse karistada suhte n\u00f5uetekohase vormistamata j\u00e4tmise eest, olenemata kliendi vastutusest.<\/p>

Mobius Solutions Ltd \/ Deezeri juhtum (detsember 2025, 1 miljon eurot) illustreerib k\u00f5ige sagedasemaid puudusi: andmete s\u00e4ilitamine p\u00e4rast lepingu l\u00f5ppemist, t\u00f6\u00f6tlemine v\u00e4ljaspool kliendi juhiseid, registri puudumine, turvameetmete puudumine, mis viis mitme miljoni kasutaja andmete avaldamiseni pimeveebis.<\/p>

Discordi juhtum (2022, 800 000 eurot) toob kaasa sanktsioonid andmet\u00f6\u00f6tleja<\/strong> artiklile 28 vastava lepingu puudumine. Canal+ Groupile m\u00e4\u00e4rati 2022. aastal 600 000 euro suurune trahv, kuid teda karistati eelk\u00f5ige piisavate lepinguliste kokkulepete puudumise eest. 27. jaanuari 2021 seisuga CNIL<\/strong> avas oma doktriini, kiites samaaegselt heaks a andmet\u00f6\u00f6tleja<\/strong> (150 000 eurot) ja tema allt\u00f6\u00f6v\u00f5tja (75 000 eurot) meetmete v\u00f5tmata j\u00e4tmise eest volituste v\u00f5ltsimise vastu.<\/p>

Mida CNIL oma auditites uurib<\/h3>

Otsuste langetamisel muutub ka juhtimisv\u00f5rk. CNIL<\/strong> \u00dcksikasjad on selgemaks saanud. Ametiasutus kontrollib olemasolu. GDPR-i allt\u00f6\u00f6v\u00f5tuleping<\/strong> kirjalik ja artiklile 28 vastav juhiste dokumentatsioon, j\u00e4rgnevate allt\u00f6\u00f6v\u00f5tjate ajakohane nimekiri, tegelikult rakendatud tehnilised ja korralduslikud meetmed, teavitamismenetlused andmete rikkumine<\/strong>, \u00fcksikisikute abistamise kord nende \u00f5iguste osas, lepingu l\u00f5petamise tingimused ja l\u00e4biviidud auditite j\u00e4lgitavus.<\/p>

Teie organisatsiooni ettevalmistamiseks nendeks kontrollpunktideks, meie T\u00e4ielik juhend GDPR-i vastavusauditite kohta<\/a><\/strong> kirjeldab \u00fcksikasjalikult rakendatavat metoodikat.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Kas soovite oma allt\u00f6\u00f6v\u00f5tuahelat kindlustada ja vastavust n\u00f5uetele n\u00e4idata?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tR\u00e4\u00e4kige Viqtor\u00ae eksperdiga<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Kindla lepingulise raamistiku loomine: GDPR-i allt\u00f6\u00f6v\u00f5tuleping<\/h2>

Artikli 28 l\u00f5ike 3 kohustuslikud s\u00e4tted<\/h3>

Andmet\u00f6\u00f6tlusleping (DPA)<\/strong>, V\u00f5i GDPR-i allt\u00f6\u00f6v\u00f5tuleping<\/strong>peab sisaldama m\u00e4\u00e4rusega etten\u00e4htud p\u00f5hiklausleid: t\u00f6\u00f6tlemise ese ja kestus, laad ja eesm\u00e4rk, andmete liik ja isikute kategooriad, t\u00f6\u00f6tleja kohustused ja \u00f5igused. andmet\u00f6\u00f6tleja<\/strong>See peab sisaldama ka kaheksat allt\u00f6\u00f6v\u00f5tja konkreetset kohustust: tegutseda dokumenteeritud juhiste j\u00e4rgi, tagada konfidentsiaalsus, v\u00f5tta vajalikke turvameetmeid, kaasata j\u00e4rgnevaid allt\u00f6\u00f6v\u00f5tjaid ainult loaga, aidata vastata \u00fcksikisikute taotlustele, abistada turvalisuse ja teavitamisega seotud k\u00fcsimustes, tagastada v\u00f5i kustutada andmed lepingu l\u00f5ppedes ning teha k\u00e4ttesaadavaks kogu audititeks vajalik teave.<\/p>

Kirjastaja standardsed tingimused on \u00fcldiselt ebapiisavad, n\u00e4iteks CNIL<\/strong> Dedalust ja mitmeid teisi teenusepakkujaid, kellele on sellest ajast alates karistused m\u00e4\u00e4ratud, kritiseeriti selle eest. Lepingute kaupa l\u00e4bivaatamine on h\u00e4davajalik.<\/p>

L\u00f5ksud, mida kirjutamisel v\u00e4ltida<\/h3>

N\u00f5uetele vastavust kahjustavad regulaarselt mitmed vead. Klausel, mis vabastab allt\u00f6\u00f6v\u00f5tja t\u00e4ielikult vastutusest, ei ole allt\u00f6\u00f6v\u00f5tja vastu j\u00f5ustatav. CNIL<\/strong> lekke ohvri kohta. Puuduv v\u00f5i aegunud nimekiri j\u00e4rgnevatest allt\u00f6\u00f6v\u00f5tjatest paljastab andmet\u00f6\u00f6tleja<\/strong> eba\u00f5nnestumiseni. Ebam\u00e4\u00e4raselt kirjeldatud turvameetmed on ebapiisavad: CNIL<\/strong> ootab konkreetset, kontrollitavat ja dateeritud viitedokumenti. Rikkumisest teatamise korra puudumine v\u00f5i t\u00e4htajad, mis ei ole koosk\u00f5las kehtestatud 72 tunniga andmet\u00f6\u00f6tleja<\/strong>, peetakse s\u00fcstemaatiliselt kinni kohustusi rikkuvate allt\u00f6\u00f6v\u00f5tjate vastu.<\/p>

Andmekaitseametniku ja andmehalduse keskne roll<\/h3>

THE Andmekaitseametnik<\/strong> Andmekaitseametnikul (DPO) on keskne roll: ta juhib teenusepakkujate hindamist, valideerib lepingutingimused, teostab j\u00e4relevalvet allt\u00f6\u00f6v\u00f5tjate registri \u00fcle ja hoiatab juhtkonda riskide eest. Andmekaitseametniku puudumisel Andmekaitseametnik<\/strong>Neid \u00fclesandeid peab t\u00e4itma selgelt m\u00e4\u00e4ratletud funktsioon. andmehaldus<\/a> tugineb suuresti sellele v\u00f5imele s\u00e4ilitada aja jooksul suhteid allt\u00f6\u00f6v\u00f5tjatega.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Suhete haldamine aja jooksul: auditid, j\u00e4lgimine ja intsidendid<\/h2>

J\u00e4tkuv kohustus, mitte allkirjaformaalsus<\/h3>

Lepingusse panemisest ei piisa. andmet\u00f6\u00f6tleja<\/strong> peab aja jooksul tagama, et teenusepakkuja t\u00e4idab oma kohustusi: perioodilised auditid, iga-aastane l\u00e4bivaatamine Andmekaitse<\/strong>s\u00fcstemaatiline uuendamine muudatuste korral (uus j\u00e4rgnev allt\u00f6\u00f6v\u00f5tja, uus ulatus, uus serveri asukoht).<\/p>

Seal CNIL<\/strong> on selges\u00f5naline: allt\u00f6\u00f6v\u00f5tja kasutamine ei vabasta kunagi vastutusest andmet\u00f6\u00f6tleja<\/strong> oma hoolsuskohustusest. Canal+ sanktsioon p\u00f5hines just sellel j\u00e4reldusel, et teenusepakkujate \u00fcle ei rakendatud t\u00f5husat j\u00e4relevalvet. Seevastu ettev\u00f5te, mis on v\u00f5imeline esitama auditiaruandeid, t\u00e4idetud k\u00fcsimustikke ja tegevuskavasid, n\u00e4itab oma hoolsust isegi intsidendi korral.<\/p>

THE Viqtori allt\u00f6\u00f6v\u00f5tjate moodul<\/a> koondab hindamise, lepingu, j\u00e4rgnevad allt\u00f6\u00f6v\u00f5tjad, auditid ja teabevahetuse ajaloo \u00fchte hoidlasse.<\/p>

Teenusepakkujaga seotud andmelekke korral reageerimine<\/h3>

M\u00e4rkimisv\u00e4\u00e4rne osa igal aastal komisjonile teatatud rikkumistest CNIL<\/strong> h\u00f5lmab allt\u00f6\u00f6v\u00f5tjat. andmet\u00f6\u00f6tleja<\/strong> Seet\u00f5ttu tuleb lepingusse algusest peale lisada kiirhoiatuss\u00fcsteem. Allt\u00f6\u00f6v\u00f5tja on kohustatud oma klienti teavitama \u201eniipea kui v\u00f5imalik\u201c, mis praktikas t\u00e4hendab 24\u201348 tundi, et teavitamine oleks v\u00f5imalik seadusj\u00e4rgse 72-tunnise perioodi jooksul. CNIL<\/strong>Meie leht on p\u00fchendatud andmete rikkumise avaldus<\/a> Ta kirjeldab samme detailselt.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Mida on vaja m\u00e4rkida<\/h2>