数据处理协议

数据处理协议是数据控制者与数据处理者之间签订的书面合同，其中数据控制者规定了数据处理者代表其处理个人数据的条款。GDPR规定，一旦数据处理外包，就必须签订此类合同，并且合同还规定了其必须涵盖的主题。

法律基础

该义务载于《通用数据保护条例》（GDPR）第28条第3款。协议必须描述处理的主题、期限、性质和目的，并明确个人数据的类型和数据主体的类别。协议还必须包含八项具体承诺：仅根据书面指示进行处理、保密、符合GDPR第32条规定的安全措施、聘用分包处理者的条件、协助处理数据主体请求、协助处理违规行为和影响评估、终止后返还或删除数据，以及提供信息以供审计。第28条第1款补充规定，您只能使用提供充分保障的处理者。

在实践中如何运作

几乎所有外包安排都包含在内：工资发放、主机托管、客户关系管理 (CRM) 供应商、文件销毁公司等等。大多数供应商使用自己的模板，并将其作为附件附在主合同中。即使该模板看似固定不变，但实际上也是可以协商的。务必特别注意描述处理操作的附件：它必须反映实际发生的情况，而不是适用于所有客户的通用描述。向欧洲经济区以外的地区传输数据需要额外的依据，通常是欧盟委员会的标准合同条款。

哪里出了问题

有三个错误反复出现。第一个错误是与并非数据处理者但却自行决定处理目的和方式的第三方签署数据处理协议；这使得该第三方成为联合控制者，适用不同的规则。第二个错误是对子处理者进行一揽子授权，这意味着您无法了解数据的实际存储位置。第三个错误是安全计划仅提及“适当措施”，而没有明确任何具体标准，一旦发生安全事件，就没有任何依据。