كل ما تحتاج لمعرفته حول اتفاقية المعالج الفرعي

اتفاقية المعالج الفرعي هي اتفاقية إلزامية بموجب اللائحة العامة لحماية البيانات (GDPR) بين معالج البيانات وطرف ثالث يستعين به (المعالج الفرعي)، وتحدد كيفية معالجة الأخير للبيانات الشخصية. على سبيل المثال، إذا استعان معالج البيانات بمزود خدمة سحابية، فيجب أن تشمل هذه السلسلة اتفاقيات معالج فرعي، ولا يُسمح بذلك إلا بموافقة المتحكم. فيما يلي، يمكنك الاطلاع على ماهية اتفاقية المعالج الفرعي ومحتوياتها.

من هو المعالج ومن هو المعالج الفرعي؟

إذا كانت شركتك تعالج بيانات شخصية، فيجب عليك الامتثال للائحة العامة لحماية البيانات (GDPR). ويُعدّ إبرام اتفاقيات معالجة البيانات، وأحيانًا اتفاقيات مع معالجين فرعيين، جزءًا مهمًا من ذلك. الأدوار:

• يحدد المتحكم الغرض من المعالجة ووسائلها ويبقى مسؤولاً في نهاية المطاف؛
• يقوم المعالج بمعالجة البيانات الشخصية نيابة عن المتحكم؛
• المعالج الفرعي هو طرف ثالث يستعين به المعالج للقيام (بجزء من) تلك المعالجة.

يضمن المتحكم وجود اتفاقية معالجة بيانات مناسبة مع المعالج؛ ويضمن المعالج بدوره وجود اتفاقيات معالجة فرعية مناسبة مع الأطراف التي يتعامل معها.

متى تحتاج إلى اتفاقية معالج فرعي؟

بصفتك معالج بيانات، أنت ملزم بإبرام اتفاقية معالجة فرعية مع المعالجين الفرعيين. في هذه الاتفاقية، تحدد كيفية معالجة المعالج الفرعي للبيانات الشخصية، وفقًا للائحة العامة لحماية البيانات (GDPR). هام: لا يُسمح بالتعاقد مع معالج فرعي إلا بموافقة المتحكم، والتي يجب توثيقها في اتفاقية المعالجة.

مثال: تستخدم شركتك الصغيرة والمتوسطة (الجهة المتحكمة) مزود خدمة استضافة (الجهة المعالجة)، والذي بدوره يستعين بمزود خدمة سحابية (الجهة المعالجة الفرعية) لإدارة الخادم. تُبرم أنت اتفاقية معالجة بيانات مع مزود خدمة الاستضافة؛ ويُبرم مزود خدمة الاستضافة اتفاقية معالجة فرعية مع مزود الخدمة السحابية.

ما الذي يتضمنه اتفاق المعالج الفرعي؟

يتضمن الاتفاق الحقوق والالتزامات المتعلقة بالمعالجة من قبل المعالج الفرعي، مع اتفاقيات ملزمة بشأن:

• ما هي البيانات الشخصية التي يجوز أو يجب معالجتها وبأي طريقة؟
• ما هي الإجراءات الأمنية التي يتخذها المعالج الفرعي؟.

هام: يجب أن تتوافق اتفاقية المعالج الفرعي مع اتفاقية المعالج وأن تضمن على الأقل نفس مستوى الحماية. وهذا يضمن أن يعرف كل طرف ما يتوقعه من الطرف الآخر وأن تظل خصوصية أصحاب البيانات مصونة.

الأسئلة الشائعة

هل يمكن للمعالج ببساطة تشغيل معالج فرعي؟

لا. هذا مسموح به فقط بموافقة المتحكم، والتي يجب أن يتم النص عليها في اتفاقية معالجة البيانات.

من الذي يبرم اتفاقية المعالج الفرعي؟

يُنهي المعالج هذه العملية مع المعالج الفرعي. ومع ذلك، يظل مراقب البيانات مسؤولاً في نهاية المطاف عن حماية البيانات.

هل يجب أن توفر اتفاقية المعالج الفرعي نفس مستوى الحماية؟

نعم. يجب أن تتوافق الاتفاقية مع اتفاقية معالجة البيانات وأن تضمن على الأقل نفس مستوى الحماية.

ماذا لو لم يكن هناك اتفاق مع معالج فرعي؟

في هذه الحالة، هناك انتهاك للائحة العامة لحماية البيانات (GDPR)، مع وجود خطر الإنفاذ والمسؤولية في حالة حدوث اختراقات للبيانات أو معالجة غير قانونية.

هل يتم صياغة اتفاقية معالج فرعي أم مراجعتها؟

صياغة الاتفاقيات عملية معقدة: يجب مراعاة اللائحة العامة لحماية البيانات (GDPR)، واتفاقية معالجة البيانات، والظروف العملية، والاتفاقيات المبرمة مع أصحاب البيانات. لذا، ننصحك بالتحقق من صحة اتفاقيتك التي قمت بصياغتها بنفسك باستخدام خدمة ContractCheck™، أو دعنا نقوم بصياغتها لك مباشرةً.

اطلع على خبرتنا في مجال الخصوصية وحماية البيانات أو حدد موعدًا لاستشارة مجانية.