AZ EU ÚJ GDPR ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEI - MIKOR ÉS HOGYAN HASZNÁLD ŐKET?

2021 Szeptember 15

Az Európai Bizottság 2021 nyarán kettő adatvédelemi szabályozással kapcsolatos, új „általános szerződési feltételt” is kiadott, amelyek egyrészt a GDPR hatálya alá tartozó adatkezelők és adatfeldolgozók közötti jogviszonyokra, másrészt pedig a harmadik országokba történő személyesadat-továbbításokra alkalmazhatók. Cikkünkben választ adunk azokra a kérdésekre, hogy mit szabályoznak ezek az ÁSZF-ek, miben különböznek a korábbi ÁSZF-ektől, illetve hogyan alkalmazhatja a vállalkozásod az új ÁSZF-eket?

1. ÁSZF-ekről általában

Az Európai Bizottság által elfogadott új általános szerződési feltételek („ÁSZF”) azt a célt szolgálják, hogy a GDPR hatálya alá tartozó adatkezelők, illetve adatfeldolgozók számára megkönnyítsék a GDPR-nek való megfelelést.

Az ÁSZF-ek ugyanis olyan, a Bizottság által előre meghatározott tartalmú adatkezeléssel kapcsolatos „szerződésminták”, amelyek alkalmazása esetén az adott adatkezelést úgy kell tekinteni, amely megfelel a GDPR szabályainak.

A Bizottság már korábban is adott ki ÁSZF-eket, azonban azokat még a GDPR-t megelőző szabályozás idején fogadták el, így azok a GDPR hatálybalépése miatt, illetve a Schrems II- ítélet[1] folyományaként elavulttá váltak.

2. Adatfeldolgozási ÁSZF[2]

A GDPR 28. cikke alapján az adatfeldolgozó[3] által végzett adatkezelést a GDPR-ban részletesen meghatározott tartalmú szerződésnek kell szabályoznia, melynek tartalmaznia kell az adatkezelés jellemzőin (adatkezelés tárgya, időtartama, jellege és célja stb.) túl számos egyéb, az adatfeldolgozóra vonatkozó kötelezettséget is, többek között:

1. az adatfeldolgozó kizárólag az adatkezelő írásbeli utasításai alapján kezelheti a személyes adatokat;
2. az adatfeldolgozónak biztosítania kell, hogy az adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak;
3. az adatfeldolgozó biztosítja az adatkezelés biztonságát stb.

A GDPR azonban lehetővé teszi[4], hogy a Bizottság kidolgozzon olyan „minta” ÁSZF-t, amelyek teljesítik a fenti, GDPR által meghatározott követelményeket.

Az új Adatfeldolgozási ÁSZF egy ilyen „minta” szerződés, amely tehát az adatkezelők és adatfeldolgozók számára egyszerűsítést jelent, mivel nem kell saját maguknak adatfeldolgozási szerződést szerkeszteniük, hanem alkalmazhatják a Bizottság által kidolgozott ÁSZF-t.

3. ÁSZF a harmadik országba történő adattovábbítás kapcsán („Adattovábbítási ÁSZF”)[5]

A GDPR alapján továbbá főszabályként csak akkor kerülhet sor személyes adatok harmadik országba[6] történő továbbítására, ha a Bizottság megállapította, hogy az adott harmadik ország megfelelő védelmi szintet biztosít.

A Bizottság által elfogadott ÁSZF-ek azonban ebben az esetben is kivételt jelentenek a fenti szigorú szabályozás alól, mivel a GDPR alapján[7] ezek alkalmazása esetén úgy kell tekinteni, hogy az adott adatkezelő, adatfeldolgozó – a Bizottság külön engedély hiányában is - megfelelő garanciát nyújt, így harmadik országba is továbbíthat személyes adatokat.

Az új Adattovábbítási ÁSZF tehát szintén egy olyan „minta” szerződés, amelyet a harmadik országokba történő adattovábbítások esetén alkalmazhatnak a felek.

4. Mik a főbb különbségek az új és a régi ÁSZF-ek között?

Az új ÁSZF-ek szigorúbb szabályozást követelnek meg a felektől, a legfontosabb új elemek, többek között:

1. az adatátvevők, adatfeldolgozók részére – a GDPR szabályaival összhangban - meghatározott többletkötelezettségek, ideértve a tájékoztatási kötelezettséget, az adatok tárolásának korlátozásával, illetve az adatkezelés biztonságával kapcsolatos kötelezettségeket;
2. rugalmasabb szabályok a többszereplős adatkezelések kapcsán; figyelemmel arra, hogy az új ÁSZF-ek „dokkolási feltételei” alapján az ÁSZF-ekhez harmadik személyek is csatlakozhatnak;
3. rugalmasabb lehetőségek az ÁSZF-ekre irányadó jog és vitarendezés helyének megválasztása kapcsán.

Kiemelendő, hogy az Adattovábbítási ÁSZF új struktúrában, modulrendszerben szabályozza az adatkezelők és adatfeldolgozók közötti adattovábbítással kapcsolatos rendelkezéseket. Az új modulrendszerben az alábbi négy, a felek szerződéses pozíciója által meghatározott szerződéstípus mintát alkalmazhatnak az adatkezelők, adatfeldolgozók:

1. Adatkezelők közötti adattovábbítás
2. Adattovábbítás az adatkezelőtől az adatfeldolgozó részére
3. Adattovábbítás adatfeldolgozók között
4. Adattovábbítás az adatfeldolgozótól az adatkezelő részére

Jelentős újdonság, hogy a Bizottság a korábban nem szabályozott adatfeldolgozók közötti, illetve adatfeldolgozótól az adatkezelő részére történő adattovábbításokra vonatkozó ÁSZF-eket (modulokat) is elfogadott, amely jelentősen megkönnyítik az ilyen adattovábbításokat.

5. Módosíthatók vagy kiegészíthetők-e az ÁSZF-ek?

A szerződő felek alapvetően – a felekre és az adatkezelés jellemzőire vonatkozó információkkal történő kiegészítés kivételével - nem módosíthatják ÁSZF-et.

Azonban a felek az ÁSZF-eket egy szélesebb szerződésbe foglalhatják, egyéb záradékokkal vagy kiegészítő garanciákkal egészíthetik ki, feltéve, hogy azok sem közvetlenül, sem közvetve nem mondanak ellent ezeknek az ÁSZF-eknek, és nem érintik hátrányosan az érintettek alapvető jogait vagy szabadságait.

6. Mikortól kell alkalmazni az új ÁSZF-eket?

Mindkét új ÁSZF-et 2021. június 27. napjától lehet alkalmazni, és lényeges, hogy az Adattovábbítási ÁSZF-et elfogadó határozat alapján a korábbi, e tárgyú ÁSZF-ek 2021. szeptember 27. napjától nem alkalmazhatók.

A Bizottsági határozat a harmadik országba történő adattovábbításokkal kapcsolatban ugyanakkor egy türelmi időszakot is biztosít az adatkezelők, adatfeldolgozók részére,[8] nevezetesen, hogy a korábban kötött szerződés esetében – meghatározott feltételek esetén[9] - legfeljebb 2022. december 27-ig alkalmazni lehet a korábbi ÁSZF-eket.

2022. december 27. napjától pedig már csak az új ÁSZF-et lehet alkalmazni.

7. Mit kell tenned az Adatfeldolgozási ÁSZF és Adattovábbítási ÁSZF megjelenésére tekintettel?

Adatfeldolgozási ÁSZF:

2021. június 27. napjától az adatfeldolgozási szerződéseidre az új Adatfeldolgozási ÁSZF-et alkalmazhatod, amelynek során a vállalkozásodnak és a másik szerződő félnek is meg kell felelnie az új, szigorúbb feltételeknek.

Adattovábbítási ÁSZF:

A már megkötött, korábbi ÁSZF szerinti szerződéseket – amennyiben az abban foglalt feltételek változatlanok - 2022. december 27. napjáig további megfelelő garanciákkal kiegészítve fenntarthatod, azonban ezen átmeneti időszakban ki kell dolgoznod ezeknek a szerződéseknek új Adattovábbítási ÁSZF szerinti módosítását.

2022. szeptember 27. napjától kezdve már minden esetben az új ÁSZF-t kell alkalmaznod a harmadik országokba történő adattovábbításokkal kapcsolatos szerződéseidre.