GDPR 如何影响第三方和客户合同？哪些 GDPR 要求会影响我的公司？

标签： IAPP 数据隐私认证浏览量：0 2023-06-22

GDPR 如何影响第三方和客户合同？

GDPR 对数据控制者（拥有数据的组织）和数据处理者（帮助管理该数据的外部组织）承担同等责任。

不合规的第三方处理器意味着您的组织不合规。新法规也有严格的违规报告规则，链中的每个人都必须能够遵守。组织还必须告知客户他们在 GDPR 下的权利。

这意味着与处理者（例如，云提供商、SaaS 供应商或薪资服务提供商）和客户的所有现有合同都需要阐明责任。修订后的合同还需要为如何管理和保护数据以及如何报告违规行为定义一致的流程。

法律服务提供商 Axiom 的银行和监管业务全球主管马修刘易斯说：“最大的活动是在房子的采购方面——你的第三方供应商，你的采购关系代表你处理数据。” “有一整组供应商可以访问这些个人数据，而 GDPR 非常明确地规定你需要确保所有这些第三方都遵守 GDPR 并相应地处理数据。”

刘易斯说，客户合同还需要反映监管变化。“客户合同有多种不同的形式，无论是在线点击还是您承诺如何查看、访问和处理数据的正式协议。”

在修改这些合同之前，业务负责人、IT 和安全团队需要了解数据的存储和处理方式，并就合规的报告流程达成一致。“技术团队、CISO 和数据治理团队需要进行相当大的练习，以了解哪些数据适用于公司内部、存储或处理数据的位置以及将数据导出到公司外部的位置。

一旦您了解了这些数据流及其对业务的影响，您就可以开始从信息安全的角度确定您需要最关注的供应商，您如何管理这些关系，以及您如何在合同中记录这些关系本身，”刘易斯说。

GDPR 还可能改变业务和安全团队对数据的看法。刘易斯说，大多数公司都将他们的数据和用于挖掘数据的流程视为一种资产，但这种看法将会改变。“鉴于 GDPR 的明确同意，以及公司需要更细化地理解数据和数据流，现在随着数据的积累存在一整套责任，”Lewis 说。

“对于法律和合规性而言，这是一种截然不同的心态，但对于企业思考数据的积累和使用的方式以及信息安全团队以及他们思考管理数据的方式来说可能更为重要。”

“数据正以各种方式离开公司，”刘易斯说。“虽然 CISO 和技术团队需要能够跟踪所有这些，但你也需要将保护措施落实到位。” 这些保护措施需要在合同中详细说明，以便外部公司了解他们可以和不能对数据做什么。

Lewis 指出，通过定义义务和责任的过程，它可以让公司做好在运营上处理 GDPR 合规性的准备。“如果你的供应商之一说，'你昨晚被黑了'，他们是否知道该给谁打电话以及如何响应以满足监管要求，”他说。

GDPR 要求的 72 小时报告窗口使得供应商知道如何正确报告违规行为尤为重要。“如果供应商遭到黑客攻击，而你是成千上万的客户之一，他们会通知你的采购部门或会计人员或应收账款人员吗？它可以以各种方式出现，”刘易斯说。

您希望在合同中明确定义路径，以便将信息传递给组织中负责报告违规行为的人员。“监管机构不会说你不应该有违规行为。他们会说你应该有适当的政策、程序和响应结构来快速解决这个问题，”刘易斯说。

较大的公司可能有数千份合同需要更新。使这一挑战复杂化的是，它需要在合规流程的后期完成。在定义职责和责任之前，您必须确切地知道您拥有哪些数据、在何处以及如何处理这些数据以及数据流向。“这使得许多机构在截止日期前竞相完成技术和运营问题，并且不得不赶上制定正确的合同以执行该任务。许多公司没有对合同条款进行任何重新谈判。”

❓这就引出了一个问题：如果合同没有在 5 月的最后期限前全部到位，会发生什么情况？刘易斯看到了不完成合同的几个风险：

运营：如果您尚未与供应商就您的流程达成一致，则不清楚您将如何在 GDPR 下运营。
供应商管理：根据 GDPR，您需要了解您的供应商如何运作，包括他们的安全框架以及他们如何管理数据。没有这些知识，您就不知道它们存在的风险。
监管罚款：刘易斯指出，众所周知，欧盟愿意对违规行为征收高额罚款。如果发生违规行为，没有签订合同可能会对公司不利。“没有合同表明您不知道您的供应商在做什么，这是一个更大的管理问题，涉及您正在使用的基础设施以及您如何处理数据，”Lewis 说。“它让监管机构了解你的组织程度以及你对数据流的理解程度。”
如果我的公司不遵守GDPR会怎样？