業務委託条項に関するプライバシー法の影響

2. 保安対策

プライバシー法は、個人データを保護するために適切な技術的および組織的な対策を実施するために法的義務を課します。 契約は、各当事者が維持することに同意するセキュリティ慣行を指定することによって、この義務を反映しなければなりません。 GDPRは、例えば、管理者およびプロセッサが、偽造、暗号化、セキュリティシステムの定期的なテストなどの措置を実施する必要があります。 CCPAは、セキュリティ対策を明示的に規定するものではありませんが、合理的なセキュリティを維持するために失敗から生じるデータ侵害のための行動のプライベートな権利を作成します。 このセキュリティ対策を延長することによって、このセキュリティ対策を実践し、合理的なセキュリティ対策を実施します。

契約条項は、次のものでなければなりません:

• ISO27001認証、SOC 2 Type IIレポート、NISTフレームワークなど、最小限のセキュリティ基準を定義します。
• 定期的なリスク評価とペネトレーションテストが必要です。結果はリクエストに応じて共有されます。
• 特定の時間枠内で、各セキュリティインシデントを通知する当事者を義務付けます。通常24〜48時間。
• コンプライアンスの検証、合理的な通知と範囲制限を含む監査権限。
• データを暗号化するのは、残りとトランジットで、アルゴリズムとキー管理を指定して行います。
• プロセッサーが包括的なインシデント対応プランを維持する必要があります。

成長する契約の数には、セキュリティのためのサービスレベルの合意(SLA)も含まれ、非コンプライアンスのための罰則があります。これは、チェックリスト項目から、測定可能な契約義務にセキュリティをシフトします。

3. ブリーチ通知

データの侵害のタイムリーな通知は、現代のプライバシー法の礎です。GDPRは、限られた例外を除いて、72時間以内に監督当局に通知を通知します。 CCPAは、個人情報侵害を発見した後、カリフォルニアの住民に不当な遅延をすることなく通知する企業が必要です。 米国の州の侵害通知法は、すべての50州の州の州の州の州のあらゆる州で、それぞれ独自のタイムラインとコンテンツ要件を追加します。 これらの法的義務は、各締約国が、通知および通知を適切に理解し、各締約国が、通知を理解できるようにするために、契約条項にミラー化する必要があります。

契約違反通知条項には、以下が含まれます。

• [] 侵害の定義[] – 適用される法律と整列し、トリガーイベントとして疑わしい違反を含む検討。
• [通知タイムライン] - 多くの場合、他の契約者に初期通知のための24〜48時間、長期(72時間〜7日)内の詳細な情報で続きます。
• []通知のコンテンツ - どのような情報を提供する必要があります:侵害の性質、影響を受けるデータのカテゴリ、影響を受けた個人の数、影響を受けた是正措置、および連絡先のポイント。
• 協力義務] – 規制当局の提出に対する違反を調査、軽減、および文書化を支援する義務。
• Cost allocation - 通知、クレジット監視、および是正の費用を負担します。 多くの契約は、侵害の責任のある当事者にこれらの費用をシフトします。

慣行では、事前承認された通知テンプレートの確立と契約への付録として推奨します。これは実際の事件の遅延を低減します。

4. コンプライアンスの責任と免責

契約は、適用されるプライバシー法を遵守するために責任を割り当てなければなりません。これは、当事者が「データ管理者」または「ビジネス」の定義と関連する政令に基づく「データプロセッサ」または「サービスプロバイダー」を意味します。分類は、データ主体のアクセス要求に対応するなどの主要な義務を持つ誰が決定し、データ保護の影響評価(DPIAs)を行い、処理の記録を維持します。分類は、両方の当事者に対する直接責任につながることができます。

補償条項も進化しています。 多くの組織は、カウンターパーティのプライバシー法違反や契約上のデータ保護条件を遵守することができない問題から生じる損失に対して、対比を補償するために、対比を必要とするようになりました。 しかし、これらの条項は、補償に関する法的制限の競合を避けるために慎重に草案する必要があります。 例えば、CCPAの下で、サービスプロバイダは、独自の違反に対する責任をシフトすることはできません。 同様に、GDPRの共同管理者は、相互の決定を防止するために、適切な措置を講じることが保証されます。

補償当事者がデータ処理に関連する規制調査または第三者の要求の他の通知を要求する条項を含む検討。これにより、補償された当事者が独自の防衛および決済戦略を管理することができます。

5. データ転送機構

国際データ転送は、最も困難な契約の問題の一つとなっています。 プライバシーシールドフレームワーク(Schrems II決定)の無効化に続いて、企業が 標準契約条項(SCC)または[]]]に基づいている必要があります。 企業の規則(BCR)を欧州経済領域(EEA)から第三国に個人データを転送する必要があります。 欧州委員会は、各々の規制対象者および規制者に対して、規制当局の措置を含む。