Adatfeldolgozói szerződés: Az adatfeldolgozói szerződés (angolul DPA) az adatkezelő és az adatfeldolgozó közötti írásos megállapodás, amely a GDPR 28. cikk (3) bekezdése szerint rögzíti, milyen adatot, milyen célra, meddig és milyen biztonsági feltételekkel kezel a szolgáltató a rendelő nevében.
A rendelet felsorolja a kötelező elemeket: az adatfeldolgozó csak a rendelő írásos utasítására dolgozhat; a hozzáférő munkatársai titoktartásra kötelezettek; megteszi a 32. cikk szerinti biztonsági intézkedéseket; csak engedéllyel von be további adatfeldolgozót; segít a páciensek jogainak teljesítésében és incidens esetén; a szerződés végén visszaadja vagy törli az adatokat; és minden információt rendelkezésre bocsát az ellenőrzéshez.
A gyakorlatban a szolgáltatók saját mintát adnak. Aláírás előtt érdemes 4 dolgot ellenőrizni: hol vannak a szerverek, kik az alvállalkozók, mennyi időn belül jelez a szolgáltató incidens esetén, és milyen formátumban kapja vissza az adatait, ha szerződést bont.
Szerződés nélkül egészségügyi adatot külső szolgáltatónál tárolni a GDPR megsértése, akkor is, ha a szolgáltató egyébként biztonságos.
A megkötött szerződéseket egy helyen, a rendelő adatkezelési nyilvántartása mellett érdemes tárolni, hogy ellenőrzéskor gyorsan elővehetők legyenek.