Ако доставчикът, с който сключвате споразумение за обработка на данни, се намира извън Европейския съюз или Европейския икономически район, самото споразумение за обработка на данни не се изменя по същественост. Същите компоненти, които GDPR предписва — предметът и продължителността на обработката, естеството и целта, видът на данните, категориите на субектите на данни и задълженията и правата ви като администратор — трябва да бъдат включени и там, независимо къде е установен доставчикът.
Това, което се добавя, е отделен набор от правила: GDPR налага допълнителни условия за предаването на лични данни в страна извън ЕС или ЕИП. Този набор ви принуждава да проверите дали за тази конкретна страна е необходима гаранция над обичайните споразумения в споразумението за обработка на данни и ако да, кои.
Какво остава същото
Сърцевината на споразумение за обработка на данни е отношението между вас и страната, която обработва данни от ваше име: кой прави какво, с каква цел, как дълго и какво се случва при нарушение на данни или прекратяване на сътрудничеството. Тези споразумения се прилагат за всеки обработвател, независимо дали се намира в Ротердам, Дъблин или Сан Франциско. Доставчик извън ЕС, следователно, не ви освобождава от обичайния преглед на споразумението за обработка на данни; този преглед остава необходим, само че има нещо допълнително.
Правилата за предаване: допълнителният набор
GDPR отделно регулира при какви условия личните данни могат да напуснат територията на ЕС или ЕИП. Отправната точка е, че нивото на защита на данните не трябва да намалее, защото те отиват в друга страна. За редица страни Европейската комисия е определила, че нивото на защита там е достатъчно; това се нарича решение за адекватност и не се прилага автоматично за цяла страна, а понякога само за определен сектор или схема. Ако няма решение за адекватност, често използваният механизъм е стандартните договорни клаузули, които публикува Европейската комисия: установен модел, който се използва като допълнение до или като приложение към споразумението за обработка на данни. Кой вариант е приложим и актуален ли е, понякога се променя; местоположението на актуалните списъци и модели е при Европейската комисия и при Управлението за защита на данни, а не в фиксиран текст, който можете да запомните.
Облакът прави това по-сложно, отколкото изглежда
При много SaaS инструменти въпросът "находи ли се мой доставчик в ЕС" изглежда по-прост, отколкото е в действителност. Доставчик може да има европейски главен офис и все пак да използва подобработватели, центрове за данни за архивиране или служители за поддръжка извън ЕС. И това също се счита за предаване, дори и главният офис да е в Нидерландия или Германия. Въпросът не е само къде е установен доставчикът, а къде действително отиват данните, включително връзките зад тях.
Какво можете практически да попитате
Доставчик, който има нареждането си в ред, обикновено може да посочи къде се обработват и съхраняват данни, дали се ангажират подобработватели извън ЕС и какъв механизъм за предаване е приложен за това. Този вид въпроси трябва да бъдат част от същата оценка като останалата част на споразумението за обработка на данни: не като отделна упражнение впоследствие, а като част от самото четене на споразумението. Кой търси структура тук, открива в знаниевата база, обяснена по тема как различните ситуации се отнасят една към друга.
Защо местоположението е особено важно тук
Тъй като списъците с решения за адекватност и моделите за условията на стандартни договори се променят с времето, рискът от остаряла предпоставка е по-голям тук, отколкото при повечето други теми по GDPR. Текст, който е верен днес, може да не е верен след година. Поради това при този вид теми винаги работим с преки препратки към източника вместо с резюме, което трябва да съществува самостоятелно; как точно изглежда това, можете да прочетете на страницата за произхода на нашата информация.
Какво означава това за вашия регистър и вашите договори
Ако следите кои доставчици използвате и къде са регистрирани, можете да видите с един поглед при кои договори за обработка на данни правилата за трансфер имат роля и при кои нямат. Това е точно причината, поради която държава на регистрация е неразделна част от начина, по който вписваме доставчик в системата. Въпроси, които често се повтарят по тази тема, са събрани в често задавани въпроси относно доставчици и данни извън България.
Дали за вашата ситуация действително е необходима допълнителна гаранция и която, в крайна сметка е ваше решение или на вашия адвокат; ние осигуряваме обяснение и структура, не правно съветване. При неяснота относно прилагането в конкретен случай можете да се обърнете и към Управата по защита на личните данни.
Искате ли да видите по отчетлив начин кои от вашите доставчици са в ЕС и ЕИП, а кои не, и дали с тях е сключен договор за обработка на данни с надлежните гаранции? Направете безплатната проверка на договор за обработка на данни или отворете бизнес профил, за да го следите в вашия регистър.