Основата на споразумението с обработвач на данни се съдържа в самия GDPR, а този текст не се променя всяка година. Това, което се променя, е практиката около него: кои доставчици използвате, как тези доставчици на свой ред наемат подизпълнители, и правилата относно прехвърлянето на данни извън Европейския съюз, които Европейската комисия от време на време коригира. За повечето МСП это не се забелязва в собствения ви договор, а в приложението към него: списъкът на подобработвачите, които вашият доставчик наема.
Това прави разграничението важно. Задължението да се сключи споразумение с обработвач на данни с всяка страна, която обработва лични данни от ваше име, остава неизменено. Това, което се променя, се находи в детайлите, които падат под това задължение: кои подобработвачи са активни, дали доставчикът прехвърля данни извън ЕС, и какви договорености за това се считат за адекватни на определен момент.
Какво не се променя в самия закон
Задължението за споразумение с обработвач на данни, минималните компоненти, които трябва да бъдат в него, и ролята на отговорния за обработката спрямо обработвача: това са фиксирани части на GDPR. В момента няма обявени изменения на тези разпоредби. Когато това се случи, то ще се осъществи чрез изменение на самата регламент или чрез решение на Европейския съд на правосъдието, а не чрез отделно съобщение от орган за надзор.
Какво се променя в практиката
Три неща обикновено се променят, и често без да го забележите веднага. Първо, доставчиците на софтуер разширяват функционалността си, например с AI функции, които се добавят към съществуващ инструмент. Това може да означава, че се добавя нов подобработвач, който преди не познавахте. Второ, органите за надзор и EDPB редовно актуализират своите насоки по специфични теми, като облачно хранилище или международни прехвърляния, без самият закон да се променя. Трето, Европейската комисия понякога адаптира типовите клаузули, които се използват за прехвърляне на данни в страни извън ЕС.
Подобработвачи: тихата промяна
Най-голямата промяна в споразумението с обработвач на данни не е в главния документ, а в приложението със подобработвачи. Счетоводен пакет, който наема нова хостинг компания, HR инструмент, който изнася обслужване на клиенти на call център в друга страна: това са промени, които според GDPR трябва да ви бъдат съобщени, така че да можете да прецените дали имате възражения. В практиката точно това е частта, която компаниите най-лесно пропускат, защото често се споменава в имейл с актуализация на продукта и не в отделно правно съобщение.
Прехвърляне извън ЕС
Ако доставчик прехвърля данни извън Европейския съюз, трябва да има отделна правна основа за това, например типови клаузули на Европейската комисия или решение, че дадена страна предоставя адекватно ниво на защита. Тези правни основи се преразглеждат от време на време; това, което се считаше за адекватно на определен момент, може да бъде коригирано по-късно. За вас като клиент на SaaS доставчик, това означава, че правната основа под съществуващо споразумение може да се промени, без самият договор да бъде адаптиран. Какво това конкретно означава за вашите собствени доставчици, не е възможно да се каже в общи линии; това изисква преглед на специфичното споразумение и текущата ситуация с Autoriteit Persoonsgegevens.
Какво това означава за вашите собствени споразумения
Практическият въпрос не е дали законът е променен, а дали подизпълнителите и правилата за пренос на данни според вашите съществуващи договори все още съответстват на това, което сте договорили или проверили. Това означава периодично проверяване дали доставчик е докладвал нови подизпълнители и дали приложенията към вашите договори с обработвачи все още са актуални. За първа ориентация относно това какво точно трябва да съдържа такъв договор, можете да консултирате архива на знанията относно договори с обработвачи; той е безплатно достъпен и е организиран по теми, с посочване на място в нормативния текст.
Препоръчително е да не третирате това като еднократна проверка, а като нещо, което продължава, докато използвате доставчици, които обработват данни от ваше име. Който използва множество SaaS инструменти и не знае точно кои подизпълнители са свързани с тях, може да намери информацията в често задаваните въпроси относно текущите договори с обработвачи. И ако имате съмнение дали докладвана промяна у доставчик влияе на вашата собствена отговорност, препоръчително е да я направите преглед от юрист или, при съмнение относно надлежния орган за надзор, да се свържете с Управлението за защита на личните данни.
Предприемачи, които искат да знаят как такава мониторинга изглежда на практика, могат да прочетат откъде идва информацията на gdpria.eu и как се следят промените у доставчиците.
Самостоятелно проверете вашата позиция
Повечето неясноти по въпроса "какво се промени тази година" не произтичат от изменение на закона, а от доставчик, който е направил корекция без да го забележите. Ако желаете в няколко минути да видите дали вашата ситуация се нуждае от внимание, можете да направите безплатното бързо сканиране или да преминете през архива на знанията на темите, които са релевантни за вашия бизнес.