jak vím, zda software, který používám, splňuje požadavky GDPR

Nástroj SaaS je v souladu s GDPR, pokud se smlouva a praxe shodují

Neexistuje žádné certifikační známí nebo zaškrtnutí, které by nástroj SaaS oficiálně prohlásilo za "v souladu s GDPR" — GDPR netestuje samotný software, ale způsob, jakým poskytovatel nakládá s osobními údaji a co je o tom dohodnuto. Ve většině případů je nástroj použitelný bez významného rizika, pokud se shodují tři věci: existuje dohoda o zpracování údajů se poskytovatelem, tato dohoda upravuje povinné části, jako je účel zpracování a bezpečnostní opatření, a je jasné, kde se údaje fyzicky zpracovávají a ukládají.

Poslední dva body jsou často místem, kde v praxi dochází k chybám. Mnoho nástrojů SaaS si samo najímá další strany — poskytovatele hostingu, help desk v jiné zemi — a tomu se říká subprocesor. Také se stává, že se údaje zpracovávají mimo EU, což je vázáno na další podmínky. Kdo si není jistý, zda má poskytovatel ve vztahu k jeho firmě roli zpracovatele nebo správce údajů, najde více informací na rozlišení mezi zpracovatelem a správcem údajů. A kdo chce vědět, co přesně musí být ve smlouvě se poskytovatelem, přečte si to zpět na stránce o obsah smlouvy o zpracování údajů.

Na čem je to založeno: čl. 28 a 44 GDPR

Povinnost uzavřít dohodu se stranou, která zpracovává osobní údaje, vyplývá z čl. 28 GDPR, který také určuje, co musí smlouva minimálně upravit — včetně zapojení subdodavatele. Zpracování údajů mimo EU se řídí čl. 44 GDPR, který na přenos do třetí země klade další podmínky. Tato ustanovení platí přímo v celé EU, takže jádro posouzení — existuje smlouva o zpracování údajů a je přenos mimo EU řádně zakryt — se neliší podle země. EDPB ve svých směrnicích dále rozvádí, jak se tato ustanovení v praxi naplňují, například při posuzování subdodavatelů a mezinárodního přenosu.