Pokud se dodavatel, s nímž uzavíráte dohodu o zpracování údajů, nachází mimo Evropskou unii nebo Evropský hospodářský prostor, samotná dohoda o zpracování údajů se zásadně nezmění. Stejné součásti, které GDPR předepisuje — předmět a trvání zpracování, povaha a účel, typ údajů, kategorie subjektů údajů a povinnosti a práva vás jako správce údajů — musí v ní stále figurovat, bez ohledu na to, kde je dodavatel usídlen.
Co se skutečně přidává, je další vrstva pravidel: GDPR stanoví zvláštní podmínky pro přenos osobních údajů do země mimo EU nebo EHP. Tato vrstva vás nutí zkontrolovat, zda je pro danou konkrétní zemi zapotřebí záruky nad rámec běžných dohod v dohodě o zpracování údajů, a pokud ano, jaké.
Co zůstává stejné
Jádrem dohody o zpracování údajů je vztah mezi vámi a stranou, která vaším jménem údaje zpracovává: kdo dělá co, s jakým cílem, jak dlouho a co se stane při porušení bezpečnosti údajů nebo v případě ukončení spolupráce. Tyto dohody platí pro každého zpracovatele, ať už sídlí v Rotterdamu, Dublinu nebo San Francisku. Dodavatel mimo EU vás tedy nezbavuje povinnosti provést běžnou kontrolu dohody o zpracování údajů; tato kontrola zůstává nutná, jen se přidá něco dalšího.
Pravidla pro přenos údajů: další vrstva
GDPR samostatně stanoví podmínky, za nichž mohou osobní údaje opustit území EU nebo EHP. Vycházejícím principem je, že úroveň ochrany údajů nesmí klesnout v důsledku jejich přenosu do jiné země. Pro řadu zemí Evropská komise zjistila, že úroveň ochrany je tam dostatečná; tomuto se říká rozhodnutí o adekvátnosti a automaticky se nevztahuje na celou zemi, ale někdy jen na určité odvětví nebo právní úpravu. Pokud neexistuje rozhodnutí o adekvátnosti, je běžně používaným mechanismem standardní smluvní doložky, které zveřejňuje Evropská komise: stanovený vzor, který se používá jako doplněk vedle dohody o zpracování údajů nebo jako její příloha. Která varianta platí a zda je aktuální, se čas od času mění; místo, kde najdete aktuální seznamy a vzory, je uvedeno u Evropské komise a Úřadu pro ochranu osobních údajů, ne v trvalém textu, který byste si mohli zapamatovat.
Cloud usnadňuje věci více, než se zdá
U mnoha nástrojů SaaS se otázka „je můj dodavatel v EU
Co si prakticky můžete ověřit
Poskytovatel, který má své záležitosti v pořádku, obvykle dokáže uvést, kde se osobní údaje zpracovávají a ukládají, zda jsou mimo EU zapojeni podprovozovatelé a jaký mechanismus přenosu dat se pro ně použil. Takové otázky by měly být součástí téhož posouzení jako zbytek smlouvy s procesorem: ne jako samostatné cvičení dodatečně, ale jako součást čtení samotné smlouvy. Kdo zde hledá strukturu, najde v znalostní báze vysvětlená podle tématu jak se různé situace navzájem relacionují.
Proč je zdroj informace zde zvlášť důležitý
Protože se seznamy rozhodnutí o přiměřenosti a modely standardních smluvních doložek v průběhu času mění, je riziko zastaralého předpokladu zde větší než u většiny ostatních témat GDPR. Text, který je dnes správný, nemusí být správný za rok. Proto vždy používáme přímý odkaz na zdroj místo shrnutí, které by mělo být samo o sobě platné; jak přesně to vypadá, si můžete přečíst na stránce o tom, odkud naše informace pocházejí.
Co to znamená pro váš registr a vaše smlouvy
Pokud si budete všímat, které dodavatele používáte a kde jsou sídleni, budete moci na první pohled vidět, u kterých smluv se zpracovatelem hrají roli pravidla přenosu dat a u kterých ne. To je přesně důvod, proč je země sídla pevnou součástí způsobu, jakým zaznamenáváme dodavatele v systému. Otázky, které se k tomuto tématu často vracejí, jsou shromažděny v často kladené otázky o dodavatelích a datech mimo Nizozemsko.
Zda je ve vašem případě skutečně nutné další opatření a jaké opatření, je nakonec na vás samotných nebo na vašeho právníka; poskytujeme osvětlení a strukturu, ne právní poradenství. Pokud si nejste jisti aplikací v konkrétním případě, můžete se také obrátit na Úřad pro ochranu osobních údajů.
Chcete přehledně vidět, kteří z vašich dodavatelů jsou v EU a v EHP a kterí mimo, a zda je u nich smlouva se zpracovatelem se správnými ochrannými prvky? Proveďte bezplatnou kontrolu smlouvy se zpracovatelem nebo otevřete si obchodní účet, abyste si to mohli sledovat v registru.