Jádro smlouvy se zpracovatelem je obsaženo v samotném GDPR a tento text se každoročně nemění. Co se posouvá, je právě praxe kolem něj: které dodavatele používáte, jak tito dodavatelé na svou stranu angažují subdodavatele a pravidla týkající se předávání dat mimo Evropskou unii, která Evropská komise čas od času upravuje. Pro většinu malých a středních podniků to na vašem vlastním kontraktu zpravidla nepoznáte, ale poznáte to u přílohy: seznamu podprocesovatelů, které váš dodavatel angažuje.
To činí rozdíl důležitým. Povinnost uzavřít smlouvu se zpracovatelem s každou stranou, která zpracovává osobní údaje vaším jménem, zůstává nezměněna. To, co se mění, se nachází v detailech, které pod touto povinností visí: kteří podprocesovatelé jsou aktivní, zda dodavatel zpracovává data mimo EU, a jaké dohody na jejich základě jsou v daném čase považovány za dostatečné.
Co se v samotném zákoně nemění
Povinnost uzavřít smlouvu se zpracovatelem, minimální součásti, které v ní musí být obsaženy, a role správce údajů vůči zpracovateli: to jsou stálé součásti GDPR. V současné době neexistuje oznámená změna těchto ustanovení. Když k tomu dojde, uskutečňuje se to prostřednictvím změny samotného nařízení nebo prostřednictvím rozhodnutí Soudního dvora Evropské unie, nikoli prostřednictvím samostatné zprávy dohledového úřadu.
Co se v praxi posouvá
Tři věci se obvykle mění a často bez toho, aby jste si to hned všimli. Zaprvé rozšiřují poskytovatelé softwaru své funkce, například přidáním funkcí AI, které jsou nasazeny do existujícího nástroje. To může znamenat, že se přidá nový podprocesor, kterého jste dosud neznali. Zadruhé pravidelně mění dohledové úřady a EDPB své pokyny k určitým tématům, jako je cloudové úložiště nebo mezinárodní přenos, aniž by se samotný zákon změnil. Zatřetí někdy Evropská komise upravuje modelové klauzule, které se používají pro přenos dat do zemí mimo EU.
Podprocesovatelé: tichá změna
Většina posunu ve smlouvě se zpracovatelem se nenachází v hlavním dokumentu, ale v příloze s podprocesovateli. Účetní balíček, který angažuje nového poskytovatele hostingu, nebo HR nástroj, který outsourcuje zákaznický servis na call centrum v jiné zemi: to jsou změny, které podle GDPR musí být vám sděleny, abyste mohli posoudit, zda proti nim máte námitky. V praxi je to právě ta část, kterou si podniky nejsnáze všimnou, protože se často zmiňuje v e-mailu s aktualizací produktu a ne v samostatném právním oznámení.
Přenos dat mimo EU
Pokud dodavatel nechá zpracovávat data mimo Evropskou unii, musí existovat pro to zvláštní právní základ, například modelové klauzule Evropské komise nebo rozhodnutí, které deklaruje, že daná země poskytuje adekvátní úroveň ochrany. Tyto právní základy se čas od času přezkoumávají; to, co bylo v určitém čase považováno za dostatečné, lze později upravit. Pro vás jako zákazníka poskytovatele SaaS to znamená, že právní základ smlouvy se zpracovatelem se může změnit bez toho, aby se samotná smlouva upravila. Co to konkrétně znamená pro vaše vlastní dodavatele, nelze říci obecně; to vyžaduje pohled na konkrétní smlouvu a aktuální stav věcí u Úřadu pro ochranu osobních údajů.
Co to znamená pro vaše vlastní smlouvy
Praktická otázka není to, zda byl zákon změněn, ale zda dílčí zpracovatelé a pravidla přenosu dat podle vašich stávajících smluv stále odpovídají tomu, co jste si někdy domluvili nebo zkontrolovali. To znamená periodicky ověřovat, zda dodavatel nahlásil nové subdodavatele, a zda přílohy vaší smlouvy se zpracovatelem jsou stále aktuální. Chcete-li se poprvé orientovat v tom, co přesně taková smlouva obsahovat má, můžete si prohlédnout znalostní bázi o smlouvách se zpracovateli; ta je volně přístupná a seřazena podle tématu s odkazem na místo v právním textu.
Je rozumné to nevidět jako jednorázovou kontrolu, ale jako něco, co pokračuje, dokud používáte dodavatele, kteří zpracovávají data vaším jménem. Kdo používá více nástrojů SaaS a přesně neví, které subdodavatele pod nimi jsou, může si to najít v často kladených otázkách o probíhajících smlouvách se zpracovateli. A máte-li pochybnosti o tom, zda hlášená změna u dodavatele ovlivní vaši vlastní odpovědnost, je vhodné ji nechat posoudit právníkem, nebo v případě pochybností o správném správním orgánu si informace vyžádat od Úřadu pro ochranu osobních údajů.
Podnikatelé, kteří si chtějí ověřit, jak takové monitorování v praxi vypadá, si mohou přečíst, odkud pocházejí informace na gdpria.eu a jak jsou sledovány změny u dodavatelů.
Vlastní ověření vaší situace
Většina nejasností v otázce "co se letos změnilo" nepramení ze změny zákona, ale z dodavatele, který něco upravil bez vašeho vědomí. Chcete-li si za pár minut ověřit, zda vaše vlastní situace potřebuje pozornost, můžete si udělat bezplatný rychlý přehled nebo si projít znalostní bázi v tématech relevantních pro vaši společnost.