hvordan ved jeg, om den software, jeg bruger, overholder GDPR

Et SaaS-værktøj er GDPR-compliant, hvis kontrakten og praksis stemmer overens

Der findes intet officielt mærke eller flueben, der erklærer et SaaS-værktøj officielt "GDPR-compliant" — GDPR vurderer ikke selve softwaren, men hvordan en leverandør håndterer personoplysninger, og hvad der er aftalt herom. I de fleste tilfælde kan et værktøj bruges uden væsentlig risiko, hvis tre ting stemmer: der er en databehandleraftale med leverandøren, aftalen regulerer de påkrævede elementer såsom behandlingens formål og sikkerhedsforanstaltninger, og det er klart, hvor oplysningerne fysisk behandles og gemmes.

Disse sidste to punkter er ofte det, der går galt i praksis. Mange SaaS-værktøjer indsætter selv andre parter — en hostingleverandør, en supportdesk i et andet land — og det kaldes en underbehandler. Det forekommer også, at oplysninger behandles uden for EU, hvilket er forbundet med yderligere betingelser. Den, der er usikker på, om en leverandør i hans virksomhed har rollen som databehandler eller dataansvarlig, finder mere herom på skelnen mellem databehandler og dataansvarlig. Og den, der ønsker at vide, hvad der præcist skal stå i kontrakten med leverandøren, læser det på siden om indholdet af en databehandleraftale.

Hvad dette bygger på: artikel 28 og 44 GDPR

Pligten til at fastsætte aftaler med en part, der behandler personoplysninger, følger af artikel 28 i GDPR, som også angiver, hvad aftalen som minimum skal regulere — herunder indsættelsen af en underbehandler. Behandling af oplysninger uden for EU falder under artikel 44 i GDPR, som stiller yderligere betingelser for overførsel til et tredjeland. Disse bestemmelser gælder direkte i hele EU, så kernepunkterne i vurderingen — er der en databehandleraftale, og er overførsel uden for EU dækket på den rigtige måde — ændres ikke fra land til land. EDPB præciserer i sine retningslinjer, hvordan disse artikler udfyldes i praksis, for eksempel ved vurdering af underbehandlere og international dataoverførsel.