Εάν ο προμηθευτής με τον οποίο συνάπτετε σύμβαση επεξεργασίας βρίσκεται έξω από την Ευρωπαϊκή Ένωση ή τον Ευρωπαϊκό Οικονομικό Χώρο, η σύμβαση επεξεργασίας δεν αλλάζει ουσιαστικά. Τα ίδια στοιχεία που προβλέπει ο GDPR — το θέμα και η διάρκεια της επεξεργασίας, η φύση και ο σκοπός, το είδος των δεδομένων, οι κατηγορίες των υποκειμένων δεδομένων, και οι υποχρεώσεις και τα δικαιώματα του ελεγκτή δεδομένων — πρέπει να υπάρχουν ακόμα, ανεξάρτητα από το πού είναι εγκατεστημένος ο προμηθευτής.
Αυτό που προστίθεται είναι ένα ξεχωριστό στρώμα κανόνων: ο GDPR θέτει επιπρόσθετες προϋποθέσεις για τη μεταφορά δεδομένων προσώπων σε χώρα έξω από την ΕΕ ή τον ΕΟΧ. Αυτό το στρώμα σας υποχρεώνει να ελέγξετε εάν για εκείνη τη συγκεκριμένη χώρα είναι απαραίτητη μια προστασία πέρα από τις συνηθισμένες συμφωνίες της σύμβασης επεξεργασίας, και αν ναι, ποια.
Τι παραμένει το ίδιο
Το κυρίως μέρος μιας σύμβασης επεξεργασίας αφορά τη σχέση μεταξύ σας και του κόμματος που επεξεργάζεται δεδομένα για λογαριασμό σας: ποιος κάνει τι, με ποιο σκοπό, για πόσο καιρό, και τι συμβαίνει σε περίπτωση παραβίασης δεδομένων ή στη διακοπή της συνεργασίας. Αυτές οι συμφωνίες ισχύουν για κάθε επεξεργαστή, είτε βρίσκεται στη Ρότερνταμ, στο Δουβλίνο ή στο Σαν Φρανσίσκο. Επομένως, ένας προμηθευτής έξω από την ΕΕ δεν σας απαλλάσσει από τον συνηθισμένο έλεγχο μιας σύμβασης επεξεργασίας· αυτός ο έλεγχος παραμένει απαραίτητος, απλώς προστίθεται κάτι επιπλέον.
Οι κανόνες μεταφοράς: το επιπρόσθετο στρώμα
Ο GDPR ρυθμίζει χωριστά υπό ποιες προϋποθέσεις τα δεδομένα προσώπων μπορούν να φύγουν από τα εδάφη της ΕΕ ή του ΕΟΧ. Η βασική αρχή είναι ότι το επίπεδο προστασίας των δεδομένων δεν πρέπει να χειροτερεύσει επειδή μεταφέρονται σε άλλη χώρα. Για έναν αριθμό χωρών, η Ευρωπαϊκή Επιτροπή έχει αποφασίσει ότι το επίπεδο προστασίας εκεί είναι ικανοποιητικό· αυτό ονομάζεται απόφαση επάρκειας, και δεν ισχύει αυτόματα για ολόκληρη τη χώρα αλλά ενδέχεται να ισχύει μόνο για έναν συγκεκριμένο τομέα ή ρύθμιση. Εάν δεν υπάρχει απόφαση επάρκειας, ένας ευρέως χρησιμοποιούμενος μηχανισμός είναι οι τυπικές ρήτρες συμβάσεων που δημοσιεύει η Ευρωπαϊκή Επιτροπή: ένα καθορισμένο πρότυπο που χρησιμοποιείται ως συμπλήρωμα δίπλα ή ως παράρτημα της σύμβασης επεξεργασίας. Ποια παραλλαγή ισχύει και εάν είναι ενημερωμένη, αλλάζει κατά περιόδους· τη τοποθεσία των τρέχοντων καταλόγων και προτύπων δημοσιεύει η Ευρωπαϊκή Επιτροπή και η Αρχή Προστασίας Δεδομένων, όχι σε σταθερό κείμενο που μπορείτε να απομνημονεύσετε.
Το cloud καθιστά το ζήτημα δυσκολότερο από ό,τι φαίνεται
Σε πολλά SaaS εργαλεία, το ερώτημα "ο προμηθευτής μου βρίσκεται μέσα στην ΕΕ" φαίνεται απλούστερο από ό,τι είναι. Ένας προμηθευτής μπορεί να έχει ευρωπαϊκό κεντρικό γραφείο και ωστόσο να χρησιμοποιεί υπο-επεξεργαστές, κέντρα δεδομένων για ασφαλείες ή προσωπικό υποστήριξης έξω από την ΕΕ. Και αυτό συμψηφίζεται ως μεταφορά, ακόμα και αν το κύριο γραφείο είναι στην Ολλανδία ή τη Γερμανία. Το ερώτημα δεν είναι λοιπόν μόνο πού είναι εγκατεστημένος ο προμηθευτής, αλλά πού καταλήγουν τα δεδομένα στην πραγματικότητα, συμπεριλαμβανομένων των ζεύξεων πίσω τους.
Τι μπορείτε πρακτικά να διευκρινίσετε
Ένας προμηθευτής που έχει τα θέματά του σε τάξη μπορεί συνήθως να υποδείξει πού επεξεργάζονται και αποθηκεύονται τα δεδομένα, αν χρησιμοποιούνται υπο-επεξεργαστές έξω από την ΕΕ και ποιος μηχανισμός μεταφοράς έχει εφαρμοστεί γι' αυτό. Αυτό το είδος των ερωτήσεων θα πρέπει να αποτελεί μέρος της ίδιας αξιολόγησης με το υπόλοιπο της σύμβασης επεξεργασίας: όχι ως ξεχωριστή άσκηση αργότερα, αλλά ως μέρος της ανάγνωσης της ίδιας της σύμβασης. Όποιος αναζητά δομή σε αυτό το ζήτημα, θα βρει στη γνωσιακή βάση ανά θέμα παραπάνω στοιχεία πώς οι διάφορες καταστάσεις σχετίζονται μεταξύ τους.
Γιατί η τοποθεσία είναι ιδιαίτερα σημαντική εδώ
Επειδή οι κατάλογοι των αποφάσεων επάρκειας και τα πρότυπα όρων τυπικών συμβάσεων αλλάζουν με την πάροδο του χρόνου, ο κίνδυνος μιας παρωχημένης υπόθεσης είναι μεγαλύτερος εδώ από ό,τι στα περισσότερα άλλα θέματα GDPR. Ένα κείμενο που είναι σωστό σήμερα, μπορεί να μην είναι αύριο. Γι' αυτό, σε τέτοια θέματα, εργαζόμαστε πάντα με άμεση αναφορά στην πηγή αντί για μια σύνοψη που πρέπει να είναι ανεξάρτητη. πώς ακριβώς φαίνεται, διαβάστε στο σελίδα σχετικά με το πού προέρχονται τα στοιχεία μας.
Τι σημαίνει αυτό για το μητρώό σας και τις συμβάσεις σας
Εάν παρακολουθείτε ποιους προμηθευτές χρησιμοποιείτε και πού είναι εγκατεστημένοι, θα δείτε με μια ματιά σε ποιες συμβάσεις επεξεργασίας ισχύουν οι κανόνες μεταφοράς και σε ποιες όχι. Αυτός είναι ακριβώς ο λόγος για τον οποίο το κράτος εγκατάστασης είναι ένα σταθερό μέρος του τρόπου με τον οποίο προσθέτουμε έναν προμηθευτή στο σύστημα. Ερωτήσεις που συχνά επανέρχονται σχετικά με αυτό το θέμα συγκεντρώνονται στο οι συχνές ερωτήσεις σχετικά με προμηθευτές και δεδομένα εκτός Ολλανδίας.
Εάν για την κατάσταση σας είναι πραγματικά απαραίτητη μια πρόσθετη διασφάλιση, και ποια, είναι, τελικά, δική σας ή του δικηγόρου σας να αποφασίσει· παρέχουμε διευκρίνιση και δομή, όχι νομικές συμβουλές. Εάν έχετε αμφιβολίες σχετικά με την εφαρμογή σε μια συγκεκριμένη περίπτωση, μπορείτε επίσης να επικοινωνήσετε με την Autoriteit Persoonsgegevens.
Θέλετε να δείτε με ευκρίνεια ποιοι από τους προμηθευτές σας είναι εντός και ποιοι εκτός της ΕΕ, και εάν υπάρχει συμβάση επεξεργασίας με τις σωστές διασφαλίσεις; Κάντε τον δωρεάν έλεγχο για μια σύμβαση επεξεργασίας ή ανοίξτε ένα επαγγελματικό λογαριασμό για να το παρακολουθείτε στο μητρώό σας.