Η ουσία της συμφωνίας επεξεργασίας βρίσκεται στον ίδιο τον GDPR, και αυτό το κείμενο δεν αλλάζει κάθε χρόνο. Αυτό που μετακινείται είναι η πρακτική γύρω του: ποιους προμηθευτές χρησιμοποιείτε, πώς αυτοί οι προμηθευτές με τη σειρά τους αναθέτουν υπο-εργολάβους, και οι κανόνες για τη μεταφορά δεδομένων έξω από την Ευρωπαϊκή Ένωση, τις οποίες η Ευρωπαϊκή Επιτροπή προσαρμόζει από καιρού σε καιρό. Για τις περισσότερες μικρομεσαίες επιχειρήσεις, αυτό δεν σημαίνει αλλαγή στο δικό σας συμβόλαιο, αλλά στο παράρτημα που το συνοδεύει: τη λίστα των υπο-επεξεργαστών που ο προμηθευτής σας χρησιμοποιεί.
Αυτό κάνει τη διάκριση σημαντική. Η υποχρέωση να συνάψετε συμφωνία επεξεργασίας με κάθε τρίτο που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό σας παραμένει αμετάβλητη. Αυτό που αλλάζει βρίσκεται στις λεπτομέρειες που εμπίπτουν στην υποχρέωση αυτή: ποιοι υπο-επεξεργαστές είναι ενεργοί, αν ένας προμηθευτής επεξεργάζεται δεδομένα έξω από την ΕΕ, και ποιες συμφωνίες θεωρούνται επαρκείς σε κάποια δεδομένη στιγμή.
Τι δεν αλλάζει στο ίδιο το νομικό κείμενο
Η υποχρέωση για συμφωνία επεξεργασίας, τα ελάχιστα στοιχεία που πρέπει να περιλαμβάνει, και ο ρόλος του υπεύθυνου επεξεργασίας έναντι του επεξεργαστή: αυτά είναι σταθερά στοιχεία του GDPR. Αυτή τη στιγμή δεν υπάρχει καμία ανακοιχθείσα τροποποίηση αυτών των διατάξεων. Όταν συμβεί, θα γίνει μέσω τροποποίησης της ίδιας της κανονισμού ή μέσω απόφασης του Ευρωπαϊκού Δικαστηρίου, όχι μέσω κάποιας μεμονωμένης ανακοίνωσης ενός εποπτικού φορέα.
Τι αλλάζει πράγματι στην πρακτική
Τρία πράγματα συνήθως αλλάζουν, και συχνά χωρίς να το προσέξετε αμέσως. Πρώτον, οι προμηθευτές λογισμικού επεκτείνουν τη λειτουργικότητα, για παράδειγμα προσθέτοντας δυνατότητες AI σε ένα υπάρχον εργαλείο. Αυτό μπορεί να σημαίνει ότι προστίθεται ένας νέος υπο-επεξεργαστής που δεν γνωρίζατε. Δεύτερον, οι εποπτικοί φορείς και η EDPB τακτικά τροποποιούν τις κατευθυντήριες γραμμές τους για συγκεκριμένα θέματα, όπως αποθήκευση στο cloud ή διεθνής μεταφορά, χωρίς να αλλάζει ο ίδιος ο κανονισμός. Τρίτον, η Ευρωπαϊκή Επιτροπή ορισμένες φορές προσαρμόζει τις τυποποιημένες ρήτρες που χρησιμοποιούνται για τη μεταφορά δεδομένων σε χώρες έξω από την ΕΕ.
Υπο-επεξεργαστές: η σιωπηλή αλλαγή
Το μεγαλύτερο μέρος της μετάθεσης σε μια συμφωνία επεξεργασίας δεν βρίσκεται στο κύριο έγγραφο, αλλά στο παράρτημα με τους υπο-επεξεργαστές. Ένα λογιστικό πακέτο που προσλαμβάνει έναν νέο φιλοξενούντα, ένα εργαλείο HR που εξωτερικοποιεί την εξυπηρέτηση πελατών σε ένα τηλεφωνικό κέντρο σε άλλη χώρα: αυτές είναι αλλαγές που σύμφωνα με τον GDPR πρέπει να σας ειδοποιηθούν, ώστε να μπορέσετε να αξιολογήσετε αν έχετε αντίρρηση. Στην πράξη, αυτό είναι ακριβώς το τμήμα που οι επιχειρήσεις χάνουν πιο εύκολα, επειδή συχνά αναφέρεται σε ένα email με ενημέρωση προϊόντος και όχι σε ξεχωριστή νομική ειδοποίηση.
Μεταφορά έξω από την ΕΕ
Εάν ένας προμηθευτής επεξεργάζεται δεδομένα έξω από την Ευρωπαϊκή Ένωση, πρέπει να υπάρχει μια ξεχωριστή νομική βάση για αυτό, για παράδειγμα τυποποιημένες ρήτρες της Ευρωπαϊκής Επιτροπής ή απόφαση ότι ένας τρίτος χώρα προσφέρει επαρκές επίπεδο προστασίας. Αυτές οι νομικές βάσεις αναθεωρούνται περιοδικά· αυτό που κάποτε θεωρούνταν επαρκές μπορεί αργότερα να προσαρμοστεί. Για εσάς ως πελάτη ενός προμηθευτή SaaS, αυτό σημαίνει ότι η νομική βάση κάτω από μια υπάρχουσα συμφωνία μπορεί να αλλάξει χωρίς το ίδιο το συμβόλαιο να προσαρμοστεί. Τι σημαίνει συγκεκριμένα για τους δικούς σας προμηθευτές, δεν είναι δυνατό να λεχθεί γενικά· αυτό απαιτεί εξέταση της ειδικής συμφωνίας και της τρέχουσας κατάστασης στην Αρχή Προστασίας Δεδομένων.
Τι σημαίνει αυτό για τις δικές σας συμφωνίες
Το πρακτικό ερώτημα δεν είναι αν ο νόμος έχει τροποποιηθεί, αλλά αν οι υπεργολάβοι και οι κανόνες μεταφοράς δεδομένων στις υπάρχουσες συμφωνίες σας ανταποκρίνονται ακόμη σε αυτά που συμφωνήσατε ή ελέγξατε ποτέ. Αυτό σημαίνει να ελέγχετε περιοδικά αν ένας προμηθευτής έχει δηλώσει νέους υπεργολάβους και αν τα παραρτήματα στις συμφωνίες σας ως υπεύθυνος επεξεργασίας είναι ακόμη ενημερωμένα. Για μια πρώτη ενημέρωση για το τι ακριβώς θα πρέπει να περιέχεται σε τέτοια συμφωνία, μπορείτε να συμβουλευθείτε τη βάση γνώσης σχετικά με συμφωνίες ως υπεύθυνος επεξεργασίας· η οποία είναι δωρεάν προσβάσιμη και οργανωμένη ανά θέμα, με την αναφορά στο νομικό κείμενο.
Είναι σωστό να μην το θεωρείτε ως μια μοναδική έλεγχο, αλλά ως κάτι που συνεχίζεται όσο χρησιμοποιείτε προμηθευτές που επεξεργάζονται δεδομένα εκ μέρους σας. Όποιος χρησιμοποιεί πολλά SaaS εργαλεία και δεν γνωρίζει ακριβώς ποιοι υπεργολάβοι υπάγονται σε αυτά, μπορεί να το βρει στις συχνές ερωτήσεις σχετικά με τις τρέχουσες συμφωνίες ως υπεύθυνος επεξεργασίας· Και αν αμφιβάλλετε για το αν μια δηλωθείσα αλλαγή σε έναν προμηθευτή έχει συνέπειες για τη δική σας ευθύνη, είναι συνετό να την ελέγξετε από έναν δικηγόρο ή, αν αμφιβάλλετε για την κατάλληλη αρχή εποπτείας, να ενημερωθείτε από την Αρχή Προστασίας Δεδομένων.
Επιχειρηματίες που θέλουν να μάθουν πώς φαίνεται τέτοια παρακολούθηση στην πράξη, μπορούν να διαβάσουν από πού προέρχονται οι πληροφορίες στο gdpria.eu και πώς παρακολουθούνται οι αλλαγές στους προμηθευτές.
Ελέγξτε μόνοι σας την κατάστασή σας
Η περισσότερη σύγχυση σχετικά με το "τι άλλαξε φέτος" δεν προκύπτει από τροποποίηση του νόμου, αλλά από έναν προμηθευτή που άλλαξε κάτι χωρίς να το παρατηρήσετε. Αν θέλετε να δείτε σε λίγα λεπτά αν η δική σας κατάσταση χρειάζεται προσοχή, μπορείτε να κάνετε το δωρεάν γρήγορο σάρωμα ή να περάσετε τη βάση γνώσης στα θέματα που είναι σχετικά για την εταιρεία σας.