kuidas teada, kas kasutatud tarkvara vastab GDPR-ile

SaaS-tööriist on GDPR-nõuetele vastav, kui leping ja praktika on kooskõlas

Ei ole olemas märki ega linnukest, mis avalikult kuulutaks SaaS-tööriista "GDPR-nõuetele vastavaks" — GDPR ei kontrolli tarkvara ennast, vaid seda, kuidas teenusepakkuja isikuandmetega käitub ja millest on kokku lepitud. Enamikul juhtudel on tööriist kasutatav ilma märkimisväärse riskita, kui kolm asja on korras: teenusepakkujaga on olemas andmetöötleja leping, see leping reguleerib nõutavaid osi nagu andmetöötluse eesmärk ja turvameetmed, ning on selge, kus andmeid füüsiliselt töödeldakse ja säilitatakse.

Need viimased kaks punkti on praktikas sageli probleemkoht. Paljud SaaS-tööristad kaasavad ise omakorda teisi osapooli — hostingu pakkujat, tootetugi teises riigis — ja seda nimetatakse alamtöötlejaks. Samuti juhtub, et andmeid töödeldakse väljaspool ELi, mis on seotud täiendavate tingimustega. Kes kahtleb, kas teenusepakkuja on tema ettevõtte kontekstis andmetöötleja või vastutav isik, saab sellest rohkem teada andmetöötleja ja vastutava isiku erinevusest. Ja kes soovib teada, mis täpselt peab teenusepakkujaga sõlmitud lepingus olema, loeb selle üle andmetöötleja lepingu sisul.

Millel see põhineb: GDPR artiklid 28 ja 44

Kohustus kirjalikult fikseerida kokkuleppeid osapoolega, kes isikuandmeid töötleb, tuleneb GDPR artiklist 28, mis näitab ka, mida see leping peab minimaalselt reguleerima — sealhulgas alamtöötleja kaasamine. Andmete töötlemine väljaspool ELi kuulub GDPR artikli 44 alla, mis kolmandasse riiki edastamisele seab täiendavaid tingimusi. Need määrused kehtivad otseselt kogu ELis, seega hindamise tuum — kas olemas on andmetöötleja leping ja kas kolmandasse riiki edastamine on õigesti kaetud — ei muutu riigiti. EDPB täpsustab oma suunistes edasi, kuidas neid artikleid praktikas rakendatakse, näiteks alamtöötlejate ja rahvusvaheliste andmeedastuste hindamisel.