Kui tarnija, kellega te andmete töötlemise tegevuse lepingut sõlmite, asub väljaspool Euroopa Liitu või Euroopa Majanduspiirkonda, ei muutu andmete töötlemise tegevuse leping ise oluliselt. Samad komponendid, mida AVG ette näeb — töötlemise teema ja kestus, iseloom ja eesmärk, andmete liik, isikute kategooriad, kelle andmeid töödeldakse, ning teie kohustused ja õigused kui andmete haldurina — peavad seal endiselt olema, sõltumata sellest, kus tarnija asub.
Mis aga lisandub, on eraldi regelikihh: AVG seab täiendavad tingimused isikuandmete edastamisele riiki väljaspool ELi või ETA-d. See kihh kohustab teid kontrollima, kas sellele konkreetsele riigile on vaja tagatist, mis ületab andmete töötlemise tegevuse lepingu tavapäraseid kokkuleppeid, ja kui jah, siis milliseid.
Mis jääb samaks
Andmete töötlemise tegevuse lepingu tuum käsitleb suhet teiega ja poolega, kes teie nimel andmeid töötleb: kes teeb mida, millise eesmärgiga, kui kaua ja mis juhtub andmete rikkumise korral või koostöö lõpetamisel. Need kokkuleppemised kehtivad iga andmete töötleja suhtes, olenemata sellest, kas ta asub Roterdamis, Dublinis või San Franciscos. Tarnija väljaspool ELi ei vabasta teid seega tavapärasest andmete töötlemise tegevuse lepingu kontrollimisest; see kontroll jääb vajalikuks, ainult et sellele lisandub midagi.
Andmete edastamise reeglid: täiendav kihh
AVG reguleerib eraldi, milliste tingimuste alusel tohib isikuandmeid ELi või ETA territooriumilt edasi anda. Aluseks on põhimõte, et andmete kaitsetase ei tohi halveneda nende edastamise tõttu teise riiki. Mitme riigi puhul on Euroopa Komisjon kindlaks teinud, et kaitsetase on seal piisav; seda nimetatakse adekvaatsuse otsuseks, ja see ei kehti automaatselt kogu riigi kohta, vaid mõnikord ainult teatud sektori või õigusaktide suhtes. Kui adekvaatsuse otsust pole, siis tavaliselt kasutatav mehhanism on standardlepingutingimused, mille Euroopa Komisjon avaldab: kinnitatud mudel, mida kasutatakse andmete töötlemise tegevuse lepingu kõrval või sellele lisana. Milline variant kehtib ja kas see on ajakohane, võib muutuda; praeguste loendite ja mudelite asukoht on Euroopa Komisjonil ja Andmekaitse Ametil, mitte fikseeritud tekstis, mida te meelde jätta saaksite.
Pilv teeb asja keerulisemaks, kui tundub
Paljude SaaS-tööriistade puhul tundub küsimus "kas minu tarnija asub ELis" lihtsamalt kui ta on. Tarnijal võib olla Euroopa peakontor ja sellegipoolest kasutab ta alamtöötlejaid, andmebaase varundamiseks või tugiteenuse töötajaid väljaspool ELi. Ka see loetakse andmete edastamiseks, isegi kui peakontor asub Hollandis või Saksamaal. Küsimus ei ole seega ainult selles, kus tarnija asub, vaid kus andmed tegelikult jõuavad, sealhulgas nendega seotud lingid.
Mida saate praktiliselt uurida
Tarnija, kes teeb oma asju korras, saab tavaliselt näidata, kus andmeid töödeldakse ja salvestatakse, kas kasutatakse alamtöötlejaid väljaspool ELi ja milline andmete edastamise mehhanism on rakendatud. Sellised küsimused kuuluvad samasse hindamisse nagu cetera andmete töötlemise tegevuse lepingust: mitte eraldi harjutusena hiljem, vaid lepingu enda lugemise osana. Kes soovib siin struktuuri, leiab teadmusbaasist selgitatuna teema kaupa kuidas erinevad olukorrad üksteisega seotud on.
Miks on võrdlusallikas siin eriti oluline
Kuna adesiivsete otsuste ning standardlepingutingimuste mudelite loendid muutuvad aja jooksul, on siin aegunud eelduse risk suurem kui enamiku teiste GDPR-teemade puhul. Tekst, mis täna kehtib, ei pruugi aasta pärast kehtida. Seetõttu kasutame me selliste teemade puhul alati otsest viidatust allikale, mitte kokkuvõtet, mis peaks iseseisev jääma; kuidas see täpselt välja näeb, leiate järgmiselt lehelt: lehel meie teabe allike kohta.
Mida see tähendab teie registri ja lepingute jaoks
Kui jälgite, milliseid tarnijaid kasutate ja kus nad asuvad, näete ühe pilguga, millistel andmetöötluslepingutel on ülekande reeglitel roll ja millistel mitte. Just seepärast on asukohamaa püsiv osa sellest, kuidas me tarnijat süsteemis käsitleme. Korduvalt esitatud küsimused sellel teemal on koondatud rubriiki korduma kippuvad küsimused tarnijate ja andmete kohta väljaspool Hollandit.
Kas teie konkreetse olukorra jaoks on tõepoolest vaja täiendavat kaitset ja millist, on lõpuks teie või teie jurist otsustada; me anname selgitusi ja struktuuri, mitte õiguslikku nõu. Kui kahtlete rakendamisega konkreetsel juhul, võite samuti pöörduda Isikuandmete Ameti poole.
Kas soovite näha, millised teie tarnijad asuvad ELis ja EMMAs ning millised väljaspool, ja kas neile kuulub nõuete kohase kaitsega andmetöötlusleping? Tehke tasuta kontroll andmetöötluslepingule või avage ärikonto, et seda oma registris jälgida.