Andmehalduslepingu tuum on AVG-s ise ja see tekst ei muutu igal aastal. Mis muutub, on praktika selle ümber: milliseid tarnijaid te kasutate, kuidas need tarnijad omakorda alam-töövõtjaid kaasavad ja reeglid andmete edastamise kohta Euroopa Liidust väljaspool, mida Euroopa Komisjon aeg-ajalt kohandab. Enamik väikeettevõtteid ei märka seda oma lepingu puhul, vaid selle lisades: alamtöötlejate nimekirja, mida teie tarnija kaasab.
See teeb eristuse oluliseks. Kohustus sõlmida andmehaldusleping iga osapoolega, kes teie nimel isikuandmeid töötleb, jääb muutmata. Mis muutub, on nende detailide juures, mis selle kohustuse all asuvad: millised alamtöötlejad on aktiivsed, kas tarnija laskub andmetel väljaspool EL-i töötleda ja milliseid kokkuleppeid selle kohta mingil ajal piisavaks peetakse.
Mis seaduses ennast ei muutu
Kohustus andmehaldusleping sõlmida, miinimumkomponendid, mis sinna peaksid kuuluma, ja andmehaldusjuhi roll töötleja ees: need on AVG püsivad osad. Praegu pole nende määruste muudatust teatatud. Kui see juhtub, tehakse seda läbi määruse enda muudatuse või Euroopa Kohtu otsuse kaudu, mitte eraldi teate kaudu järelevalve organilt.
Mis praktikas muutub
Kolm asja tavaliselt muutuvad ja sageli ilma, et te seda kohe märkaksite. Esiteks laiendavad tarkvaratarnijad oma funktsionaalsust, näiteks lisavad AI-funktsioonid olemasoleva tööriista peale. See võib tähendada, et ilmub uus alamtöötleja, keda te veel ei teadnud. Teiseks muudavad järelevalve asutused ja EDPB regulaarselt oma juhiseid konkreetsetel teemadel, nagu pilveandmete hoidmine või rahvusvaheline edastamine, ilma et seadus ise muutuks. Kolmandaks kohandab Euroopa Komisjon mõnikord mudelklausleid, mida kasutatakse andmete edastamisel EL-st väljaspool olevatesse riikidesse.
Alamtöötlejad: vaikne muutus
Enamik muutustest andmehaldusleppingus ei ole põhidokumendis, vaid alamtöötlejate loend lisas. Raamatupidamisprogramm, mis võtab uue majutusteenuse pakkuja, HR-tööriist, mis kohandab klienditeenust teises riigis asuva kõnekeskusele: need on muudatused, mille kohta AVG järgi tuleb teid teavitada, et te saaksite hinnata, kas teil on sellele vastuväite põhjus. Praktikas on just see osa, mida ettevõtted kõige kergemini unustavad, sest seda mainitakse sageli tooteuuendusega saadetud e-postis, mitte eraldi juriidilises teadaandes.
Edastamine EL-st väljaspool
Kui tarnija laskub andmetel väljaspool Euroopa Liitu töötleda, peab selleks olema eraldi õiguslik alus, näiteks Euroopa Komisjoni mudelklaused või otsus, et riigil on asjakohane kaitsemeetmete tase. Need õiguslikud alused vaadatakse perioodiliselt üle; mis mingil ajal piisavaks peeti, võib hiljem muutuda. Teile kui SaaS-tarnija kliendile tähendab see, et olemasoleva lepingu õiguslik alus võib muutuda, kuigi leping ennast ei muudeta. Mis see konkreetselt tähendab teie omade tarnijate jaoks, pole üldisel tasandil võimalik öelda; see nõuab konkreetse lepingu ja Andmekaitse Järelevalve Ameti praeguse seisundi vaatamist.
Mis see tähendab teie lepingute jaoks
Praktilise küsimuse esinemise koht ei ole seaduse muutmine, vaid see, kas alamtöötlejad ja andmete edastamise reeglid teie kehtiva lepingu alusel vastavad veel sellele, mida te kunagi kokku leppite või kontrollite. See tähendab perioodiliselt kontrollida, kas hankija on teatanud uutest alltöövõtjatest ja kas teie töötluslepingu lisad on endiselt kehtivad. Esmase ülevaate saamiseks sellest, mis täpselt sellisesse lepingusse kuulub, võite konsulteerida teadmistebaasi töötlusleingute kohta; see on tasuta kättesaadav ja teema järgi valitud, koos viitega seaduseteksti asukohaale.
On mõttekas mitte käsitleda seda ühekordse kontrollina, vaid midagi, mis jätkub seni, kuni kasutate hankijaid, kes teie nimel andmeid töötlevad. Kes kasutab mitut SaaS-tööriista ja ei tea täpselt, millised alamtöötlejad nende alla kuuluvad, võib seda leida korduma kippuvate küsimuste vahel käimasolevate töötluslepingute kohta. Ja kui teil on kahtlusi, kas teatatud muutus hankijal mõjutab teie enda vastutust, on mõttekas seda juristil kontrollida või, kui teil on kahtlus õige järelevalveasutuse suhtes, pöörduda Personaalse andmekaitse Ameti poole.
Ettevõtjad, kes tahavad teada, kuidas see järelevalve praktikas välja näeb, võivad lugeda, kust tulevad teave gdpria.eu-s ja kuidas hankijate muutusi jälgitakse.
Kontrollida ise oma seisundit
Suurem osa segadusest "mis muutus sel aastal" ei tulene seadusemuutusest, vaid hankijast, kes midagi muutis ilma, et te sellest teadlikud oleks. Kui soovite mõne minuti jooksul näha, kas teie enda olukord vajab tähelepanu, võite teha tasuta kiirskänni või käia teadmistebaasi läbi teemadel, mis teie ettevõtte jaoks olulised on.