kuinka tiedän, että käyttämäni ohjelmisto täyttää GDPR:n vaatimukset

SaaS-työkalu on GDPR-yhteensopiva, jos sopimus ja käytäntö ovat kunnossa

GDPR-yhteensopivuudelle ei ole olemassa virallista sertifikaattia tai merkintää — GDPR ei arvioi ohjelmistoa itseään, vaan sitä, miten toimittaja käsittelee henkilötietoja ja mitä siitä on sovittu. Useimmissa tapauksissa työkalu on käyttökelpoinen ilman merkittävää riskiä, jos kolme asiaa ovat kunnossa: toimittajan kanssa on tehty tietojen käsittelyyn liittyvä sopimus, jossa on sovittu pakolliset osat, kuten käsittelyn tarkoitus ja tietoturvatoimet, sekä on selkeästi määritelty, missä tiedot fyysisesti käsitellään ja säilytetään.

Kaksi jälkimmäistä kohtaa ovat usein ongelma käytännössä. Monet SaaS-työkalut käyttävät muita osapuolia — palveluntarjoajaa tai tukipalvelua toisessa maassa — ja näitä kutsutaan alihankkijoiksi. Lisäksi voi käydä niin, että tietoja käsitellään EU:n ulkopuolella, mikä edellyttää lisäehtoja. Jos olet epävarma, onko toimittajalla yrityksessäsi tietojen käsittelijän vai tietojen hallintaan vastuussa olevan osapuolen rooli, löydät lisätietoja tietojen käsittelijän ja tietojen hallintaan vastuussa olevan osapuolen välisestä erottelusta. Ja jos haluat tietää, mitä sopimukseen toimittajan kanssa täytyy kirjoittaa, löydät sen tietojen käsittelyä koskevan sopimuksen sisällöstä.

Perustan: GDPR:n 28. ja 44. artikla

Velvollisuus sopia henkilötietoja käsittelevän osapuolen kanssa seuraa GDPR:n 28. artiklasta, joka määrittelee myös, mitä sopimuksessa on vähintään sovittava — mukaan lukien alihankkijoiden käyttö. Henkilötietojen käsittely EU:n ulkopuolella kuuluu GDPR:n 44. artiklaan, joka asettaa kolmanteen maahan tapahtuvan siirron osalta lisäehtoja. Nämä määräykset koskevat suoraan koko EU:ta, joten arvioinnin perusta — onko tietojen käsittelyä koskeva sopimus olemassa ja onko EU:n ulkopuolelle tapahtuva siirto asianmukaisesti järjestetty — ei muutu maittain. EDPB yksityiskohtaistaa ohjearvoissaan näiden artikloiden käytännön soveltamista, esimerkiksi alihankkijoiden ja kansainvälisen tiedonsiirron arviointia koskevan osalta.