Jos toimittaja, jonka kanssa teet tiedonkäsittelijän sopimuksen, sijaitsee Euroopan unionin tai Euroopan talousalueen ulkopuolella, sopimus itsessään ei muutu oleellisesti. Samat osat, jotka GDPR edellyttää — käsittelyn kohde ja kesto, luonne ja tarkoitus, tietotyypin, rekisteröityjen kategoriat, sekä velvoitteet ja oikeudet sinulla käsittelyvastuullisena — on edelleen oltava olemassa riippumatta siitä, missä toimittaja sijaitsee.
Mitä tulee lisäksi, on erillinen säädösten kerros: GDPR asettaa erityisiä ehtoja henkilötietojen siirtämiselle maahan EU:n tai ETA:n ulkopuolella. Tämä kerros velvoittaa sinua tarkistamaan, tarvitaanko kyseiselle maalle tavallisten tiedonkäsittelijän sopimuksen ehtojen lisäksi muita takeita, ja jos niin, mitkä.
Mikä säilyy samana
Tiedonkäsittelijän sopimuksen ydin käsittelee suhdetta sinun ja osapuolen välillä, joka käsittelee tietoja puolestasi: kuka tekee mitä, millä tarkoituksella, kuinka kauan, ja mitä tapahtuu tietomurrosta tai yhteistyön päättämisestä. Nämä sopimukset koskevat jokaista tiedonkäsittelijää riippumatta siitä, sijaitseekohan he Rotterdamissa, Dublinissa vai San Franciscossa. Toimittaja EU:n ulkopuolella ei siis vapauta sinua tavallisesta tiedonkäsittelijän sopimuksen tarkistuksesta; se tarkistus on edelleen tarpeen, vain jokin lisäys tulee siihen.
Siirtosäännöt: erillinen kerros
GDPR sääntelee erikseen, millä ehdoilla henkilötiedot saavat poistua EU:n tai ETA:n alueelta. Lähtökohta on, että tietojen suojelutaso ei saa heikentyä, kun ne siirtyvät toiseen maahan. Europan komissio on arvioinut useiden maiden suojelutason riittäväksi; tätä kutsutaan riittävyysratkaisuksi, eikä se automaattisesti koske koko maata vaan joskus vain tiettyä sektoria tai sääntelyä. Jos riittävyysratkaisua ei ole, niin yleisesti käytetty mekanismi on Euroopan komission julkaisemat vakiosopimusehdot: vakiintuneet mallit, joita käytetään tiedonkäsittelijän sopimuksen rinnalla tai liitteenä. Mikä muunnelma on sovellettava ja onko se ajanmukainen, muuttuu toisinaan; nykyisten luetteloiden ja mallien löytöpaikka on Euroopan komissiolla ja kansallisella valvontaviranomaisella, ei muuttumattomassa tekstissä, jonka voisi muistaa.
Pilvipalvelu tekee asiasta monimutkaisemman kuin näyttää
Monissa SaaS-työkaluissa kysymys "sijaitseekohan toimittajani EU:n sisällä" tuntuu yksinkertaisemmalta kuin se on. Toimittajalla voi olla Euroopan pääkonttori ja silti käyttää alitiedonkäsittelijöitä, varmuuskopiointiin tarkoitettuja datakeskuksia tai tukihenkilöstöä EU:n ulkopuolella. Myös sekin lasketaan siirrokseksi, vaikka pääkonttori sijaitsisi Alankomaissa tai Saksassa. Kysymys ei siis ole vain se, missä toimittaja sijaitsee, vaan se, mihin tiedot todella päätyivät, mukaan lukien niiden takana olevat linkit.
Mitä voit käytännössä tiedustella
Toimittaja, joka on järjestänyt asiansa kuntoon, voi yleensä kertoa, missä tietoja käsitellään ja tallennetaan, käytetäänkö alitiedonkäsittelijöitä EU:n ulkopuolella, ja mitä siirtomekanismia siihen on sovellettu. Tämän tyyppiset kysymykset kuuluvat samaan arviointiin kuin muu tiedonkäsittelijän sopimus: ei erillisenä harjoituksena jälkikäteen, vaan osana sopimuksen itsensä lukemista. Joka etsii struktuuria asiaan, löytää aiheittain järjestettävästä tietokannasta selitykset siitä, miten eri tilanteet liittyvät toisiinsa.
Miksi löytöpaikka on tässä erityisen tärkeää
Koska riittävyyspäätöksiä ja vakiosopimuslausekemalleja sisältävät luettelot muuttuvat ajan myötä, vanhentuneen oletuksen riski on tässä suurempi kuin useimmissa muissa GDPR-aiheissa. Teksti, joka on tänään oikea, ei välttämättä ole sitä enää vuoden kuluttua. Siksi käytämme näissä aiheissa aina suoraa viittausta lähteeseen yhteenvedon sijaan, joka pysyy omillaan; tarkemmin siitä luet osoitteesta jossa kerromme, mistä tietomme tulevat.
Mitä tämä tarkoittaa rekisteriä ja sopimuksiin
Jos pidät kirjaa käyttämistäsi toimittajista ja heidän sijainnistaan, näet silmäyksellä, mitkä tietojen siirtoa koskevat säännöt tulevat kyseeseen kaikissa käsittelyä koskevia sopimuksia koskevia kysymyksiä ja mitkä eivät. Juuri tämän vuoksi sijainnin maa on kiinteä osa tapaa, jolla sisällytämme toimittajan järjestelmään. Usein esille tulevat kysymykset tästä aiheesta on koottu usein kysyttyihin kysymyksiin toimittajista ja tiedoista Alankomaiden ulkopuolella.
Onko tilanteessasi itse asiassa tarpeen lisäsuoja ja mikä se on, on viime kädessä sinun tai oikeuslainopilaajasi päätettävä; me annamme selvennystä ja rakennetta, ei juridista neuvontaa. Jos olet epävarma soveltamisesta konkreettisessa tapauksessa, voit myös ottaa yhteyttä Autoriteit Persoonsgegevens.
Haluatko nähdä selkeästi, mitkä toimittajistasi sijaitsevat EU:ssa tai ETA:ssa ja mitkä sen ulkopuolella, ja onko niissä käsittelyä koskevan sopimuksen kanssa asianmukaisia suojauksia? Tee ilmainen käsittelyä koskevan sopimuksen tarkistus tai avaa liiketoimintaan perustuva tili sen seurantaan rekisterissä.