Tietosuojalausekkeen ydin on itse GDPR:ssä, eikä se teksti muutu vuosittain. Se, mikä muuttuu, on sen ympärillä oleva käytäntö: mitä toimittajia käytätte, miten nämä toimittajat puolestaan ottavat käyttöön alihankkijoita ja säännöt tietojen siirtämisestä Euroopan unionin ulkopuolelle, joita Euroopan komissio silloin tällöin tarkistaa. Useimmille pk-yrityksille tämä ei näy omassa sopimuksessa, vaan sen liitteessä: toimittajasi käyttämien alihankkijoiden luettelossa.
Tämä tekee eron tärkeäksi. Velvoite tehdä tietosuojalauseke jokaisen osapuolen kanssa, joka käsittelee henkilötietoja puolestasi, säilyy muuttumattomana. Muutos on yksityiskohdissa, jotka kuuluvat tämän velvoitteen alle: mitkä alihankkijat ovat aktiivisia, siirtääkö toimittaja tietoja EU:n ulkopuolelle käsiteltäviksi ja mitkä sopimukset näistä asioista katsotaan minä aikana riittäviksi.
Mikä ei muutu itse laissa
Velvoite tehdä tietosuojalauseke, minimivaatimukset, joiden on sisältyvä siihen, ja rekisterinpitäjän rooli tietojen käsittelijää vastaan: nämä ovat GDPR:n pysyviä osia. Näillä määräyksillä ei ole parhaillaan ilmoitettuja muutoksia. Kun näin kuitenkin tapahtuu, se tapahtuu asetusten muuttamisen tai Euroopan unionin tuomioistuimen ratkaisun kautta, ei erillisenä valvontaviranomaisen ilmoituksena.
Mitä käytännössä muuttuu
Kolme asiaa muuttuu yleensä, ja usein huomaamatta sinulle. Ensinnäkin ohjelmistotoimittajat laajentavat toiminnallisuuttaan, esimerkiksi lisäämällä AI-ominaisuuksia olemassa olevan työkalun päälle. Tämä voi tarkoittaa sitä, että sinulle tuntematon uusi alihankkija lisätään. Toiseksi valvontaviranomaiset ja EDPB päivittävät säännöllisesti ohjeistaan tietyistä aiheista, kuten pilvitallennuksesta tai kansainvälisestä tiedonsiirtämisestä, ilman että laki itse muuttuisi. Kolmanneksi Euroopan komissio tarkistaa ajoittain mallimääräyksiä, joita käytetään tietojen siirtämiseen EU:n ulkopuolisiin maihin.
Alihankkijat: näkymätön muutos
Suurin osa tietosuojalausekkeen muutoksista ei ole pääasiakirjassa, vaan alihankkijoiden luettelossa. Kirjanpitopaketti, joka ottaa käyttöön uuden hosting-palvelun, HR-työkalu, joka ulkoistaa asiakaspalvelun puhelinkeskukselle toisessa maassa: nämä ovat muutoksia, jotka GDPR:n mukaan on ilmoitettava sinulle, jotta voit arvioida, voit tehdä vastalauseen. Käytännössä tämä on juuri se osa, jonka yritykset helpoimmin unohtavat, koska se usein mainitaan tuotepäivitystä koskevassa sähköpostissa eikä erillisenä juridisena ilmoituksena.
Tiedonsiirto EU:n ulkopuolelle
Jos toimittaja siirtää tietoja käsiteltäväksi Euroopan unionin ulkopuolella, sille on oltava erillinen oikeusperusta, kuten Euroopan komission mallimääräykset tai päätös, jonka mukaan maa tarjoaa riittävän suojan. Näitä oikeusperusteita tarkistetaan ajoittain; mitä jossain vaiheessa pidettiin riittävänä, voidaan myöhemmin muuttaa. Sinulle SaaS-toimittajan asiakkaana tämä tarkoittaa sitä, että olemassa olevan sopimuksen oikeudellinen perusta voi muuttua ilman, että sopimus itse muutetaan. Mitä tämä käytännössä merkitsee omien toimittajienne osalta, ei voi sanoa yleisesti; se vaatii katsauksen tiettyyn sopimukseen ja Tietosuojaviranomaisen nykyiseen näkemykseen.
Mitä tämä merkitsee omille sopimuksillenne
Käytännön kysymys ei ole siitä, onko lakia muutettu, vaan siitä, ovatko alidatanhallintoijat ja tiedonsiirto-säännöt nykyisten sopimustenne mukaisesti vielä samat kuin mitä olitte sopineet tai tarkastaneet. Se tarkoittaa, että säännöllisesti tarkistetaan, onko toimittaja ilmoittanut uusista alihankkijoista ja ovatko tiedonhallinnan sopimuksenne liitteet vielä ajantasaisia. Ensimmäiseksi orientaatioksi siitä, mitä tällaiseen sopimukseen tarkalleen kuuluu, voitte tutustua tietopankista tiedonhallinnan sopimuksista; se on vapaasti saatavilla ja aiheittain valittu, ja siinä on viittaus lainsäädäntöön.
On järkevää olla pitämättä tätä kertakertaisena tarkistuksena, vaan jatkuvana prosessina niin kauan kuin käytätte toimittajia, jotka käsittelevät tietoja puolestanne. Joilla, jotka käyttävät useita SaaS-työkaluja ja eivät tiedä tarkalleen, mitkä alidatanhallintoijat niihin kuuluvat, voivat löytää vastauksen usein kysyttyihin kysymyksiin käynnissä olevista tiedonhallinnan sopimuksista. Ja jos epäillään, onko toimittajan ilmoitetulla muutoksella vaikutusta omaan vastuuseen, on suositeltavaa antaa sen tarkistaa oikeustieteilijällä tai, jos on epätietoisuutta oikeasta valvontaviranomaisesta, ottaa yhteyttä Tietosuojaviranomaiseen.
Yrittäjät, jotka haluavat tietää, miten tämä valvonta käytännössä näyttää, voivat lukea, mistä gdpria.eu:n tieto tulee ja kuinka muutoksia toimittajilla seurataan.
Oman tilanteen tarkistaminen
Suurin osa epäselvyydestä "mitä on muuttunut tänä vuonna" ei johdu lainsäädännön muuttumisesta, vaan siitä, että toimittaja on muuttanut jotakin huomaamatta. Jos haluatte muutamassa minuutissa nähdä, onko oman tilanteenne kiinnitettävä huomiota, voitte tehdä ilmaisen pikadiagnoosin tai käydä läpi tietopankkia aiheista, jotka ovat relevantteja yrityksellenne.