kako znam je li softver koji koristim u skladu sa GDPR-om

Alat SaaS je GDPR-proof ako se ugovor i praksa poklapaju

Ne postoji nikakva oznaka ili potvrda koja bi neki SaaS-alat službeno proglasila "GDPR-proof" — GDPR ne ispituje sam softver, već način na koji dobavljač postupa s osobnim podacima i što je o tome dogovoreno. U većini slučajeva alat je primjenjiv bez značajnog rizika ako su tri stvari u redu: postoji ugovor o obradi podataka s dobavljačem, taj ugovor regulira obvezne dijelove kao što su svrha obrade i sigurnosne mjere, te je jasno gdje se podaci fizički obrađuju i pohranjuju.

Zadnja dva boda su gdje se u praksi često dogode problemi. Mnogi SaaS-alati sami angažiraju druge strane — hostinga dobavljača, support na nekom drugom mjestu — što se naziva podprocesor. Također se događa da se podaci obrađuju izvan EU-a, što je vezano uz dodatne uvjete. Tko sumnja je li dobavljač za njegovo poduzeće u ulozi procesora ili vlasnika obrade podataka, više informacija nalazi na razlika između procesora i vlasnika obrade podataka. A tko želi znati što točno mora biti u ugovoru s dobavljačem, može to pročitati na stranici o sadržaj ugovora o obradi podataka.

Osnova za to: članak 28. i 44. GDPR-a

Obveza sklapanja dogovora sa stranom koja obrađuje osobne podatke proizlazi iz članka 28. GDPR-a, koji također navodi što taj ugovor mora barem regulirati — uključujući angažiranje podobrade. Obrada podataka izvan EU-a pada pod članak 44. GDPR-a, koji dodatne uvjete postavlja prije prosljeđivanja trećoj zemlji. Ove odredbe direktno se primjenjuju u cijeloj EU, tako da osnova procjene — postoji li ugovor o obradi podataka i je li prosljeđivanje izvan EU-a na pravi način zaštićeno — ne mijenja se po zemlji. EDPB u svojim smjernicama dalje razrađuje kako se ti članci u praksi primjenjuju, na primjer pri procjeni podobrada i međunarodnog prosljeđivanja.