Ako je dobavljač s kojim zaključujete ugovor o obradi smješten izvan Europske unije ili Europskog gospodarskog prostora, sam ugovor o obradi se u biti ne mijenja. Isti dijelovi koje Uredba propisuje — predmet i trajanje obrade, priroda i svrha, vrsta podataka, kategorije osoba na koje se podaci odnose, te obaveze i prava vaša kao osobe odgovorne za obradu — moraju biti sadržani i dalje, bez obzira gdje je dobavljač smješten.
Ono što se doista dodaje je poseban sloj pravila: Uredba postavlja dodatne uvjete za slanje osobnih podataka u zemlju izvan EU-a ili EGR-a. Taj sloj vas prisiljavat će da provjerite je li za tu specifičnu zemlju potreban dodatni zaštitni mehanizam pored redovitih dogovora u ugovoru o obradi, i ako jest, koji.
Što ostaje isto
Srž ugovora o obradi odnosi se na odnos između vas i stranke koja u vaše ime obrađuje podatke: tko radi što, u koju svrhu, koliko dugo, i što se događa kod povrede podataka ili prekida suradnje. Ti dogovori vrijede za svakog obrađivača, bez obzira nalazi li se u Rotterdamu, Dublinu ili San Franciscu. Dobavljač izvan EU-a vas dakle ne oslobađa obične provjere ugovora o obradi; ta provjera ostaje potrebna, samo se nešto dodaje.
Pravila o slanju podataka: dodatni sloj
Uredba zasebno regulira pod kojim uvjetima se osobni podaci mogu iznositi s teritorija EU-a ili EGR-a. Polazna točka je da se razina zaštite podataka ne smije oslabiti jer se podaci šalju u drugu zemlju. Za nekoliko zemalja Europska komisija je utvrdila da je razina zaštite tamo dovoljna; to se naziva odlukom o adekvatnosti, a ne primjenjuje se automatski na cijelu zemlju već ponekad samo na određeni sektor ili uredbu. Ako nema odluke o adekvatnosti, često korišten mehanizam su standardne ugovorne odredbe koje Europska komisija objavljuje: utvrđeni model koji se koristi kao dodatak pored ili kao prilog ugovoru o obradi. Koja se varijanta primjenjuje i je li ona ažurna, ponekad se mijenja; mjesto gdje se nalaze trenutni popisi i modeli nalazi se kod Europske komisije i kod Ureda za zaštitu podataka, a ne u fiksnom tekstu koji možete zapamtiti.
Cloud čini stvar težom nego što se čini
Kod mnogih SaaS-alata čini se da je pitanje "je li moj dobavljač smješten unutar EU-a" jednostavnije nego što jest. Dobavljač može imati europski glavni ured i ipak koristiti podobrađivače, podatkovne centre za sigurnosne kopije ili osobljeih za podršku izvan EU-a. I to se računa kao slanje podataka, čak i ako je glavna sjedišta u Nizozemskoj ili Njemačkoj. Pitanje je dakle ne samo gdje je dobavljač smješten, već gdje podaci zapravo dolaze, uključujući veze iza njih.
Što praktično možete provjeriti
Dobavljač koji ima sve na mjestu obično može naznačiti gdje se podaci obrađuju i pohranjuju, koriste li se podobrađivači izvan EU-a, i koji se mehanizam slanja podataka primjenjuje za to. Ova vrsta pitanja pripada istoj procjeni kao ostatak ugovora o obradi: nije kao posebna vježba kasnije, već kao dio čitanja samog ugovora. Tko ovdje traži strukturu, nalazi je u bazi znanja po temi objašnjeno kako se različite situacije odnose jedne prema drugima.
Zašto je mjesto pronalaženja ovdje posebno važno
Budući da se popisi odluka o adekvatnosti i modeli standardnih ugovornih klauzula mijenjaju tijekom vremena, rizik od zastarjele pretpostavke ovdje je veći nego kod većine ostalih tema GDPR-a. Tekst koji je točan danas, ne mora biti točan za godinu dana. Zato pri ovim temama uvijek koristimo izravnu referencu na izvor umjesto sažetka koji bi trebao biti sam sebi dovoljan; kako to točno izgleda, čitajte na stranici o izvoru naših informacija.
Što to znači za vaš register i vaše ugovore
Ako pratite koje dobavljače koristite i gdje su registrirani, vidite odmah za koje ugovore s obradom podataka vrijede pravila o prijenosu podataka i za koje ne. To je upravo razlog zašto je zemlja registracije stalni dio načina na koji uključujemo dobavljača u sustav. Česta pitanja o ovoj temi prikupljena su u čestim pitanjima o dobavljačima i podacima izvan Nizozemske.
Je li zaista potrebna dodatna zaštita za vašu situaciju, i koja, na kraju je do vas ili vaše pravnog savjetnika da procijenite; dajemo pojašnjenja i strukturu, ne pravno savjetovanje. Ako ste nesigurni glede primjene u konkretnom slučaju, možete se obratiti i Autoriteit Persoonsgegevens.
Želite li dobiti jasan pregled koji su od vaših dobavljača unutar a koji izvan EU-a, i postoji li uz to ugovor s obradom podataka s odgovarajućim zaštitama? Obavite besplatnu provjeru ugovora s obradom podataka ili otvorite poslovni račun kako biste to pratili u vašem registru.