Srž ugovora o obradi podataka nalazi se u samom GDPR-u, i taj tekst se ne mijenja svake godine. Ono što se mijenja je praksa oko toga: koje dobavljače koristite, kako ti dobavljači za svoju stranu angažiraju poduposlužitelje, i propisi vezani uz prijenos podataka izvan Europske unije, koje Europska komisija povremeno prilagođava. Za većinu malih i srednjih poduzeća to se ne odražava na vaš vlastiti ugovor, već na njegov prilog: popis poduposlužitelja koje vaš dobavljač angažira.
To čini razliku važnom. Obaveza da zaključite ugovor o obradi podataka sa svakom stranom koja obrađuje osobne podatke u vaše ime ostaje nepromijenjena. Ono što se mijenja nalazi se u detaljima koji spadaju pod tu obavezu: koji su poduposlužitelji aktivni, jesu li podaci dobavljača obrađeni izvan EU-a, i koja su se dogovaranja o tome u određeno vrijeme smatrala dostatnom.
Što se u samom zakonu ne mijenja
Obaveza zaključivanja ugovora o obradi podataka, minimalne komponente koje moraju biti uključene u njega, i uloga voditelja obrade prema obrađivaču: to su fiksne komponente GDPR-a. Trenutno nema najavljen izmjena ovih odredbi. Kada se to dogodi, to će se dogoditi kroz izmjenu same uredbe ili kroz odluku Europskog suda pravde, a ne kroz odvojenu poruku nadzornog tijela.
Što se u praksi mijenja
Tri stvari se obično mijenjaju, često bez da to odmah primijetite. Prvo, dobavljači softvera proširuju svoju funkcionalnost, primjerice dodavanjem AI-funkcija na postojeći alat. To može značiti da se pojavi novi poduposlužitelj kojeg još niste poznavali. Drugo, nadzorna tijela i EDPB redovito prilagođavaju svoje smjernice o specifičnim temama, kao što su pohrana u oblaku ili međunarodni prijenos, bez da se sam zakon mijenja. Treće, Europska komisija ponekad prilagođava modelne odredbe koje se koriste za prijenos podataka u zemlje izvan EU-a.
Poduposlužitelji: tiha promjena
Većina promjena u ugovoru o obradi podataka nije u glavnom dokumentu već u prilogu sa poduposlužiteljima. Računovodstveni paket koji angažira novog davatelja hostinga, HR-alat koji prepušta korisnički servis kontakt-centru u drugoj zemlji: to su promjene koje prema GDPR-u moraju biti prijavljene vama, kako biste mogli procijeniti trebate li se usprotiviti. U praksi je upravo ovaj dio onaj koji tvrtke najlakše propuste jer se često spominje u e-poruci o ažuriranju proizvoda umjesto u odvojenoj pravnoj obavijesti.
Prijenos podataka izvan EU-a
Ako dobavljač dopušta obradu podataka izvan Europske unije, mora postojati odvojena pravna osnova za to, primjerice modelne odredbe Europske komisije ili odluka da određena zemlja pruža odgovarajuću razinu zaštite. Te pravne osnove povremeno se preispituju; ono što se u nekom trenutku smatralo dostatnim može se kasnije prilagoditi. Za vas kao klijenta SaaS-dobavljača to znači da se pravna osnova pod postojećim ugovorom može promijeniti bez da se sam ugovor prilagodi. Što to konkretno znači za vaše vlastite dobavljače ne može se reći općenito; to zahtijeva pregled specifičnog ugovora i aktualne situacije kod Autoriteit Persoonsgegevens.
Što to znači za vaše vlastite ugovore
Praktično pitanje nije je li zakon promijenjen, već jesu li vaši podizvršitelji i pravila prijenosa podataka prema vašim postojećim ugovorima i dalje u skladu s onim što ste ikada dogovorili ili provjerili. To znači periodički provjeravati je li dobavljač prijavio nove podogovore, i jesu li prilozi uz vaš ugovor o obradi podataka i dalje aktualni. Za prvi pregled onoga što točno treba biti u takvom ugovoru, možete konzultirati znanja bazu o ugovorima o obradi podataka; ta je besplatno dostupna i sređena po predmetima, s navodima iz zakona priloženim.
Mudro je da to ne gledate kao jednokratnu provjeru, već kao nešto što nastavlja trajati dok god koristite dobavljače koji obrađuju podatke u vaše ime. Tko koristi više SaaS-alata i ne zna točno koji podizvršitelji stoje iza njih, može to pronaći u često postavljanim pitanjima o aktivnim ugovorima o obradi podataka. A ako sumnjate je li prijavljena promjena kod dobavljača utjecala na vašu vlastitu odgovornost, preporučuje se da to provjerite pravnikom ili, ako niste sigurni koja je prikladan nadzorni organ, obratite se Autoraciji za zaštitu osoba od zloupotrebljenog korištenja osobnih podataka.
Poduzetnici koji žele znati kako izgleda takvo praćenje u praksi, mogu pročitati gdje informacije na gdpria.eu dolaze od i kako se prate promjene kod dobavljača.
Samostalna provjera vašeg stanja
Većina nejasnoće oko "što se ove godine promijenilo" ne dolazi iz zakona koji je promijenjen, već od dobavljača koji je nešto prilagodio bez da ste to primijetili. Ako želite u nekoliko minuta vidjeti je li vaša situacija trebala pozornost, možete obaviti besplatnu brzu provjeru ili pregledati znanja bazu na temama koje su važne za vašu tvrtku.