honnan tudom, hogy az általam használt szoftver megfelel-e a GDPR-nak

Egy SaaS-eszköz GDPR-nak megfelelő, ha a szerződés és a gyakorlat összhangban van

A GDPR-nak megfelelőséghez nem tartozik jóváhagyási eljárás vagy olyan jelölés, amely egy SaaS-eszközt hivatalosan »GDPR-nak megfelelőnek« nyilvánítaná — a GDPR nem maga a szoftvert vizsgálja, hanem azt, hogy az adatszolgáltató miként bánik a személyes adatokkal és erről mit rögzítettünk. A legtöbb esetben egy eszköz észrevehető kockázat nélkül használható, ha három dolog teljesül: az adatszolgáltatóval fennáll egy adatfeldolgozási szerződés, amely szerződés az előírt részleteket szabályozza, mint például a feldolgozás célja és a biztonsági intézkedések, valamint egyértelműen meghatározható, hol történik fizikailag az adatok feldolgozása és tárolása.

Ez az utolsó két pont az, ahol a gyakorlatban gyakran félre lehet lépni. Számos SaaS-eszköz saját maga további feleket von be — egy tárhelyszolgáltatót, egy ügyfélszolgálati irodát más országban — ezt almegfelelőnek nevezzük. Előfordul az is, hogy az adatokat az EU-n kívül dolgozzák fel, ami további feltételekhez van kötve. Akinek kétségei vannak abban, hogy egy adatszolgáltató a cégeknél az adatfeldolgozó vagy az adatkezelő szerepét játssza-e, erről további információt talál az adatfeldolgozó és az adatkezelő közötti különbségről. És aki szeretné megtudni, hogy az adatszolgáltatóval kötött szerződésben pontosan mit kell szabályozni, az ezt visszaolvashatja a következő oldalon: egy adatfeldolgozási szerződés tartalma.

Erre alapuló rendelkezések: a GDPR 28. és 44. cikke

Az a kötelezettség, hogy megállapodásokat rögzítsenek egy olyan féllel, amely személyes adatokat feldolgoz, a GDPR 28. cikkéből következik, amely azt is meghatározza, hogy az ilyen szerződésnek minimum mit kell szabályoznia — beleértve az albetöltő igénybevételét is. A személyes adatok az EU-n kívüli feldolgozása a GDPR 44. cikke alá tartozik, amely harmadik országba való továbbításra további feltételeket ír elő. Ezek a rendelkezések közvetlenül érvényesek az egész EU-ban, így az értékelés magja — létezik-e adatfeldolgozási szerződés, és az EU-n kívüli továbbítás megfelelően szabályozott-e — országonként nem változik. Az EDPB iránymutatásaiban részletezik, hogy ezek a cikkek a gyakorlatban hogyan alkalmazandók, például az albetöltők és a nemzetközi adattovábbítás értékelésekor.