Ha az adatfeldolgozási szerződést kötő szállító az Európai Unión vagy az Európai Gazdasági Térségen kívül található, az adatfeldolgozási szerződés maga nem változik lényegesen. Ugyanazok az elemek, amelyeket az GDPR előír — a feldolgozás tárgya és időtartama, jellege és célja, az adatok fajtája, az érintett személyek kategóriái, valamint az Ön személyes adatok kezelőjeként fennálló kötelezettségei és jogai — továbbra is benne kell, hogy maradjanak, függetlenül attól, hogy a szállító hol van bejegyezve.
Amit viszont hozzáadódik, az egy külön szabályozási réteg: az GDPR további feltételeket támasztanak az személyes adatok EU-n vagy EGT-n kívüli országba való továbbítására. Ez a réteg arra kényszeríti Önt, hogy megvizsgálja, szükséges-e az adott ország tekintetében egy, az adatfeldolgozási szerződésben szereplő szokásos megállapodásokon felüli védelmi intézkedés, és ha igen, melyik.
Mi marad ugyanaz
Az adatfeldolgozási szerződés lényege az Ön és az Ön nevében adatokat feldolgozó fél közötti kapcsolatra vonatkozik: ki mit csinál, milyen céllal, mennyi ideig, és mi történik adatvédelmi incidens vagy az együttműködés megszüntetésekor. Ezek a megállapodások minden feldolgozóra vonatkoznak, függetlenül attól, hogy Rotterdamban, Dublinban vagy San Franciscóban található-e. Az EU-n kívüli szállító tehát nem mentesíti Önt az adatfeldolgozási szerződésre vonatkozó szokásos vizsgálat alól; az a vizsgálat továbbra is szükséges, csak valami több adódik hozzá.
A továbbítási szabályok: a külön réteg
Az GDPR külön szabályozza, hogy az személyes adatok milyen feltételek mellett hagyhatják el az EU vagy az EGT területét. Az alapelv az, hogy az adatok védelmi szintje nem csökkenhet azzal, hogy egy másik országba kerülnek. Bizonyos országok tekintetében az Európai Bizottság megállapította, hogy a védelmi szint megfelelő; ezt megfelelőségi határozatnak nevezik, és ez nem automatikusan vonatkozik az egész országra, hanem néha csak egy adott szektorra vagy szabályozásra. Ha nincs megfelelőségi határozat, akkor egy gyakran használt mechanizmus az Európai Bizottság által közzétett standard szerződési feltételek: egy megállapított minta, amely az adatfeldolgozási szerződés mellett vagy mellékletként funkcionál. Mely verzió alkalmazandó és naprakész-e, időnként változik; a jelenlegi listák és minták helye az Európai Bizottsággal és a Nemzeti Adatvédelmi Hatóság szervével van, nem egy olyan rögzített szövegben, amelyet megjegyezhet.
A felhő nehezebbé teszi, mint amilyennek tűnik
Számos SaaS-eszköz esetén az "a szállítóm az EU-n belül van?" kérdés egyszerűbbnek tűnik, mint amilyen valójában. Egy szállítónak lehet európai központja, és mégis igénybe vehet alvállalkozókat, az EU-n kívüli adatközpontokat biztonsági mentéshez, vagy az EU-n kívüli támogatási személyzetet. Ez is az adatátvitelnek számít, még akkor is, ha a fő helyszín Hollandiában vagy Németországban található. Tehát a kérdés nem csak az, hogy hol van a szállító székhelye, hanem hogy az adatok valójában hova kerülnek, beleértve az azt megelőző kapcsolatokat is.
Mit tudhat praktikusan megkérdezni
Egy olyan szállító, aki rendben tartja ügyeit, általában meg tudja adni, hogy hol kerülnek feldolgozásra és tárolásra az adatok, hogy igénybevesz-e az EU-n kívüli albetöltötteket, és milyen átadási mechanizmust alkalmazott ezekhez. Az ilyen jellegű kérdések ugyanabba az értékelésbe tartoznak, mint az adatkezelési szerződés többi része: nem mint külön, utólagos feladat, hanem az overeenkomst olvasásának részeként. Aki szerkezetkeresést folytat, azt találja meg a a tudásbázis témánként kifejtve hogyan viszonyulnak egymáshoz a különböző helyzetek.
Miért különösen fontos itt a forráshelymegjelölés
Mivel az megfelelőségről szóló határozatok és a standard szerződési feltételek listája idővel változik, az elavult feltételezés kockázata itt nagyobb, mint a legtöbb egyéb GDPR-témakörben. Egy szöveg, amely ma helyes, egy év múlva nem feltétlenül marad az. Ezért ezekben a témakörökben mindig közvetlen forrásra hivatkozunk, nem pedig olyan összefoglalóval dolgozunk, amely önmagában kell, hogy álljon; ezt pontosan a az információink forrásáról szóló oldalon.
Mit jelent ez az Ön regiszteréhez és szerződéseihez
Ha rögzíti, mely beszállítókat használ, és hol vannak bejegyezve, egy pillantásra látja, mely adatfeldolgozási szerződéseknél játszanak szerepet az adatátadási szabályok, és melyeknél nem. Pontosan ezért a bejegyzés országa a beszállító rendszerbeli kezelésének rögzített részét képezi. Az ezzel a témával kapcsolatban gyakran visszatérő kérdések a gyakran ismételt kérdések a beszállítókról és az adatokról az Unión kívül.
végül Önnek vagy jogászának kell megállapítania, hogy valóban szükséges-e további garanciavállalás az Ön helyzetében, és mely; mi tájékoztatást és struktúrát nyújtunk, de nem jogi tanácsot. Ha kétségei vannak az alkalmazásról egy konkrét esetben, fordulhat a Személyes Adatok Hatóságához is.
Szeretné áttekinthetően megkapni, hogy beszállítóinak mely része van az EU-n belül és kívül, és van-e hozzájuk tartozó adatfeldolgozási szerződés a megfelelő garanciavállalásokkal? Végezze el az ingyenes ellenőrzést egy adatfeldolgozási szerződésen, vagy nyisson üzleti fiókot a regisztrációhoz.