come faccio a sapere se il software che utilizzo è conforme al GDPR

Uno strumento SaaS è conforme al GDPR se il contratto e la pratica coincidono

Non esiste un marchio di qualità o un segno di spunta che dichiara ufficialmente che uno strumento SaaS è "conforme al GDPR" — il GDPR non valuta il software stesso, ma il modo in cui un fornitore gestisce i dati personali e ciò che è stato concordato al riguardo. Nella maggior parte dei casi, uno strumento è utilizzabile senza rischi significativi se tre cose sono corrette: esiste un contratto di elaborazione dei dati con il fornitore, tale contratto disciplina gli elementi obbligatori come lo scopo dell'elaborazione e le misure di sicurezza, ed è chiaro dove i dati vengono elaborati e archiviati fisicamente.

Gli ultimi due punti sono spesso dove le cose vanno male nella pratica. Molti strumenti SaaS si avvalgono di altre parti — un provider di hosting, un servizio di supporto in un altro paese — e questo si chiama subincaricato. Accade anche che i dati vengono elaborati al di fuori dell'UE, il che è soggetto a condizioni aggiuntive. Chi ha dubbi se un fornitore ricopre il ruolo di incaricato o di titolare del trattamento presso la sua azienda, trova ulteriori informazioni su la distinzione tra incaricato e titolare del trattamento. E chi vuole sapere esattamente cosa deve essere incluso nel contratto con il fornitore, lo legge di nuovo sulla pagina su il contenuto del contratto di elaborazione dei dati.

Su cosa si basa: articoli 28 e 44 GDPR

L'obbligo di stipulare accordi con una parte che elabora dati personali deriva dall'articolo 28 del GDPR, che indica anche quali devono essere gli elementi minimi dell'accordo — incluso il ricorso a un subincaricato. L'elaborazione dei dati al di fuori dell'UE rientra nell'articolo 44 del GDPR, che pone condizioni aggiuntive al trasferimento verso un paese terzo. Queste disposizioni si applicano direttamente in tutta l'UE, quindi il nucleo della valutazione — esiste un contratto di elaborazione dei dati e il trasferimento al di fuori dell'UE è coperto nel modo corretto — non cambia per paese. L'EDPB sviluppa ulteriormente nelle sue linee guida come questi articoli sono attuati nella pratica, ad esempio nella valutazione dei subincaricati e dei trasferimenti internazionali.