kaip žinau, ar naudojama programa atitinka BDAR

SaaS priemonė yra GDPR suderinama, jei sutartis ir praktika atitinka viena kitą

GDPR suderinamos programos ženklo arba požymio nėra, kuris oficialiai patvirtintų SaaS priemonę — GDPR nevertina pačios programinės įrangos, bet tai, kaip tiekėjas elgiasi su asmeniniais duomenimis ir kokie susitarimai dėl to yra sudaryta. Daugeliu atvejų priemonė gali būti naudojama be reikšmingo rizikos, jei trys dalykai yra tvarkoje: su tiekėju sudaryta duomenų tvarkytojo sutartis, toje sutartyje numatyti privalomi elementai, tokie kaip apdorojimo tikslas ir saugos priemonės, ir aišku, kur duomenys fiziškai apdoroti ir saugomi.

Paskutiniai du punktai dažnai suklumpdo praktikoje. Daug SaaS priemonių patys įtraukia ir kitas šalis — hostingo paslaugų teikėją, atramą kitos šalies skambučių centre — ir tai vadinama antriniu duomenų tvarkytoju. Taip pat atsitinka, kad duomenys apdorojami už ES ribų, o tai yra susiję su papildomais reikalavimais. Kas abejoja, ar tiekėjas jo įmonėje vaidina duomenų tvarkytojo ar duomenų valdytojo vaidmenį, gaus daugiau informacijos iš skirtumo tarp duomenų tvarkytojo ir duomenų valdytojo. O kas nori žinoti, kas tiksliai turi būti sutartyje su tiekėju, skaitys tai duomenų tvarkytojo sutarties turinio.

Iš ko tai seka: GDPR 28 ir 44 straipsniai

Pareiga sudaryti susitarimus su šalimi, kuri apdoroja asmeninį duomenis, iš GDPR 28 straipsnio, kuriame taip pat nurodyta, ką ta sutartis turi mažiausiai reglamentuoti — įskaitant antrinio duomenų tvarkytojo įtraukimą. Asmeninių duomenų apdorojimas už ES ribų patenka į GDPR 44 straipsnį, kuris priešakyje trečiajai šaliai kelia papildomus reikalavimus. Šios nuostatos galioja tiesiogiai visoje ES, todėl įvertinimo esmė — ar sudaryta duomenų tvarkytojo sutartis ir ar duomenų perdavimas už ES ribų tinkamai aprašytas — nekinta pagal šalį. EDPB savo gairėse toiau išplėtoja, kaip šie straipsniai praktikoje taikomi, pavyzdžiui, vertinant antrinius duomenų tvarkytojus ir tarptautinį duomenų perdavimą.