Duomenų tvarkytojo sutarties pagrindas yra pačiame BDAR, ir tas tekstas keičiasi ne kiekvienais metais. Tai, kas keičiasi, yra praktika aplink jį: kuriuos tiekėjus naudojate, kaip šie tiekėjai savo ruožtu pasitelkia subrangovus, ir taisyklės duomenų perdavimui už Europos Sąjungos ribų, kurias Europos Komisija iš laiko į laiką keičia. Daugeliui MVĮ jūs to nepastebite savo pačių kontraktuose, tačiau primetu: sąraše nurodytų papildomų tvarkytojų, kuriuos pasitelkia jūsų tiekėjas.
Tai daro skirtumą svarbiu. Pareiga sudaryti duomenų tvarkytojo sutartį su kiekvienu subjektu, tvarkančiu asmens duomenis jūsų vardu, lieka nepakitusi. Kas keičiasi, yra detales, kurios priklauso šiai pareigai: kurie papildomi tvarkytojiai yra aktyvūs, ar tiekėjas duomenis tvarko už Europos Sąjungos ribų, ir kokios susitarimo nuostatos tam tikru metu laikomos pakankamomis.
Kas pačiame įstatyme nekeičiasi
Pareiga sudaryti duomenų tvarkytojo sutartį, minimalūs joje turi būti nurodomi elementai ir atsakingo asmens vaidmuo duomenų tvarkytojo atžvilgiu: tai yra BDAR nuolatinės dalys. Šiuo metu nėra paskelbto šių nuostatų pakeitimo. Kai tai nutiks, tai bus atliekama pačios reglamento nuostatų pakeitimu arba Europos Teisingumo Teismo sprendimu, ne atskira priežiūros institucijos žinutė.
Kas praktikoje keičiasi
Trys dalykus paprastai keičiasi, ir dažnai nepastebėti iš karto. Pirmiausia, programinės įrangos tiekėjai išplečia jų funkcijas, pavyzdžiui, pridėdami dirbtinio intelekto funkcijas prie esamos programos. Tai gali reikšti, kad atsiranda naujas papildomas tvarkytojus, kurio dar nežinojote. Antra, priežiūros institucijos ir EDPB reguliariai keičia savo gaires konkrečiais klausimais, tokiais kaip debesų saugykla arba tarptautinis duomenų perdavimas, nekeičiant pačio įstatymo. Trečia, Europos Komisija kartais keičia modelines nuostatas, naudojamas duomenų perdavimui į šalis už Europos Sąjungos ribų.
Papildomi tvarkytojų: tylus pokytis
Daugiausia duomenų tvarkytojo sutarties pokytis nėra pagrindiniam dokumente, o priede su papildomais tvarkytojais. Apskaitos programa, pasitelkianti naują prieglobos paslaugų teikėją, žmogiškųjų išteklių priemonė, išorinei paslaugai naudojanti skambučių centrą kitoje šalyje: tai yra pakeitimai, kurie pagal BDAR turi būti jums pranešti, kad galėtumėte įvertinti, ar jūs prieštaraujate. Praktikoje tai yra tiksliai ta sutarties dalis, kurią bendrovės lengviausia praleisti, nes ji dažnai minima el. laišku su produkto atnaujinimu, o ne atskiru juridiniu pranešimu.
Duomenų perdavimas už Europos Sąjungos ribų
Jei tiekėjas duomenis tvarko už Europos Sąjungos ribų, tam turi būti atskira pagrindo, pavyzdžiui, Europos Komisijos modelinės nuostatos arba sprendimas, kad šalis suteikia tinkamą apsaugos lygį. Šios pagrindas nuo laiko į laiką peržiūrimi; kas tam tikru metu buvo laikoma pakankama, gali būti vėliau pakeista. Jūsums kaip SaaS tiekėjo klientui tai reiškia, kad teisinė sutarties pagrindas gali pasikeitinti nekeičiant pačios sutarties. Ką tai konkrečiai reiškia jūsų pačių tiekėjams, negali būti pasakyta iš esmės; tai reikalauja žvilgsnio į konkrečią sutartį ir dabartinę Duomenų apsaugos valdžios situaciją.
Ką tai reiškia jūsų pačių sutartims
Praktinis klausimas yra ne tai, ar įstatymas buvo pakeistas, o tai, ar papildomieji duomenų procesoriai ir duomenų perleidimo taisyklės pagal jūsų galiojančias sutartis vis dar atitinka tai, ką jūs kadaise susitarėte arba patikrinote. Tai reiškia periodiškai patikrinti, ar tiekėjas pranešė apie naujus antrininkus, ir ar jūsų duomenų perdirbimo sutarties priedai vis dar yra aktualūs. Dėl pirminio supažindinimo su tuo, kas tiksliai turi būti tokioje sutartyje, galite pasikonsultuoti su žinių baze apie duomenų perdirbimo sutartis; ji yra laisvai prieinama ir suskirstyta pagal temą, su nuoroda į teisinį tekstą.
Protinga tai matyti ne kaip vienkartinį patikrinimą, o kaip tai, kas tęsiasi tol, kol naudojatės tiekėjais, kurie duomenis apdoroja jūsų vardu. Kas naudoja kelis SaaS įrankius ir nežino tiksliai, kurie antriniai procesoriai juose yra, gali tai rasti dažniausiai užduodamuose klausmuose apie galiojančias duomenų perdirbimo sutartis. Ir jei abejojate, ar tiekėjo pranešta pagal atliktą pasikeitimą turi pasekmių jūsų pačių atsakomybei, patartina tai patikrinti su juridiniu patarėju arba, jei abejojate dėl tinkamo priežiūros organo, kreiptis į Asmeninių duomenų apsaugos valdybą.
Versleiviai, norintys sužinoti, kaip tokia stebėsena atrodo praktikoje, gali perskaityti, iš kur kilusi informacija gdpria.eu ir kaip sekama, kad tiekėjai keistųsi.
Patys pasitikrinkite savo padėtį
Dauguma neaiškumų apie "kas šiais metais pasikeitė" kyla ne iš įstatymo pakeitimo, o iš tiekėjo, kuris ką nors pakeité nepastebėjęs jūsų. Jei per kelias minutes norite pamatyti, ar jūsų situacija reikalinga dėmesio, galite atlikti nemokamą greitą patikrinimą arba peržiūrėti žinių bazę temomis, kurios yra svarbios jūsų verslui.