kā es zinu, ka programmatūra, ko es izmantoju, atbilst GDPR

SaaS rīks ir GDPR atbilstošs, ja līgums un prakse sakrīt

Nav zīmes vai atzīmes, kas SaaS rīku oficiāli pasludinātu par "GDPR atbilstošu" — GDPR novērtē nevis pašu programmatūru, bet gan to, kā datu apstrādātājs rīcībā ņemas personiskajiem datiem un kādi par to noteikti darījumi. Lielākajā daļā gadījumu rīks ir izmantojams bez būtiska riska, ja sakrīt trīs lietas: starp jums un datu apstrādātāju ir noslēgts datu apstrādes līgums, šajā līgumā noteikti obligātie komponenti, piemēram, apstrādes mērķis un drošības pasākumi, un ir skaidrs, kur dati tiek fizikāli apstrādāti un glabāti.

Pēdējie divi punkti bieži vien praktiski noslīd. Daudzi SaaS rīki paši par sevi pieņem citas puses — hostinga pakalpojuma sniedzēju, atbalsta dienesta biroju citā valstī — un tas tiek saukts par apakšapstrādātāju. Notiek arī tā, ka dati tiek apstrādāti ārpus ES, kas ir saistīts ar papildu nosacījumiem. Ja jūs šaubāties, vai datu apstrādātājam jūsu uzņēmumā ir datu apstrādātāja vai datu kontroliera loma, par to vairāk atradīsiet atšķirību starp apakšapstrādātāju un datu kontrolieri. Un ja vēlaties uzzināt, kas precīzi jābūt datu apstrādātāja līgumā, lasiet to atpakaļ lapā par datu apstrādes līguma saturu.

Uz ko tas ir balstīts: GDPR 28. un 44. pants

Pienākums noslēgt darījumus ar pusi, kas apstrādā personiskos datus, izriet no GDPR 28. panta, kurā arī norādīts, ko šis līgums minimāli jāregulē — tostarp apakšapstrādātāja iesaiste. Datu apstrāde ārpus ES ietilpst GDPR 44. pantā, kas uz pārsūtīšanu trešajā valstī nosaka papildu nosacījumus. Šie noteikumi tieši piemērojami visā ES, tāpēc novērtējuma būtība — vai ir noslēgts datu apstrādes līgums un vai pārsūtīšana ārpus ES ir pareizi nodrošināta — nemainās no valsts uz valsti. EDPB savos vadlīnijās tālāk izstrādā, kā šie panti praksē tiek īstenoti, piemēram, novērtējot apakšapstrādātājus un starptautiskās pārsūtīšanas.