Ja piegādātājs, ar kuru noslēdzat datu apstrādes līgumu, atrodas ārpus Eiropas Savienības vai Eiropas Ekonomiskās zonas, pats datu apstrādes līgums būtiski nemainās. Tie paši komponenti, ko nosaka VDAR — apstrādes priekšmets un ilgums, būtība un mērķis, datu veids, datu subjektu kategorijas, kā arī jūsu kā vadības pienākumi un tiesības — joprojām ir jāiekļauj neatkarīgi no tā, kur piegādātājs ir reģistrēts.
Kas patiešām nāk klāt, ir atsevišķs noteikumu slānis: VDAR izvirza papildu nosacījumus personīgo datu nodošanai uz valsti ārpus ES vai EEZ. Šis slānis jūs spiež pārbaudīt, vai šai konkrētajai valstij nepieciešama papildu garantija papildus parastajiem datu apstrādes līguma noteikumiem, un, ja nepieciešama, kāda tieši.
Kas paliek nemainīgs
Datu apstrādes līguma būtība ir saikne starp jums un pusi, kas jūsu vārdā apstrādā datus: kurš dara ko, kāds mērķis, cik ilgi, un kas notiek datu aizsardzības pārkāpuma vai sadarbības beigšanas gadījumā. Šie noteikumi attiecas uz katru apstrādes veicēju neatkarīgi no tā, vai viņš atrodas Roterdamā, Dublinā vai Sanfranciskā. Tāpēc piegādātājs ārpus ES jūs neatbrīvo no parastās datu apstrādes līguma pārbaudes; šī pārbaude paliek nepieciešama, tikai papildus nāk kaut kas jauns.
Nodošanas noteikumi: papildu slānis
VDAR atsevišķi nosaka, kādi nosacījumi jāizpilda, lai personīgie dati varētu atstāt ES vai EEZ teritoriju. Pamatprincips ir tas, ka datu aizsardzības līmenis nedrīkst pasliktināties tāpēc, ka dati tiek nosūtīti uz citu valsti. Eiropas Komisija ir noteikusī, ka vairākām valstīm aizsardzības līmenis ir pietiekams; to sauc par atbilstības lēmumu, un tas automātiski attiecas ne tikai uz visu valsti, bet dažkārt arī tikai uz noteiktu nozari vai regulējumu. Ja nav atbilstības lēmuma, bieži izmantots mehānisms ir Eiropas Komisijas publicētās standarta līguma klauzulas: noteikts modelis, ko izmanto kā papildinājumu vai pielikumu datu apstrādes līgumam. Kāds variants ir piemērojams un vai tas ir aktuāls, reizēm mainās; aktuālo sarakstu un modeļu atrašanās vietu norāda Eiropas Komisija un Datu aizsardzības iestāde, nevis fiksēts teksts, ko varētu iegaumēt.
Mākonis to padara sarežģītāku, nekā izskatās
Daudzos SaaS rīkos jautājums "vai mans piegādātājs atrodas ES ietvaros" izskatās vienkāršāks, nekā patiesībā ir. Piegādātājam var būt Eiropas galvenā birojs, taču viņš vienlaikus izmanto apakšapstrādes veicējus, datu centrus rezervei vai atbalsta darbiniekus ārpus ES. Arī tas tiek skaitīts kā nodošana, pat ja galvenā mītne ir Nīderlandē vai Vācijā. Tāpēc jautājums ir ne tikai par to, kur piegādātājs ir reģistrēts, bet par to, kur dati patiesībā nonāk, ieskaitant saites aiz tiem.
Ko jūs praktiski varat noskaidrot
Piegādātājs, kuram savas lietas ir kārtībā, parasti var norādīt, kur dati tiek apstrādāti un glabāti, vai tiek iesaistīti apakšapstrādes veicēji ārpus ES, un kāds nodošanas mehānisms tam ir izmantots. Šādi jautājumi ir jāiekļauj tādā pašā novērtēšanā kā datu apstrādes līguma pārējā daļa: ne kā atsevišķa un vēlāk veicama uzdevuma, bet kā pašas overeenkomsta lasīšanas daļa. Kurš meklē šajā jautājumā struktūru, var atrast zināšanu bāzē pēc tēmas izskaidrots kā dažādas situācijas savstarpēji saistās.
Kāpēc atrašanās vieta šeit ir īpaši svarīga
Tā kā atbilstības nolēmumu saraksti un standarta līgumklausulu modeļi mainās laika gaitā, šajā gadījumā novecojušas pieņēmuma risks ir lielāks nekā lielākajā daļā citu GDPR tēmu. Teksts, kas šodien ir pareizs, gadu pēc tam var nebūt pareizs. Tāpēc šādu tēmu gadījumā mēs vienmēr izmantojam tiešu atsauci uz avotu, nevis kopsavilkumu, kam jāstāv pašam par sevi; to, kā tas izskatās, varat lasīt vietnē lapā par mūsu informācijas avotiem.
Ko tas nozīmē jūsu reģistram un jūsu līgumiem
Ja jūs sekojat līdzi, kurus piegādātājus jūs izmantojat un kur viņi atrodas, varat vienā mirklī redzēt, kuram datu apstrādes līgumiem ir nozīme datu pārsūtīšanas noteikumiem un kuriem nav. Tieši tāpēc reģistrācijas valsts ir pastāvīga jūsu sistēmas piegādātāja integrēšanas daļa. Bieži uzdotie jautājumi par šo tēmu ir apkopoti pieejamajā bieži uzdotie jautājumi par piegādātājiem un datus ārpus Nīderlandes.
Tas, vai jūsu situācijai patiešām ir nepieciešama papildu garantija un kāda, galu galā jāizlemj jums vai jūsu juristam; mēs sniedzam skaidrojumu un struktūru, nevis juridiskos padomus. Ja esat šaubīgs par pielietojumu konkrētā gadījumā, varat vērsties arī pie Datu aizsardzības iestādes.
Vai vēlaties skaidri redzēt, kuri no jūsu piegādātājiem atrodas ES iekšienē un ārpusē, un vai viņiem ir datu apstrādes līgums ar pareizajām garantijām? Veiciet bezmaksas pārbaudi datu apstrādes līgumam vai atveriet uzņēmējdarbības kontu, lai to uzraudzītu savā reģistrā.