Datu apstrādes līguma pamatjautājumi ir pašā GDPR, un šis teksts nemainās katru gadu. Mainās praktiski apstākļi: kādus piegādātājus jūs izmantojat, kā šie piegādātāji savukārt piesaista apakšuzņēmējus un kādi noteikumi pastāv datu nodošanai ārpus Eiropas Savienības, kurus Eiropas Komisija laiku pa laikam pielāgo. Lielākajam dalei MKP uzņēmumu tas nekļūst manāms jūsu paša kontraktā, bet tā pielikumā: apakšapstrādātāju sarakstā, kurus jūsu piegādātājs pieaicina.
Tas padara atšķirību nozīmīgu. Pienākums noslēgt datu apstrādes līgumu ar katru pusi, kas jūsu vārdā apstrādā personas datus, paliek nemainīgs. Mainās detaļas, kas ieplūst šajā pienākumā: kuri apakšapstrādātāji ir aktīvi, vai piegādātājs ļauj apstrādāt datus ārpus ES un kādi izlīgumi par to noteiktā laikā tiek uzskatīti par pietiekamiem.
Kas likumā pašā nemainās
Pienākums noslēgt datu apstrādes līgumu, minimālie komponenti, kas tajā jāietilpst, un datu kontroliera loma pret datu apstrādātāju: tās ir GDPR noteiktas obligātas daļas. Šobrīd nav paziņoti šo noteikumu grozījumi. Kad tas tomēr notiks, tas notiks, grozot pašu regulu vai Eiropas Tiesas spriedumā, nevis caur atsevišķu paziņojumu no uzraudzības iestādes.
Kas praksē mainās
Parasti trīs lietas mainās, un bieži bez tā, ka jūs to nekavējoties pamanītu. Pirmkārt, programmatūras piegādātāji paplašina savu funkcionalitāti, piemēram, pievienojot AI funkcijas esošajam rīkam. Tas var nozīmēt jauna apakšapstrādātāja pievienošanu, kuru jūs agrāk nepazinājāt. Otrkārt, uzraudzības iestādes un EDPB regulāri pielāgo sava vadlīnijas par konkrētiem tematiem, piemēram, mākoņuzglabāšanu vai starptautisku datu nodošanu, nemainot likumu pašu. Treškārt, Eiropas Komisija reizēm pielāgo modeļnoteikumus, kurus izmanto datu nodošanai uz valstīm ārpus ES.
Apakšapstrādātāji: klusā izmaiņa
Lielākā datu apstrādes līguma izmaiņa ir nevis pamatdokumentā, bet pielikumā ar apakšapstrādātājiem. Grāmatvedības pakete, kas pieaicina jaunu mākoņu mājviesni, cilvēkresursu rīks, kas outsource ražošanu zvanu centram citā valstī: tās ir izmaiņas, kas saskaņā ar GDPR jums jāpaziņo, lai jūs varētu novērtēt, vai jums tam ir iebildumi. Praksē tas ir tieši tas līguma elements, kuru uzņēmumi visvieglāk pamet novārtā, jo tas bieži tiek minēts e-pastā ar produkta atjauninājumu un nevis atsevišķā juridiskā paziņojumā.
Datu nodošana ārpus ES
Ja piegādātājs ļauj apstrādāt datus ārpus Eiropas Savienības, tam jābūt atsevišķai tiesiskajai bāzei, piemēram, Eiropas Komisijas modeļnoteikumiem vai lēmumam, ka valsts nodrošina pienācīgu aizsardzības līmeni. Šos tiesiskos pamatojumus laiku pa laikam pārskata; tas, kas kādā brīdī tika uzskatīts par pietiekamu, vēlāk var tikt pielāgots. Jums kā SaaS piegādātāja klientam tas nozīmē, ka tiesiskais pamatojums zem esošā līguma var mainīties, nemainot pašu līgumu. Kas tas konkrēti nozīmē jūsu piegādātājiem, nevar teikt vispārīgi; tai nepieciešams ieskats konkrētajā līgumā un pašreizējā situācijā pie Datu Valsts Inspektora.
Ko tas nozīmē jūsu paša līgumiem
Praktiskais jautājums nav tas, vai likums ir mainīts, bet gan tas, vai apakšprocesori un datu pārsūtīšanas noteikumi saskaņā ar jūsu esošajiem līgumiem joprojām atbilst tam, ko jūs kad reiz esat vienojušies vai pārbaudījuši. Tas nozīmē periodiski pārbaudīt, vai kāds pakalpojumu sniedzējs ir ziņojis par jauniem apakšuzņēmējiem, un vai jūsu datu apstrādes līgumu pielikumi joprojām ir aktuāli. Lai iegūtu pirmo orientāciju par to, kas precīzi ir jāietver šādā līgumā, varat konsultēties ar zināšanu bāzi par datu apstrādes līgumiem; tā ir brīvi pieejama un sakārtota pēc tēmas, ar atsauci uz likuma tekstu.
Ir saprātīgi neuzskatīt to par vienreizēju pārbaudi, bet gan par kaut ko, kas turpinās tik ilgi, kamēr jūs izmantojat pakalpojumu sniedzējus, kas apstrādā datus jūsu vārdā. Ja izmantojat vairākus SaaS rīkus un precīzi nezināt, kādi apakšprocesori ir zem tiem, to var atrast bieži uzdotajos jautājumos par notiekošajiem datu apstrādes līgumiem. Un ja ir šaubas par to, vai ziņotā izmaiņa pakalpojumu sniedzējā var ietekmēt jūsu pašu atbildību, ieteicams to pārbaudīt ar juristu vai, ja ir šaubas par pareizo uzraudzības iestādi, noprasīt Datu personīgās aizsardzības iestādē.
Uzņēmēji, kuri vēlas uzzināt, kā šāda uzraudzība praksē izskatās, var lasīt, no kurienes nāk informācija gdpria.eu un kā tiek sekots izmaiņām pie pakalpojumu sniedzējiem.
Pašu stāvokļa pārbaude
Lielākā daļa neskaidrības par "kas šogad mainījies" neizcelsies no likuma izmaiņas, bet gan no pakalpojumu sniedzēja, kas kaut ko pielāgojis, neatpazīstot to. Ja vēlaties dažu minūšu laikā redzēt, vai jūsu pašu situācija ir jāpievērš uzmanība, varat veikt bezmaksas ātro skenēšanu vai pārlūkot zināšanu bāzi tēmās, kas ir attiecīgas jūsu uzņēmumam.