Az adatfeldolgozási szerződés magja az GDPR-ban található, és ez a szöveg nem változik minden évben. Amit azonban megváltozik, az a körülötte lévő gyakorlat: mely szállítókat használ, hogyan vesznek fel azok a szállítók további alvállalkozókat, és az Európai Unión kívülre történő adattovábbítás szabályai, amelyeket az Európai Bizottság időről időre módosít. A legtöbb kis- és középvállalkozás esetében ezt nem veszi észre saját szerződésén, hanem a mellékletén: azon alvállalkozók listáján, akiket szállítója bevonz.
Ez fontos különbségtételt tesz szükségessé. Az a kötelezettség, hogy szerződést kössenek minden olyan féllel, amely az Ön nevében személyes adatokat dolgoz fel, változatlan marad. Az, ami változik, a részletekben van: mely alvállalkozók működnek, hogy egy szállító az EU-n kívül dolgozza-e fel az adatokat, és milyen megállapodások tekinthetők megfelelőnek egy adott időpontban.
Ami magában a törvényben nem változik
Az adatfeldolgozási szerződés megkötésének kötelezettségé, az ahhoz szükséges minimális elemek és az adatkezelő szerepe az adatfeldolgozóval szemben: ezek az GDPR állandó elemei. Jelenleg nincs erre vonatkozó bejelentett módosítás. Amikor ez megtörténik, az a rendelet módosításán vagy az Európai Unió Bírósága ítéletén keresztül történik, nem pedig egy felügyeleti hatóság különálló közleménye útján.
Amit a gyakorlatban valóban megváltozik
Három dolog általában változik, és gyakran anélkül, hogy azt azonnal észrevennénk. Első lépésben a szoftverleverancierek kibővítik funkcionalitásukat, például mesterséges intelligencia funkciókkal, amelyeket egy meglévő eszközre helyeznek. Ez azt jelentheti, hogy új alvállalkozó érkezik, akit még nem ismert. Másodsorban a felügyeleti hatóságok és az EDPB rendszeresen frissítik irányelveiket konkrét témákról, például felhőtárolásról vagy nemzetközi adattovábbításról, anélkül hogy maga a törvény megváltozna. Harmadsorban az Európai Bizottság néha módosítja a modellmeghatározásokat, amelyeket az EU-n kívüli országokba történő adattovábbításhoz használnak.
Alvállalkozók: a hallgatag változás
Az adatfeldolgozási szerződésben lévő legtöbb váltás nem a fődokumentumban, hanem az alvállalkozókat tartalmazó mellékletben történik. Egy könyvelési csomag, amely új szálláshely-szolgáltatót von be, egy HR-eszköz, amely ügyfélszolgálatot bíznak ki egy másik ország callcenterének: ezek olyan változások, amelyeket az GDPR értelmében értesítenie kell, hogy értékelhesse, van-e ellenvetésé. A gyakorlatban ez pontosan az a rész, amelyet a vállalatok a legkönnyebben szoktak kihagyni, mivel azt gyakran egy termékmódosítást tartalmazó e-mail említi meg, és nem egy külön jogi közleményben.
Az EU-n kívülre történő adattovábbítás
Ha egy szállító az Európai Unión kívül dolgozza fel az adatokat, ennek külön jogalapja szükséges, például az Európai Bizottság modellmeghatározásai vagy az a döntés, hogy egy ország megfelelő védelmi szintet biztosít. Ezeket az alapokat időről időre felülvizsgálják; ami egy adott időpontban megfelelőnek minősült, később módosítható. Az Ön számára, mint egy SaaS-szállító ügyfele, ez azt jelenti, hogy a szerződés alatt álló jogi alap megváltozhat anélkül, hogy a szerződés maga módosulna. Hogy ez konkrétan mit jelent az Ön saját szállítóinak vonatkozásában, általánosságban nem lehet mondani; ez a konkrét szerződésre és az Autoriteit Persoonsgegevens aktuális helyzetére vonatkozó pillantást igényel.
Mit jelent ez az Ön szerződéseire
A gyakorlati kérdés nem az, hogy megváltozott-e a törvény, hanem az, hogy az alvállalkozók és az adatátviteli szabályok az Ön jelenlegi megállapodásaiban még megfelelnek-e annak, amit valaha megbeszélt vagy ellenőrzött. Ez azt jelenti, hogy időszakonként ellenőrizni kell, hogy egy szállító új alvállalkozókat jelentett-e be, és hogy az Ön adatfeldolgozási megállapodásaihoz csatolt mellékletek még aktuálisak-e. Az első tájékozódáshoz arról, hogy pontosan mi tartozik egy ilyen megállapodásba, a adatfeldolgozási megállapodásokkal kapcsolatos tudástárat tekintheti meg; ez ingyenes hozzáféréssel rendelkezik és témákonként kiválogatott, a jogi szövegbeli referenciával együtt.
Érdemes ezt nem egymaradványos ellenőrzésnek tekinteni, hanem valaminek, amely addig folytatódik, amíg szállítókat használ, akik az Ön nevében feldolgozzák az adatokat. Aki több SaaS-eszközt használ és nem tudja pontosan, mely alvállalkozók függenek ezektől, azt megtalálhatja a folyamatban lévő adatfeldolgozási megállapodásokkal kapcsolatos gyakran ismételt kérdésekben. Ha pedig kétségei vannak abban, hogy egy szállítónál bejelentett változás hatással van-e az Ön saját felelősségére, célszerű, hogy ezt egy jogász ellenőrizze, vagy ha kétség merül fel a helyes felügyeleti hatóság tekintetében, érdeklődjön a Nemzeti Adatvédelmi Hatóságnál.
A vállalkozók, akik azt szeretnék megtudni, hogy a gyakorlatban hogyan néz ki ez a felügyelet, olvashatnak arról, hogy az információ honnan származik a gdpria.eu-n és hogyan követik nyomon a szállítóknál bekövetkezett változásokat.
Önálló felülvizsgálat
A "mi változott idén" kérdésből eredő zavarosság legtöbbször nem egy törvénymódosításból, hanem egy szállítóból ered, aki valamit megváltoztatott anélkül, hogy Ön ezt észrevette volna. Ha pár perc alatt szeretné látni, hogy Ön saját helyzete figyelmet igényel-e, akkor ingyenes gyorsszkenelést végezhet, vagy végigmegy a tudásbázison azokon a témákon, amelyek az Ön vállalkozása számára relevánsak.