skąd mam wiedzieć, czy oprogramowanie, którego używam, jest zgodne z RODO

Narzędzie SaaS jest zgodne z RODO, jeśli umowa i praktyka się zgadzają

Nie istnieje znak jakości ani ptaszek certyfikujący, że narzędzie SaaS jest oficjalnie "zgodne z RODO" — RODO nie ocenia samego oprogramowania, ale sposób, w jaki dostawca postępuje z danymi osobowymi i co zostało w tej sprawie uzgodnione. W większości przypadków narzędzie można używać bez znaczącego ryzyka, jeśli trzy rzeczy się zgadzają: istnieje umowa o przetwarzaniu danych z dostawcą, umowa ta reguluje obowiązkowe elementy, takie jak cel przetwarzania i środki bezpieczeństwa, i jasne jest, gdzie dane są fizycznie przetwarzane i przechowywane.

Te ostatnie dwa punkty to często miejsce, w którym w praktyce coś idzie nie tak. Wiele narzędzi SaaS angażuje samo inne strony — dostawcę hostingu, helpdesk w innym kraju — a to się nazywa podwykonawcą. Zdarza się również, że dane są przetwarzane poza UE, co wiąże się z dodatkowymi warunkami. Kto wątpi, czy dostawca w jego firmie pełni rolę podmiotu przetwarzającego dane lub administratora, może znaleźć więcej informacji na temat rozróżnienia między podmiotem przetwarzającym dane a administratorem. A kto chce wiedzieć, co dokładnie musi zawierać umowa z dostawcą, może to przeczytać na stronie zawartość umowy o przetwarzaniu danych.

Na czym to opiera się: artykuł 28 i 44 RODO

Obowiązek zawarcia umowy z podmiotem przetwarzającym dane osobowe wynika z artykułu 28 RODO, który wskazuje również, co ta umowa musi co najmniej regulować — w tym angażowanie podwykonawcy. Przetwarzanie danych poza UE podlega artykułowi 44 RODO, który nakłada dodatkowe warunki na przekazywanie do państwa trzeciego. Te przepisy stosują się bezpośrednio w całej UE, dlatego też istota oceny — czy istnieje umowa o przetwarzaniu danych i czy przekazywanie poza UE jest prawidłowo zabezpieczone — nie zmienia się z kraju na kraj. EDPB rozwinęła w swoich wytycznych, jak te artykuły są wdrażane w praktyce, na przykład przy ocenie podwykonawców i międzynarodowego przekazywania danych.