Jeśli dostawca, z którym zawierasz umowę przetwarzania danych, znajduje się poza Unią Europejską lub Europejskim Obszarem Gospodarczym, sama umowa przetwarzania danych nie zmienia się zasadniczo. Te same elementy, które przewiduje RODO — przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób, do których dane się odnoszą, oraz obowiązki i prawa twoje jako administratora — muszą tam figurować niezależnie od tego, gdzie dostawca ma siedzibę.
Co się natomiast pojawia, to dodatkowa warstwa zasad: RODO ustanawia dodatkowe warunki dla przekazywania danych osobowych do kraju poza UE lub EOG. Ta warstwa zobowiązuje cię do zbadania, czy dla danego konkretnego kraju potrzebny jest dodatkowy zabezpieczenie poza zwykłymi postanowieniami umowy przetwarzania danych, i jeśli tak, to jakie.
Co pozostaje takie samo
Sedno umowy przetwarzania danych dotyczy relacji między tobą a stroną przetwarzającą dane w twoim imieniu: kto co robi, w jakim celu, na jak długo, i co się dzieje w przypadku naruszenia bezpieczeństwa danych lub zakończenia współpracy. Te umowy stosują się do każdego przetwarzającego, niezależnie od tego, czy ma siedzibę w Rotterdamie, Dublinie czy San Francisco. Dostawca spoza UE nie zwalnia cię zatem z normalnej oceny umowy przetwarzania danych; ta ocena pozostaje konieczna, tyle że coś się do niej dodaje.
Zasady przekazywania: warstwa dodatkowa
RODO reguluje osobno, pod jakimi warunkami dane osobowe mogą opuszczać terytorium UE lub EOG. Zasadą wyjściową jest, że poziom ochrony danych nie może się obniżyć w wyniku ich przekazania do innego kraju. Komisja Europejska dla szeregu krajów stwierdziła, że poziom ochrony jest tam wystarczający; nazywa się to decyzją o adekwatności, i nie stosuje się automatycznie do całego kraju, ale czasem tylko do określonego sektora lub przepisów. Gdy brakuje decyzji o adekwatności, powszechnie stosowanym mechanizmem są standardowe klauzule umowne publikowane przez Komisję Europejską: ustalony wzór, który stosuje się jako uzupełnienie obok umowy przetwarzania danych lub jako jej załącznik. Która wersja ma zastosowanie i czy jest aktualna, zmienia się czasem; źródła aktualnych list i wzorów znajdują się u Komisji Europejskiej i u Urzędu Ochrony Danych Osobowych, a nie w stałym tekście, który możesz zapamiętać.
Chmura obliczeniowa komplikuje sprawę bardziej niż się wydaje
W przypadku wielu narzędzi SaaS pytanie «czy mój dostawca ma siedzibę w UE» okazuje się łatwiejsze niż jest w rzeczywistości. Dostawca może mieć europejską siedzibę główną i jednocześnie korzystać z podwykonawców, centrów danych do tworzenia kopii zapasowych lub pracowników wsparcia technicznego poza UE. Również to liczy się jako przekazywanie, nawet jeśli główna siedziba znajduje się w Holandii czy Niemczech. Pytanie nie dotyczy zatem tylko tego, gdzie dostawca ma siedzibę, ale gdzie dane faktycznie trafiają, wraz ze wszystkimi ogniwami w łańcuchu.
Co praktycznie możesz sprawdzić
Dostawca, który ma swoje sprawy w porządku, zwykle potrafi wskazać, gdzie dane są przetwarzane i przechowywane, czy angażowani są podwykonawcy poza UE oraz jaki mechanizm przekazywania został dla nich zastosowany. Tego rodzaju pytania powinny być częścią tej samej oceny co reszta umowy przetwarzania danych: nie jako odrębne ćwiczenie później, ale jako część czytania samej umowy. Kto szuka tu struktury, znajdzie w bazie wiedzy wyjaśnione dla każdego tematu jak poszczególne sytuacje mają się do siebie.
Dlaczego wskazanie źródła jest tu szczególnie ważne
Ponieważ listy decyzji o adekwatności i wzory standardowych klauzul umownych zmieniają się w czasie, ryzyko nieaktualnego założenia jest tutaj większe niż w przypadku większości innych tematów RODO. Tekst, który jest poprawny dzisiaj, może być niepoprawny za rok. Dlatego w przypadku takich tematów zawsze odnosimy się bezpośrednio do źródła, zamiast dostarczać streszczenie, które miałoby stać samodzielnie; dokładnie, jak to wygląda, przeczytasz na stronie wyjaśniającej źródła naszych informacji.
Co to oznacza dla Twojego rejestru i Twoich umów
Jeśli będziesz śledzić, których dostawców używasz i gdzie są oni zarejestrowani, zobaczysz w jednym rzucie oka, które umowy z administratorami przetwarzania danych zawierają reguły transferu i które nie. To jest dokładnie powód, dla którego kraj rejestracji jest stałą częścią sposobu, w jaki dodajemy dostawcę do systemu. Pytania, które regularnie pojawiają się na ten temat, zostały zebrane w Często zadawane pytania dotyczące dostawców i danych poza Niderlandami.
Czy w Twojej sytuacji rzeczywiście potrzebna jest dodatkowa gwarancja, a jeśli tak, to jaka, jest ostatecznie dla Ciebie lub Twojego prawnika do oceny; zapewniamy wyjaśnienie i strukturę, a nie poradę prawną. Jeśli masz wątpliwości dotyczące zastosowania w konkretnym przypadku, możesz również skontaktować się z Urzędem Ochrony Danych Osobowych.
Chcesz w przejrzysty sposób dowiedzieć się, którzy z Twoich dostawców znajdują się wewnątrz, a którzy poza UE, i czy mają do tego umowę z dostawcą zawierającą właściwe gwarancje? Wykonaj bezpłatne sprawdzenie umowy z dostawcą lub otwórz konto biznesowe, aby śledzić je w swoim rejestrze.