Podstawę umowy przetwarzania danych stanowi samo RODO, a ten tekst nie zmienia się co roku. Co się zmienia, to praktyka wokół niej: których dostawców używasz, jak ci dostawcy z kolei angażują podwykonawców, oraz reguły dotyczące transferu danych poza Unię Europejską, które Komisja Europejska od czasu do czasu zmienia. Dla większości firm z sektora MŚP oznacza to, że zwykle nie dotyczy to bezpośrednio Twojej umowy, ale jej załącznika: listy podprzetwarzających angażowanych przez Twojego dostawcę.
To czyni to rozróżnienie ważnym. Obowiązek zawarcia umowy przetwarzania danych z każdą stroną, która przetwarza dane osobowe w Twoim imieniu, pozostaje niezmieniony. Co się zmienia, znajduje się w szczegółach: którzy podprztwarzający są aktywni, czy dostawca przetwarza dane poza UE, i jakie ustalenia w tym zakresie uważa się za wystarczające w danym momencie.
Co nie zmienia się w samym prawie
Obowiązek zawarcia umowy przetwarzania danych, minimalne elementy, które muszą się w niej znaleźć, oraz rola administratora danych wobec przetwarzającego: to stałe elementy RODO. Obecnie nie zapowiadane są żadne zmiany tych przepisów. Kiedy to się zdarzy, będzie to następstwem zmiany samej rozporządzenia lub orzeczenia Europejskiego Trybunału Sprawiedliwości, a nie osobnego komunikatu organu nadzoru.
Co zmienia się w praktyce
Trzy rzeczy zwykle się zmieniają, i często bez Twojej bezpośredniej wiedzy. Po pierwsze, dostawcy oprogramowania rozszerzają swoją funkcjonalność, na przykład dodając funkcje sztucznej inteligencji do istniejącego narzędzia. To może oznaczać pojawienie się nowego podprztwarzającego, którego wcześniej nie znałeś. Po drugie, organy nadzoru i EDPB regularnie aktualizują swoje wytyczne na temat konkretnych tematów, takich jak przechowywanie w chmurze czy międzynarodowy transfer danych, bez zmian w samym prawie. Po trzecie, Komisja Europejska czasami zmienia klauzule modelowe używane do transferu danych do krajów poza UE.
Podprztwarzający: cicha zmiana
Większość zmian w umowie przetwarzania danych nie znajduje się w głównym dokumencie, ale w załączniku zawierającym podprztwarzających. Oprogramowanie księgowe, które angażuje nowego dostawcę hostingu, narzędzie HR, które zleca obsługę klienta call center w innym kraju: to zmiany, które zgodnie z RODO muszą być Ci zgłoszone, aby mógł ocenić, czy im się sprzeciwiasz. W praktyce jest to dokładnie ta część, którą firmy najłatwiej przeoczeń, ponieważ często jest wspominana w e-mailu z aktualizacją produktu, a nie w osobnym komunikacie prawnym.
Transfer danych poza UE
Jeśli dostawca przetwarza dane poza Unią Europejską, musi istnieć dla tego osobna podstawa prawna, na przykład klauzule modelowe Komisji Europejskiej lub decyzja, że dany kraj zapewnia odpowiedni poziom ochrony. Te podstawy są od czasu do czasu przeglądane; to, co w danym momencie uważano za wystarczające, może być później zmienione. Dla Ciebie jako klienta dostawcy SaaS oznacza to, że podstawa prawna istniejącej umowy może się zmienić bez modyfikacji samej umowy. Co to konkretnie oznacza dla Twoich dostawców, nie można powiedzieć ogólnie; wymaga to zapoznania się z konkretną umową i obecnym stanem rzeczy w Autoriteit Persoonsgegevens.
Co to oznacza dla Twoich własnych umów
Praktyczne pytanie nie dotyczy tego, czy prawo uległo zmianie, ale tego, czy podmioty przetwarzające dane na podstawie umowy i zasady transferu danych wynikające z Pani istniejących umów są zgodne z tym, co kiedykolwiek uzgodniono lub sprawdzono. Oznacza to okresowe sprawdzanie, czy dostawca zgłosił nowych podwykonawców oraz czy załączniki do Pani umów są jeszcze aktualne. Aby uzyskać wstępną orientację na temat tego, co dokładnie powinno znaleźć się w takiej umowie, może Pani zapoznać się z bazą wiedzy dotyczącej umów o przetwarzaniu danych; jest ona bezpłatna i wyselekcjonowana według tematów z odwołaniem do źródła w tekście ustawy.
Rozsądnie jest traktować to nie jako jednorazową kontrolę, ale jako proces, który trwa tak długo, jak Pani zatrudnia dostawców przetwarzających dane w Pani imieniu. Jeśli Pani korzysta z kilku narzędzi SaaS i nie wiedzą dokładnie, które podmioty przetwarzające dane za nich stoją, może Pani znaleźć odpowiedź w często zadawanych pytaniach dotyczących bieżących umów o przetwarzaniu danych. W razie wątpliwości, czy zgłoszona przez dostawcę zmiana ma wpływ na Pani własną odpowiedzialność, wskazane jest zwrócenie się o opinię do prawnika lub, w razie wątpliwości co do właściwego organu nadzoru, skontaktowanie się z Urzędem Ochrony Danych Osobowych.
Przedsiębiorcy, którzy chcą wiedzieć, jak wygląda taki nadzór w praktyce, mogą przeczytaj, skąd pochodzą informacje na gdpria.eu i jak śledzone są zmiany u dostawców.
Samodzielnie sprawdzić swoją sytuację
Większość niejasności dotyczących "co się zmieniło w tym roku" nie wynika ze zmiany przepisów, ale z tego, że dostawca coś zmienił bez Twojej wiedzy. Jeśli chcesz w kilka minut zobaczyć, czy Twoja sytuacja wymaga uwagi, możesz wykonać bezpłatną szybką ocenę lub przejrzeć bazę wiedzy na tematy istotne dla Twojej firmy.