cum știu dacă software-ul pe care îl folosesc respectă RGPD

Un instrument SaaS este conform GDPR dacă contractul și practica se aliniază

Nu există nicio certificare sau semn de bifare care să declare oficial un instrument SaaS "conform GDPR" — GDPR nu evaluează software-ul în sine, ci modul în care un furnizor gestionează datele cu caracter personal și ce a fost convenit în scris. În cele mai multe cazuri, un instrument este utilizabil fără riscuri semnificative dacă sunt îndeplinite trei condiții: există un acord de prelucrare cu furnizorul, acel acord reglementează componentele obligatorii cum ar fi scopul prelucrării și măsurile de securitate, și este clar unde sunt procesate și stocate fizic datele.

Ultimele două puncte sunt adesea problema în practică. Multe instrumente SaaS subcontractează alte părți — un furnizor de găzduire, un birou de asistență într-o altă țară — și aceasta se numește subprocesator. De asemenea, se întâmplă ca datele să fie procesate în afara UE, ceea ce supune la condiții suplimentare. Cine se întreabă dacă un furnizor la compania sa joacă rolul de procesor sau de răspundere pentru prelucrare, găsește mai multe informații la distincția dintre procesator și operator de date cu caracter personal. Și cine vrea să afle exact ce trebuie să conțină contractul cu furnizorul citește înapoi pe pagina despre conținutul unui acord de prelucrare a datelor.

Baza acestei dispoziții: articolul 28 și 44 din RGPD

Obligația de a reglementa în scris relația cu o parte care prelucrează date cu caracter personal rezultă din articolul 28 din RGPD, care prevede și ce trebuie să includă cel puțin acel acord — inclusiv implicarea unui subcontractor. Prelucrarea datelor în afara UE cade sub incidența articolului 44 din RGPD, care impune condiții suplimentare pentru un transfer către o țară terță. Aceste dispoziții se aplică direct în toată Uniunea Europeană, deci nucleul evaluării — există un acord de prelucrare a datelor și este transferul în afara UE acoperit în mod corespunzător — nu se modifică pe țară. EDPB dezvoltă în ghidurile sale modul în care aceste articole se aplică în practică, de exemplu la evaluarea subcontractorilor și transferul internațional de date.