Dacă furnizorul cu care încheiați un acord de prelucrare se află în afara Uniunii Europene sau a Spațiului Economic European, acordul de prelucrare în sine nu se schimbă esențial. Aceleași elemente pe care RGPD le prescrie — subiectul și durata prelucrării, natura și scopul, tipul de date, categoriile de persoane vizate, și obligațiile și drepturile dvs. ca răspunzător de prelucrare — trebuie să se afle în continuare în acord, indiferent de locul de stabilire al furnizorului.
Ceea ce se adaugă este o serie separată de reguli: RGPD stabilește condiții suplimentare pentru transferul de date cu caracter personal către o țară din afara UE sau a Spațiului Economic European. Această serie vă obligă să verificați dacă pentru acea țară specifică este necesară o garanție dincolo de acordurile obișnuite din acordul de prelucrare, și dacă da, care anume.
Ceea ce rămâne la fel
Esența unui acord de prelucrare privește relația dintre dvs. și partea care prelucrează date în numele dvs.: cine face ce, cu ce scop, pentru cât timp, și ce se întâmplă în caz de încălcare de date sau încetare a colaborării. Aceste acorduri sunt valabile pentru fiecare processor, indiferent dacă acesta se află în Rotterdam, Dublin sau San Francisco. Un furnizor din afara UE nu vă scutește deci de evaluarea obișnuită a unui acord de prelucrare; acea evaluare rămâne necesară, doar că se adaugă ceva.
Regulile de transfer: seria suplimentară
RGPD reglementează separat condițiile în care datele cu caracter personal pot părăsi teritoriul UE sau al Spațiului Economic European. Premisa de bază este că nivelul de protecție al datelor nu trebuie să se deterioreze din cauza transferului către altă țară. Pentru o serie de țări, Comisia Europeană a stabilit că nivelul de protecție acolo este suficient; aceasta se numește decizie de adecvare, și nu se aplică automat întregii țări ci uneori doar unui anumit sector sau unui cadru juridic. Dacă nu există o decizie de adecvare, un mecanism frecvent utilizat îl reprezintă clauzele contractuale standard pe care le publică Comisia Europeană: un model stabilit care se utilizează ca supliment alături de sau ca anexă la acordul de prelucrare. Ce variantă se aplică și dacă aceasta este actuală se schimbă uneori; locul unde se găsesc listele și modelele actuale se află la Comisia Europeană și la autoritatea de protecție a datelor, nu într-un text fix pe care l-ați putea memora.
Cloud-ul face ca întrebarea să fie mai complicată decât pare
La multe instrumente SaaS, întrebarea "se află furnizorul meu în UE" pare mai simplă decât este în realitate. Un furnizor poate avea o sediu europeană și totuși utiliza subprocesatori, centre de date pentru backup, sau personal de suport din afara UE. Și aceasta se numește transfer, chiar dacă sediul principal se află în Olanda sau Germania. Prin urmare, întrebarea nu este numai unde se află furnizorul, ci unde ajung datele în realitate, inclusiv conexiunile din spate.
Ce puteți verifica din punct de vedere practic
Un furnizor care are ordine în treburile sale poate de obicei să indice unde sunt prelucrate și stocate datele, dacă se utilizează subprocesatori din afara UE, și ce mecanism de transfer s-a aplicat pentru aceasta. Acest fel de întrebări au loc în aceeași evaluare ca și restul acordului de prelucrare: nu ca exercițiu separat ulterior, ci ca parte a citirii acordului în sine. Cine caută structură în aceasta, o găsește în baza de cunoștințe explicată pe fiecare subiect cum se raportează situațiile diferite unele la altele.
De ce locul de referință este deosebit de important aici
Deoarece listele de decizii de adecvare și modelele pentru clauzele contractuale standard se modifică în timp, riscul unei presupuneri depășite este aici mai mare decât la majoritatea celorlalte subiecte GDPR. Un text care este corect astazi, este posibil să nu mai fie corect peste un an. De aceea, la aceste subiecte, folosim întotdeauna o trimitere directă la sursă în loc de un rezumat care trebuie să rămână de la sine; cum arată exact, puteți citi la pagina despre de unde provin informațiile noastre.
Ce înseamnă aceasta pentru registrul dvs. și pentru contractele dvs.
Dacă urmăriți ce furnizori utilizați și unde sunt stabiliți, vedeți într-o privire pentru care acorduri de prelucrare regulile privind transferul de date joacă un rol și pentru care nu. Aceasta este exact motivul pentru care țara de stabilire este o parte permanentă a modului în care includem un furnizor în sistem. Întrebări care revin mai des pe această temă sunt adunate la întrebări frecvente despre furnizori și date în afara României.
Dacă pentru situația dvs. este cu adevărat necesară o garanție suplimentară și care anume, este în final pentru dvs. sau pentru juristul dvs. să evalueze; oferim clarificare și structură, nu sfat juridic. Dacă aveți îndoieli cu privire la aplicarea într-un caz concret, puteți contacta și Autoritatea de Supraveghere pentru Protecția Datelor.
Doriți să aflați în mod clar care dintre furnizorii dvs. sunt în UE și care sunt în afara UE, și dacă există un acord de prelucrare cu garanțiile corespunzătoare? Faceți verificarea gratuită a unui acord de prelucrare sau deschideți un cont de afaceri pentru a-l urmări în registrul dvs..