Esența contractului de prelucrare se află în RGPD însuși, iar textul acesta nu se schimbă în fiecare an. Ceea ce se schimbă este practica din jurul acestuia: ce furnizori utilizați, cum angajează aceștia la rândul lor subcontractanți, și regulile privind transferul de date în afara Uniunii Europene, pe care Comisia Europeană le ajustează din timp în timp. Pentru majoritatea întreprinderilor mici și mijlocii, nu o să remarcați asta în propriul contract, ci în anexa acestuia: lista subprelucratorilor pe care îi angajează furnizorul dvs.
Asta face distincția importantă. Obligația de a încheia un contract de prelucrare cu fiecare parte care prelucrează date cu caracter personal în numele dvs. rămâne neschimbată. Ceea ce se schimbă se află în detaliile care cad sub această obligație: care subprelucratori sunt activi, dacă un furnizor permite prelucrarea datelor în afara UE, și ce acorduri privind aceasta sunt considerate suficiente la un moment dat.
Ce nu se schimbă în legea în sine
Obligația de a încheia un contract de prelucrare, componentele minime care trebuie să se afle în acesta, și rolul persoanei responsabile cu prelucrarea în fața prelucratorului: acestea sunt părți fixe ale RGPD. În prezent, nu există nicio modificare anunțată a acestor dispoziții. Atunci când asta se va întâmpla, se va face prin modificarea verordonnei în sine sau prin hotărâre a Curții de Justiție a Uniunii Europene, nu printr-un mesaj separat de la o autoritate de supraveghere.
Ce se schimbă în practică
Trei lucruri se schimbă de obicei, și adesea fără să o remarcați imediat. În primul rând, furnizorii de software își lărgesc funcționalitatea, de exemplu cu funcții de IA care se adaugă unei unelte existente. Aceasta poate însemna că apare un nou subprocesor pe care nu îl cunoșteați. În al doilea rând, autoritățile de supraveghere și EDPB îți actualizează în mod regulat liniile directoare privind subiecte specifice, cum ar fi stocarea în cloud sau transferul internațional, fără ca legea în sine să se schimbe. În al treilea rând, Comisia Europeană ajustează uneori clauzele tip care sunt utilizate pentru transferul de date către țări din afara UE.
Subprelucratori: schimbarea liniștită
Cea mai mare schimbare într-un contract de prelucrare nu se află în documentul principal, ci în anexa cu subprelucratori. Un pachet de contabilitate care angajează un nou partener de găzduire, o unealtă de HR care externalizează serviciul clienți către un centru de apeluri dintr-o altă țară: acestea sunt schimbări care conform RGPD trebuie să vă fie comunicate, pentru ca voi să puteți evalua dacă aveți obiecții. În practică, acesta este exact componenta pe care companiile o ratează cel mai ușor, deoarece este adesea menționată într-un e-mail cu o actualizare de produs și nu într-o comunicare juridică separată.
Transfer în afara UE
Dacă un furnizor permite prelucrarea datelor în afara Uniunii Europene, trebuie să existe o bază separată pentru aceasta, de exemplu clauzele tip ale Comisiei Europene sau o decizie conform căreia o țară oferă un nivel de protecție adecvat. Aceste baze sunt revizuite din timp în timp; ceea ce era considerat suficient la un moment dat poate fi ajustat ulterior. Pentru voi ca client al unui furnizor SaaS, asta înseamnă că baza juridică din spatele unui contract existent poate se schimbe fără ca contractul în sine să fie adaptat. Ceea ce asta înseamnă în mod concret pentru furnizorii dvs., nu se poate spune în general; aceasta cere o analiză a contractului specific și a stării actuale la Autoritatea pentru Protecția Datelor.
Ce înseamnă asta pentru propriile dvs. contracte
Întrebarea practică nu este dacă legea a fost modificată, ci dacă subprocesatorii și regulile de transfer în cadrul acordurilor dvs. existente corespund încă cu ceea ce ați convenit sau controlat odată. Aceasta înseamnă a verifica periodic dacă un furnizor a raportat noi subcontractanți și dacă anexele la acordurile dvs. cu procesatorul de date sunt încă actuale. Pentru o primă orientare cu privire la ceea ce trebuie să fie inclus exact într-un astfel de acord, puteți consulta baza de cunoștințe cu privire la acordurile cu procesatorul de date; aceasta este accesibilă gratuit și este selectată pe subiecte, cu locul de referință în textul legii inclus.
Este recomandabil să nu considerați aceasta o verificare unică, ci ca ceva care continuă atât timp cât utilizați furnizori care prelucrează date în numele dvs. Cei care utilizează mai multe instrumente SaaS și nu știu exact care sunt subprocesatorii de sub acestea, pot găsi răspunsuri în întrebări frecvente cu privire la acordurile curente cu procesatorul de date. Și dacă există îndoieli că o modificare raportată de un furnizor are implicații asupra răspunderii dvs., este recomandabil să o verificați printr-un avocat sau, dacă aveți îndoieli cu privire la autoritatea de supraveghere corectă, contactați Autoritatea pentru Protecția Datelor.
Antreprenorii care doresc să afle cum arată o astfel de monitorizare în practică, pot citiți de unde provin informațiile pe gdpria.eu și cum sunt monitorizate modificările la furnizori.
Verificați-vă singur situația
Cea mai mare parte a confuziei privind "ce s-a schimbat anul acesta" nu provine dintr-o modificare legislativă, ci dintr-un furnizor care a ajustat ceva fără să observați. Dacă doriți să vedeți în câteva minute dacă situația dvs. necesită atenție, puteți face scanarea rapidă gratuită sau puteți parcurge baza de cunoștințe pe subiectele relevante pentru afacerea dvs.