ako zistím, či softvér, ktorý používam, spĺňa GDPR

Nástroj SaaS je v súlade s GDPR, ak sa zmluva a prax zhodujú.

Neexistuje žiadny certifikát ani značka, ktorá by oficiálne označila nástroj SaaS za "v súlade s GDPR" — GDPR neskúma samotný software, ale spôsob, akým sa dodávateľ zaobchádza s osobnými údajmi a ako boli na to dohodnuté podmienky. Vo väčšine prípadov je nástroj použiteľný bez výrazného rizika, ak sa zhodujú tri veci: s dodávateľom existuje zmluva o spracovaní údajov, táto zmluva reguluje povinné časti, ako je účel spracovávania a bezpečnostné opatrenia, a je jasné, kde sú údaje fyzicky spracúvané a uložené.

Posledné dva body sú miesto, kde sa to v praxi často pokazí. Mnohé nástroje SaaS si samy zapájajú ďalšie strany — poskytovateľa hostingu, support desk v inej krajine — a to sa nazýva sprostredkovateľ. Stáva sa tiež, že údaje sú spracúvané mimo EU, čo je viazané na ďalšie podmienky. Kto sa pochybuje, či má dodávateľ v jeho spoločnosti úlohu sprostredkovateľa alebo správcu údajov, nájde o tom viac na rozdiel medzi sprostredkovateľom a správcom údajov. A kto chce vedieť, čo presne musí byť v zmluve s dodávateľom, nájde to späť na stránke o obsahu zmluvy o spracovaní údajov.

Kde je to založené: články 28 a 44 GDPR.

Povinnosť uzavrieť dohodu so stranou, ktorá spracúva osobné údaje, vyplýva z článku 28 GDPR, ktorý tiež uvádza, čo musí táto zmluva minimálne regulovať — vrátane zapojenia sprostredkovateľa. Spracovávanie údajov mimo EU spadá pod článok 44 GDPR, ktorý vyžaduje ďalšie podmienky pre prenos do tretej krajiny. Tieto ustanovenia platia priamo v celej EU, takže jadro posúdenia — či existuje zmluva o spracovaní údajov a či je prenos mimo EU správne krytý — sa zmení podľa krajiny. EDPB v svojich pokynoch ďalej objasňuje, ako sa tieto články v praxi vykonávajú, napríklad pri posúdení sprostredkovateľov a medzinárodného prenosu.