Ak sa dodávateľ, s ktorým uzatvárate dohodu so spracovateľom, nachádza mimo Európskej únie alebo Európskeho hospodárskeho priestoru, samotná dohoda so spracovateľom sa zásadne nemení. Tie isté prvky, ktoré GDPR predpisuje — predmet a trvanie spracúvania, povaha a účel, typ údajov, kategórie dotknutých osôb, a povinnosti a práva vás ako správcu údajov — musia v nej stále figurovať, bez ohľadu na to, kde je dodávateľ sídliaci.
To, čo sa naozaj pridáva, je samostatná vrstva pravidiel: GDPR stanovuje ďalšie podmienky pre prenos osobných údajov do krajiny mimo EÚ alebo EHP. Táto vrstva vás zaväzuje skontroľovať, či je pre danú krajinu potrebná ochrana nad rámec bežných dojednaní v zmluve so spracovateľom, a ak áno, ktorá.
Čo zostáva rovnaké
Jadrom zmluvy so spracovateľom je vzťah medzi vami a stranou, ktorá údaje spracúva vaším menom: kto robí čo, s akým účelom, ako dlho, a čo sa stane pri porušení bezpečnosti údajov alebo ukončení spolupráce. Tieto dojednutia platia pre každého spracovateľa, či už má sídlo v Rotterdame, Dubline alebo San Franciscu. Dodávateľ mimo EÚ vás teda neuvoľňuje od bežnej kontroly zmluvy so spracovateľom; táto kontrola zostáva potrebná, iba sa k nej niečo pridáva.
Pravidlá prenosu: dodatočná vrstva
GDPR samostatne reguluje, za akých podmienok môžu osobné údaje opustiť územie EÚ alebo EHP. Vychádzajúcim princípom je, že úroveň ochrany údajov nesmie klesnúť v dôsledku ich prenosu do inej krajiny. Európska komisia pre viaceré krajiny zistila, že úroveň ochrany tam je dostatočná; nazýva sa to rozhodnutie o adekvátnosti a nevzťahuje sa automaticky na celú krajinu, ale niekedy len na určitý sektor alebo právnu úpravu. Ak neexistuje rozhodnutie o adekvátnosti, bežne používaným mechanizmom sú štandardné zmluvné ustanovenia, ktoré zverejňuje Európska komisia: ustálený model, ktorý sa používa ako doplnok k zmluve so spracovateľom alebo ako jej príloha. Ktorá varianta sa vzťahuje a či je aktuálna, sa niekedy mení; miesto nájdenia aktuálnych zoznamov a modelov je na Európskej komisii a v Úrade na ochranu osobných údajov, nie v pevnom texte, ktorý by ste si mohli pamätať.
Cloud to komplikovanejšie, ako sa zdá
Pri mnohých nástrojoch SaaS sa otázka "je môj dodávateľ v EÚ" zdá jednoduchšia, ako v skutočnosti je. Dodávateľ môže mať európsku centrálu a napriek tomu využívať spracovateľov, ktorí s ním spolupracujú, dátové centrá na zálohovanie alebo podporný personál mimo EÚ. Aj to sa počíta ako transfer, aj keď má hlavná pobočka sídlo v Holandsku alebo Nemecku. Otázka teda nie je len to, kde je dodávateľ usadený, ale kde údaje skutočne skončia, vrátane prepojení za nimi.
Čo si môžete prakticky overiť
Dodávateľ, ktorý má svoje záležitosti v poriadku, zvyčajne vie uviesť, kde sa údaje spracúvajú a ukladajú, či sa zapájajú sprostredkovatelia mimo EÚ a ktorý mechanizmus na prenos údajov sa na to aplikuje. Takéto otázky majú patriť do rovnakého posúdenia ako zvyšok zmluvy sprostredkovateľa: nie ako samostatné cvičenie dodatočne, ale ako súčasť čítania samotnej zmluvy. Kto hľadá v tom štruktúru, nájde v poznatková základňa vysvetlená podľa tém ako sa navzájom vzťahujú jednotlivé situácie.
Prečo je tu zdroj citácie mimoriadne dôležitý
Pretože sa zoznamy rozhodnutí o primeranosti a vzory štandardných zmluvných dojednaní v priebehu času menia, je riziko zastarané predpoklady tu vyššie ako pri väčšine ďalších tém GDPR. Text, ktorý je dnes správny, nemusí byť o rok neskôr. Preto v takýchto prípadoch vždy pracujeme s priamym odkazom na zdroj namiesto zhrnutia, ktoré by sa malo držať samo; ako presne vyzerá, prečítate si na stránke o tom, odkiaľ pochádzajú naše informácie.
Čo to znamená pre vaš register a vaše zmluvy
Ak si vedete prehľad o tom, ktorých dodávateľov používate a kde sú usadení, vidíte na jeden pohľad, pri ktorých zmluvách so spracovateľom platia pravidlá prenosu údajov a pri ktorých nie. To je presne dôvod, prečo je krajina usadenia pevnou súčasťou spôsobu, ako zaradíme dodávateľa do systému. Otázky, ktoré sa často vynárajú k tejto téme, sú zhrnuté v často kladaných otázkach o dodávateľoch a údajoch mimo Holandska.
Či je pre vašu situáciu skutočne potrebná dodatočná záruka a ktorá, je nakoniec na vás alebo na vášho právnika, aby ste posúdili; poskytujeme výklad a štruktúru, nie právne poradenstvo. Ak máte pochybnosti o uplatňovaní v konkrétnom prípade, môžete sa obrátiť aj na Úrad na ochranu osobných údajov.
Chcete si jasne zobraziť, ktorí z vašich dodávateľov sú v EÚ a ktorí mimo nej, a či k tomu patrí zmluva so spracovateľom so správnymi zárukmi? Vykonajte bezplatnú kontrolu zmluvy so spracovateľom alebo otvorte si firemný účet, aby ste si to mohli vedať v registri.