Jadro zmluvy so spracovateľom je stanovené v samotnom GDPR a tento text sa každý rok nemení. Posúva sa však prax okolo neho: ktorých dodávateľov používate, ako títo dodávatelia následne zapájajú ďalších spracovateľov a pravidlá týkajúce sa prenosu údajov mimo Európskej únie, ktoré Európska komisia čas od času upravuje. Pre väčšinu malých a stredných podnikov si to všimnete nie na samotnej zmluve, ale na prílohe: na zozname spodľahhlých spracovateľov, ktorých váš dodávateľ zapája.
To robí rozlíšenie dôležitým. Povinnosť uzavrieť zmluvu so spracovateľom s každou stranou, ktorá spracúva osobné údaje vo vašom mene, zostáva nezmenená. To, čo sa mení, spočíva v podrobnostiach, ktoré z tejto povinnosti vyplývajú: ktorí spodľahloví spracovatelia sú aktívni, či dodávateľ nechá spracúvať údaje mimo EÚ a aké dohody sa na určitý čas považujú za dostatočné.
Čo sa v samotnom zákone nemení
Povinnosť uzavrieť zmluvu so spracovateľom, minimálne prvky, ktoré v nej musia byť, a úloha správcu údajov voči spracovateľovi: to sú stálé časti GDPR. V súčasnosti nie je oznámená žiadna zmena týchto ustanovení. Keď sa tak stane, bude to prostredníctvom zmeny samotného nariadenia alebo rozhodnutia Súdneho dvora Európskej únie, nie prostredníctvom samostatného oznámenia dozorhného orgánu.
Čo sa v praxi posúva
Tri veci sa zvyčajne menia a často bez toho, aby ste si to všimli. Po prvé, poskytovatelia softvéru rozširujú svoju funkčnosť, napríklad pridaním funkcií AI na existujúci nástroj. To môže znamenať, že príde nový spodľahlý spracovateľ, ktorého ste ešte nepoznali. Po druhé, dozorhné orgány a EDPB pravidelne menia svoje usmernenia na konkrétne témy, ako napríklad cloudové úložisko alebo medzinárodný prenos, bez toho, aby sa samotný zákon zmienil. Po tretie, Európska komisia niekedy upravuje modelové ustanovenia používané na prenos údajov do krajín mimo EÚ.
Spodľahloví spracovatelia: tichá zmena
Väčšina posunov v zmluve so spracovateľom nie je v hlavnom dokumente, ale v prílohe so spodľahlými spracovateľmi. Účtovný balík, ktorý zapája nový poskytovateľ hostingu, HR nástroj, ktorý si outsourcing zákazníckej služby od call centra v inej krajine: to sú zmeny, ktoré vás podľa GDPR musia informovať, aby ste mohli posúdiť, či s nimi nesúhlasíte. V praxi je toto presne tá časť, ktorú podniky najľahšie prehliadnu, pretože sa často spomína v e-maile s aktualizáciou produktu a nie v samostatnom právnom oznámení.
Prenos údajov mimo EÚ
Ak dodávateľ nechá spracúvať údaje mimo Európskej únie, musí na to existovať samostatný právny základ, napríklad modelové klauzuly Európskej komisie alebo rozhodnutie o primeranom stupni ochrany danej krajiny. Tieto právne základy sa čas od času prehodnocujú; to, čo bolo v danom čase považované za dostatočné, môže byť neskôr upravené. Pre vás ako zákazníka poskytovateľa SaaS to znamená, že právny základ zmluvy sa môže zmeniť bez toho, aby sa samotná zmluva upravila. Čo to konkrétne znamená pre vašich vlastných dodávateľov, sa nedá povedať všeobecne; to si vyžaduje pozrieť si konkrétnu zmluvu a aktuálny stav v Autoriti na ochranu osobných údajov.
Čo to znamená pre vaše vlastné zmluvy
Praktická otázka nie je to, či sa zákon zmenil, ale či sú sub-spracovateľ a pravidlá prenosu údajov podľa vašich existujúcich zmlúv stále v súlade s tým, čo ste si dohodli alebo skontrolovali. To znamená, že je potrebné pravidelne skúmať, či dodávateľ nahlásil nových subpodnikateľov a či sú prílohy vašej zmluvy so spracovateľom stále aktuálne. Pre prvú orientáciu v tom, čo presne má byť v takejto zmluve, môžete konsultovať vedomostnú základňu o zmluvách so spracovateľmi; je voľne dostupná a zoradená podľa témы s uvedením zdroja v právnom texte.
Je rozumné nepovažovať to za jednorazovú kontrolu, ale za niečo, čo pokračuje počas času, keď používate dodávateľov, ktorí spracovávajú údaje v vašom mene. Kto používa viacero SaaS nástrojov a nevie presne, ktorí sub-spracovateľ sú pod ním, môže to nájsť v často kladených otázkach týkajúcich sa bežiacich zmlúv so spracovateľmi. A ak si nie ste istí, či má hlásená zmena u dodávateľa dôsledky na vašu vlastnú zodpovednosť, je vhodné dať si to prehodnotiť právnikom, alebo ak si nie ste istí správnym orgánom dohľadu, informovať sa na Úrade na ochranu osobných údajov.
Podnikatelia, ktorí chcú vedieť, ako takýto dohľad v praxi vyzerá, môžu prečítať si informácie o tom, odkiaľ pochádzajú údaje na gdpria.eu a ako sa sledujú zmeny u dodávateľov.
Vlastný prehľad vašej situácie
Väčšina zmätu o "čo sa tento rok zmenilo" nevychádza zo zmeny zákona, ale z dodávateľa, ktorý niečo zmenil bez toho, aby ste si to všimli. Ak chcete za pár minút vidieť, či vaša vlastná situácia vyžaduje pozornosť, môžete urobiť bezplatnú rýchlu kontrolu alebo prehliadnuť vedomostnú základňu na tému, ktoré sú relevantné pre vašu spoločnosť.