kako vem, ali je programska oprema, ki jo uporabljam, skladna z GDPR

Orodje SaaS je zakonito glede GDPR, če sta pogodba in praksa skladni

Ni uradnega znaka ali kljukice, ki bi orodje SaaS uradno razglasil za "zakonito glede GDPR" — GDPR ne preverja samega programa, temveč način, kako dobavitelj ravna s podatki in kaj je o tem dogovorjeno. V večini primerov je orodje uporabno brez večjih tveganj, če tri stvari sovpadajo: obstaja pogodba o obdelavi podatkov z dobaviteljem, ta pogodba ureja obvezne dele, kot sta namen obdelave in varnostni ukrepi, ter je jasno, kje se podatki fizično obdelujejo in shranjujejo.

Zadnji dve točki sta tisti, ki v praksi pogosto ne gredo skupaj. Mnoga orodja SaaS sami vključijo druge strani — podjetje za gostovanje, službo za podporo v drugi državi — in to se imenuje podprisegeljenec. Prav tako se zgodi, da se podatki obdelujejo zunaj EU, kar je vezano na dodatne pogoje. Tisti, ki dvomi, ali ima dobavitelj pri njegovem podjetju vlogo predelovalca podatkov ali nadzornika obdelave podatkov, o tem najde več pri razlika med predelovalcem podatkov in nadzoroikom obdelave podatkov. In tisti, ki želi vedeti, kaj mora biti v pogodbi z dobaviteljem, to prebere na strani o vsebina pogodbe o obdelavi podatkov.

Na čem je to osnovano: člena 28 in 44 GDPR

Obveznost, da se dogovori zabeležijo s stranko, ki obdeluje podatke, izhaja iz člena 28 GDPR, ki nakazuje tudi, kaj mora ta pogodba najmanj urejati — vključno s strani predelovalca podatkov. Obdelovanje podatkov zunaj EU spada pod člen 44 GDPR, ki na prenos v tretjo državo postavlja dodatne pogoje. Te določbe veljajo neposredno v celotni EU, zato se jedro ocene — obstaja pogodba o obdelavi podatkov in je prenos zunaj EU ustrezno zavarovan — ne spremeni glede na državo. EDPB v svojih smernicah podrobneje pojasnjuje, kako se ti členi v praksi izvajajo, npr. pri presoji podprisegeljencev in mednarodnega prenosa podatkov.