Če je ponudnik, s katerim sklenete pogodbo z obdelovalcem podatkov, zunaj Evropske unije ali Evropskega gospodarskega prostora, se sama pogodba z obdelovalcem podatkov bistveno ne spremeni. Isti sestavni deli, ki jih predpisuje GDPR — predmet in trajanje obdelave, narava in namen, vrsta podatkov, kategorije posameznikov, ter obveznosti in pravice vas kot vodilnega - morajo biti še vedno prisotni, ne glede na to, kje je ponudnik registriran.
Kaj pa se doda, je dodatna plast pravil: GDPR postavlja dodatne pogoje za prenos osebnih podatkov v državo zunaj EU ali EGR. Ta plast vas prisilí, da preverite, ali je za to specifično državo potrebna zavarovalka nad običajnimi dogovori v pogodbi z obdelovalcem podatkov, in če je, katero.
Kaj ostane enako
Jedro pogodbe z obdelovalcem podatkov govori o odnosu med vami in stranjo, ki namesto vas obdeluje podatke: kdo kaj počne, s kakšnim namenom, kako dolgo, in kaj se zgodi ob vdoru podatkov ali pri prenehanju sodelovanja. Ti dogovori veljajo za vsakega obdelovalca, ne glede na to, ali je v Rotterdamu, Dublinu ali San Franciscu. Ponudnik zunaj EU vas torej ne razreši običajne revizije pogodbe z obdelovalcem podatkov; ta revizija ostane potrebna, le da se ji doda kaj novega.
Pravila prenosa: dodatna plast
GDPR posebej ureja, pod katerimi pogoji se lahko osebni podatki premestijo izven ozemlja EU ali EGR. Izhodišče je, da se raven zaščite podatkov ne sme poslabšati zaradi prenosa v drugo državo. Za več držav je Evropska komisija ugotovila, da je raven zaščite tam ustrezna; to se imenuje odločba o ustreznosti, in se ne uporablja samodejno za celo državo, temveč včasih samo za določen sektor ali uredbo. Če ni odločbe o ustreznosti, je pogosto uporabljan mehanizem standardne pogodbene klavzule, ki jih objavi Evropska komisija: vzpostavljen model, ki se uporablja kot dodatek ob pogodbi z obdelovalcem podatkov ali kot njena priloga. Katera različica je uporabna in ali je trenutna, se včasih spremeni; nahajališče trenutnih seznamov in modelov je pri Evropski komisiji in pri Nadzornem organu za varstvo podatkov, ne v mogočem tekstu, ki bi ga lahko zapomnili.
Oblak to naredi težje, kot se zdi
Pri mnogih SaaS-orodjih se vprašanje »je moj ponudnik v EU« zdi enostavnejše, kot je. Ponudnik je lahko imel evropsko glavno pisarno in kljub temu uporabljal podizvajalce, podatkovne centre za varnostne kopije ali člane podpornega tima zunaj EU. Tudi to se šteje kot prenos, čeprav je glavna pisarna na Nizozemskem ali v Nemčiji. Vprašanje je torej ne samo tam, kje je ponudnik registriran, temveč tam, kje podatki dejansko prihajajo, vključno s členi za njim.
Kaj lahko praktično povprašate
Ponudnik, ki ima svoje stvari v redu, lahko ponavadi nakaže, kje se podatki obdelujejo in shranjujejo, ali se zunaj EU vključijo podizvajalci in kateri prenos mehanizma se za to uporablja. Ta vrsta vprašanj sodi v isto oceno kot ostalo pogodbo z obdelovalcem podatkov: ne kot ločena vaja pozneje, temveč kot del branja same pogodbe. Kdor tu išče strukturo, jo najde v bazi znanja na temo razložene kako se različne situacije nanašajo druga na drugo.
Zakaj je tu nahajališče še posebej pomembno
Ker se seznami o skllepih o ustreznosti in vzorci standardnih pogodb sčasoma spreminjajo, je tveganje zastarele predpostavke tukaj večje kot pri večini drugih tem GDPR. Besedilo, ki je danes pravilno, morda ne bo več čez leto dni. Zato pri takih temah vedno delamo s poravnavo neposredno na vir namesto s povzetkom, ki mora obstojati samostojno; kako natančno je videti, preberite na strani o tem, od kje prihajajo naši podatki.
Kaj to pomeni za vaš register in vaše akte
Če beležite, katere dobavitelje uporabljate in kje se nahajajo, vidite na prvi pogled, v katerih aktih o obdelavi podatkov za obdelavo podatkov veljajo pravila o prenosu podatkov in pri katerih ne. To je natanko razlog, zakaj je država ustanovitve stalna del načina, kako dobavitelja zabeležimo v sistemu. Pogosta vprašanja o tej temi so zbrana pri pogostih vprašanjih o dobaviteljih in podatkih izven Slovenije.
Ali je za vašo situacijo dejansko potrebna dodatna zaščita in kakšna je, je na koncu odločitev vas samih ali vašega pravnika; zagotavljamo razlago in strukturo, ne pravnega nasveta. Če ste negotovi glede uporabe v konkretnem primeru, se lahko obrnete tudi na Pisarno za varstvo podatkov.
Ali želite pregledati, kateri od vaših dobaviteljev se nahajajo znotraj in kateri zunaj EU, in ali je k njim priložen akt o obdelavi podatkov z ustreznimi zaščitami? Preverite brezplačno akt o obdelavi podatkov ali odprite poslovni račun, da ga beležite v vašem registru.