Osnova pogodbe z obdelovalcem je v samem GDPR, in ta besedilo se ne spreminja vsako leto. Kar se res spreminja, je praksa okoli nje: kateri dobavitelji jih uporabljate, kako ti dobavitelji nato sami vključujejo podizvajalce, in pravila glede posredovanja podatkov zunaj Evropske unije, ki jih Evropska komisija od časa do časa prilagodi. Za večino malih in srednje velikih podjetij to ne opazite na vašem lastnem pogodbi, ampak na prilogah k njej: na seznamu podizvajalcev, ki jih vaš dobavitelj vključi.
To naredi razliko pomembno. Obveznost, da sklenete pogodbo z obdelovalcem s posamezno stranjo, ki v vašem imenu obdeluje osebne podatke, ostaja nespremenjena. Kaj se spremeni, je v podrobnostih, ki spadajo pod to obveznost: kateri podizvajalci so dejavni, ali dobavitelj podatke obdela zunaj EU, in katere dogovore o tem se na določenem trenutku štejejo za ustrezne.
Kaj se v samem zakonu ne spremeni
Obveznost za pogodbo z obdelovalcem, minimalni elementi, ki morajo biti v njej, in vloga upravljavca podatkov nasproti obdelovalcu: to so stalni elementi GDPR. Trenutno ni napovedane spremembe teh določb. Kadar do tega pride, se to zgodi z izpodbijanjem uredbe same ali z odločbo Sodišča Evropske unije, ne prek ločenega sporočila nadzornika.
Kaj se v praksi res spreminja
Tri stvari se običajno spremenijo, pogosto brez da bi to takoj opazili. Prvič, dobavitelji programske opreme razširijo svojo funkcionalnost, na primer z možnostmi umetne inteligence, ki se dodajo obstoječemu orodju. To lahko pomeni, da se pojavi novi podizvajalec, ki ga še niste poznali. Drugič, nadzorniki in EDPB redno posodabljajo svoja navodila za specifična področja, kot so shranjevanje v oblaku ali mednarodno posredovanje podatkov, brez da bi se sam zakon spremenil. Tretjič, Evropska komisija včasih prilagodi modelne klavzule, ki se uporabljajo za posredovanje podatkov v države zunaj EU.
Podizvajalci: tiha sprememba
Večina sprememb v pogodbi z obdelovalcem ni v glavnem dokumentu, ampak v prilogah s podizvajalci. Računovodski paket, ki je vključil novega gostitelja, HR-orodje, ki je outsourcalo storitve v callcenter v drugi državi: to so spremembe, ki jih je treba po GDPR sporočiti vam, da lahko presodite, ali se zoper njih pritožite. V praksi je to točno tisti del, ki ga podjetja najlažje spregledajo, ker je pogosto omenjen v e-pošti s povzetkom novih funkcionalnosti in ne v ločenem pravnem obvestilu.
Posredovanje podatkov zunaj EU
Če dobavitelj podatke obdela zunaj Evropske unije, mora biti za to posebna pravna osnova, na primer modelne klavzule Evropske komisije ali odločitev, da je dežela zagotavljala ustrezno raven zaščite. Te osnove se redno pregledajo; kar se je nekoč zdelo ustrezno, se lahko pozneje prilagodi. Za vas kot stranko dobavitelja SaaS-storitev to pomeni, da se lahko pravna osnova pod obstoječo pogodbo spremeni, ne da bi se sama pogodba spremenila. Kaj to konkretno pomeni za vaše lastne dobavitelje, ne gre splošno reči; to zahteva pogled na specifično pogodbo in trenutno stanje pri nadzorniku za zaščito podatkov.
Kaj to pomeni za vaše lastne pogodbe
Praktično vprašanje ni to, ali je zakon spremenjen, temveč ali so podizvajalci in pravila prenosa podatkov po vaših obstoječih sporazumih še vedno skladni s tistim, kar ste kdaj koli dogovorili ali preverili. To pomeni, da periodično preverite, ali je dobavitelj prijavil nove podizvajalce in ali so priloge vaših sporazumov o obdelavi podatkov še vedno veljavne. Za prvo orientacijo o tem, kaj mora natanko vsebovati takšen sporazum, lahko preberete bazo znanja o sporazumih o obdelavi podatkov, ki je brezplačno dostopna in urejena po temah, z navedbo mesta v zakonu.
Pametno je to ne videti kot enkratno preverjanje, temveč kot nešto, kar se nadaljuje, dokler uporabljate dobavitelje, ki obdelujejo podatke v vaše ime. Kdor uporabljate več orodij kot storitve in ne veste natanko, kateri podizvajalci so njihova, lahko to poiščete v pogosto zastavljenih vprašanjih o tekočih sporazumih o obdelavi podatkovOb dvomih, ali ima prijavljena sprememba pri dobavitelju posledice za vašo lastno odgovornost, je priporočljivo, da to preverite pri pravniku ali pa, če dvomite, kdo je pravi nadzorni organ, se posvetujte z Upravo za varstvo podatkov.
Podjetniki, ki želijo vedeti, kako je tak nadzor videti v praksi, lahko preberete, od kje prihajajo informacije na gdpria.eu in kako se spremljajo spremembe pri dobaviteljih.
Sami preverite svoj položaj
Večina zamenjav o tem, »kaj se je letos spremenilo«, ne izvira iz spremembe zakona, temveč iz dobavitelja, ki je nekaj spremenil, ne da bi si tega vzeli kot resno. Če želite videti v nekaj minutah, ali vaša lastna situacija potrebuje pozornost, lahko naredite brezplačno hitro presojo ali si ogledате bazo znanja na področjih, ki so za vaše podjetje relevantna.