hur vet jag om programvaran jag använder uppfyller GDPR

En SaaS-verktyg är GDPR-kompatibel om kontraktet och praktiken stämmer överens

Det finns ingen certifiering eller bockmark som officiellt förklarar en SaaS-verktyg som "GDPR-kompatibel" — GDPR granskar inte själva programvaran, utan hur en leverantör hanterar personuppgifter och vad som har avtalats om detta. I de flesta fall är ett verktyg användbart utan nämnvärd risk om tre saker stämmer: det finns ett databehandleravtal med leverantören, avtalet reglerar obligatoriska delar som behandlingens syfte och säkerhetsåtgärder, och det är tydligt var uppgifterna fysiskt behandlas och lagras.

Dessa två senare punkter är där det ofta går fel i praktiken. Många SaaS-verktyg använder sig själva av andra parter — en värdtjänstleverantör, en supportdesk i ett annat land — och det kallas en underbehandlare. Det förekommer också att uppgifter behandlas utanför EU, vilket är förenat med ytterligare villkor. Den som är osäker på om en leverantör för sitt företag har rollen som databehandlare eller personuppgiftsansvarig, hittar mer information om skillnaden mellan databehandlare och personuppgiftsansvarig. Och den som vill veta vad som exakt måste stå i kontraktet med leverantören, läser det på sidan om innehållet i ett databehandleravtal.

Detta baseras på: artikel 28 och 44 GDPR

Skyldigheten att fastställa överenskommelser med en part som behandlar personuppgifter följer av artikel 28 i GDPR, som också anger vad avtalet måste reglera som minimum — inklusive användningen av en underbehandlare. Behandling av uppgifter utanför EU faller under artikel 44 i GDPR, som ställer ytterligare villkor för överföring till ett tredjeland. Dessa bestämmelser gäller direkt i hela EU, så kärnan i bedömningen — finns det ett databehandleravtal och är överföring utanför EU täckt på rätt sätt — förändras inte per land. EDPB utvecklar i sina riktlinjer vidare hur dessa artiklar fyls i praktiken, till exempel vid bedömning av underbehandlare och internationell överföring.