Checklista zarzadzania podmiotami przetwarzajacymi dla founderow i liderow compliance

Zarzadzanie podmiotami przetwarzajacymi najlepiej dziala jako operacyjna checklista, a nie jednorazowa interpretacja prawna. Zespol SaaS powinien umiec ustalic, kiedy dostawca przetwarza dane osobowe w jego imieniu, potwierdzic role, sprawdzic umowe i dowody security, zatwierdzic dalszych podwykonawcow, udokumentowac transfery i utrzymywac dowody w aktualnym stanie.

Celem jest to, aby kazda relacja miala wlasciciela, cel, udokumentowana decyzje, pakiet dowodow i trigger przegladu. Bez tego proces pozostaje kruchy.

1. Potwierdz, czy temat ma zastosowanie

Checklista ma zastosowanie, gdy strona trzecia przetwarza dane osobowe w imieniu organizacji i zgodnie z jej instrukcjami. Dotyczy tez sytuacji, gdy firma SaaS dziala jako procesor danych klienta i sama korzysta z dalszych podmiotow przetwarzajacych.

Sprawdz, czy dostawca otrzymuje, przechowuje, przeglada, przesyla, analizuje lub generuje dane osobowe; czy dziala wedlug instrukcji; czy ma wlasne cele; jakie dane sa objete; oraz czy korzysta z dalszych podwykonawcow.

Wytyczne EDPB sa wazne, bo rola zalezy od rzeczywistego przetwarzania, nie tylko od nazwy w umowie.

2. Utworz uzyteczny rejestr

Kazdy zatwierdzony podmiot powinien miec rekord: nazwa prawna, produkt, wlasciciel wewnetrzny, cel, ocena roli, kategorie danych, osoby, systemy, lokalizacja danych, sciezka transferu, status DPA, security review, podwykonawcy, retencja, usuwanie, ujawnienia klientom, ostatni przeglad i kolejny trigger.

Taki rejestr utrzymuje te same fakty dla legal, security, product, procurement, sales i compliance.

3. Sprawdz artykul 28

Umowa lub inny akt wiazacy powinny okreslac przedmiot i czas trwania, charakter i cel, typy danych, kategorie osob oraz prawa i obowiazki administratora. Powinny obejmowac instrukcje, poufnosc, bezpieczenstwo, wsparcie, usuniecie lub zwrot, informacje potwierdzajace zgodnosc, audyty oraz warunki dla dalszych podmiotow.

Standardowe klauzule Komisji Europejskiej dla administratorow i procesorow moga byc punktem odniesienia, ale nie zastepuja oceny konkretnej relacji.

4. Sprawdz gwarancje i dowody

Wystarczajace gwarancje to wiecej niz DPA. Sprawdz kontrole dostepu, uwierzytelnianie, logi, szyfrowanie, separacje klientow, incydenty, podatnosci, certyfikacje, retencje, usuwanie, dostep supportu oraz wykorzystanie danych do treningu AI lub ulepszania produktu.

Zakres przegladu powinien odpowiadac ryzyku. Dostawca z danymi klientow lub dostepem produkcyjnym wymaga glebszej kontroli niz narzedzie wewnetrzne niskiego ryzyka.

5. Zarzadzaj dalszymi podmiotami

Ustal, kto ma dostep, jaka usluge swiadczy, gdzie odbywa sie przetwarzanie, czy nalozono rownowazne obowiazki, jaka autoryzacja wynika z DPA, jak powiadamiani sa klienci, kto obsluguje sprzeciwy i kiedy engineering moze wlaczyc nowa zaleznosc.

Lista wewnetrzna musi zgadzac sie ze strona publiczna lub zalacznikiem DPA.

6. Ustal transfery, dowody i przeglady

Zapisz, gdzie dane sa hostowane, skad mozliwy jest dostep i jaki mechanizm transferu ma zastosowanie. Nie zgaduj. Jesli sciezka jest niejasna, przetwarzanie nie powinno ruszyc.

Przechowuj DPA, analize roli, security review, liste podwykonawcow, mechanizm transferu, warunki konfiguracji, ticket akceptacji, decyzje o ryzyku rezydualnym i kolejny termin przegladu. Reaguj na nowe funkcje, podwykonawcow, regiony, AI, odnowienia, zobowiazania klientow i przestarzale dowody.

FAQ

Jaki jest praktyczny cel?

Kontrola przetwarzania przez strony trzecie: kto przetwarza dane, jakie instrukcje obowiazuja, jakie dowody istnieja i kiedy trzeba powtorzyc przeglad.

Kiedy dotyczy to zespolow SaaS?

Gdy dostawca lub podwykonawca przetwarza dane osobowe w imieniu zespolu albo gdy firma SaaS uzywa dalszych procesorow dla danych klienta.

Co udokumentowac najpierw?

Zacznij od rejestru dostawcow dotykajacych danych klienta lub produkcji: owner, cel, rola, dane, DPA, security, podwykonawcy, transfer, decyzja i kolejny trigger.

Zrodla

• European Union, General Data Protection Regulation.
• European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR.
• Information Commissioner's Office, Contracts and liabilities between controllers and processors.
• European Commission, Standard contractual clauses for controllers and processors in the EU/EEA.