Potrebujete sprostredkovateľskú zmluvu.
Jednoduchá veta. A za ňou množstvo príbehov.
Firmy, ktoré nereagujú na žiadny kontakt. Firmy, ktoré tvrdia, že GDPR majú na webe — pretože si ho zamieňajú s privacy policy. Firmy, ktoré vyjednávajú o podmienkach zmluvy tak, že ju de facto vykostia.
Jednoducho firmy, ktoré nemajú DPO a v GDPR sa neorientujú.
Dobrý DPO vám povie, aby ste v takom prípaade spoluprácu nezačali alebo, ak už beží, ukončili. Aby ste si našli nového poskytovateľa.
Áno, je to diskomfort. A váš DPO to dobre vie.
Ale jeho práca je pomôcť vám nastaviť spracúvanie osobných údajov tak, aby ochránil vaše peniaze pred pokutami a vašu reputáciu pred zničením.
Zmeniť účtovnú firmu, dodávateľa softvéru, HR systém nie je rozhodnutie na týždeň. Niekedy je to nepríjemné aj ľudsky — napríklad keď máte s dodávateľom dlhodobý vzťah beriete ho už ako svojho dobrého známeho.
Ale stane sa, že treba konať.
Ak napríklad dlhoročný poskytovateľ účtovných služieb zavedie nový nástroj na odovzdávanie dokladov — s AI spracúvaním dokumentov, cloudovým úložiskom, automatickou kategorizáciou, nemusí to byť problém. Doba napreduje, technológie zefektívňujú prácu vo všetkých odboroch.
Problém je, ak je AI nástroj nasadený s nezmyselnou lehotou na onboarding.
Z piatka na pondelok.
V rozpore s vašou sprostredkovateľskou zmluvou.
Bez predchádzajúcej konzultácie, bez zmluvného rámca, bez odpovede na základné otázky.
- Kto je prevádzkovateľ nástroja a kde sú dáta fyzicky uložené?
- Dochádza k prenosu mimo EÚ? Na akom právnom základe?
- V akej role vystupuje — sprostredkovateľ, alebo sub-sprostredkovateľ?
- Používajú sa doklady na trénovanie AI modelov?
- Bolo vykonané DPIA pri zavádzaní nástroja?
Pokiaľ dostanete odpoveď “dodávateľ deklaruje, že má GDPR právne ošetrené”, máte problém.
Spoluprácu skončiť samozrejme nemusíte.
Ale zodpovednosť zostáva.
Ste to vy ako prevádzkovateľ kto zodpovedá za ochranu osobných údajov. Aj za porušenia GDPR vašim poskytovateľom služieb. O to viac, ak ste nepodpísali sprostredkovateľskú zmluvu. Pretože je to zodpovednosť vás ako prevádzkovateľa, aby ste:
- uzatvorili zmluvu podľa čl. 28 GDPR s poskytovateľom služby,
- určiili prostriedky spracúvania, technické a organizačné bezpečnostné opatrenia,
- kontrolovali ich dodržiavanie.
A sprostredkovateľ? Ten musí vedieť odpovedať na základné otázky o AI spracúvaní, prenose dát a sub-sprostredkovateľoch. “Deklaruje súlad” nestačí. Musí to vedieť preukázať — aj keby sa na to nikdy nikto neopýtal.
Lebo raz sa opýta.
A ak to bude dozorný orgán, prídu s pokutou aj nápravné opatrenia. Tie, ktorých zavedeniu sa (možno) vyhýbal.
Máte uzatvorené sprostredkovateľské zmluvy? Kontrolujete ich dodržiavanie druhou stranou? A koho tie zmluvy chránia?
