Se non elaborate personalmente le informazioni personali dei cittadini dell'UE, è improbabile che venga classificato come responsabile del trattamento dei dati ai sensi del GDPR (controllare l'articolo 3: ambito territoriale, p.32-33). Se dovessi utilizzare una soluzione Software-as-a-Sevice (SaaS), saresti un titolare / responsabile del trattamento dei dati (o entrambi) e il GDPR si applicherebbe sicuramente se avessi cittadini dell'UE come clienti / utenti.
Anche se non riesco a vedere alcun riferimento ai fornitori di software nel testo del GDPR, in quanto fornitore di software sarebbe nel tuo interesse garantire che i tuoi prodotti soddisfino i criteri di cui all'articolo 25 (Protezione dei dati fin dalla progettazione e per impostazione predefinita, p .48) al fine di aiutare i tuoi clienti a conformarsi, come:
-
Implementare misure tecniche appropriate, come la pseudonimizzazione, che sono progettate per implementare i principi di protezione dei dati, come i dati minimizzazione, in modo efficace e per integrare le garanzie necessarie nel trattamento al fine di soddisfare i requisiti del presente regolamento e proteggere i diritti degli interessati.
-
Attuare misure tecniche appropriate per garantire che, per impostazione predefinita, solo i dati personali necessari per ciascuna specifica finalità del trattamento g vengono elaborati. Tale obbligo si applica alla quantità di dati personali raccolti, all'entità del loro trattamento, al periodo di conservazione e alla loro accessibilità. In particolare, tali misure garantiscono che, per impostazione predefinita, i dati personali non siano resi accessibili senza l'intervento della persona fisica a un numero indefinito di persone fisiche.
Questi, insieme a misure organizzative simili, sono responsabilità del titolare del trattamento, ma a meno che il software non li aiuti a conformarsi, potrebbe essere costretto a considerare soluzioni alternative che riducano il rischio complessivo. Se il tuo software dispone già di una serie di controlli di questo tipo, potrebbe valere la pena mettere insieme un white paper o una comunicazione simile che possa informare i tuoi clienti di come il tuo software li aiuta a conformarsi.
Non sembra esserci alcuna responsabilità diretta nei confronti del fornitore di software tramite il GDPR. Se una violazione dei dati è il risultato di un difetto di progettazione o di un bug di implementazione nel software e il tuo cliente viene multato di conseguenza, è probabile che ti perseguiti perché il software non è adatto allo scopo e manca della tecnica appropriata controlli necessari per garantire la riservatezza dei dati. In questo caso, la tua difesa si baserà sui record di progettazione e implementazione dei controlli, record di test e riparazione del software e sulla disponibilità di procedure adeguate per garantire che le patch di sicurezza possano essere distribuite rapidamente ai tuoi clienti quando richiesto.
Ulteriori chiarimenti come richiesto:
Se la tua organizzazione non tratta i dati personali, non ha terze parti che li elaborano per tuo conto (comprese le società di hosting) o non vi ha mai accesso , allora non sei né un controller né un processore.
Tuttavia, se i tuoi clienti ti inviano dati personali o ti concedono l'accesso temporaneo ai dati personali come parte della risoluzione dei problemi con il tuo software, allora saresti un processore in questo contesto e avresti bisogno di un contratto appropriato in luogo e dovrebbe garantire che siano implementati i controlli tecnici e organizzativi appropriati per conformarsi al GDPR e ridurre il rischio di una violazione dei dati personali. Inoltre, se i trasferimenti internazionali di dati avvengono come parte di questo (ad esempio, invio / accesso a file su Internet), è necessario assicurarsi che la propria organizzazione sia in grado di fornire un livello equivalente di protezione per i diritti degli interessati, ad esempio se si sei negli Stati Uniti, probabilmente dovrai aderire volontariamente all'UE-USA Privacy Shield o utilizza le clausole contrattuali tipo dell'UE all'interno dei tuoi contratti affinché sia legale per le aziende con sede nell'UE utilizzarti come elaboratore di dati. Per ulteriori informazioni sui trasferimenti internazionali, leggi la pagina Trasferimenti di dati al di fuori dell'UE dell'UE.
Rif: GDPR