Andmete jagamine on tänapäevase kaubanduse elujõud. Olenemata sellest, kas olete uue pilveteenuse pakkuja palkamisel, turundusagentuuriga koostöö tegemisel või kolmanda osapoole personalijuhtimissüsteemi integreerimisel, liiguvad isikuandmed organisatsioonide vahel pidevalt. Kuid siin on ebamugav tõde: enamik ettevõtteid alahindab isikuandmete jagamise juriidilist miinivälja isikuandmete kaitse üldmääruse (GDPR) alusel.
Panused on reaalsed. Trahvid võivad ulatuda 20 miljoni euroni või 4%-ni ülemaailmsest aastakäibest – olenevalt sellest, kumb on suurem. Lisaks rahalistele karistustele riskite mainekahju, regulatiivse kontrolli ja tsiviilvastutuse nõuetega mõjutatud isikute poolt. Hollandi andmekaitseamet (Autoriteit Persoonsgegevens ehk AP) on selgelt öelnud: teadmatus ei ole kaitse.
See artikkel tutvustab teile seitset olulist GDPR-i riski, mis tekivad isikuandmete jagamisel. Iga risk põhineb konkreetsetel GDPR-i sätetel, mida illustreerivad reaalsed tagajärjed ja millele on lisatud praktilisi juhiseid, mis aitavad teil nõuetele vastavust tagada. Olenemata sellest, kas olete ettevõtte omanik, vastavusametnik või Hollandis tegutsev jurist, on nende lõksude mõistmine oluline.
1. Andmete jagamine ilma kehtiva õigusliku aluseta (GDPR artikkel 6)
Risk: Te ei saa isikuandmeid jagada ainult mugavuse või kasulikkuse tõttu. Iga andmete jagamise juhtum nõuab kehtivat õiguslikku alust vastavalt isikuandmete kaitse üldmääruse artiklile 6.
Miks ettevõtted eksivad: Paljud organisatsioonid eeldavad, et andmete jagamiseks piisab ärilisest põhjusest. See ei ole nii. Isikuandmete kaitse üldmäärus (GDPR) pakub töötlemiseks kuut õiguslikku alust: nõusolek, lepinguline vajadus, juriidiline kohustus, elulised huvid, avalik ülesanne ja õigustatud huvid. Igal neist on oma nõuded ja piirangud.
Näiteks viidatakse partnerite või teenusepakkujatega andmete jagamise õigustamiseks sageli „õigustatud huvidele“. Kuid see alus nõuab hoolikat tasakaalustamist: teie huvid ei tohi olla ülimuslikud nende isikute õiguste ja vabaduste suhtes, kelle andmeid te töötlete. Ja te peate selle hinnangu dokumenteerima.
Õiguslik alus: Isikuandmete kaitse üldmääruse artikkel 6 sätestab õiguslike aluste ammendava loetelu. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt a nõuab, et igasugune töötlemine oleks seaduslik, õiglane ja läbipaistev.
Reaalne tagajärg: AP on määranud trahve organisatsioonidele, kes jagasid klientide andmeid kolmandate osapooltega turunduslikel eesmärkidel ilma nõuetekohase õigusliku aluseta. Isegi kui andmed olid anonüümsed või koondatud, jäävad need isikuandmeteks, kui taasidentifitseerimine on võimalik.
Praktiline järeldus: enne isikuandmete jagamist tehke kindlaks ja dokumenteerige, milline õiguslik alus kehtib. Õigustatud huvidele tuginedes viige läbi ja registreerige õigustatud huvide hindamine. Nõusoleku kasutamisel veenduge, et see on antud vabatahtlikult, konkreetselt, teadlikult ja üheselt mõistetavalt.
2. Segadus rollide osas: vastutav töötleja vs. volitatud töötleja (GDPR artikli 4 lõiked 7–8)
Risk: Isikuandmete kaitse üldmäärus eristab vastutavaid töötlejaid (kes määravad töötlemise eesmärgid ja vahendid) ja volitatud töötlejaid (kes töötlevad andmeid vastutava töötleja nimel). Enda või oma partneri rolli valesti määratlemine tekitab tõsiseid vastavuslünki.
Miks ettevõtted valesti aru saavad: Praktikas võivad rollid olla mitmetähenduslikud. Kui jagate andmeid SaaS-teenuse pakkujaga, kas nad on vastutav töötleja või volitatud töötleja? Mis siis, kui nad kasutavad teie andmeid oma algoritmide täiustamiseks? Paljud ettevõtted nimetavad iga tarnijat vaikimisi „volitatud töötlejaks“, ilma suhet korralikult analüüsimata.
Vale klassifitseerimine on oluline, kuna vastutavatel ja volitatud töötlejatel on erinevad kohustused. Vastutavad töötlejad peavad tagama, et volitatud töötlejad pakuvad piisavaid vastavusgarantiisid (GDPR artikkel 28). Kaasvastutavad töötlejad peavad oma vastavates kohustustes kokku leppima (GDPR artikkel 26). Kui teete midagi valesti, võidakse teid pidada vastutavaks rikkumiste eest, millest te isegi ei teadnud.
Õiguslik alus: Isikuandmete kaitse üldmääruse artikli 4 lõiked 7 ja 8 määratlevad mõisted „vastutav töötleja” ja „volitatud töötleja”. Isikuandmete kaitse üldmääruse artiklis 24 on sätestatud vastutava töötleja vastutuskohustused.
Reaalne tagajärg: Euroopa Kohus otsustas Fashion ID (C-40/17) kohtuasjas, et isegi eesmärkide osaline kindlaksmääramine võib muuta teid kaasvastutavaks töötlejaks. See tähendab, et teid saab GDPR-i rikkumiste eest ühiselt vastutavaks pidada isegi siis, kui need põhjustas teine isik.
Praktiline järeldus: kaardistage andmevood ja määrake, kes otsustab, miks ja kuidas andmeid töödeldakse. Dokumenteerige see kirjalikult ja veenduge, et iga osapool mõistab oma rolli ja kohustusi.
3. Puuduv või ebapiisav andmetöötlusleping (GDPR artikkel 28)
Risk: Kui kaasate volitatud töötleja teie nimel isikuandmete töötlemiseks, on teil seadusega nõutav kirjalik andmetöötlusleping. Erandeid pole.
Miks ettevõtted eksivad: paberimajandusest mööda minek on ahvatlev, eriti usaldusväärsete või pikaajaliste partnerite puhul. Kuid ilma nõuetele vastava andmekaitselepinguta rikute isikuandmete kaitse üldmääruse artiklit 28 esimesest päevast alates – isegi kui tegelikku kahju ei teki.
Nõuetekohane andmekaitseleping peab sisaldama kohustuslikke klausleid: töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik, andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. See peab käsitlema ka alamtöötlust, andmeturvet ja rikkumisest teatamist.
Õiguslik alus: Isikuandmete kaitse üldmääruse artikli 28 lõige 3 loetleb andmekaitselepingu kohustusliku sisu. Isikuandmete kaitse üldmääruse artikli 28 lõige 4 nõuab alltöötlejatele selgesõnalist volitust.
Reaalne tagajärg: AP on karistanud organisatsioone volitatud töötlejate kaasamise eest, kellel puuduvad piisavad andmekaitseasutused. Isegi kui volitatud töötleja ise vastab nõuetele, võib vastutavat töötlejat ikkagi trahvida nõuetekohase lepingu sõlmimata jätmise eest.
Praktiline järeldus: kasutage standardiseeritud andmetöötluslepingu malli, mis hõlmab kõiki artikli 28(3) nõudeid. Vaadake üle olemasolevad lepingud, et veenduda nende vastavuses isikuandmete kaitse üldmäärusele. Ärge kaasake ühtegi uut töötlejat ilma allkirjastatud andmetöötluslepinguta.
4. Ebaseaduslik ülekanne kolmandatesse riikidesse väljaspool EMP-d (GDPR artiklid 44–49 ja Schrems II)
Risk: Isikuandmete edastamine väljaspool Euroopa Majanduspiirkonda (EMP) on rangelt piiratud. Seda saab teha ainult siis, kui sihtriik pakub piisavat kaitsetaset või kui rakendate asjakohaseid kaitsemeetmeid.
Miks ettevõtted eksivad: Paljud ettevõtted kasutavad USA-s või Aasias hostitud pilveteenuseid, maksetöötlejaid või analüüsivahendeid, mõistmata, et need käivitavad rahvusvaheliste ülekandereeglite rakendamise. Isegi kui teie leping on sõlmitud EL-i üksusega, kehtivad ülekandereeglid ka siis, kui andmeid salvestatakse või neile pääsetakse juurde väljaspool EMP-d.
Schrems II kohtuotsus (kohtuasi C-311/18) tunnistas kehtetuks ELi-USA andmekaitseraamistiku Privacy Shield ja rõhutas, et ainuüksi tüüptingimustest (SCC-d) ei piisa. Samuti peate läbi viima edastamise mõju hindamise (TIA), et hinnata, kas sihtriigi seadused õõnestavad SCC-dega tagatud kaitset.
Õiguslik alus: Rahvusvahelisi andmeedastusi reguleerivad isikuandmete kaitse üldmääruse artiklid 44–49. Isikuandmete kaitse üldmääruse V peatükk nõuab piisavusotsuseid (artikkel 45) või asjakohaseid kaitsemeetmeid (artikkel 46), näiteks tüüptingimusi.
Reaalne tagajärg: AP võib anda teile korralduse peatada või keelata andmeedastuse kolmandatesse riikidesse, kui piisavad kaitsemeetmed puuduvad. Ettevõtted on pärast Schrems II juhtumit andmete edastamise eest USA-sse ilma TIA-d tegemata silmitsi seisnud jõustamismeetmete ja mainekahjuga.
Praktiline järeldus: Tuvastage kõik teie andmevoogudes olevad kolmandate riikide ülekanded. Kontrollige, kas on olemas piisavusotsus. Kui ei, siis rakendage standardtingimusi ja tehke teabe mõjuhinnang (TIA). Vajadusel dokumenteerige täiendavad meetmed (nt krüpteerimine, pseudonümiseerimine).
5. Andmekaitsealase mõjuhinnangu tegemata jätmine (isikuandmete kaitse üldmääruse artikkel 35)
Risk: Andmekaitsealane mõjuhinnang (DPIA) on kohustuslik, kui andmete jagamine võib tõenäoliselt kaasa tuua suure ohu üksikisikute õigustele ja vabadustele. See hõlmab erikategooriate andmete ulatuslikku töötlemist, süstemaatilist jälgimist või uute tehnoloogiate kasutamist.
Miks ettevõtted valesti aru saavad: Paljud organisatsioonid käsitlevad andmekaitsealaste mõjuhinnangute koostamist (DPIA) valikulise või ainult „suurte” projektide puhul asjakohasena. Tegelikkuses võivad DPIA nõude käivitada nii terviseandmete jagamine kolmanda osapoole analüüsiplatvormiga, tehisintellektil põhinevate profiilimistööriistade juurutamine kui ka mitmest allikast pärit andmekogumite kombineerimine.
Andmekaitsealane mõjuhinnang ei ole lihtsalt linnukeste tegemine. See on struktureeritud protsess riskide tuvastamiseks, nende tõsiduse hindamiseks ja leevendavate meetmete määramiseks. Kui jääkriskid on endiselt suured, peate enne jätkamist konsulteerima andmekaitseametnikuga.
Õiguslik alus: GDPR artikkel 35 nõuab andmekaitsealase mõjuhinnangu tegemist kõrge riskiga töötlemise korral. AP on avaldanud suunised selle kohta, millal on andmekaitsealane mõjuhinnang nõutav.
Reaalne tagajärg: Andmekaitsealase mõjuhinnangu (DPIA) tegemata jätmine on iseenesest isikuandmete kaitse üldmääruse (GDPR) rikkumine. AP on trahvinud organisatsioone kõrge riskiga andmete jagamise eest ilma DPIA-d tegemata, isegi kui tegelikku andmetega seotud rikkumist ei toimunud.
Praktiline järeldus: kontrollige kõiki andmete jagamise tegevusi andmekaitsealase mõjuhinnangu (DPIA) käivitavate tegurite suhtes. Kahtluse korral tehke see. Kaasake oma andmekaitseametnik ja dokumenteerige hindamisprotsess põhjalikult.
6. Andmesubjektide ebapiisav teavitamine (isikuandmete kaitse üldmääruse artiklid 13 ja 14)
Risk: Läbipaistvus on isikuandmete kaitse üldmääruse nurgakivi. Isikuandmete kogumisel või jagamisel peate andmesubjekte teavitama sellest, kes, mis eesmärgil ja millisel õiguslikul alusel nende andmeid saab.
Miks ettevõtted eksivad: Privaatsusteated on sageli ebamäärased või aegunud. Sellised fraasid nagu „me võime teie andmeid jagada usaldusväärsete partneritega” ei ole piisavad. Peate täpsustama vastuvõtjate kategooriad (nt „pilvemajutusteenuse pakkujad”, „turundusagentuurid”) ja vajadusel need nimetama.
Kui andmeid saadakse kaudselt – näiteks andmevahendajalt või teiselt vastutavalt töötlejalt –, kehtestab GDPR artikkel 14 täiendavad teavitamiskohustused, sealhulgas kohustused andmete allika kohta.
Õiguslik alus: Isikuandmete kaitse üldmääruse artiklites 13 ja 14 on loetletud teave, mis tuleb andmesubjektidele esitada. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt a nõuab läbipaistvust kõigis töötlemistegevustes.
Reaalne tagajärg: AP on karistanud ettevõtteid selle eest, et nad ei teavitanud üksikisikuid nende andmete jagamisest kolmandate osapooltega. Isegi kui jagamine ise oli seaduslik, on ebapiisav läbipaistvus iseseisev rikkumine.
Praktiline järeldus: vaadake üle ja ajakohastage oma privaatsusteateid, et need kirjeldaksid selgelt andmete jagamise tavasid. Veenduge, et teated oleksid hõlpsasti ligipääsetavad ja lihtsas keeles. Uute partneritega andmete jagamisel ajakohastage oma teateid enne jagamise algust.
7. Pseudonüümiseerimine kui vale turvatunne
Risk: Pseudonüümiseerimine – otseste identifikaatorite asendamine koodide või märkidega – on isikuandmete kaitse üldmääruse kohaselt turvameetmena soovitatav. Kuid see ei muuda andmeid anonüümseks. Kui andmeid saab endiselt üksikisikuga siduda, jäävad need isikuandmeteks ja kuuluvad isikuandmete kaitse üldmääruse täieliku ulatuse alla.
Miks ettevõtted eksivad: Ettevõtted eeldavad sageli, et pseudonüümitud andmeid on piiranguteta „ohutu“ jagada. Praktikas vähendab pseudonüümimine riski ainult, mitte ei kõrvalda seda. Kui jagate pseudonüümitud andmeid partneriga, kellel on juurdepääs võtmele või muudele andmekogumitele, mis võimaldavad uuesti tuvastamist, töötlete ikkagi isikuandmeid.
Õiguslik alus: Pseudonüümimise defineerib isikuandmete kaitse üldmääruse artikkel 4(5). Põhjendus 26 selgitab, et pseudonüümitud andmed jäävad isikuandmeteks, välja arvatud juhul, kui need on tõeliselt anonümiseeritud (st uuesti tuvastamine ei ole enam mõistlike vahenditega võimalik).
Reaalne tagajärg: AP on juhistes selgitanud, et pseudonüümiseerimine ei ole vanglast pääsemise garantii. Kui taasidentifitseerimine on teostatav, kehtivad kõik isikuandmete kaitse üldmääruse (GDPR) kohustused, sealhulgas õigusliku aluse olemasolu, andmekaitsealaste mõjuhinnangute läbiviimine ja piisava turvalisuse tagamine.
Praktiline järeldus: käsitle pseudonüümitud andmeid isikuandmetena, välja arvatud juhul, kui olete läbinud ekspertide poolt valideeritud range anonüümimisprotsessi. Dokumenteerige uuesti tuvastamise vältimiseks rakendatud tehnilised ja korralduslikud meetmed.
Korduma kippuvad küsimused
Millal on andmete jagamine GDPR-i alusel lubatud?
Andmete jagamine on seaduslik ainult siis, kui teil on kehtiv õiguslik alus vastavalt isikuandmete kaitse üldmääruse artiklile 6. Kuus õiguslikku alust on: nõusolek, lepinguline vajadus, juriidiline kohustus, elulised huvid, avalik ülesanne ja õigustatud huvid. Samuti peate järgima seaduslikkuse, õigluse, läbipaistvuse, eesmärgi piiramise, andmete minimeerimise, täpsuse, säilitamise piiramise, terviklikkuse ja konfidentsiaalsuse põhimõtteid (isikuandmete kaitse üldmääruse artikkel 5). Praktikas tähendab see andmete jagamise eesmärgi selget dokumenteerimist, tagamist, et eesmärk on kooskõlas algse kogumise põhjusega, ja andmesubjektide teavitamist jagamisest.
Mis vahe on kontrolleril ja protsessoril?
Vastutav töötleja määrab isikuandmete töötlemise eesmärgid ja vahendid. Volitatud töötleja töötleb andmeid vastutava töötleja nimel vastavalt konkreetsetele juhistele. See eristamine on oluline, sest vastutavad töötlejad vastutavad peamiselt isikuandmete kaitse üldmääruse (GDPR) järgimise eest, samas kui volitatud töötlejatel on piiratumad kohustused (peamiselt turvalisuse ja konfidentsiaalsuse tagamine). Kui jagate andmeid tarnijaga, kes töötleb neid teie juhiste kohaselt – näiteks palgaarvestuse pakkuja või pilvesalvestusteenuse pakkuja –, on nad tavaliselt volitatud töötleja. Kui nad otsustavad ka, kuidas andmeid oma eesmärkidel kasutada, võivad nad olla (kaas)vastutavad töötlejad. Rollide vale määratlemine võib põhjustada lünki vastutuses ja ühises vastutuses rikkumiste korral.
Millal on andmetöötlusleping (DPA) kohustuslik?
Andmekaitseleping (DPA) on kohustuslik alati, kui kaasate volitatud töötleja teie nimel isikuandmeid töötlema (GDPR artikkel 28). See kehtib olenemata teie organisatsiooni suurusest või andmete mahust. Andmekaitseleping peab olema kirjalik ja sisaldama kohustuslikke klausleid, näiteks töötlemise ese ja kestus, laad ja eesmärk, andmeliigid ja andmesubjektide kategooriad ning mõlema poole kohustused turvalisuse, rikkumisest teatamise ja alamtöötluse osas. Ilma nõuetele vastava andmekaitselepinguta olete rikkumises alates hetkest, mil volitatud töötleja töötlemist alustab, isegi kui kahju ei teki.
Kas ma saan kliendiandmeid jagada osapoolega väljaspool EL-i?
Jah, aga ainult rangete tingimuste täitmisel. Isikuandmete kaitse üldmääruse artiklite 44–49 kohaselt võite andmeid kolmandasse riiki edastada, kui: (a) Euroopa Komisjon on selle riigi kohta teinud piisavusotsuse või (b) olete kehtestanud asjakohased kaitsemeetmed, näiteks tüüptingimused. Pärast Schrems II kohtuotsust peate läbi viima ka edastuse mõju hindamise, et hinnata, kas sihtriigi seadused (nt valitsuse jälitustegevus) õõnestavad tüüptingimustega tagatud kaitset. Kui riskid püsivad, peate rakendama täiendavaid meetmeid, näiteks krüpteerimist või andmete minimeerimist. Edastus ilma piisavate kaitsemeetmeteta võib kaasa tuua AP poolt jõustamismeetmed, sealhulgas edastuse peatamise.
Millal on andmete jagamiseks vaja andmekaitsealase mõjuhinnangut?
Andmekaitsealase mõjuhinnangu (DPIA) läbiviimine on isikuandmete kaitse üldmääruse artikli 35 kohaselt kohustuslik, kui töötlemine võib kujutada endast suurt ohtu üksikisikute õigustele ja vabadustele. See hõlmab: eriliikide andmete (nt tervise-, biomeetrilised, geneetilised andmed) ulatuslikku töötlemist, avalikult ligipääsetavate alade süstemaatilist jälgimist, automatiseeritud otsuste tegemist, millel on õiguslik või sarnane oluline mõju, ning uute tehnoloogiate kasutamist. Andmete jagamisel on DPIA sageli nõutav, kui ühendate andmekogumeid, jagate tundlikku teavet või kasutate andmeid profiilianalüüsiks või tehisintellektil põhinevaks analüüsiks. AP on avaldanud loetelu töötlemistoimingutest, mis nõuavad DPIA-d. Kahtluse korral tehke see – parem karta kui kahetseda.
Milliseid trahve võivad ettevõtted GDPR-i rikkumise eest saada?
Isikuandmete kaitse üldmäärus (GDPR) näeb ette kaks trahvitasandit. Madalam aste – kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest – kehtib selliste rikkumiste korral nagu asjakohaste turvameetmete rakendamata jätmine või andmekaitsealase mõjuhinnangu tegemata jätmine, kui see on nõutav. Kõrgem aste – kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest – kehtib tõsisemate rikkumiste korral, sealhulgas töötlemiseks õigusliku aluse puudumine, ebaseaduslik rahvusvaheline andmeedastus või andmesubjektide õiguste rikkumine. AP määrab trahvisumma selliste tegurite põhjal, nagu rikkumise laad ja raskusaste, kas see oli tahtlik või hooletus, mõjutatud isikute arv ja kõik võetud leevendavad meetmed. Hiljutised jõustamismeetmed näitavad, et AP on valmis määrama märkimisväärseid trahve, eriti süsteemsete või tahtlike rikkumiste korral.
Kas pseudonüümidega andmeid on alati ohutu jagada?
Ei. Pseudonüümiseerimine vähendab riski, kuid ei kõrvalda seda. Isikuandmete kaitse üldmääruse artikli 4(5) kohaselt tähendab pseudonüümiseerimine otseste identifikaatorite (nt nimede) asendamist koodide või pseudonüümidega. Kui andmeid saab siiski isikuga seostada – näiteks teie või vastuvõtja valduses oleva lisateabe abil –, jäävad need isikuandmeteks ja kuuluvad täielikult isikuandmete kaitse üldmääruse reguleerimisalasse. See tähendab, et teil on endiselt vaja õiguslikku alust, peate andmesubjekte teavitama ja tagama piisava turvalisuse. Ainult tõeline anonüümiseerimine – kui taasidentifitseerimine pole enam mõistlike vahenditega võimalik – eemaldab andmed isikuandmete kaitse üldmääruse kohaldamisalast. Praktikas on tõelise anonüümiseerimise saavutamine keeruline ja nõuab eksperdi valideerimist.
Mida peaksin tegema, kui minu ettevõttes on toimunud andmetega seotud rikkumine ebaseadusliku andmete jagamise tõttu?
Kui avastate isikuandmetega seotud rikkumise, sealhulgas ebaseaduslikust andmete jagamisest tuleneva rikkumise, on teil GDPR-i artikli 33 kohaselt AP-d teavitamiseks aega 72 tundi (välja arvatud juhul, kui rikkumine tõenäoliselt ei kujuta endast ohtu üksikisikute õigustele ja vabadustele). Samuti peate mõjutatud isikuid põhjendamatu viivituseta teavitama, kui rikkumine tõenäoliselt kujutab endast neile suurt ohtu (GDPR-i artikkel 34). Kohesed sammud hõlmavad järgmist: rikkumise ohjeldamine, selle ulatuse ja mõju hindamine, juhtunu ja teie meetmete dokumenteerimine ning AP-i teavitamine nende veebiportaali kaudu. Teatamata jätmine võib kaasa tuua eraldi trahvi. AP hindab rikkumise tõsiduse ja teie reageeringu põhjal, kas jõustamismeetmed on õigustatud.
Kaitske oma ettevõtet – hankige asjatundlikku juriidilist nõu
Andmete jagamine on vältimatu, kuid GDPR-i rikkumised ei pea seda olema. Eespool kirjeldatud seitse riski ei ole teoreetilised – need pärinevad reaalsetest õiguskaitsejuhtumitest, kohtuotsustest ja regulatiivsetest juhistest. Igaüks neist võib kaasa tuua trahve, vastutusnõudeid ja mainekahju.
Hea uudis? Õige õigusraamistiku, selge dokumentatsiooni ja ennetavate vastavusmeetmete abil saate andmeid enesekindlalt ja seaduslikult jagada. Kuid õige toimimine nõuab enamat kui üldist nõu – see nõuab kohandatud õigusabi, mis mõistab teie ettevõtet, andmevooge ja konkreetseid riske, millega te silmitsi seisate.
Ära oota, kuni AP koputab. Kui sa pole kindel, kas sinu andmete jagamise tavad on isikuandmete kaitse üldmäärusega kooskõlas või kui vajad abi andmekaitselepingute koostamisel, andmekaitsealaste mõjuhinnangute tegemisel või rahvusvaheliste edastuste haldamisel, võta ühendust spetsialiseerunud privaatsusõiguse juristiga. Sinu ettevõte – ja sinu kliendid – väärivad kõike vähemat.
