OLYMP-logoOLYMP
Yhteystiedot
Vaatimustenmukaisuusopas

GDPR ja ulkoistaminen Kosovoon

Kosovolla on nykyaikainen tietosuojalaki, joka mukailee tiiviisti GDPR:ää, mutta ei EU:n riittävyyspäätöstä. Tämä tarkoittaa, että siirrot EU:sta, Isosta-Britanniasta tai Sveitsistä ovat lainmukaisia oikeilla sopimuksilla ja suojatoimilla. Tässä oppaassa kerrotaan, mitä ne ovat.

Kysy tietosuojajärjestelyistämmeKatso vaiheet
Miksi KosovoUlkoistamisen riskitKosovon tietolehtiSanasto

Voivatko EU-yritykset ulkoistaa Kosovoon GDPR:n puitteissa?

Kyllä. Kosovon laki nro 06/L-082 mukailee tiiviisti GDPR:ää, mutta Kosovolla ei ole EU:n riittävyyspäätöstä, joten siirrot tarvitsevat siirtomekanismin. EU-yritykset allekirjoittavat tyypillisesti tietojenkäsittelysopimuksen ja Euroopan komission vakiosopimuslausekkeet, dokumentoivat siirron riskinarvioinnin ja pitävät tiedot omissa järjestelmissään tiukalla pääsynhallinnalla.

Kosovon laki
Laki nro 06/L-082 henkilötietojen suojasta (2019)
Valvontaviranomainen
Tieto- ja yksityisyysvirasto (AIP)
EU:n riittävyys
Ei ole. Käytetään vakiosopimuslausekkeita
Lisäksi tarvitaan
Tietojenkäsittelysopimus, siirron riskinarviointi

Vaatimustenmukaisen siirron luominen vaihe vaiheelta

Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Tietosuojavastaavanne tai lakimiehenne tulee vahvistaa järjestelyt omaan tilanteeseenne.

  1. Kartoita tiedot

    Ennen sopimusta

    Listatkaa, mitä henkilötietoja tiimi näkee, kenen tietoja ne ovat, miksi niitä tarvitaan ja missä järjestelmissä ne pysyvät. Vähemmän pääsyä tarkoittaa vähemmän riskiä ja yksinkertaisempaa paperityötä.

  2. Allekirjoita tietojenkäsittelysopimus

    Sopimuksen yhteydessä

    GDPR:n 28 artikla edellyttää sopimusta, jossa määritellään käsittely, ohjeet, luottamuksellisuus, tietoturva, alikäsittelijät ja apu rekisteröityjen pyyntöihin.

  3. Lisää siirtotyökalu

    Sopimuksen yhteydessä

    Koska Kosovolla ei ole riittävyyspäätöstä, EU-siirroissa käytetään yleensä Euroopan komission vakiosopimuslausekkeita. Ison-Britannian siirroissa käytetään Ison-Britannian lisäystä tai Ison-Britannian omaa siirtosopimusta.

  4. Arvioi siirto

    Ennen käyttöönottoa

    Dokumentoikaa siirron riskiarvio, jossa tarkastellaan Kosovon lainsäädäntöä ja käytäntöä sekä käytössä olevia suojatoimia, kuten pääsynhallintaa ja salausta.

  5. Ota käyttöön tekniset kontrollit

    Ennen käyttöönottoa

    Henkilökohtaiset tilit monivaiheisella tunnistautumisella, vähimpien oikeuksien käyttöoikeudet, hallitut laitteet, lokitus ja tiedot mahdollisuuksien mukaan omissa järjestelmissänne.

  6. Tarkista säännöllisesti

    Vuosittain

    Tarkistakaa uudelleen käyttöoikeudet, alikäsittelijät, tietoturvapoikkeamat ja lainsäädännön muutokset sekä päivittäkää käsittelyn tietueet ja arvio.

Mitä rekisterinpitäjien pitäisi tarkistaa

Sopimukset tekevät siirrosta lainmukaisen, päivittäiset kontrollit tekevät siitä turvallisen. Molemmat ovat tärkeitä.

Mitä Kosovon tietosuojalaki kattaa?

Laki nro 06/L-082 asettaa periaatteet, oikeusperusteet, rekisteröityjen oikeudet, tietoturvavelvoitteet ja tietoturvaloukkausten käsittelyn GDPR:n tapaan ja antaa tieto- ja yksityisyysvirastolle valvonta- ja täytäntöönpanovaltuudet. Kosovolainen palveluntarjoaja on sen sitoma omassa käsittelyssään teidän kanssanne tehdyn sopimuksen lisäksi.

Mitä tietojenkäsittelysopimuksen pitäisi kattaa?

  • Käsittelyn kohde, kesto, luonne ja tarkoitus
  • Henkilötietojen tyypit ja rekisteröityjen ryhmät
  • Käsittely vain teidän dokumentoitujen ohjeidenne mukaan
  • Kaikkien pääsyn omaavien luottamuksellisuus
  • Tietoturvatoimet kuvattuna konkreettisesti
  • Alikäsittelijöiden säännöt ja teidän vastustusoikeutenne
  • Apu rekisteröityjen pyynnöissä, tietoturvaloukkauksissa ja arvioinneissa
  • Tietojen palautus tai poisto lopussa sekä auditointioikeudet

Mitä teknisiä kontrolleja kannattaa odottaa?

  • Nimetyt tunnukset, kertakirjautuminen ja monivaiheinen tunnistautuminen
  • Pääsy rajattu niihin jonoihin ja kenttiin, joita kukin rooli tarvitsee
  • Hallitut, salatut laitteet ja rajoitukset paikalliselle lataukselle
  • Pääsyn kirjaus lokiin ja säännölliset käyttöoikeustarkastukset
  • Selkeät menettelyt lähtijöille ja häiriöiden raportoinnille sovituissa ajoissa
Lue lisää

Entä erityiset henkilötietoryhmät?

Terveys-, talous- tai muut arkaluonteiset tiedot vaativat tarkempaa tarkastelua: tietosuojan vaikutustenarviointia, tiukempaa pääsyä ja joskus pseudonymisointia tai peittämistä tiimin käyttämissä työkaluissa. Osa sääntelyn alaisesta työstä on ehkä pidettävä talon sisällä tai kotimaassa. Päättäkää tämä ennen tiimin laajuuden määrittelyä.

Viimeksi tarkistettu: . Kirjoittanut OLYMP BPO:n tiimi Pristinassa, Kosovossa. Tietoa yrityksestä

Tietosuoja ja Kosovo: yleisiä kysymyksiä

Onko Kosovo GDPR-yhteensopiva?

Kosovo ei kuulu EU:hun, joten GDPR ei suoraan sovellu siellä. Kosovon oma henkilötietojen suojaa koskeva laki nro 06/L-082, joka on ollut voimassa vuodesta 2019, mukailee tiiviisti GDPR:ää, ja sen noudattamista valvoo tieto- ja yksityisyysvirasto. EU-yritykset voivat siirtää tietoja Kosovoon lainmukaisesti oikeilla suojatoimilla.

Onko Kosovolla EU:n riittävyyspäätös?

Ei. Euroopan komissio ei ole antanut Kosovoa koskevaa riittävyyspäätöstä. EU:sta tapahtuvat siirrot tarvitsevat siksi toisen siirtotyökalun, yleensä vakiosopimuslausekkeet, sekä siirron riskiarvion ja asianmukaiset tekniset ja organisatoriset toimenpiteet.

Mitä vakiosopimuslausekkeita sovelletaan ulkoistettaessa Kosovoon?

Kun EU-yritys on rekisterinpitäjä ja kosovolainen palveluntarjoaja käsittelee tietoja sen puolesta, tavallinen valinta on Euroopan komission vuoden 2021 vakiosopimuslausekkeiden rekisterinpitäjän ja henkilötietojen käsittelijän välinen moduuli. Lakimiehenne tulee vahvistaa moduuli ja täyttää liitteet käsittelyänne varten.

Voivatko brittiläiset ja sveitsiläiset yritykset ulkoistaa Kosovoon?

Kyllä. Brittiläiset yritykset käyttävät tyypillisesti Ison-Britannian kansainvälistä tiedonsiirtosopimusta (IDTA) tai Ison-Britannian lisäystä EU:n lausekkeisiin. Sveitsiläiset yritykset voivat nojata EU:n vakiosopimuslausekkeisiin Sveitsin tietosuojalain edellyttämin mukautuksin. Kumpikin tarvitsee lisäksi tietojenkäsittelysopimuksen.

Täytyykö tietojen poistua järjestelmistänne?

Yleensä ei. Useimmissa ulkoistusjärjestelyissä agentit kirjautuvat asiakkaan omaan helpdeskiin, CRM:ään tai ERP:hen, joten tiedot pysyvät asiakkaan järjestelmissä ja niitä vain katsellaan tai muokataan etänä. Etäkäyttö Kosovosta on silti GDPR:n mukaan siirto, mutta se pitää altistuksen alhaisena.

Lähteet

Tämän sivun oikeudelliset viittaukset linkittävät viralliseen lähteeseensä. Lait ja ohjeistukset muuttuvat, joten tarkistakaa ajantasaiset versiot.

  1. Tieto- ja yksityisyysvirasto (laki nro 06/L-082), Kosovon tasavalta
  2. Riittävyyspäätökset, Euroopan komissio
  3. Vakiosopimuslausekkeet kansainvälisiin siirtoihin, Euroopan komissio
  4. Suositukset 01/2020 siirtoja täydentävistä toimenpiteistä, Euroopan tietosuojaneuvosto
  5. Kansainvälisten siirtojen ohjeistus, mukaan lukien IDTA ja lisäys, Information Commissioner's Office, Iso-Britannia

Tarvitsetko tietosuojadokumenttimme?

Pyydä tietojenkäsittelysopimuksemme ja tietoturvayleiskatsauksemme. Tietosuojavastaavanne voi tarkistaa ne ennen mitään sitoumuksia.

Pyydä dokumentitMiksi Kosovo