Oprogramowanie prawne, księgowe i doradcze

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Professional secrecy rules in national law
• Directive (EU) 2015/849 for AML-regulated clients
• Regulation (EU) 2022/2554 — DORA where clients are financial entities

Kto musi wyznaczyć

Dostawcy oprogramowania spoza Unii obsługujący kancelarie prawne, księgowych i firmy doradcze w UE. Dane klientów w tych sektorach są objęte zasadami tajemnicy zawodowej, które współistnieją z RODO i często są bardziej rygorystyczne w kwestii ujawniania i lokalizacji.

Progi i wyłączenia

Brak progu. Obowiązki tajemnicy zawodowej mają zastosowanie niezależnie od wielkości firmy.

Co musi być na etykiecie

Nie fizyczny. Przedstawiciel w informacji o prywatności i w warunkach przetwarzania, wraz z informacjami o lokalizacji danych i podwykonawcach, które firma potrzebuje do swoich własnych obowiązków zawodowych.

Pola na platformach

Izby adwokackie i organy zawodowe w kilku państwach członkowskich wydały wytyczne ograniczające przechowywanie plików klientów w chmurze poza Unią, co funkcjonuje jako warunek dostępu do rynku.

Dokumentacja do przechowywania

Artykuł 30(2) rejestry, Artykuł 28 warunki dotyczące tajemnicy zawodowej i poufności wyraźnie, oznaczenie na podstawie Artykułu 27, lista podwykonawców z prawami powiadomienia, ocena wpływu na transfer, dokumentacja dotycząca szyfrowania i kontroli dostępu oraz prawa audytowe.

Normy i badania

Certyfikaty bezpieczeństwa i testy penetracyjne są oczekiwane przez profesjonalnych nabywców, a niektóre izby adwokackie wymagają konkretnych zapewnień dotyczących dostępu z krajów trzecich.

Wymogi językowe

Dokumentacja w języku jurysdykcji firmy.

Od kiedy obowiązuje

Przedstawiciel przed rozpoczęciem przetwarzania.

Jak długo przechowywać

Przechowywanie plików klientów podlega zasadom zawodowym, często przez dziesięć lat lub dłużej, co warunki przetwarzania muszą uwzględniać, a nie uchylać.

Co grozi za brak zgodności

Kary finansowe RODO oraz osobno sankcje zawodowe przeciwko firmie za naruszenie tajemnicy, co sprawia, że firmy są niezwykle ostrożne w zakupach.

Kto egzekwuje

Organy ochrony danych i organy regulacyjne zawodów.

Gdzie przebiega granica

Tajemnica zawodowa nie jest tym samym co ochrona danych i może być bardziej rygorystyczna: niektóre izby adwokackie zabraniają przechowywania plików klientów tam, gdzie zagraniczny organ mógłby wymusić ujawnienie, co żaden kontrakt przetwarzania nie może naprawić.

Najczęstsze pytania

Czy tajemnica zawodowa jest objęta naszą umową o przetwarzaniu?

Nie automatycznie. Jest to osobny obowiązek firmy na mocy prawa krajowego, a warunki muszą wyraźnie odnosić się do poufności i dostępu.

Czy hosting w UE spełnia wytyczne izby adwokackiej?

Często jest to konieczne, ale niewystarczające, ponieważ obawą jest wymuszony dostęp przez organy w jurysdykcji dostawcy.