Trasferimenti internazionali di dati iGaming: valutazione del fornitore

Cosa dovrebbe mostrare la mappa dei trasferimenti?

Identificare le entità esportatrici e riceventi, le categorie di dati, lo scopo, i paesi e le modalità di accesso. La Commissione Europea pubblica clausole contrattuali standard per i trasferimenti internazionali rilevanti ai sensi del GDPR.

Un operatore cipriota che utilizza un data center europeo potrebbe comunque avere supporto all’estero o accesso all’analisi. Chiedere ai fornitori di descrivere tali accordi in modo esplicito. Una dichiarazione secondo cui i dati sono “ospitati in Europa” non è sufficiente per mappare l’intera catena di elaborazione.

Come dovrebbe essere selezionato il meccanismo giuridico?

Valutare se una decisione di adeguatezza applicabile o un altro meccanismo consentito copre il trasferimento. Laddove vengano utilizzate clausole contrattuali standard, selezionare e completare l'accordo pertinente per le parti effettive e il trattamento.

Le clausole non sostituiscono la comprensione del trasferimento. Esaminare le circostanze, i requisiti applicabili e le eventuali garanzie supplementari necessarie. Evitare di firmare un allegato generico con descrizioni vuote dei dati e dei destinatari.

A quali domande dovrebbero rispondere i fornitori?

Utilizza le domande seguenti come richiesta di prova anziché considerare il punteggio del questionario come un'approvazione automatica.

• Quali persone giuridiche ricevono o accedono ai dati?
• Quali paesi e subresponsabili del trattamento sono coinvolti?
• Quali dati vengono trasferiti e per quale scopo?
• Su quale meccanismo di trasferimento si fa affidamento?
• Quali garanzie tecniche e organizzative si applicano?
• Come vengono comunicati i trasferimenti successivi e le modifiche?
• Come può l'operatore ottenere, restituire o cancellare i suoi record?

Quali garanzie pratiche dovrebbero essere prese in considerazione?

Considerare la minimizzazione, le restrizioni di accesso, la registrazione e la crittografia adeguata insieme all’accordo legale. La loro idoneità dipende dallo scopo e dall'architettura del trattamento.

Ad esempio, un team di supporto estero potrebbe aver bisogno di una visione diagnostica limitata piuttosto che di copie di documenti di identità. La riprogettazione dell’accesso può ridurre la portata del trasferimento. Non affermare che la crittografia risolva ogni problema senza esaminare chi può accedere alle chiavi e al testo in chiaro.

Quando è necessario aggiornare la valutazione?

Esaminare i cambiamenti nei destinatari, nei paesi, nei servizi, nei sub-responsabili e nella legislazione pertinente. Una mappa di trasferimento diventa inaffidabile se un fornitore modifica silenziosamente il proprio modello di supporto.

Conservare un registro del proprietario e della revisione per ogni disposizione materiale. Collega la valutazione all'approvvigionamento e alla gestione delle modifiche in modo che un nuovo fornitore non possa aggirarla. Laddove i fatti o la situazione giuridica siano incerti, registrare la questione aperta e risolverla prima di espandere l'accesso.