drhoho skrev:Det kan godt være at tech firmaers gdpr ikke kan holde til nærsyn, men som forening vil jeg mene at man kan melde sig under "I god tro" fanen. Når jeg Googler/læser vejledninger i gdpr for foreninger, så er der masser af vejledninger som anbefaler en løsning som Google Workspace. Hvis jeg kan læse det flere steder, så kan en dommer vel ikke forvente at jeg skal have større data behandlings kendskab end det.
Du siger at man også har en data behandler aftale på ens almindelige Google og MS konto. Hvordan finder man den? Jeg er ikke helt skarp i terminologien for aftaletyper.
Det er dit ansvar ift. GDPR at undersøge og dokumentere at du overholder reglerne. I den ligning er det ikke nok, at Google eller andre har sagt at deres løsning er compliant, hvis din behandling og aftalegrundlaget ikke lever op til GDPR. Du kan som dataansvarlig ikke dække dig ind bag "god tro" med mindre din databehandler har handlet i modstrid med aftalen, hvorved de selv bliver dataansvarlig.
Ift. databehandleraftale er det mig, der ikke har læst dig rigtigt. Jeg gætter på at du ret i, at du ikke får en databehandleraftale via terms på en almindelige (privat) konto hos google. Jeg har dog ikke ulejliget mig med at læse deres almindelige terms så jeg ved det selvsagt ikke.
Pointen er, at jeg stiller mig tvivlende over for, at en evt.databehandleraftale og ydelse du kan få ved at købe en erhvervsløsning hos Google er 100% compliant alligevel, så jeg synes du spilder kræfterne (og pengene) på at gå for meget op i det. Hvis du kan få en aftale hvor de garanterer at data aldrig forlader eller tilgås uden for EU/EØS, så er du langt, men det vil undre mig, hvis du kan det, da deres almindelige ydelser normalt betinger at de kan opbevare og tilgå data worldwide. Det kan man også under GDPR, hvis man ellers opfylder en række betingelser, men det er så det jeg stiller mig tvivlende overfor at de gør. Det er et stort åbent sår efter Schrems-dommen, hvorfor jeg gentager, at for en grundejerforening er energien altså bedre brugt andre steder. Hvordan vil du i øvrigt som grundejerforening føre tilsyn med din databehandler (google), hvilket også er et krav under GDPR. Det har selv store organisationer udfordringer med, så at en grundejerforening skulle kunne løfte den opgave på en kompetent måde er i mine øjne illusorisk.
Der findes mange danske og europæiske løsninger, men de har bare ikke Googles og andres funktionalitet og øvrige ting. Du kan jo vælge en af dem, hvis du føler dig mere tryg ved det, men personligt ville jeg være fløjtende ligeglad. Jeg havde bare redegjort for (til referat) over for bestyrelsen, at der er en vis risiko ved at bruge Google og taget dem i ed på beslutningen og derefter ikke skænket det en tanke.
Jeg har forøvrigt selv læst mig igennem aftalegrundlaget for MS produkter ifm. mit arbejde. Hvis du vil spilde dit liv på at gøre det uden løn, så løfter jeg på hatten ;D
