Aplikacja na telefonie rozmawia z serwerem, który zbudowałeś. W rozumieniu aktu o cyberodporności ten serwer nie jest osobnym bytem, który można zignorować. Jest częścią produktu. Sztandarowym przykładem zdalnego przetwarzania danych w samym rozporządzeniu jest aplikacja mobilna sięgająca po API lub bazę danych dostarczaną w formie usługi przez producenta. Backend stojący za aplikacją nie jest więc sąsiadem produktu. Jest w jego wnętrzu.
Ta strona podaje test, a następnie porządkuje każdy backend, z którym rozmawia typowa aplikacja, w trzy kategorie: rozwiązanie zdalnego przetwarzania danych, komponent oraz pozostające poza zakresem. Test podsumowaliśmy w omówieniu wytycznych Komisji z marca 2026 r.. To jest wersja przepracowana krok po kroku dla każdego, kto dostarcza aplikację mobilną, API lub backend chmurowy.
Podsumowanie
- Zdalne przetwarzanie danych jest częścią produktu. CRA traktuje produkt podłączony jako urządzenie lub aplikację plus zbudowany przez Ciebie backend, którego ono potrzebuje, aby działać. Rozwiązanie zdalnego przetwarzania danych skraca się do RDPS i ta strona używa tego skrótu.
- Jeden test, trzy warunki naraz. Backend jest zdalnym przetwarzaniem danych, gdy działa na odległość, produkt potrzebuje go do wykonywania funkcji, a Ty go zbudowałeś lub został zbudowany na Twoją odpowiedzialność. Brak choćby jednego z tych trzech warunków oznacza, że nim nie jest.
- Wzorcowy przykład to aplikacja i jej API. Sztandarowy przypadek w samym rozporządzeniu to aplikacja mobilna sięgająca po API lub bazę danych prowadzoną przez zbudowaną przez Ciebie usługę.
- Trzy kategorie i nic poza nimi. Każdy backend, z którym łączy się aplikacja, jest albo rozwiązaniem zdalnego przetwarzania danych, albo komponentem, albo pozostaje poza zakresem.
- Gotowy SaaS to nie RDPS, ale wciąż jest Twoim zmartwieniem. Usługa, którą jedynie licencjonujesz, jest komponentem. Nadal oceniasz ryzyko integracji i prowadzisz wobec niej należytą staranność wobec dostawcy.
- Sieć 5G jest całkowicie poza zakresem. Sieć komórkowa to środek zapewniający łączność, jak router czy sygnał Wi-Fi. Wobec operatora nie masz żadnych obowiązków należytej staranności.
- Twój CI/CD i CRM są poza zakresem. CRA nie reguluje całości sieci firmowej. Wewnętrzne potoki, lista płac i infrastruktura red team pozostają na zewnątrz.
Zdalne przetwarzanie danych w czterech liczbach: warunki, które sprawdzasz, dwa pytania, które rozstrzygają, kategorie, w jakich może wylądować zależność, oraz przykład, od którego prowadzi rozporządzenie.
Co właściwie oznacza zdalne przetwarzanie danych
Rozporządzenie sprowadza to do jednej idei, a trzy warunki muszą zachodzić jednocześnie. Dane muszą być przetwarzane gdzieś poza własnym urządzeniem użytkownika. Produkt musi potrzebować tego przetwarzania do wykonania jednego ze swoich zadań. A Ty musisz zbudować usługę lub zlecić jej zbudowanie na swoją odpowiedzialność. Spełnij wszystkie trzy, a masz rozwiązanie zdalnego przetwarzania danych. Pomiń jeden, a nie masz.
Rozłóż te trzy warunki osobno, bo każdy z nich potyka inny zespół.
- Przetwarzane na odległość. Przetwarzanie odbywa się poza urządzeniem lub środowiskiem użytkownika. Może siedzieć na brzegu sieci, na łączu przewodowym lub bezprzewodowym. Aplikacja mobilna sięgająca po funkcję chmurową jest częścią przetwarzania, które zachodzi w chmurze.
- Potrzebne do funkcji. Bez tej usługi produkt nie wykona jednego ze swoich zadań. Rozporządzenie używa słowa funkcje, nie kluczowe cechy, i to ma znaczenie. Kolejna sekcja rozkłada, jak szerokie to jest pojęcie.
- Zbudowane przez lub dla Ciebie. Zaprojektowałeś i opracowałeś usługę albo dostawca zbudował ją na Twoją odpowiedzialność. Wynajem miejsca, na którym usługa działa, nie zmienia odpowiedzi.
Dwie kwestie zaskakują zespoły, zanim w ogóle zaczną sortowanie:
- To Twoje oprogramowanie, nie sprzęt, na którym działa. Rozwiązaniem zdalnego przetwarzania danych jest kod, który zbudowałeś i uruchamiasz na odległość. Hipernadzorca lub środowisko uruchomieniowe dostawcy pod spodem to komponent, a fizyczny sprzęt, na którym to wszystko stoi, to środowisko produktu. Żadne z nich nie jest Twoim rozwiązaniem zdalnego przetwarzania danych, a ryzyko z obu oceniasz.
- Nie musi to być chmura publiczna. Rozwiązanie zdalnego przetwarzania danych może działać na Twoich własnych serwerach lokalnych lub w chmurze prywatnej we własnej siedzibie. Testem jest projekt, opracowanie i konieczność, a nie miejsce, w którym fizycznie stoi maszyna.
Trzy pytania
Przepuść każdy backend, od którego zależy aplikacja, przez trzy pytania w kolejności. Każda ścieżka prowadzi do jednej z trzech kategorii.
Pierwsze pytanie odfiltrowuje wszystko, co nigdy nie opuszcza urządzenia. Kolejne dwa to para rozstrzygająca i oba muszą dać tak. Trzy rzeczy warto ustalić, zanim zaczniesz:
- Funkcje to więcej niż kluczowe cechy. Pojęcie obejmuje wszystko, co wspiera działanie produktu, nie tylko sztandarową cechę. Wysyłanie poleceń do urządzenia, synchronizacja plików, onboarding użytkownika, konfiguracja i personalizacja, otrzymywanie aktualizacji wraz z poprawkami bezpieczeństwa oraz logowanie użytkowników, wszystko to liczy się jako funkcje. Jeżeli backend jest potrzebny do choćby jednej z nich, odpowiedź na drugie pytanie brzmi tak.
- Ręczny wariant zapasowy nie zwalnia Cię z obowiązku. Żarówka, którą można włączyć przez aplikację albo fizycznym przełącznikiem, nadal jest rozwiązaniem zdalnego przetwarzania danych dla ścieżki zdalnej. Opcja ręczna nie wyłącza funkcji z zakresu.
- Zbudowane przez lub dla Ciebie to nie kto to prowadzi. Możesz przekazać prowadzenie usługi osobie trzeciej i pozostać odpowiedzialny. Na Twoją odpowiedzialność oznacza wykonane na zamówienie, zbudowane na Twoje zlecenie według Twojej specyfikacji oraz posiadane na własność, a nie licencjonowane. Licencjonowanie istniejącego produktu lub jego lekko zmodyfikowanej wersji nie jest zbudowaniem przez lub dla Ciebie.
Przypadek wzorcowy: Twoja aplikacja, Twoje API, Twoja baza danych
Zacznij od przypadku, którego rozporządzenie używa jako własnego przykładu. Aplikacja mobilna potrzebuje API lub bazy danych, a to API lub baza danych działa w zbudowanej przez Ciebie usłudze. W takim przypadku usługa jest rozwiązaniem zdalnego przetwarzania danych, kropka. To obraz, na którym buduje reszta strony.
Przeprowadź aplikację do notatek przez trzy pytania. Aplikacja synchronizuje pliki przez Twoje REST API i Twoją bazę danych. Przetwarzane na odległość, tak. Potrzebne do funkcji, tak, bo synchronizacja plików jest funkcją. Zbudowane przez lub dla Ciebie, tak, bo zaprojektowałeś API i schemat bazy danych. Trzy razy tak. Twoje API i Twoja baza danych są rozwiązaniem zdalnego przetwarzania danych. Mieszczą się w zakresie oceny zgodności produktu.
Platforma chmurowa pod spodem to inne pytanie. Jeżeli wynajmujesz infrastrukturę i wdrażasz na niej własny kod, wynajmowana platforma nie jest rozwiązaniem zdalnego przetwarzania danych. Twój kod nim jest. IaaS pod spodem to komponent. Dokumentujesz tę zależność, oceniasz ryzyko integracji i możesz poprosić dostawcę o dowody dotyczące bezpieczeństwa.
Trzy kategorie w skrócie
Każda zależność trafia dokładnie do jednej kategorii. Oba pytania rozstrzygające na tak to rozwiązanie zdalnego przetwarzania danych. Potrzebne do funkcji, ale nie na Twoją odpowiedzialność, to komponent. Niepotrzebne do funkcji to poza zakresem, a Ty sprawdzasz ryzyko, które mimo to wnosi.
| Kategoria | Kiedy ma zastosowanie | Znaczenie | Co musisz zrobić |
|---|---|---|---|
| Rozwiązanie zdalnego przetwarzania danych | na odległość, potrzebne do funkcji oraz zbudowane przez lub dla Ciebie | Część samego produktu | Spełnij zasadnicze wymagania z Załącznika I. Włącz je do oceny ryzyka produktu. Ujmij je w deklaracji zgodności UE i dokumentacji technicznej. Obsługuj i zgłaszaj podatności przez cały okres wsparcia |
| Komponent | na odległość i potrzebne do funkcji, ale nie zbudowane przez lub dla Ciebie | Element osoby trzeciej, na którym opiera się produkt | Oceń ryzyko integracji. Ogranicz je na poziomie produktu, przez uwierzytelnianie, kontrolę integralności, izolację i weryfikację odpowiedzi. Prowadź należytą staranność wobec dostawcy i zapisz gwarancje bezpieczeństwa w SLA. Wykorzystaj ponownie dowody, które dostawca już posiada, takie jak oznakowanie CE, certyfikat ISO/IEC 27001 lub 27017, europejski certyfikat cyberbezpieczeństwa, dowody obowiązków dostawcy z NIS2 lub jego obowiązków z DORA, gdy mają zastosowanie |
| Poza zakresem | niepotrzebne do funkcji lub czysta łączność | Ani rozwiązanie zdalnego przetwarzania danych, ani komponent | Brak obowiązku zgodności i obowiązku komponentowego. Nadal oceniasz każde ryzyko, które wnosi komunikacja. Czysta łączność, jak sieć komórkowa, Wi-Fi czy router, to jedyny przypadek, w którym wobec dostawcy nie masz żadnych obowiązków |
Nasze zdanie: W praktyce test rzadko upada na pierwszych dwóch pytaniach. Niemal wszystko, z czym rozmawia aplikacja, działa na odległość i jest do czegoś potrzebne. Odpowiedź rozstrzyga trzecie pytanie, własność, i to tam widzimy, jak zespoły się potykają. Jeżeli usługa została zbudowana dla Ciebie i masz ją na własność, traktuj ją jako objętą zakresem i idź dalej. Kosztowny błąd, który wciąż widzimy, to wpisywanie szytego na miarę backendu pod komponent, bo akurat prowadzi go zewnętrzny dostawca.
Przykłady praktyczne
Projekt wytycznych przeprowadza rozumowanie przez zestaw fikcyjnych, archetypowych produktów, a galeria poniżej to odwzorowuje. Tam, gdzie nazywa rzeczywistą kategorię technologii, klasyfikuje typowy wzorzec. Odpowiedź zależy od tego, jak korzystasz z danej rzeczy, zbudowane samodzielnie kontra licencjonowane gotowe, nigdy zaś nie jest prawnym werdyktem o konkretnym dostawcy.
A. Twój własny backend synchronizacji
Produkt: aplikacja do notatek lub produktywności. Aplikacja łączy się z Twoim REST API i Twoją bazą danych na wynajętej infrastrukturze. Przetwarzane na odległość, tak. Potrzebne do funkcji, tak, synchronizacja plików. Zbudowane przez lub dla Ciebie, tak. To rozwiązanie zdalnego przetwarzania danych. Wynajęta infrastruktura pod spodem jest komponentem. To przypadek wzorcowy z sekcji powyżej.
B. Aplikacja towarzysząca smart home
Produkt: termostat lub żarówka i jej aplikacja towarzysząca. Aplikacja rozmawia z Twoim backendem chmurowym, który zbudowałeś i uruchamiasz na infrastrukturze osoby trzeciej. Urządzenie działa też dzięki ręcznemu przełącznikowi. Przetwarzane na odległość, tak. Potrzebne do funkcji, tak, wysyłanie poleceń do urządzenia, a ręczny wariant zapasowy tego nie zmienia. Zbudowane przez lub dla Ciebie, tak. To rozwiązanie zdalnego przetwarzania danych. Infrastruktura pod spodem jest komponentem. Rozporządzenie potwierdza, że sterowanie chmurowe producenta smart home mieści się w zakresie.
C. Aplikacja bankowa, przypadek wszystkich trzech kategorii
Produkt: aplikacja bankowa. Jedna aplikacja, cztery zależności, trzy kategorie.
- Twoja warstwa API hostowana we własnym zakresie to rozwiązanie zdalnego przetwarzania danych. Zbudowałeś ją, aplikacja jej potrzebuje, działa na odległość.
- Systemy konta i księgi, których aplikacja nigdy nie dotyka bezpośrednio, są poza zakresem, jako zewnętrzna zależność. Nadal podlegają ocenie ryzyka. Stosujesz silne uwierzytelnianie interfejsów backendowych, ochronę integralności i weryfikację odpowiedzi.
- Zewnętrzny SaaS czatu wsparcia to komponent. Izolujesz go od rdzenia przepływu bankowego, weryfikujesz treść, którą zwraca, i prowadzisz należytą staranność.
- Twój kod powiadomień push na zewnętrznym PaaS to rozwiązanie zdalnego przetwarzania danych. Sama platforma PaaS to komponent. Twój kod to oprogramowanie, które zaprojektowałeś. Platforma to wynajęta warstwa pod spodem.
D. Tożsamość i logowanie
Produkt: dowolna aplikacja. Logowanie użytkowników jest funkcją, więc tożsamość wchodzi do gry.
- Twoja własna usługa uwierzytelniania wydająca tokeny to rozwiązanie zdalnego przetwarzania danych. Zbudowałeś ją, aplikacja jej potrzebuje, aby logować użytkowników.
- Zewnętrzny dostawca tożsamości, którego jedynie licencjonujesz w wersji gotowej, to komponent, a nie rozwiązanie zdalnego przetwarzania danych. Oceniasz ryzyko integracji i prowadzisz należytą staranność.
- Dostawca budujący usługę tożsamości szytą na miarę wyłącznie dla Ciebie, posiadaną przez Ciebie, wraca z powrotem do rozwiązania zdalnego przetwarzania danych. Ten sam dostawca, inna umowa, inna odpowiedź.
E. Gotowy magazyn SaaS
Produkt: aplikacja medialna lub czytnik e-booków przechowujący zakupione treści w generycznym magazynie SaaS osoby trzeciej. Przetwarzane na odległość, tak. Potrzebne do funkcji, tak. Zbudowane przez lub dla Ciebie, nie, bo licencjonowałeś istniejący gotowy produkt. To komponent, a nie rozwiązanie zdalnego przetwarzania danych. Zabezpieczasz uwierzytelnianie, szyfrowanie i integralność komunikacji oraz prowadzisz należytą staranność. Porównaj to z przykładem A. To samo zadanie, przechowywanie plików, trafia do innej kategorii ze względu na to, kto zbudował usługę.
F. Funkcja AI i LLM
Produkt: aplikacja z funkcją AI.
- Twój własny model lub usługa wnioskowania, którą zbudowałeś i uruchamiasz na infrastrukturze osoby trzeciej, to rozwiązanie zdalnego przetwarzania danych.
- Zewnętrzne API modelu, które jedynie licencjonujesz w wersji gotowej, to komponent, a nie rozwiązanie zdalnego przetwarzania danych. Oceniasz ryzyko integracji i prowadzisz należytą staranność.
- Dane wysyłane wyłącznie do trenowania modelu lub do statystyk, niepotrzebne do funkcji produktu, prawdopodobnie pozostają poza zakresem. Nadal oceniasz każde ryzyko, które dodaje ta komunikacja.
G. Zestaw poza zakresem
Poza zakresem to nie jedna rzecz. Ma dwie podstrefy, a one niosą różną pracę.
- Nic do dostawcy. Sieć 5G lub komórkowa, Wi-Fi użytkownika i router to środki zapewniające łączność. Nie są rozwiązaniem zdalnego przetwarzania danych ani komponentem. Wobec operatora nie masz żadnych obowiązków należytej staranności.
- Nie rozwiązanie zdalnego przetwarzania danych, ale wciąż sprawdzasz ryzyko. Telemetria awarii lub użytkowania zbierana wyłącznie do statystyk lub przyszłego rozwoju produktu nie jest rozwiązaniem zdalnego przetwarzania danych, ale oceniasz każde ryzyko komunikacji, które dodaje. Strona marketingowa lub centrum pomocy, do których aplikacja jedynie odsyła, również nie są rozwiązaniem zdalnego przetwarzania danych.
- Twoja własna sieć. Wewnętrzny CRM, HR, lista płac, potoki CI/CD, wewnętrzna dystrybucja aktualizacji do lokalizacji brzegowych oraz infrastruktura testów penetracyjnych lub red team nie są rozwiązaniem zdalnego przetwarzania danych. CRA nie reguluje całości sieci firmowej.
Do czego zobowiązuje Cię każda kategoria
Kategoria to nie etykieta. Ustala pracę.
Granica przesuwa się wraz z modelem chmury. Na wynajętej infrastrukturze oprogramowanie, które wdrażasz, może być rozwiązaniem zdalnego przetwarzania danych, hipernadzorca dostawcy pod spodem jest komponentem, a fizyczny sprzęt to środowisko produktu. Na wynajętej platformie kod Twojej aplikacji może być rozwiązaniem zdalnego przetwarzania danych, a platforma uruchomieniowa jest komponentem. Gotowa aplikacja SaaS jest komponentem, a nie rozwiązaniem zdalnego przetwarzania danych.
Rozwiązanie zdalnego przetwarzania danych. Jest wewnątrz produktu. Spełniasz zasadnicze wymagania z Załącznika I, włączasz je do oceny ryzyka produktu, ujmujesz je w deklaracji zgodności UE i dokumentacji technicznej oraz obsługujesz i zgłaszasz podatności przez cały okres wsparcia.
Komponent. To element osoby trzeciej, na którym opiera się produkt. Oceniasz ryzyko integracji i ograniczasz je na poziomie produktu, przez uwierzytelnianie, kontrolę integralności, izolację i weryfikację odpowiedzi. Prowadzisz należytą staranność wobec dostawcy i zapisujesz gwarancje bezpieczeństwa w SLA. Możesz wykorzystać ponownie dowody, które dostawca już posiada, takie jak oznakowanie CE, certyfikat ISO/IEC 27001 lub 27017, europejski certyfikat cyberbezpieczeństwa, dowody obowiązków dostawcy z NIS2 lub jego obowiązków z DORA, gdy mają zastosowanie. Zmiana własnej usługi przez zewnętrznego dostawcę nie jest istotną modyfikacją Twojego produktu.
Poza zakresem. Brak obowiązku zgodności i obowiązku komponentowego. Nadal oceniasz każde ryzyko, które wnosi komunikacja, z wyjątkiem przypadku łączności, gdzie wobec dostawcy nie masz żadnych obowiązków.
Wpisz rozwiązania zdalnego przetwarzania danych oraz korzystanie z usług osób trzecich do dokumentacji technicznej. Ocena ryzyka obejmuje rozwiązania zdalnego przetwarzania danych, korzystanie z usług osób trzecich oraz środowisko produktu.
Nie musisz przeprowadzać całego backendu przez ocenę zgodności. CRA sięga tylko po te części Twoich systemów, które przechowują lub przetwarzają dane potrzebne funkcji produktu. Oddzielenie tych części od reszty, tak jak aplikacja bankowa trzyma księgę osobno od API, zawęża to, co wpada do oceny. A jeżeli jeden backend obsługuje kilka produktów, zadeklaruj go w dokumentacji technicznej każdego z nich. Tę dokumentację możesz wykorzystać ponownie z oceny jednego produktu w kolejnej.
Częste błędy
- Traktowanie całej chmury jako objętej zakresem. CRA nie sięga po całość sieci firmowej. Twój CI/CD, CRM, HR i lista płac są poza zakresem.
- Zakładanie, że rozstrzyga kto to prowadzi. Prowadzenie nie jest testem. Testem są projekt, opracowanie i własność.
- Zapominanie, że komponenty wciąż wymagają pracy. Poza zakresem oceny zgodności to nie poza obowiązkami. Komponent wymaga oceny ryzyka integracji, środków ograniczających na poziomie produktu i należytej staranności wobec dostawcy.
- Myślenie, że telemetria wciąga Cię w zakres. Telemetria wyłącznie statystyczna nie jest rozwiązaniem zdalnego przetwarzania danych. Nadal dostaje sprawdzenie ryzyka komunikacji, ale nie jest częścią produktu.
- Mylenie aktualizacji produktu z wewnętrzną dystrybucją aktualizacji. Produkt otrzymujący aktualizacje wraz z poprawkami bezpieczeństwa to funkcja, więc zbudowana przez Ciebie usługa dostarczania aktualizacji może być rozwiązaniem zdalnego przetwarzania danych. Wewnętrzna dystrybucja tych aktualizacji po Twoich własnych lokalizacjach brzegowych to infrastruktura wewnętrzna i jest poza zakresem.
Najczęściej zadawane pytania
Czy własne REST API mojej aplikacji mieści się w zakresie CRA?
Tak, jeżeli je zbudowałeś, a aplikacja potrzebuje go do wykonywania funkcji. Własny przykład rozporządzenia to aplikacja mobilna sięgająca po API lub bazę danych prowadzoną przez zbudowaną przez producenta usługę, co umieszcza Twoje API w zakresie oceny zgodności produktu. Platforma chmurowa, na której je uruchamiasz, to odrębne pytanie i jest traktowana jako komponent.
Jeżeli hostuję backend w zewnętrznej chmurze, czy chmura czyni z całego stosu rozwiązanie zdalnego przetwarzania danych?
Nie. Rozwiązaniem zdalnego przetwarzania danych jest oprogramowanie, które zaprojektowałeś i opracowałeś, a nie platforma pod spodem. Ta platforma należy do dostawcy, nie do Ciebie, więc wynajęta infrastruktura jest komponentem. Oceniasz ryzyko integracji i prowadzisz należytą staranność wobec dostawcy.
Czy zewnętrzny dostawca logowania to rozwiązanie zdalnego przetwarzania danych?
Zależy od tego, jak go używasz. Zewnętrzny dostawca tożsamości, którego licencjonujesz w wersji gotowej, to komponent, a nie rozwiązanie zdalnego przetwarzania danych, choć logowanie użytkowników jest funkcją. Jeżeli zaś dostawca buduje usługę tożsamości szytą na miarę wyłącznie dla Ciebie, a Ty masz ją na własność, wraca ona do rozwiązania zdalnego przetwarzania danych. Ten sam dostawca, inna umowa, inna odpowiedź.
Czy CRA obejmuje mój wewnętrzny potok CI/CD i CRM?
Nie. CRA nie reguluje całości sieci i systemów informatycznych firmy. Wewnętrzny CRM, lista płac, potoki CI/CD, wewnętrzna dystrybucja aktualizacji do lokalizacji brzegowych oraz testy penetracyjne i red team pozostają na zewnątrz. To Twoja własna sieć, a nie rozwiązanie zdalnego przetwarzania danych, od którego zależy produkt.
Czy sieć komórkowa, po której działa moja aplikacja, mieści się w zakresie?
Nie. Sieć 5G lub komórkowa to środek zapewniający łączność, jak router, kabel Ethernet czy sygnał Wi-Fi. Nie jest ani rozwiązaniem zdalnego przetwarzania danych, ani komponentem, a wobec operatora sieci nie masz żadnych obowiązków należytej staranności. To jedyny przypadek poza zakresem, który nie niesie obowiązku wobec dostawcy.
Jaka jest różnica między rozwiązaniem zdalnego przetwarzania danych a komponentem?
Oba mogą działać na odległość i oba mogą być potrzebne do funkcji. Różnica polega na tym, kto zbudował usługę. Rozwiązanie zdalnego przetwarzania danych projektujesz i opracowujesz Ty lub jest budowane na Twoją odpowiedzialność, więc mieści się w zakresie oceny zgodności produktu. Komponent to element osoby trzeciej, który licencjonujesz, więc pozostaje poza zgodnością, ale nadal wymaga oceny ryzyka integracji, środków ograniczających na poziomie produktu i należytej staranności. Zobacz Czym jest produkt z elementami cyfrowymi, aby zobaczyć, gdzie zdalne przetwarzanie danych mieści się w szerszym teście zakresu.
Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Przykłady praktyczne podążają za projektem wytycznych Komisji Europejskiej, Komunikatem Ares(2026)2319816 z 3 marca 2026 r., którego konsultacje zakończyły się 13 kwietnia 2026 r. i który nie został jeszcze formalnie przyjęty. W celu uzyskania szczegółowych wskazówek dotyczących zgodności należy skonsultować się z wykwalifikowanym doradcą prawnym.