Firma zleca obsługę systemu księgowego zewnętrznej spółce informatycznej, przekazując jej dostęp do bazy danych pracowników i klientów, ale nikt po stronie zamawiającego nie sprawdza, czy umowa zawiera odpowiednie zapisy dotyczące przetwarzania tych informacji. Taki brak ujawnia się zwykle dopiero podczas kontroli albo w momencie, gdy dochodzi do incydentu po stronie dostawcy usługi. Ochrona danych osobowych obejmuje bowiem nie tylko relację firmy z klientem, ale też każdą sytuację, w której dane trafiają do podmiotu zewnętrznego działającego na zlecenie administratora. Ten artykuł wyjaśnia, czym jest umowa powierzenia przetwarzania danych oraz jakich elementów nie powinno w niej zabraknąć.
Czym różni się powierzenie przetwarzania od udostępnienia danych?
Wielu przedsiębiorców myli powierzenie przetwarzania danych z ich zwykłym udostępnieniem innemu podmiotowi, choć konsekwencje prawne obu sytuacji są zupełnie inne. Przy powierzeniu podmiot przetwarzający działa wyłącznie na polecenie administratora i w zakresie przez niego wyznaczonym, natomiast przy udostępnieniu odbiorca danych staje się samodzielnym administratorem i sam decyduje o celach ich przetwarzania.
Powierzenie przetwarzania danych osobowych wymaga zawarcia pisemnej umowy określającej cel, zakres, czas trwania oraz obowiązki podmiotu przetwarzającego wobec administratora. Brak takiej umowy, nawet jeśli faktyczna współpraca przebiega prawidłowo, stanowi naruszenie przepisów, które może zostać wykryte podczas kontroli organu nadzorczego.
Jakie elementy musi zawierać umowa powierzenia?
Treść umowy powierzenia przetwarzania danych osobowych nie jest dowolna, ponieważ przepisy precyzują minimalny zakres postanowień, które powinny się w niej znaleźć. Poniższa lista przedstawia elementy, których brak najczęściej ujawnia się podczas audytów zgodności:
- określenie przedmiotu, czasu trwania oraz celu przetwarzania danych przez podmiot przetwarzający;
- wskazanie rodzaju danych osobowych oraz kategorii osób, których dane dotyczą;
- obowiązek zachowania poufności przez osoby upoważnione do przetwarzania danych;
- zasady zgłaszania administratorowi naruszeń ochrony danych wykrytych przez podmiot przetwarzający;
- warunki korzystania z dalszych podwykonawców, jeśli podmiot przetwarzający planuje ich zaangażować.
Pominięcie choćby jednego z tych elementów sprawia, że umowa nie spełnia wymogów formalnych, nawet jeśli obie strony traktują współpracę w dobrej wierze.
Jak przebiega weryfikacja podmiotu przetwarzającego?
Administrator danych nie może ograniczyć się do podpisania umowy powierzenia i zapomnieć o dalszym nadzorze nad tym, jak podmiot przetwarzający faktycznie postępuje z powierzonymi danymi. Proces weryfikacji przebiega zwykle przez kilka etapów:
- Sprawdzenie, czy podmiot przetwarzający wdrożył odpowiednie środki techniczne i organizacyjne.
- Analiza referencji oraz dotychczasowego doświadczenia dostawcy w obsłudze podobnych danych.
- Zawarcie umowy powierzenia z pełnym zakresem wymaganych postanowień.
- Okresowa weryfikacja zgodności działania podmiotu przetwarzającego z zawartą umową.
- Reagowanie na zgłoszenia naruszeń przekazywane przez podmiot przetwarzający.
Firmy, które zlecają obsługę systemów informatycznych zewnętrznym dostawcom, powinny traktować weryfikację takiego podmiotu jako element stały, a nie jednorazową czynność wykonaną w momencie podpisania kontraktu.
Jakie ryzyka wiążą się z brakiem odpowiedniej umowy?
Brak umowy powierzenia albo jej niepełna treść naraża administratora danych na odpowiedzialność nawet wtedy, gdy to podmiot przetwarzający dopuścił się nieprawidłowości. Poniższa tabela pokazuje przykładowe sytuacje oraz to, kto zwykle ponosi konsekwencje.
| Rodzaj nieprawidłowości | Możliwa konsekwencja | Kto zwykle odpowiada |
|---|---|---|
| Brak umowy powierzenia mimo faktycznego przetwarzania danych | kara administracyjna dla obu stron | administrator i podmiot przetwarzający |
| Niepełna treść umowy powierzenia | zalecenie uzupełnienia, możliwa kara przy powtórnym naruszeniu | administrator danych |
| Naruszenie danych po stronie podwykonawcy bez zgłoszenia administratorowi | odpowiedzialność podmiotu przetwarzającego, ryzyko dla administratora | podmiot przetwarzający |
Warto pamiętać, że odpowiedzialność administratora nie kończy się w momencie przekazania danych podmiotowi zewnętrznemu, ponieważ to on pozostaje głównym adresatem obowiązków wynikających z przepisów.
Kiedy warto skonsultować umowy powierzenia z prawnikiem?
Kancelaria prawna RODO przydaje się firmom, które współpracują z wieloma podmiotami zewnętrznymi jednocześnie i chcą ujednolicić zasady przekazywania im danych. Kancelaria prawna ochrona danych osobowych zajmuje się wtedy zwykle przygotowaniem wzoru umowy powierzenia, audytem dotychczasowych kontraktów oraz oceną ryzyka związanego z konkretnymi dostawcami usług.
Wsparcie takiego zespołu bywa szczególnie przydatne przy współpracy z dostawcami zagranicznymi, gdzie dochodzą dodatkowe wymogi dotyczące transferu danych poza Europejski Obszar Gospodarczy. Firmy zainteresowane szerszym omówieniem zasad przetwarzania danych osobowych znajdą je pod tym linkiem.
Zrozumienie zasad rządzących powierzeniem przetwarzania danych osobowych przydaje się nie tylko dużym firmom korzystającym z rozbudowanej sieci podwykonawców, ale każdemu przedsiębiorcy, który zleca choćby jedną usługę obejmującą dostęp do danych klientów lub pracowników. Regularny przegląd zawartych umów oraz aktualizacja ich treści bywa równie istotny jak sam wybór odpowiedniego dostawcy usługi.
