Umowa powierzenia przetwarzania danych osobowych - co musi zawierać i kiedy jest wymagana
Umowa powierzenia przetwarzania danych osobowych to umowa, którą administrator zawiera z podmiotem przetwarzającym, gdy ten przetwarza dane w imieniu i na rzecz administratora. Wymóg wynika wprost z art. 28 RODO. To nie dobra praktyka, lecz obowiązek, a jego niedopełnienie jest odrębnym naruszeniem, zagrożonym wysoką karą administracyjną. W sektorze publicznym zamiast umowy może to być akt prawny podlegający prawu UE lub państwa członkowskiego.
Kiedy potrzebna jest umowa powierzenia
O konieczności zawarcia umowy decyduje rola podmiotu w procesie, a nie sam dostęp do danych. Podmiot przetwarzający działa w imieniu administratora, według jego poleceń i do celów, które wyznaczył administrator. Typowe przykłady to dostawca chmury lub systemu SaaS, firma hostingowa, biuro rachunkowe obsługujące płace, zewnętrzny serwis IT, firma archiwizująca dokumenty czy dostawca narzędzi do wysyłki mailingów. Umowy powierzenia nie zawiera się, gdy odbiorca sam decyduje o celach i sposobach przetwarzania. Jest wtedy odrębnym administratorem (jak bank realizujący przelew) albo współadministratorem w rozumieniu art. 26 RODO. Nie zawiera się jej także z podmiotami, które otrzymują dane na podstawie przepisów prawa, na przykład z organami podatkowymi, ZUS czy organami ścigania. To udostępnienie, a nie powierzenie. Role wynikają z faktycznego wpływu na przetwarzanie, nie z tytułu dokumentu. Podmiot, który zaczyna sam określać cele przetwarzania, staje się administratorem. Pracownicy administratora działają pod jego zwierzchnictwem na podstawie upoważnienia (art. 29), więc umowa powierzenia nie jest im potrzebna. Dane można przekazać dopiero po zawarciu umowy. Przekazanie przed podpisaniem oznacza przetwarzanie bez podstawy prawnej z art. 28.
Obowiązek wyboru procesora z gwarancjami
Zanim administrator zawrze umowę, musi ocenić, czy dostawca zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. W praktyce służy do tego kwestionariusz bezpieczeństwa, przegląd certyfikatów i referencji oraz analiza lokalizacji przetwarzania. Wynik oceny warto zachować, bo to dowód należytej staranności, a nie formalność poprzedzająca podpis.
Co musi zawierać umowa powierzenia
Zgodnie z art. 28 ust. 3 RODO umowa określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Ponadto zobowiązuje podmiot przetwarzający do: - przetwarzania danych wyłącznie na udokumentowane polecenie administratora, także w odniesieniu do transferów do państw trzecich; polecenie może być częścią umowy albo odrębnym dokumentem, byle dało się je wykazać, - zapewnienia zachowania poufności przez osoby upoważnione do przetwarzania danych, - wdrożenia środków bezpieczeństwa wymaganych art. 32, - przestrzegania warunków korzystania z usług kolejnych podmiotów przetwarzających, - pomocy w realizacji praw osób, których dane dotyczą, - pomocy w wypełnianiu obowiązków z art. 32-36, czyli bezpieczeństwa, zgłaszania naruszeń, oceny skutków i konsultacji z organem, - usunięcia lub zwrotu danych po zakończeniu usług, według wyboru administratora, wraz z usunięciem istniejących kopii, chyba że prawo nakazuje ich przechowywanie, - udostępnienia informacji potrzebnych do wykazania zgodności oraz umożliwienia audytów. Podmiot przetwarzający nie może wykorzystywać powierzonych danych do własnych celów, na przykład marketingowych, ani dopisywać ich do własnej bazy. Umowa musi mieć formę pisemną, w tym elektroniczną. Zamiast własnego wzoru strony mogą oprzeć się na standardowych klauzulach umownych z decyzji wykonawczej Komisji Europejskiej. EROD zaznacza, że umowa nie powinna ograniczać się do powtórzenia przepisów RODO. Ma konkretyzować, jak wymogi będą spełniane dla danego przetwarzania danych w konkretnych procesach.
Podprocesorzy i transfery poza EOG
Podmiot przetwarzający nie może korzystać z usług kolejnego podmiotu bez uprzedniej, szczególnej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej musi informować o planowanych zmianach, a administrator ma prawo się im sprzeciwić. Typowy przykład to biuro rachunkowe, które korzysta z zewnętrznego dostawcy oprogramowania. Obowiązki z umowy trzeba przenieść na podprocesora, a pierwotny procesor odpowiada wobec administratora za ich egzekwowanie. W praktyce oznacza to listę podprocesorów w załączniku, termin na zgłoszenie sprzeciwu i wskazanie lokalizacji przetwarzania. Jeśli któryś element łańcucha działa poza EOG, dochodzą wymogi rozdziału V RODO, które opisujemy w artykule o transferze danych poza EOG.
Najczęstsze błędy w umowach powierzenia
Wzór z internetu bez opisu rzeczywistego przetwarzania. Brakuje kategorii danych, kategorii osób i czasu trwania. Umowy, której nie da się odnieść do konkretnej usługi, trudno bronić w kontroli. Brak terminu na zgłoszenie naruszenia. RODO wymaga od procesora powiadomienia administratora „bez zbędnej zwłoki”. Konkretny termin, na przykład 24 godziny, jest rozwiązaniem praktycznym, a nie wymogiem ustawowym, ale bez niego administrator nie ma jak skutecznie egzekwować szybkiego zawiadomienia przez procesora. Zależy od niej jego własny termin zgłoszenia do organu nadzorczego. Jak zegary naruszeń mają się do siebie, wyjaśniamy w tekście o incydencie bezpieczeństwa i naruszeniu ochrony danych. Audyt tylko z nazwy. RODO wymaga umożliwienia audytów, w tym inspekcji. Raport przygotowany przez dostawcę lub certyfikat mogą być materiałem dowodowym, ale nie zastępują prawa kontroli zapisanego w umowie. Warto też uzgodnić, z jakim wyprzedzeniem administrator zapowiada kontrolę. Nieuregulowany koniec współpracy. Umowa powierzenia powinna wskazywać, kto, w jakim terminie i w jakiej formie zwraca lub usuwa dane oraz jak to potwierdza. Umowa podpisana i zapomniana. Nowa funkcja usługi, nowy podprocesor czy dodatkowa kategoria danych nie są uwzględnione w umowie ani w rejestrze czynności przetwarzania.
Konsekwencje braku lub wadliwej umowy
Naruszenie obowiązków z art. 28 RODO podlega administracyjnej karze pieniężnej na podstawie RODO: do 10 mln euro lub do 2% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Kara może dotknąć zarówno administratora, jak i procesora. Brak umowy bywa też dowodem na brak rozliczalności z art. 5 RODO. Organ nadzorczy ocenia rzeczywisty przebieg i warunki przetwarzania, a nie nazwę usługi w umowie głównej. Administrator, który uznaje, że w danej relacji powierzenia nie ma, powinien mieć udokumentowaną analizę ról.
Umowa na papierze a dane w systemach
Usunięcie danych lub ich zwrot to zobowiązanie, które najłatwiej złożyć i najtrudniej wykonać. Aby po zakończeniu współpracy zwrócić lub usunąć dane, trzeba wiedzieć, w których systemach się znajdują, także w kopiach, logach i środowiskach pobocznych. To ta sama rozbieżność między deklaracją a stanem faktycznym, którą opisujemy w artykule o retencji danych i shadow data. Tu wchodzi z pomocą warstwa narzędziowa. Detecto wskazuje, w których tabelach i kolumnach baz danych znajdują się dane osobowe, a Revelio robi to samo w dokumentach i repozytoriach plików. Natomiast Oblivio wykonuje usunięcie lub anonimizację według reguł retencji i prowadzi dziennik operacji, który stanowi dowód realizacji obowiązku.