Księgowość, obsługa kadrowa, hosting, zewnętrzny serwis informatyczny, system rezerwacji czy platforma mailingowa – korzystanie z usług zewnętrznych firm często wiąże się z udostępnieniem danych osobowych.
Nie oznacza to jednak, że z każdym kontrahentem należy zawierać umowę powierzenia przetwarzania danych. Najpierw trzeba prawidłowo ustalić role stron.
Administrator czy podmiot przetwarzający?
Administratorem jest podmiot, który określa cele i sposoby przetwarzania danych. To administrator decyduje, po co dane są wykorzystywane, w jakim zakresie i jak długo będą przechowywane.
Podmiot przetwarzający, nazywany również procesorem, przetwarza dane w imieniu administratora, w zakresie określonym przez administratora i zgodnie z jego udokumentowanymi poleceniami.
Kiedy potrzebna jest umowa powierzenia?
Umowa powierzenia jest potrzebna wtedy, gdy firma zewnętrzna otrzymuje dostęp do danych i wykorzystuje je wyłącznie po to, aby świadczyć usługę na rzecz administratora.
Może to dotyczyć między innymi:
- biura rachunkowego prowadzącego kadry i płace,
- dostawcy systemu kadrowego lub medycznego,
- firmy świadczącej zdalne wsparcie informatyczne,
- dostawcy hostingu lub przestrzeni chmurowej,
- podmiotu przechowującego albo niszczącego dokumentację,
- firmy prowadzącej wysyłkę newslettera,
- zewnętrznego call center działającego według instrukcji klienta.
Samo podpisanie umowy i przekazanie danych innemu podmiotowi nie przesądza jednak o powierzeniu. Znaczenie ma rzeczywista rola kontrahenta.
Kiedy umowa powierzenia nie jest właściwa?
Nie zawiera się umowy powierzenia wyłącznie dlatego, że druga strona otrzymuje dane osobowe.
Jeżeli kontrahent wykorzystuje dane do własnych celów i samodzielnie decyduje o sposobie ich przetwarzania, może działać jako odrębny administrator. W określonych sytuacjach strony mogą również wspólnie ustalać cele i sposoby przetwarzania, co może prowadzić do współadministrowania.
Przykładem odrębnych administratorów mogą być – zależnie od konkretnych okoliczności – pracodawca i placówka medycyny pracy, bank, zakład ubezpieczeń albo kancelaria realizująca własne obowiązki zawodowe.
Nie należy więc podpisywać umowy powierzenia automatycznie. Najpierw trzeba przeanalizować, kto podejmuje decyzje dotyczące danych.
Co powinna zawierać umowa powierzenia?
Umowa powinna określać między innymi:
- przedmiot i czas trwania przetwarzania,
- charakter i cel przetwarzania,
- rodzaje danych osobowych,
- kategorie osób, których dane dotyczą,
- obowiązki i prawa administratora,
- zasady zachowania poufności,
- wymagane środki bezpieczeństwa,
- reguły korzystania z dalszych podmiotów przetwarzających,
- sposób pomocy administratorowi w realizacji praw osób,
- postępowanie w przypadku naruszenia,
- zasady usunięcia lub zwrotu danych po zakończeniu współpracy,
- możliwość przeprowadzenia audytu.
Wymagania dotyczące relacji między administratorem a procesorem wynikają przede wszystkim z art. 28 RODO.
Czy podpisanie umowy wystarczy?
Nie. Administrator powinien korzystać wyłącznie z usług podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
Przed rozpoczęciem współpracy warto zweryfikować między innymi:
- sposób zabezpieczania danych,
- lokalizację serwerów,
- zasady tworzenia kopii zapasowych,
- procedurę reagowania na incydenty,
- wykorzystywanie podwykonawców,
- możliwość zwrotu lub usunięcia danych,
- warunki przeprowadzenia kontroli.
Administrator powinien również monitorować współpracę, szczególnie gdy procesor przetwarza dane wrażliwe, duże zbiory danych lub korzysta z rozbudowanego łańcucha podwykonawców.
Najczęstsze błędy
Problemy pojawiają się najczęściej wtedy, gdy:
- umowa została podpisana bez wcześniejszego ustalenia ról,
- zastosowano przypadkowy, niedostosowany wzór,
- nie określono zakresu i celu przetwarzania,
- administrator nie wie, z jakich podwykonawców korzysta procesor,
- dane są przesyłane poza EOG bez przeprowadzenia odpowiedniej analizy,
- umowa nie odpowiada rzeczywistemu sposobowi świadczenia usługi,
- nikt nie weryfikuje procesora po podpisaniu dokumentów.
Potrzebujesz weryfikacji umów?
Pomagamy ustalać role stron, przygotowywać i opiniować umowy powierzenia, oceniać podmioty przetwarzające oraz porządkować rejestr zawartych umów.
Sprawdzimy, czy dokumenty odpowiadają rzeczywistemu modelowi współpracy i wymaganiom RODO.