RODO wymaga od administratorów danych osobowych zawarcia umowy powierzenia przetwarzania danych osobowych, jeżeli powierzają oni dane osobowe do przetwarzania podmiotom trzecim, tzw. procesorom (podmiotom przetwarzającym). Przygotowanie takiej umowy jest stosunkowo nieskomplikowane, należy jednak pamiętać o poszczególnych elementach, wymaganych w takiej umowie.
Przykłady powierzenia przetwarzania danych osobowych
Kiedy może dojść do powierzenia przetwarzania? Przypadków może być wiele. Przykładowo może się tak wydarzyć w przypadku skorzystania z usług:
- księgowych lub rachunkowych;
- marketingowych;
- informatycznych;
- hostingowych;
- rekrutacyjnych (dot. zewnętrznej firmy rekrutacyjnej);
i wielu, wielu innych, ale wymienienie wszystkich jest niemożliwe. A jak już dojdzie do powierzenia należy zawrzeć umowę powierzenia przetwarzania danych osobowych (lub skorzystać z innego instrumentu prawnego- ale to już temat na inny artykuł).
Uwaga: Zwróćmy uwagę, że umowa powierzenia przetwarzania danych osobowych konieczna będzie wyłącznie wtedy, gdy w grę wchodzą dane osobowe. Może się zdarzyć sytuacja, gdy będziemy korzystać z usług zewnętrznej firmy, np. informatycznej, ale nie będzie miała ona dostępu do żadnych danych osobowych. W takim wypadku umowa powierzenia przetwarzania danych osobowych nie będzie potrzebna. Wydaje się to oczywiste, ale w praktyce klienci często chcą zawierać umowy powierzenia przetwarzania danych osobowych „na wyrost”, dlatego o tym wspominam.
Jakie elementy powinna mieć umowa powierzenia przetwarzania danych osobowych?
Wymagane postanowienia umowy powierzenia określone są w art. 28 RODO i są to:
- przedmiot przetwarzania
- czas trwania przetwarzania,
- charakter przetwarzania
- cel przetwarzania,
- rodzaj danych osobowych ,
- kategorie osób, których dane dotyczą,
- obowiązki i prawa administratora.
Przedmiot przetwarzania
Przedmiot przetwarzania określa się poprzez ogólne wskazanie, jakie dane będą powierzane i w związku z jaką współpracą lub umową główną.
Przykład:
Przedmiotem umowy powierzenia może być powierzenie danych osobowych w związku z realizacją usługi księgowej lub rachunkowej na rzecz Administratora. W takim wypadku Administrator powierzy dane osobowe swoich pracowników lub klientów Procesorowi. Bez powierzenia tych danych świadczenie usług byłoby niemożliwe (np. księgowa nie mogłaby przygotować rachunku).
Czas trwania przetwarzania
Czas trwania przetwarzania danych zazwyczaj należy określić na okres nie dłuższy niż czas obowiązywania umowy głównej. Można jednak czas jeszcze bardziej ograniczyć, w zależności od rodzaju współpracy Administratora i Procesora.
Charakter przetwarzania
Charakter przetwarzania może budzić wątpliwości interpretacyjne. Moim zdaniem charakter odnosi się do samej czynności przetwarzania danych i jej cech. Charakter przetwarzania może być wobec tego opisywany jako cykliczność, powtarzalność, skala przetwarzania (masowość, jednorazowość) i może się odnosić również do technicznych aspektów przetwarzania (np. za pośrednictwem systemów informatycznych, tradycyjnie- papierowo itp.).
Cel przetwarzania
Celem przetwarzania będzie zazwyczaj cel umowy głównej, w związku z tym, że przetwarzanie jest powiązane z tą umową. Przykładowo można wskazać, że celem przetwarzania danych w umowie z księgową będzie realizacja przez księgową zadań wynikających z konieczności dokonania rozliczeń transakcji przedsiębiorcy.
Rodzaj danych osobowych
Na gruncie RODO mamy następujące rodzaje danych osobowych:
– dane osobowe zwykłe;
– dane osobowe wrażliwe;
– dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.
W umowie powinniśmy wyszczególnić, jaki rodzaj danych osobowych przetwarzamy. Aby ustalić, jakie to będą dane musimy odwołać się do definicji danych wrażliwych, zawartej w RODO. Zgodnie z art. 9 RODO dane osobowe wrażliwe to dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby.
Pamiętajmy, że przetwarzanie szczególnych kategorii danych osobowych (tj. danych osobowych wrażliwych oraz dotyczących naruszeń prawa) jest obwarowane szczególnymi wymaganiami na gruncie RODO. To jednak materiał na odrębny artykuł.
Kategorie osób, których dane dotyczą
Poza wskazaniem rodzaju danych osobowych powinniśmy również wskazać osoby, których dane będziemy przetwarzać. Rzecz jasna RODO nie wymaga wskazania tych osób z imienia i nazwiska, ale o nazwania grup osób, których dane będziemy przetwarzać. Jako kategorie osób, których dane dotyczą możemy przykładowo wskazać: pracowników, klientów, kontrahentów, uczniów, rodziców itd. Kategoria osób powinna być określona w sposób szeroki, a jednak wskazujący na główne cechy danej grupy społecznej, umożliwiając jej wyodrębnienie.
Obowiązki i prawa administratora.
Obowiązki administratora w umowie powierzenia przetwarzania nie są zazwyczaj opisywane zbyt obszernie. Obowiązki będą zazwyczaj związane ze współpracą z podmiotem przetwarzającym, która to współpraca jest konieczna dla prawidłowości i zgodności z prawem przetwarzania danych przez podmiot przetwarzający. Administrator powinien mieć również zagwarantowane uprawnienia w ramach umowy, będące odzwierciedleniem obowiązków pod stronie podmiotu przetwarzającego.
Jakie są zatem obowiązki podmiotu przetwarzającego?
Obowiązki te wskazane są w art. 28 ust. 3 RODO i przewidują, że podmiot przetwarzający:
– przetwarza dane wyłącznie na udokumentowane polecenie administratora ( z wyjątkiem kiedy przetwarzanie jest nakazane przez prawo, ale wówczas należy zapoznać się z przepisami);
– zapewnia, aby osoby przetwarzające dane były zobowiązane do zachowania tajemnicy;
– podejmuje wszelkie środki wymagane na mocy art. 32, tj. środki zapewniające bezpieczeństwo przetwarzania;
– przestrzega warunków korzystania z usług innego podmiotu przetwarzającego;
– pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw;
– pomaga administratorowi wywiązać się z obowiązków określonych w art. 32–36, tj. w zakresie bezpieczeństwa przetwarzania danych osobowych, zgłaszania naruszeń organowi nadzorczemu, zawiadomienia osoby, której dane dotyczą o naruszeniu danych osobowych, przeprowadzenia oceny skutków dla ochrony danych, dokonaniu konsultacji z organem nadzorczym;
– usuwa przetwarzane dane osobowe po zakończeniu przetwarzania;
– udostępnia administratorowi wszelkie informacje niezbędne z punktu widzenia wykazania spełnienia wymogów RODO;
– umożliwia przeprowadzenie audytów oraz inspekcji.
Dalszy podmiot przetwarzający- zgoda
Nadto, w umowie powierzenia przetwarzania danych osobowych muszą znaleźć się postanowienia odnośnie korzystania z tzw. dalszych podmiotów przetwarzających. W takim wypadku możliwe są dwie opcje- ogólna pisemna zgoda lub zgoda szczegółowa administratora na podmiot podprzetwarzający. Nadto, w przypadku zmiany podmiotu podprzetwarzającego procesor zobowiązany jest na mocy przepisów wskazać administratorowi zakres tych zmian i umożliwić mu tym samym wyrażenie sprzeciwu wobec zmian.
Jak widać napisanie umowy powierzenia przetwarzania danych osobowych nie jest sprawą prostą. Przepisy RODO regulują te kwestie bardzo szczegółowo, co powoduje, że dobra umowa będzie z konieczności umową dość długą. Nie warto jednak zaniedbywać treści umowy i narażać się na konsekwencje z tego tytułu.
Jeśli ten artykuł był dla Ciebie przydatny to zapraszam do przeczytania o RODO w sklepie internetowym, który jest dostępny tutaj.