Firma logistyczna korzysta z zewnętrznego dostawcy systemu do zarządzania zamówieniami, który w praktyce ma dostęp do danych wszystkich klientów sklepu internetowego, a mimo to współpraca opiera się wyłącznie na standardowej umowie o świadczenie usług informatycznych bez odrębnych zapisów dotyczących danych osobowych. Taki brak formalnego uregulowania relacji stanowi jedno z częstszych naruszeń wykrywanych podczas audytów zgodności z przepisami. Ochrona danych osobowych wymaga w takich sytuacjach zawarcia odrębnej umowy powierzenia przetwarzania, która precyzuje obowiązki obu stron oraz zabezpiecza interesy administratora danych. W dalszej części artykułu wyjaśniamy, kiedy potrzebna jest umowa powierzenia, czym różni się ona od współadministrowania oraz na co zwrócić uwagę przy jej przygotowaniu.
Czym różni się powierzenie przetwarzania od współadministrowania?
Wiele firm myli te dwie konstrukcje prawne, choć wiążą się one z zupełnie inną odpowiedzialnością stron. Powierzenie przetwarzania występuje wtedy, gdy jeden podmiot, zwany administratorem, zleca innemu podmiotowi, zwanemu procesorem, przetwarzanie danych osobowych wyłącznie w zakresie i celu określonym przez administratora. Współadministrowanie pojawia się natomiast wtedy, gdy dwa lub więcej podmiotów wspólnie ustala cele i sposoby przetwarzania danych, ponosząc za to wspólną odpowiedzialność.
Przykłady sytuacji wymagających powierzenia
Relacja powierzenia przetwarzania pojawia się w wielu standardowych usługach biznesowych, choć nie zawsze firmy zdają sobie z tego sprawę. Do typowych sytuacji wymagających takiej umowy należą:
- korzystanie z zewnętrznego dostawcy hostingu przechowującego dane klientów sklepu internetowego;
- zlecenie obsługi kadrowo-płacowej zewnętrznemu biuru rachunkowemu;
- współpraca z agencją marketingową obsługującą bazę mailingową firmy;
- korzystanie z narzędzi do obsługi klienta, w tym systemów typu helpdesk przechowujących korespondencję;
- outsourcing procesów rekrutacyjnych do zewnętrznej agencji zatrudnienia.
Co musi zawierać prawidłowa umowa powierzenia?
Przepisy RODO precyzyjnie określają elementy, które musi zawierać umowa powierzenia przetwarzania, dlatego samo dopisanie ogólnej klauzuli o poufności do umowy głównej zwykle nie wystarcza. Kancelaria prawna RODO, przygotowując tego rodzaju dokumenty, zwraca uwagę zarówno na wymogi formalne, jak i na praktyczne aspekty współpracy między stronami.
Kluczowe elementy dokumentu
Umowa powierzenia powinna precyzyjnie określać przedmiot i czas trwania przetwarzania, charakter oraz cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, ponieważ ogólnikowe sformułowania utrudniają wykazanie zgodności z przepisami w razie kontroli. Dokument musi także zawierać zobowiązanie procesora do zachowania poufności, stosowania odpowiednich środków bezpieczeństwa oraz wspierania administratora w realizacji praw osób, których dane dotyczą.
Jak wygląda odpowiedzialność stron przy podwykonawcach?
Procesor korzystający z dalszych podwykonawców, na przykład dostawcy chmury obliczeniowej, musi uzyskać na to zgodę administratora danych, ogólną albo szczegółową, w zależności od zapisów umowy. Doradztwo w zakresie ochrony danych osobowych w takich przypadkach obejmuje zwykle weryfikację całego łańcucha podwykonawców, ponieważ odpowiedzialność administratora nie kończy się na pierwszym poziomie współpracy.
| Element relacji | Na co zwrócić uwagę |
|---|---|
| Zgoda na dalsze podpowierzenie | jasne określenie, czy wymagana jest zgoda ogólna czy szczegółowa dla każdego podwykonawcy |
| Odpowiedzialność łańcuchowa | zapewnienie, że dalsi podwykonawcy podlegają tym samym obowiązkom co główny procesor |
| Prawo do audytu | możliwość weryfikacji przez administratora, czy procesor faktycznie przestrzega umowy |
| Zasady po zakończeniu współpracy | obowiązek usunięcia lub zwrotu danych osobowych po wygaśnięciu umowy |
Współadministrowanie w praktyce biznesowej
Sytuacja współadministrowania pojawia się częściej niż mogłoby się wydawać, na przykład gdy dwie spółki z tej samej grupy kapitałowej wspólnie organizują wydarzenie i wymieniają się danymi uczestników na potrzeby jego realizacji. W takim przypadku strony powinny zawrzeć porozumienie określające, która z nich odpowiada za realizację poszczególnych obowiązków wobec osób, których dane dotyczą, ponieważ brak takiego uzgodnienia utrudnia sprawną obsługę zgłoszeń, na przykład wniosków o dostęp do danych.
Kto pomaga firmom przygotować takie umowy?
Przygotowanie umowy powierzenia albo porozumienia o współadministrowaniu wymaga połączenia znajomości przepisów RODO z rozumieniem konkretnego modelu współpracy między stronami, ponieważ standardowe wzory dostępne w internecie rzadko odpowiadają specyfice danej relacji biznesowej. Kancelaria prawna ochrona danych osobowych dostosowuje zwykle treść umowy do faktycznego zakresu przetwarzania, zamiast opierać się wyłącznie na uniwersalnym szablonie.
Na polskim rynku takie wsparcie oferuje między innymi zespół kancelarii JDP: https://jdp-law.pl/ochrona-danych-osobowych/, gdzie tematyką ochrony danych osobowych zajmuje się między innymi Krzysztof Brant, radca prawny i senior associate. Podobne doświadczenie w przygotowywaniu umów powierzenia oraz porozumień o współadministrowaniu mają też inne kancelarie na rynku, dlatego przy wyborze doradcy warto sprawdzić, czy zespół pracował już z podobnym modelem współpracy biznesowej.
Jak uniknąć typowych błędów przy zawieraniu takich umów?
Wiele firm traktuje umowę powierzenia jako formalność podpisywaną na końcu procesu negocjacyjnego, już po ustaleniu wszystkich pozostałych warunków współpracy. Takie podejście często prowadzi do sytuacji, w której zapisy dotyczące danych osobowych nie odpowiadają rzeczywistemu zakresowi przetwarzania uzgodnionemu wcześniej między stronami.
- Weryfikacja, czy dana relacja biznesowa rzeczywiście wymaga umowy powierzenia, czy raczej porozumienia o współadministrowaniu.
- Dopasowanie zapisów umowy do faktycznego zakresu i celu przetwarzania danych przez kontrahenta.
- Sprawdzenie łańcucha podwykonawców zaangażowanych w realizację usługi.
- Ustalenie procedury zgłaszania naruszeń między stronami umowy, w tym terminów przekazywania informacji.
Firma, która traktuje umowę powierzenia jako integralny element negocjacji z dostawcą, a nie dodatek podpisywany na końcu, znacznie rzadziej odkrywa luki w zabezpieczeniu danych dopiero podczas kontroli lub incydentu. Włączenie tej kwestii do procesu wyboru dostawców na wczesnym etapie oszczędza czas potrzebny na późniejsze poprawki dokumentacji.
Relacje powierzenia przetwarzania oraz współadministrowania zmieniają się razem z rosnącą liczbą zewnętrznych dostawców usług, z których korzystają współczesne firmy w niemal każdym obszarze działalności. Organizacje, które od początku współpracy z kontrahentem dbają o odpowiednie uregulowanie kwestii danych osobowych, budują nie tylko zgodność z przepisami, ale też przejrzystość relacji biznesowych opartą na jasno podzielonej odpowiedzialności.