co się dzieje, jeśli nie mam umowy przetwarzania danych z moim dostawcą

Bez umowy na rzecz przetwarzania danych nie spełniasz art. 28 RODO

Jeśli dostawca przetwarza dane osobowe w Twoim imieniu, a nie ma umowy na rzecz przetwarzania danych, to samo w sobie stanowi naruszenie RODO — niezależnie od tego, czy coś innego pójdzie nie tak z tymi danymi. Artykuł 28 RODO stanowi, że zaangażowanie podmiotu przetwarzającego musi być udokumentowane w umowie lub innym akcie prawnym; bez tej dokumentacji brakuje podstawy prawnej współpracy, nawet jeśli dostawca sam ostrożnie obchodzi się z danymi.

Dotyczy to na przykład oprogramowania, do którego trafiają dane klientów, dane pracowników lub dane z faktur: pakiety księgowe, narzędzia do e-mailingu, usługodawcy hostingowi. Kto nie jest pewien, czy dane narzędzie podlega tej obowiązkowi, może to sprawdzić za pomocą skąd mam wiedzieć, czy oprogramowanie, którego używam, jest zgodne z RODO sprawdzić; a pytanie, czy dotyczy to również księgowego powraca w czy muszę zawrzeć umowę przetwarzania danych z moim księgowym. Brak umowy to zwykle coś, co nie wychodzi na jaw samo z siebie, dopóki nie nastąpi wyciek danych, skarga klienta lub kontrola — i wtedy okazuje się, że umów nie ma.

Skąd wynika to z art. 28 RODO

Artykuł 28 RODO określa, że przetwarzanie przez podmiot przetwarzający reguluje umowa, która obowiązkowo dokumentuje wiele zagadnień, takich jak cel przetwarzania, okres, i obowiązki podmiotu przetwarzającego; które dokładnie to zagadnienia opisano w co musi zawierać umowa na rzecz przetwarzania danych. Obowiązek posiadania tej umowy spoczywa zarówno na administratorze danych, jak i na podmiocie przetwarzającym, i obowiązuje w całej UE bezpośrednio na mocy rozporządzenia; kto ma nadzorować zgodność różni się w zależności od kraju — w Niderlandach jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — organ nadzoru danego kraju. Więcej informacji o organzie nadzoru można znaleźć za pośrednictwem Urzędu Ochrony Danych Osobowych.