Czy powinienem podpisać umowę o przetwarzaniu danych, którą wysyła mój klient?

Podpisanie nie jest obowiązkiem, sprawdzenie jest

Nie, nie ma obowiązku prawnego podpisania umowy pomiędzy administratorem a podmiotem przetwarzającym tylko dlatego, że klient ją dostarcza. Umowa pomiędzy administratorem a podmiotem przetwarzającym to porozumienie między dwiema stronami, a jak w każdej umowie: najpierw sprawdzasz, co w niej napisano, zanim podpiszesz. Klient, który przesyła umowę, nie określa automatycznie jej treści — ta treść musi spełniać określone wymogi, a to coś innego niż "czy muszę zaakceptować ten dokument".

Co jest istotne: jeśli przetwarzasz jako podmiot przetwarzający dane osobowe na zlecenie tego klienta, RODO wymaga, aby istniała umowa pomiędzy administratorem a podmiotem przetwarzającym z określonymi obowiązkowym elementami. Nie chodzi więc o to, czy podpiszesz, ale o to, czy otrzymana przez ciebie treść obejmuje te elementy i odpowiada temu, co dzieje się w praktyce. Koncepcja sformułowana zbyt szeroko, które regulują rzeczy niezgodne z faktycznym świadczeniem usług, lub brakujące elementy to powód, aby wprowadzić zmiany lub zaproponować własną wersję — nie aby podpisać bez zastrzeżeń.

Co reguluje w tej sprawie artykuł 28 RODO

Artykuł 28 RODO stanowi, że przetwarzanie przez podmiot przetwarzający musi być regulowane umową lub innym czynem prawnym i wymienia, które kwestie muszą być w nim poruszane — między innymi przedmiot i czas przetwarzania, charakter i cel, rodzaj danych osobowych i kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Ten artykuł nie mówi nic o tym, kto sporządza lub dostarcza dokument; mówi tylko, co w nim musi się znaleźć. Pełny tekst znajduje się w samym rozporządzeniu, a w razie wątpliwości dotyczących konkretnego tekstu baza wiedzy Urzędu Ochrony Danych Osobowych może służyć jako tło — choć urząd ten nie zajmuje się oceną poszczególnych umów.