czy umowa przetwarzania danych może być zawarta ustnie lub e-mailem

Ustnie lub pocztą elektroniczną to za mało

Nie, umowa ustna lub wymiana pojedynczych wiadomości e-mail nie spełnia wymogów umowy o przetwarzaniu danych. Artykuł 28 Rozporządzenia (EU) 2016/679 nakazuje, aby porozumienia między administratorem danych a przetwarzającą były ujęte w umowę lub inny dokument prawny w formie pisemnej, przy czym forma pisemna może być również elektroniczna. Obietnica telefoniczna lub ustna umowa podatkowa nie spełniają tego warunku, ponieważ nie są dokumentowane w sposób możliwy do weryfikacji.

Wymiana wiadomości e-mail zajmuje pozycję pośrednią. Poszczególne e-maile, w których strony wspominają o pewnych porozumieniach dotyczących przetwarzania danych, zwykle nie stanowią pełnowartościowej umowy o przetwarzaniu, ponieważ Rozporządzenie (EU) 2016/679 stawia wymagania dotyczące zawartości, które w takiej wymianie e-maili zazwyczaj nie są w pełni uwzględniane. Pisemny lub elektroniczny dokument, który w pełni reguluje tę zawartość — i który został również wymieniony drogą e-mail i zaaprobowany — może być uznany za umowę o przetwarzaniu. Chodzi zatem nie o medium samego w sobie, ale o kwestię, czy zawiera wszystkie obowiązkowe elementy i czy jest jasne, że obie strony się z nim zgadzają. Dokładnie to, co musi się w nim znaleźć, opisane jest w co musi zawierać umowa na rzecz przetwarzania danych.

Skąd wynika to z art. 28 RODO

Artykuł 28 ust. 3 Rozporządzenia (EU) 2016/679 stanowi, że przetwarzanie przez przetwarzającą podlega umowie lub innemu dokumentowi prawemu wiążącemu strony i musi być ujęte w formie pisemnej, w tym w formie elektronicznej. Wymóg ten obowiązuje na terenie całej Unii Europejskiej w ten sam sposób, ponieważ Rozporządzenie (EU) 2016/679 ma bezpośrednie zastosowanie; nie ma tu miejsca na odmienne uregulowanie na poziomie krajowym. Kto ma wątpliwości, czy istniejące porozumienie z dostawcą spełnia ten wymóg, może to sprawdzić za pomocą kontroli na czy stosowane oprogramowanie spełnia wymogi Rozporządzenia (EU) 2016/679; tło dotyczące skutków braku takiej umowy opisane jest na stronie o co się dzieje bez umowy o przetwarzaniu z dostawcą. Oficjalny tekst artykułu znajduje się w Rozporządzeniu (EU) 2016/679 na EUR-Lex, a objaśnienia od polskiego organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych) są dostępne u tego organu.