Co powinno zawierać umowa o przetwarzaniu danych?

Co powinna zawierać umowa przetwarzającego w każdym razie

Umowa przetwarzającego powinna opisywać, co przetwarzający robi ze danymi osobowymi na rzecz administratora danych i na jakich warunkach. Zaczyna się od podstaw: przedmiotu i czasu trwania przetwarzania, jego charakteru i celu, rodzaju danych osobowych, których to dotyczy, oraz kategorii osób, których to dotyczy. Bez tego opisu nie można stwierdzić, czy dostawca dotrzymuje ustaleń.

Ponadto umowa powinna zawierać szereg zobowiązań, które wynikają bezpośrednio z RODO. Przetwarzający przetwarza dane wyłącznie na podstawie pisemnych instrukcji administratora danych, zapewnia, że osoby przetwarzające dane są zobowiązane do poufności, i podejmuje odpowiednie środki bezpieczeństwa. Powinno być również uregulowane, co się dzieje, gdy przetwarzający angażuje inną stronę (podprzetwarzającego), jak przetwarzający wspomaga w realizacji żądań osób, których dane dotyczą i w zgłaszaniu naruszeń danych, oraz co się dzieje z danymi po zakończeniu świadczenia usługi — zniszczenie lub zwrot. Często zawiera również postanowienie, że administrator danych może sprawdzić, czy umowa jest przestrzegana, na przykład poprzez audyt.

Źródło tego wymagania: artykuł 28 RODO

Ta wyliczanka wynika bezpośrednio z artykułu 28 RODO, który szczegółowo opisuje, co powinna zawierać umowa przetwarzającego, gdy administrator danych angażuje przetwarzającego. Wytyczne EODP udzielają w tym względzie dalszych wyjaśnień, jak te przepisy mogą być wdrażane w praktyce, na przykład przy ocenie środków bezpieczeństwa lub angażowaniu podprzetwarzających. Dokładne brzmienie każdego zobowiązania pozostaje oparte na tekście samego artykułu 28.