Tak, możesz samodzielnie sporządzić umowę przetwarzania danych. RODO nie przewiduje obowiązkowego formatu: nie ma oficjalnego wzoru, który musisz stosować, tylko zestaw zagadnień, które umowa musi zawierać. W przypadku prostej relacji z jedną wyraźnie określoną usługą, bez podwykonawców i bez transferu danych poza UE, samodzielne sporządzenie jest często wykonalnym zadaniem na jeden dzień.
Pytanie nie tyle czy jest dozwolone, ile czy sytuacja jest wystarczająco prosta, aby poradzić sobie bez pomocy. Gdy w łańcuchu uczestniczy wiele stron, przetwarzane są wrażliwe dane lub druga strona przesyła własny projekt umowy, który różni się od tego, czego potrzebujesz, samodzielne sporządzenie staje się trudniejsze do opanowania. Wtedy porady prawne lub przynajmniej ustrukturyzowana ocena są rozsądniejsze niż wypełnianie szablonu i mniemanie, że będzie poprawnie.
Co koniecznie musi się znaleźć
Niezależnie od tego, kto sporządza umowę, umowa przetwarzania danych reguluje stały zestaw zagadnień. Zawiera przedmiot i czas trwania przetwarzania, które kategorie danych osobowych i podmioty dotkniętych są zaangażowane oraz jaki jest cel przetwarzania. Ponadto umowa ustala, że wykonawca przetwarzania działa wyłącznie na polecenie administratora, że pracownicy wykonawcy są objęci obowiązkiem poufności, jakie środki bezpieczeństwa obowiązują, jak angażowani i zgłaszani są podwykonawcy, w jaki sposób wykonawca wspiera wnioski podmiotów dotkniętych i powiadomienia o naruszeniach, oraz co się dzieje z danymi po wygaśnięciu umowy. Te elementy znajdują się dosłownie w samym rozporządzeniu; kto je pomija w projekcie, pomija coś, co tam powinno być.
Kiedy samodzielne sporządzenie działa praktycznie
Samodzielne sporządzenie działa dobrze, gdy relacja jest przejrzysta: jesteś sam administratorem, zaangażujesz jednego dostawcę do jednej wyraźnie określonej usługi, nie ma znanych podwykonawców poza UE i dane nie są szczególnie wrażliwe. Pomyśl o pakiecie księgowym, narzędziu do wysyłania wiadomości e-mail lub systemie planowania, którego dostawca już oferuje wersję standardową. W tym przypadku Twoją pracą jest przede wszystkim sprawdzenie, czy standardowy tekst obejmuje elementy obowiązkowe i czy zawarte umowy odpowiadają temu, co narzędzie faktycznie robi. Kto chce mieć przejrzystość dla narzędzi używanych codziennie, znajdzie w bazie wiedzy ze stałymi elementami dla każdej sytuacji strukturę, na której się oprzeć.
Kiedy outsourcing jest rozsądniejszy
Granica przesuwa się, gdy łańcuch staje się bardziej złożony: wielu podwykonawców, transfer do krajów poza UE, przetwarzanie danych zdrowotnych, danych biometrycznych lub danych dotyczących osób nieletnih, lub druga strona, która dostarcza własny projekt różniący się od tego, czego się spodziewałeś. W takich przypadkach ryzyko nie polega na tym, że nie masz umowy, ale na tym, że podpiszesz lub sporządzisz taką, która nie obejmuje tego, co faktycznie się dzieje. Prawnik lub specjalizowany doradca może ocenić, czy umowy są dostosowane do rzeczywistego przepływu danych, czego szablon nie zrobi za Ciebie.
Używanie szablonu to coś innego niż samodzielne sporządzenie
Jest różnica między używaniem szablonu jako punktu wyjścia a całkowitym samodzielnym napisaniem umowy. Szablon zmusza Cię do przejrzenia elementów obowiązkowych, ale nie wypełnia ich automatycznie prawidłowo dla Twojej sytuacji. Odwrotnie, to samo dotyczy umowy, którą przesyła Ci klient lub dostawca: może wyglądać kompletnie i jednak brakować jej elementu albo zawierać ustalenie, które nie odpowiada temu, co faktycznie się dzieje. Odpowiedzi na często zadawane pytania na ten temat, takie jak co klient może uzasadnienie żądać i co nie, są zebrane w często zadawanych pytaniach dotyczących umów przetwarzania danych.
Co robi gdpria.eu w tym względzie
Sprawdzenie umowy na rzecz przetwarzającego, którą ktoś Ci wysyła, oraz wyszukanie stałych elementów w bazie wiedzy jest bezpłatne i bez konta. System wokół niego — zestaw dokumentów z szablonami, monitorowanie bieżących umów i terminy z nimi związane — znajduje się w subskrypcji. Co w nim jest, jest wyraźnie pokazane w przeglądzie form subskrypcji. Zapewniamy przy tym wyjaśnienie i strukturę, nie doradztwo prawne: Ty sam decydujesz, czy opracujesz to sam, użyjesz szablonu, czy angażujesz prawnika.
Chcesz najpierw zobaczyć, jak to wygląda w praktyce, zanim coś utworzysz? Przeczytaj tematy w bazie wiedzy lub utwórz konto biznesowe aby skonfigurować rejestr i monitorowanie swoich umów na rzecz przetwarzającego.