Najczęstszym błędem przy ocenie umowy przetwarzania danych jest to, że firmy podpisują dokument bez sprawdzenia, kto w tej relacji ma jaką rolę. Umowa przetwarzania danych reguluje uzgodnienia między administratorem danych, który określa dlaczego i jak dane są przetwarzane, a przetwarzającym, który to robi na polecenie. Jeśli ta podział ról nie zostanie sprawdzony, czasami podpisujesz dokument, który w ogóle nie ma zastosowania do Twojej sytuacji, lub brakuje Ci umowy, która powinna tam być.
Ponadto problemy pojawiają się zazwyczaj w trzech innych kwestiach: podprzetwarzający, którzy nie są wymienieni, środki bezpieczeństwa opisane tylko w ogólnych słowach, oraz brak żadnego porozumienia dotyczącego tego, co dzieje się z danymi gdy współpraca się kończy. To nie są drobne szczegóły, ale sedno tego, do czego służy umowa przetwarzania danych: ustalenie, kto jest odpowiedzialny za co, aż do czasu gdy współpraca trwa i również po jej zakończeniu.
Niezweryfikowanie podziału ról
Umowa przetwarzania danych wychodzi z ustalonego podziału: jedna strona określa cel i środki przetwarzania, druga wykonuje to przetwarzanie zgodnie z instrukcją. W praktyce te role czasami się zmieniają w zależności od zadania. Biuro rachunkowe jest przetwarzającym w przypadku administracji płacowej dla swojego klienta, ale administratorem dla własnych danych pracowników. Ktoś, kto podpisuje umowę bez określenia tej roli, nie jest pewny, czy podpisany został prawidłowy dokument. Sama Rozporządzenie określa ten podział ról, a wytyczne EDPB opisują to szczegółowo.
Podprzetwarzający, którzy pozostają nienazwani
Wiele narzędzi SaaS z kolei angażuje inne strony, na przykład do hostingu lub obsługi klienta. Umowa przetwarzania danych powinna zawierać informację, czy jest to dozwolone, na jakich warunkach i czy będziesz o tym zawiadomiony z wyprzedzeniem. Jeśli brakuje tego warunku, po prostu nie wiesz, które strony w praktyce mają dostęp do danych, które dostarczasz. To dokładnie ten rodzaj informacji, który możesz znaleźć w bazie wiedzy według tematu zanim podpiszesz coś.
Bezpieczeństwo opisane tylko w ogólnych słowach
Stwierdzenie takie jak "zastosowane są odpowiednie środki techniczne i organizacyjne" samo w sobie mówi mało. Umowa, która idzie dalej, wymienia konkretnie, co te środki oznaczają: szyfrowanie, kontrola dostępu, kopie zapasowe, procedury powiadamiania w przypadku incydentu. Im bardziej szczegółowo to jest ustalane, tym jaśniej wiadomo, co dostawca faktycznie robi. Dla porównania: na stronie opisującej, jak my sami postępujemy z danymi i bezpieczeństwem możesz zobaczyć, jak takie wyjaśnienie może wyglądać w praktyce.
Brak porozumienia dotyczącego zakończenia współpracy
Co dzieje się z danymi gdy umowa się kończy? Czy są zwracane, niszczone, czy gdzieś pozostają? To jeden z punktów, których najczęściej brakuje, podczas gdy jest szczególnie trudno ustalić dodatkowe umowy po zakończeniu współpracy. Umowa przetwarzania danych, która nic na ten temat nie mówi, pozostawia Cię z luką w dokumentacji dokładnie w momencie, gdy jej najmniej potrzebujesz.
Jak to uniknąć
Większość tych błędów nie wynika z braku chęci, ale z braku czasu: umowę przetwarzania danych traktuje się jako formalność, podczas gdy w rzeczywistości chodzi o cztery lub pięć konkretnych punktów. Przejrzyj te punkty zanim podpiszesz i dopytaj dostawcę, jeśli coś brakuje lub jest sformułowane niejasno. Jeśli wątpisz co do konkretnego warunku, skonsultuj się z prawnikiem lub, w kwestiach dotyczących interpretacji samego Rozporządzenia, z Urzędem Ochrony Danych Osobowych. Odpowiedzi na często zadawane pytania dotyczące tego typu dokumentów znajdziesz również w Często zadawane pytania dotyczące umów przetwarzania danych.
To wyjaśnienie ma na celu pomóc Ci zrozumieć, co powinno znaleźć się w umowie przetwarzania danych, a nie oceniać, czy konkretny dokument, który otrzymałeś, jest wystarczający. Jak dochodzimy do tych informacji i jakie źródła im towarzyszą, możesz przeczytać na stronie dotyczącej sposobu działania.
Chcesz szybko sprawdzić, gdzie stoi Twoja firma? Przeprowadź bezpłatną szybką ocenę lub przejrzyj tematy w bazie wiedzy, aby zobaczyć, który krok jest istotny dla Twojej sytuacji.