Umowa przetwarzania danych to pisemna umowa między dwiema stronami: podmiotem decydującym, dlaczego i jak przetwarzane są dane osobowe, oraz podmiotem wykonującym to w jego imieniu. Pierwszy to administrator danych w RODO, drugi to procesor. Taka umowa jest wymagana, gdy dane osobowe zlecasz innemu przedsiębiorstwu, na przykład biuru kadr, dostawcy usług hostingowych lub narzędziu SaaS zawierającemu dane klientów.
Istota jest prosta: prawo nakazuje tę umowę dlatego, że administrator pozostaje odpowiedzialny za to, co dzieje się z danymi, nawet jeśli prace techniczne wykonuje inne przedsiębiorstwo. Bez jasnych umów nie jest określone, co druga strona może robić z danymi, jak długo są przechowywane i co się dzieje w przypadku naruszenia danych. Umowa przetwarzania danych uwidacznia ten podział obowiązków.
Kiedy mamy do czynienia z procesorem
Nie każda strona, z którą współpracujesz, jest procesorem. Księgowy, który sporządza twoje sprawozdanie finansowe z własną odpowiedzialnością zawodową, zwykle sam jest administratorem danych do tego zadania. Usługa chmury, która przechowuje i przetwarza twoją bazę klientów zgodnie z twoimi instrukcjami, zazwyczaj jest procesorem. Różnica polega na pytaniu, kto określa cel i środki przetwarzania. Jeśli masz wątpliwości, czy strona jest procesorem, baza wiedzy Urzędu Ochrony Danych Osobowych wskazuje kierunek, a sytuację możesz także sprawdzić w bazie wiedzy z zagadnieniami RODO dla każdej sytuacji.
Co powinno się znaleźć co najmniej
RODO wymienia szereg zagadnień, które muszą być uregulowane w umowie przetwarzania danych: przedmiot i czas trwania przetwarzania, rodzaj i cel jego, rodzaj danych osobowych i kategorie osób, których dane dotyczą, obowiązki i prawa administratora, oraz umowy dotyczące bezpieczeństwa, poufności, podwykonawców i sposobu współpracy przy kontrolach. Zawarta jest także kwestia obsługi potencjalnego naruszenia danych u procesora oraz to, co się dzieje z danymi po zakończeniu współpracy.
Ta lista znajduje się dosłownie w samym rozporządzeniu; jeśli chcesz ponownie przeczytać dokładne sformułowanie, znajdziesz je na EUR-Lex. Organy nadzoru, takie jak EDPB, opublikowały ponadto wytyczne dotyczące tego, jak przepisy te są interpretowane w praktyce, na przykład w kwestii tego, kiedy podwykonawca musi być zgłoszony z wyprzedzeniem.
Kto sporządza umowę
W praktyce większa strona często dostarcza szablon: dostawca oprogramowania wysyła swoją umowę przetwarzania danych wraz z rozpoczęciem subskrypcji, lub klient wysyła ją do ciebie, ponieważ przetwarzasz dla niego dane. Nie oznacza to, że musisz podpisać dostarczony tekst. Wskazane jest sprawdzenie, czy wszystkie wymienione zagadnienia tam się znajdują, czy umowy dotyczące bezpieczeństwa odpowiadają temu, czego oczekujesz od drugiej strony, i czy odpowiedzialność jest rozsądnie podzielona. W przypadku wątpliwości dotyczących konkretnego warunku warto przedłożyć je prawnicy.
Dlaczego to więcej niż podpis
Umowa przetwarzania danych nie jest formalność, którą uregulowujesz raz i później zapomnasz. Gdy zmienisz dostawcę narzędzia, zaangażujesz podwykonawcę spoza UE lub zmieni się charakter przetwarzania danych, istniejąca umowa może się zdezaktualizować. Przedsiębiorstwa pracujące z wieloma narzędziami SaaS łatwo mają dziesięć do dwudziestu takich umów, każda z własnym terminem i własnymi warunkami. Śledzenie, które umowy istnieją, które są nieaktualne i które brakuje, to osobne zadanie obok codziennej działalności biznesowej.
Umowy dotyczące bezpieczeństwa zawarte w umowie również zasługują na uwagę: mówią coś o tym, jak procesor obsługuje dostęp, szyfrowanie i powiadomienia o incydentach. Więcej o tym, co jest istotne w tym kontekście, przeczytasz na stronie bezpieczeństwo danych osobowych u procesorów.
Co możesz zrobić sam
Przy każdej nowej współpracy sprawdź, czy dane osobowe są udostępniane, a jeśli tak, czy wymagana jest i obecna umowa przetwarzającego. Przechowuj te umowy w przejrzysty sposób, wraz z rejestrem działań przetwarzania, w którym widać, które narzędzie przetwarza które dane. Jeśli masz wątpliwości, czy konkretna umowa jest kompletna, możesz ją bezpłatnie sprawdzić pod kątem najważniejszych elementów. Aby uzyskać odpowiedzi na najczęściej zadawane pytania na ten temat, na przykład co się dzieje, jeśli dostawca nie chce podpisać umowy, zapoznaj się z przeglądem na stronie Najczęściej zadawane pytania dotyczące RODO.
Chcesz wiedzieć, jak to pasuje do Twojej sytuacji, na przykład ile umów przetwarzającego będziesz prawdopodobnie potrzebować i które z nich wymagają uwagi? Wykonaj bezpłatny quick-scan lub zarejestruj konto biznesowe, aby śledzić przegląd. W kilka minut zobaczysz, gdzie się znajdujesz, bez żadnych zobowiązań.