W jakiej formie zawrzeć umowę powierzenia danych?
Zgodnie z art. 28 ust. 9 RODO umowa powierzenia przetwarzania danych osobowych musi mieć formę pisemną, w tym elektroniczną. Przepis nie wymaga papierowego dokumentu ani nie ustanawia obowiązku użycia kwalifikowanego podpisu elektronicznego. Ustne uzgodnienie nie wystarczy, nawet jeśli strony szczegółowo omówiły zasady współpracy.
Uzgodnienia powinny być wiążące i możliwe do wykazania, czyli należy móc ustalić, jakie warunki zaakceptowały strony. Podpisy pomagają udowodnić zawarcie umowy i jej obowiązywanie, ale forma elektroniczna nie oznacza automatycznie konieczności posłużenia się podpisem kwalifikowanym. W praktyce warto zachować dokument lub elektroniczny zapis uzgodnień wraz z dowodem ich akceptacji.
Umowa nie musi być odrębnym dokumentem zatytułowanym „umowa powierzenia”. Wymagane postanowienia można włączyć do szerszej umowy, na przykład o świadczenie usług. Muszą jednak być wiążące i obejmować wszystkie obszary wymagane przez art. 28 RODO. Sam zapis, że wykonawca „przestrzega RODO”, nie opisuje konkretnych obowiązków i nie zastępuje właściwych klauzul.
Kiedy powierzenie przetwarzania jest potrzebne?
Umowę zawiera się wtedy, gdy administrator zleca innemu podmiotowi przetwarzanie danych w jego imieniu. Nie jest ona konieczna przy każdej współpracy biznesowej ani za każdym razem, gdy kontrahent ma kontakt z informacjami o osobach. Przed przygotowaniem dokumentu trzeba ustalić rzeczywisty podział ról, cel przetwarzania i sposób działania każdej ze stron.
O kwalifikacji decyduje faktyczna relacja, a nie nazwa umowy. Podmiot przetwarzający działa na polecenie administratora i w ramach wyznaczonego celu. Jeśli dostawca samodzielnie ustala własne cele i sposoby wykorzystywania danych, jego rola może być inna. Warto zwrócić na to uwagę przy usługach chmurowych, narzędziach analitycznych i systemach opartych na sztucznej inteligencji.
W przypadku technologii obrazowania lub monitoringu należy precyzyjnie ustalić, kto decyduje o celu analizy, jakie dane są przetwarzane i czy dostawca może wykorzystywać je do własnych celów. Znaczenie mają również czas przechowywania danych, kopie zapasowe i informacje pozostające w innych komponentach usługi. Jeśli dostawca używa danych niezależnie od poleceń administratora, trzeba ponownie ocenić charakter relacji.
Jakie elementy powinna zawierać umowa?
Art. 28 ust. 3 RODO wskazuje obowiązkowe obszary, które trzeba opisać w umowie. Należą do nich przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz kategorie osób, których dane dotyczą. Dokument powinien też określać prawa i obowiązki administratora. Szczegółowy opis operacji można umieścić w załączniku do umowy usługowej.
Wykonawca zobowiązuje się przetwarzać dane wyłącznie na udokumentowane polecenie administratora, zapewnić poufność osobom upoważnionym oraz stosować odpowiednie środki bezpieczeństwa. Umowa powinna regulować również korzystanie z dalszych podmiotów przetwarzających, zgodnie z zasadami art. 28 RODO. Przy wyborze zgody ogólnej na podwykonawców warto określić obowiązek informowania o planowanych zmianach i możliwość wniesienia sprzeciwu. Przy zgodzie szczegółowej należy wskazać sposób uzyskiwania akceptacji dla konkretnego podmiotu.
Główny wykonawca musi nałożyć na podwykonawcę obowiązki ochrony danych odpowiadające tym, które wynikają z umowy z administratorem. Warto opisać także sposób przekazywania i utrwalania poleceń, osoby kontaktowe, procedurę zgłaszania incydentów oraz terminy współpracy przy obsłudze żądań osób. Jasne zasady ograniczają ryzyko sporów o to, kto i kiedy powinien podjąć działanie.
Jak odróżnić umowę od poleceń administratora?
Forma umowy i forma poleceń wydawanych w czasie współpracy to odrębne kwestie. Umowa powierzenia musi być pisemna, także elektronicznie. Powinna natomiast określić, w jaki sposób administrator będzie dokumentować bieżące instrukcje. RODO wymaga, aby podmiot przetwarzający działał na udokumentowane polecenie, dlatego warto ustalić kanał komunikacji, osoby uprawnione do wydawania instrukcji i sposób ich archiwizacji.
Umowa może przewidywać, że polecenia będą przekazywane w formie pisemnej lub dokumentowej, na przykład przez uzgodniony system albo wiadomość elektroniczną. Istotne jest, by dało się odtworzyć treść instrukcji, jej autora i moment przekazania. Dobrze opisany tryb ułatwia wykazanie, że wykonawca nie wykraczał poza zakres zlecenia i pozwala sprawniej zarządzać zmianami w projekcie.
Co uregulować przy prawach osób i zakończeniu usług?
Podmiot przetwarzający powinien pomagać administratorowi w obsłudze żądań osób, których dane dotyczą, oraz w realizacji obowiązków związanych z naruszeniami ochrony danych. Umowa powinna określać, jak szybko wykonawca przekazuje informacje, w jaki sposób wspiera analizę incydentu i kto jest punktem kontaktowym. Ogólne zobowiązanie do współpracy jest mniej użyteczne niż ustalona procedura i terminy.
Administrator powinien mieć możliwość uzyskania informacji niezbędnych do wykazania zgodności z RODO, a także przeprowadzania audytów lub inspekcji. Warto opisać ich zakres, tryb zgłaszania i zasady udostępniania dokumentacji. Konkretne postanowienia pozwalają sprawdzić, czy wykonawca rzeczywiście realizuje obowiązki, zamiast polegać wyłącznie na ogólnym zapewnieniu o zgodności.
Po zakończeniu świadczenia usług wykonawca powinien, według decyzji administratora, usunąć dane albo je zwrócić, z uwzględnieniem obowiązków prawnych. Umowa powinna określać termin i sposób wykonania tej decyzji, a także postępowanie z kopiami zapasowymi i danymi przechowywanymi w elementach usługi. Warto wskazać, czy kopie zostaną usunięte w określonym cyklu oraz jak wykonawca potwierdzi wykonanie obowiązku. To zagadnienie, podobnie jak pomoc przy prawach osób, wsparcie przy naruszeniach i zasady dalszego powierzenia, bywa pomijane, choć ma istotne znaczenie dla bezpieczeństwa danych.
Przed podpisaniem dokumentu należy więc sprawdzić nie tylko jego formę, lecz także zgodność zapisów z rzeczywistym przebiegiem współpracy. Dobrze skonstruowana umowa łączy wymagania art. 28 RODO z konkretnymi procedurami, które można zastosować w codziennej obsłudze usługi.
Materiały źródłowe
- https://www.edpb.europa.eu/system/files/documents/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf
- https://uodo.gov.pl/pl/file/7878
- https://uodo.gov.pl/pl/file/4525
- https://www.legislation.gov.uk/eur/2016/679/article/28/data.html
- https://www.gov.pl/attachment/c24ec47a-0a41-4907-b18f-65f72134afa3