Umowa powierzenia przetwarzania danych — kiedy jest potrzebna

Umowa powierzenia to jeden z tych dokumentów, o których firmy dowiadują się zwykle przy kontroli albo przy audycie u kontrahenta. Sama konstrukcja jest prosta, ale ustalenie, z kim umowa jest potrzebna, wymaga przejrzenia listy dostawców.

Kto jest kim w RODO

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania danych — na przykład firma zbierająca dane swoich klientów. Podmiot przetwarzający wykonuje operacje na tych danych w imieniu administratora i według jego polecenia.

Rozróżnienie ma praktyczne skutki. Administrator odpowiada za zgodność całego procesu, a relację z podmiotem przetwarzającym musi uregulować umową.

Kiedy umowa jest wymagana

Zawsze wtedy, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu firmy. Nie ma znaczenia, czy dostęp jest stały czy sporadyczny — liczy się sam fakt przetwarzania.

• Biuro rachunkowe — prowadzi kadry i płace na danych pracowników.
• Dostawca hostingu i poczty — na jego serwerach leżą dane z formularzy i korespondencja.
• Firma IT — ma dostęp do systemów, w których są dane osobowe.
• System do wysyłki wiadomości — przechowuje adresy subskrybentów.
• Firma niszcząca dokumenty — przetwarza dane na nośnikach papierowych.

Kiedy umowa nie jest potrzebna

Gdy druga strona jest samodzielnym administratorem, a nie wykonawcą Waszego polecenia. Przekazując dane do urzędu skarbowego albo do banku, nie zawieracie umowy powierzenia — te podmioty przetwarzają dane na własnej podstawie prawnej.

Podobnie z kancelarią prawną prowadzącą sprawę: zwykle działa jako odrębny administrator, choć w niektórych układach współpracy bywa inaczej. To jeden z przypadków, w których warto skonsultować konkretną sytuację.

Co musi zawierać umowa

• przedmiot, czas trwania, charakter i cel przetwarzania,
• rodzaj danych osobowych i kategorie osób, których dotyczą,
• obowiązek działania wyłącznie na polecenie administratora,
• zobowiązanie do zachowania poufności przez osoby mające dostęp do danych,
• zastosowane środki bezpieczeństwa,
• zasady korzystania z dalszych podmiotów przetwarzających,
• obowiązek pomocy administratorowi przy realizacji praw osób i przy zgłaszaniu naruszeń,
• zasady usunięcia albo zwrotu danych po zakończeniu współpracy.

Najczęstsze braki

W praktyce najczęściej brakuje trzech rzeczy. Pierwsza to umowy z dostawcami, o których nikt nie pomyślał — hosting, narzędzia w chmurze, system do fakturowania. Druga to aktualizacja po zmianie zakresu usług. Trzecia to jasny zapis o tym, co dzieje się z danymi po zakończeniu współpracy.

Wszystkie trzy da się uporządkować w ramach jednego przeglądu dostawców. To zwykle kilka godzin pracy, a przy kontroli różnica jest zasadnicza.