Umowa powierzenia przetwarzania danych - art. 28 RODO

Umowa powierzenia przetwarzania danych osobowych to umowa, w której administrator zleca innemu podmiotowi przetwarzanie danych w swoim imieniu i na swoje polecenie. Wymaga jej art. 28 ust. 3 RODO, który wylicza też jej obowiązkową treść. Potrzebna jest zawsze, gdy firma zewnętrzna obsługuje Twoje dane w Twoim celu: dostawca dziennika elektronicznego, serwis informatyczny, hosting, biuro kadrowo-płacowe, firma obsługująca monitoring. Nie zawiera się jej z kimś, kto przetwarza dane we własnym celu i na własną odpowiedzialność.

Kiedy umowa powierzenia jest potrzebna

Rozstrzyga jedno pytanie: kto ustala cele i sposoby przetwarzania. Administrator to ten, kto o nich decyduje (art. 4 pkt 7 RODO), a podmiot przetwarzający przetwarza dane w imieniu administratora (art. 4 pkt 8). Jeśli firma dostaje dane tylko po to, by wykonać usługę dla Ciebie, i nie może ich użyć do niczego innego, jest podmiotem przetwarzającym i potrzebna jest umowa powierzenia.

Administrator może korzystać wyłącznie z podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 1). Wybór dostawcy jest więc częścią ochrony danych, a nie tylko zakupem usługi. Jeśli podmiot przetwarzający sam zacznie ustalać cele i sposoby przetwarzania, w tym zakresie uznaje się go za administratora (art. 28 ust. 10).

Kiedy nie: odrębny administrator i współadministratorzy

Nie każde przekazanie danych to powierzenie. Bank realizujący przelew wynagrodzenia, urząd skarbowy czy ZUS otrzymują dane jako odbiorcy, którzy przetwarzają je we własnych celach i na podstawie własnych obowiązków prawnych. Wytyczne EROD 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego podają przykład kancelarii prawnej reprezentującej klienta w sporze: jest administratorem, bo sama decyduje, jakie informacje wykorzystać. Przy firmach księgowych ocena zależy od tego, czy działają według szczegółowych poleceń klienta, czy wykonują własne zadania ustawowe.

Gdy dwa podmioty wspólnie ustalają cele i sposoby przetwarzania, są współadministratorami (art. 26 ust. 1). Zamiast umowy powierzenia zawierają wtedy wspólne uzgodnienia, które określają zakres odpowiedzialności każdego z nich, a ich zasadniczą treść udostępnia się osobom, których dane dotyczą (art. 26 ust. 2).

Co musi zawierać umowa powierzenia - art. 28 ust. 3 RODO

Umowa określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Ponadto musi stanowić, że podmiot przetwarzający:

• a) przetwarza dane wyłącznie na udokumentowane polecenie administratora, także co do przekazania danych do państwa trzeciego, chyba że obowiązek wynika z prawa - wtedy uprzedza o nim administratora, o ile prawo tego nie zabrania;
• b) zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy albo podlegały ustawowemu obowiązkowi tajemnicy;
• c) podejmuje wszystkie środki wymagane przez art. 32;
• d) przestrzega warunków korzystania z usług dalszego podmiotu przetwarzającego (art. 28 ust. 2 i 4);
• e) w miarę możliwości pomaga administratorowi odpowiadać na żądania osób, których dane dotyczą (rozdział III RODO);
• f) pomaga administratorowi wywiązać się z obowiązków z art. 32-36, czyli bezpieczeństwa, zgłaszania naruszeń i zawiadamiania osób, oceny skutków i uprzednich konsultacji;
• g) po zakończeniu usług, zależnie od decyzji administratora, usuwa albo zwraca wszystkie dane i usuwa ich kopie, chyba że prawo nakazuje ich przechowywanie;
• h) udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty, w tym inspekcje, prowadzone przez administratora lub upoważnionego audytora.

Podmiot przetwarzający musi też niezwłocznie poinformować administratora, jeśli jego zdaniem otrzymane polecenie narusza przepisy o ochronie danych (art. 28 ust. 3 akapit drugi). Warto dopisać, w jakim czasie zgłasza on naruszenie ochrony danych: RODO wymaga, by zrobił to bez zbędnej zwłoki (art. 33 ust. 2), a administrator ma na zgłoszenie do UODO tylko 72 godziny (naruszenie ochrony danych krok po kroku).

Dalsze powierzenie (podpowierzenie)

Podmiot przetwarzający nie może zaangażować kolejnego podmiotu bez uprzedniej szczegółowej albo ogólnej pisemnej zgody administratora (art. 28 ust. 2). Przy zgodzie ogólnej musi informować o zamiarze dodania lub zastąpienia dalszych podmiotów, dając administratorowi możliwość sprzeciwu. Na dalszy podmiot nakłada się te same obowiązki co w umowie głównej, a jeśli on ich nie wykona, pełną odpowiedzialność wobec administratora ponosi pierwotny podmiot przetwarzający (art. 28 ust. 4).

W praktyce dostawca dziennika elektronicznego czy systemu kadrowego niemal zawsze ma podwykonawców - centrum danych, chmurę, pocztę. Poproś o ich listę i sprawdź, czy któryś przetwarza dane poza Europejskim Obszarem Gospodarczym, bo wtedy obowiązują dodatkowe wymogi rozdziału V RODO.

Forma umowy i standardowe klauzule

Umowa lub inny instrument prawny ma formę pisemną, w tym elektroniczną (art. 28 ust. 9). Może być osobnym dokumentem albo częścią umowy głównej. Wielu dostawców udostępnia własne warunki powierzenia akceptowane online - przed akceptacją sprawdź, czy zawierają wszystkie elementy z art. 28 ust. 3.

Komisja Europejska przyjęła standardowe klauzule umowne dla relacji administrator - podmiot przetwarzający decyzją wykonawczą (UE) 2021/915 z 4 czerwca 2021 r. (Dz. Urz. UE L 199 z 7.6.2021, s. 18), na podstawie art. 28 ust. 7 RODO. Umowa może opierać się na nich w całości lub w części (art. 28 ust. 6). To inne klauzule niż te z decyzji 2021/914, dotyczące przekazywania danych do państw trzecich.

Rejestr umów i przegląd

RODO nie wymaga osobnego rejestru umów powierzenia, ale podmioty przetwarzające są odbiorcami, których kategorie wpisuje się do rejestru czynności przetwarzania (art. 30 ust. 1 lit. d). Zestawienie umów z datami zawarcia, zakresem i zgodą na podpowierzenie pozwala wykazać rozliczalność (art. 5 ust. 2) i szybko ustalić, kogo dotyczy naruszenie u dostawcy.

Umowę warto przeglądać okresowo i przy każdej zmianie usługi: czy zakres danych nadal odpowiada rzeczywistości, czy zmienili się podwykonawcy, czy dostawca nadal daje gwarancje z art. 28 ust. 1. Prawo do audytu z art. 28 ust. 3 lit. h służy właśnie temu.

Typowe przypadki w szkołach i gminach

• Dziennik elektroniczny - dostawca systemu przetwarza dane uczniów, rodziców i nauczycieli w imieniu szkoły. Sprawdź, kto jest stroną umowy: szkoła czy organ prowadzący w jej imieniu.
• Obsługa informatyczna - serwisant z dostępem do komputerów i serwerów jest podmiotem przetwarzającym, nawet jeśli tylko naprawia sprzęt.
• Hosting, poczta, strona internetowa - dostawca przechowuje dane na swoich serwerach.
• Kadry i płace - biuro kadrowo-płacowe działające według poleceń jednostki.
• Monitoring wizyjny - firma ochrony lub serwis kamer z dostępem do nagrań (monitoring wizyjny a RODO).
• Niszczenie dokumentów i nośników - firma, która odbiera akta do zniszczenia.

Więcej o dokumentach jednostek samorządowych na stronie RODO i KSC dla gminy.

Jak pomaga Cyberenu

Cyberenu prowadzi rejestr podmiotów przetwarzających: nazwę, rodzaj z katalogu (na przykład biuro rachunkowe lub kadrowo-płacowe, usługi BHP, hosting i poczta, serwis informatyczny, niszczenie dokumentów, ochrona mienia i monitoring), adres, NIP, kontakt i usługi. Do każdego podmiotu przypisuje się umowy z numerem, datą zawarcia, zakresem, zgodą na podpowierzenie, datą przeglądu i skanem. Codziennie sprawdzane są daty przeglądu: gdy do terminu zostaje 30 dni lub mniej, przypomnienie trafia do powiadomień i na pocztę. Z tych danych powstaje rejestr umów powierzenia i wzór umowy powierzenia z danymi administratora, a podmioty pojawiają się jako odbiorcy w rejestrze czynności.

Gdy organizacja sama jest podmiotem przetwarzającym, prowadzi rejestr powierzeń otrzymanych: administratora, numer umowy, daty, kategorie przetwarzań, dalsze podmioty i przekazania poza EOG. Przy SZBI ten sam rejestr obejmuje dostawców ICT z oceną. Więcej na stronie dokumentacji RODO i przez stronę kontaktową.