Source: https://mikroporady.pl/marketing-i-it/item/1249-instrukcja-zawieranie-umowy-o-uslugi-archiwizowania-baz-danych-i-zarzadzania-nimi-w-%E2%80%9Echmurze%E2%80%9D.html
Timestamp: 2018-01-17 03:20:05
Legal References Found: art. 47
 art. 7
 art. 2
 art. 750
 art. 31
 art. 222
 art. 8

Document Content:
Instrukcja: Zawieranie umowy o usługi archiwizowania baz danych i zarządzania nimi w „chmurze” - Mikroporady.pl
Potoczne określenie „chmura” stanowi skrót od tzw. „chmury obliczeniowej” (ang. cloud computing) i oznacza m.in. model przechowywania danych, aplikacji, oprogramowania nie w komputerze lub na serwerze użytkownika lecz poza urządzeniem własnym, lokalną siecią bez obciążania własnych zasobów komputera. Stąd skrót, że dane są w „chmurze”.
Usługi archiwizowania danych w chmurze polegają na przechowywaniu bazy danych za pośrednictwem zewnętrznego operatora umożliwiając przedsiębiorcy dostęp do tej bazy w każdym miejscu na każdym urządzeniu, w dowolnym czasie. Tym samym ułatwia korzystanie z naszych danych i umożliwia korzystanie w wybranym przez nas, dowolnym miejscu. Jednakże musimy mieć dostęp do Internetu, który połączy nas z „chmurą”.
Natomiast zarządzanie bazą danych w chmurze polega na administrowaniu tymi danymi, czyli na ich przetwarzaniu oraz bieżącym tworzeniu tzw. „kopii zapasowych” (backup’ów).
Przedsiębiorco! Zanim zdecydujesz się na skorzystanie z usług archiwizowania danych w chmurze w pierwszej kolejności przeanalizuj zagrożenia związane z tą formą przechowywania baz danych i oszacuj ryzyko z tym związane. Zwracaj również uwagę na to, czy decydujesz się na korzystanie z usług cloud computing na terenie Polski czy też szerzej również UE, a wówczas dostawca usługi zobowiązany jest przestrzegać zasad bezpieczeństwa określonych regulacjami naszego prawa krajowego, jak i obowiązujących w obszarze wspólnotowym. W przypadku natomiast, gdy „chmura” znajduje się poza UE (tzw. państwa trzecie), dostawca usług ma obowiązek stosować procedury bezpieczeństwa w stopniu i zakresie przewidzianym wymogami unijnymi (patrz art. 47 uoodo). Pamiętaj, że lokalizacja danych przechowywanych w chmurze bądź jej zmiana może wynikać nie tylko z tego, gdzie zlokalizowane są serwery samego dostawcy, ale również z tego, że dostawcy często korzystają z podwykonawców, którzy przechowują dane powierzone dostawcy na swoich własnych serwerach. Wskazanym jest zatem, aby w umowie usług cloud computing strony określiły lokalizację serwerów, na których przechowywane (albo przechowywane i przetwarzane) będą dane, w tym dane osobowe. W każdym bowiem przypadku świadczone usługi muszą odpowiadać normom bezpieczeństwa, które ma obowiązek zapewnić dostawca.
Czego wymagają lub co zastrzegają przepisy?
Za stale rozwijająca się technologią nie nadąża nasze prawo. Obecnie brak jest odrębnej regulacji dotyczącej przechowywania, archiwizowania, przetwarzania, czy zarządzania danymi w „chmurze" i ochrony takich danych. Ramy prawne zagadnienia przetwarzania baz danych osobowych w chmurze wyznaczają pośrednio: (i) Dyrektywa o ochronie danych 95/46/WE i oparta na niej (ii) Ustawa z dnia 29 sierpnia 1997 o ochronie danych osobowych(Dz.U.2016.922) (dalej: „uoodo"), (iii) Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (tj. Dz.U. 2016, poz. 1030), (iv) Ustawa z dnia 27 lipca 2001 r. o ochronie baz danych (Dz.U.2001.128.1402), jak również Rozporządzenie Komisji Europejskiej z dnia 7 kwietnia 2004 r. o transferze technologii (WE nr 772/2004) oraz standardy i normy techniczne (patrz dalej poniżej).
Zgodnie z przywołaną Ustawą danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, a osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust 1 i 2 uoodo). Zgodnie z art. 7 pkt 2 uoodo za przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
Zgodnie natomiast z art. 2 pkt 4) ustawy o świadczeniu usług drogą elektroniczną pod pojęciem świadczenia usług drogą elektroniczną rozumie się wykonanie usługi świadczonej bez jednoczesnej obecności stron (na odległość), poprzez przekaz danych na indywidualne żądanie usługobiorcy, przesyłanej i otrzymywanej za pomocą urządzeń do elektronicznego przetwarzania, włącznie z kompresją cyfrową, i przechowywania danych, która jest w całości nadawana, odbierana lub transmitowana za pomocą sieci telekomunikacyjnej w rozumieniu ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (tj. Dz. U. 2016, poz. 1489).
Innymi słowy w zakresie archiwizowania i zarządzania bazami danych zawierających dane osobowe (np. dane klientów) należy stosować reżim Ustawy o ochronie danych osobowych, co rodzi konieczność zapewnienia bezpieczeństwa przetwarzanych danych w chmurze, ze szczególnym uwzględnieniem ochrony danych osobowych, ale również oznacza wymóg spełnienia określonych obowiązków po stronie użytkownika, który w rozumieniu ustawy uoodo jest administratorem danych (patrz dalej poniżej).
Ponadto kwestie zagadnień prywatności i łączności elektronicznej reguluje Dyrektywa 2002/136/WE o prywatności i łączności elektronicznej (zrewidowana Dyrektywą 2009./136/WE). Akt ten dotyczy w głównej mierze przetwarzania danych osobowych w związku z świadczeniem powszechnie dostępnych usług łączności elektronicznej w publicznych sieciach łączności (operatorzy telekomunikacyjni) i tym samym ma zastosowanie, gdy takie usługi są świadczone przy wykorzystaniu technologii przetwarzania w chmurze.
Przedsiębiorco! zanim wybierzesz podmiot, z którym zawrzesz umowę o archiwizowanie baz danych i zarządzania nimi w „chmurze" musisz ustalić, jakie dane zawiera baza danych, która ma zostać zarchiwizowana w chmurze. Jeżeli bowiem wśród tych danych znajdują się dane osobowe, wówczas umowa powinna uwzględniać regulacje uoodo, a w szczególności wymogi dotyczące organizacyjnych i technicznych zasad ochrony i bezpieczeństwa tego rodzaju danych oraz przypisane im odpowiednio obowiązki administratora danych (patrz dalej poniżej) !
Na co zwracać uwagę zawierając umowę archiwizowania baz danych i zarządzania nimi
Umowa archiwizowania baz danych i zarządzania nimi w chmurze jak to zostało wyżej wskazane nie doczekała się odrębnej regulacji prawnej. Jest to umowa nienazwana o świadczenie usług, o charakterze mieszanym, wobec tego zgodnie z art. 750 Kodeksu cywilnego odpowiednie zastosowanie do niej zastosowanie znajdą przepisy Kodeksu cywilnego dotyczące umowy zlecenia. Na gruncie k.c. jest to umowa starannego działania, wzajemna, konsensualna i odpłatna. Przedmiotem tej umowy jest świadczenie przez jedną stronę umowy (usługodawcę) konkretnej usługi polegającej albo na udostępnieniu aplikacji (SaaS), platformy (PaaS) lub infrastruktury (IaaS) służącej do archiwizowania bazy danych, przy jednoczesnym zarządzaniu tą bazą, podczas gdy druga strona za wynagrodzeniem korzysta z określonych w umowie usług i wypracowanych rozwiązań polegających na archiwizacji baz danych i zarządzaniu nimi przez usługodawcę. Zgodnie z art. 31 uoodo umowa o powierzenie przetwarzania danych osobowych musi również określać cel i zakres przetwarzania danych.
Standardowe zapisy umowne, na jakie warto zwrócić uwagę, to m.in. oświadczenia i zapewnienia dostawcy o spełnieniu norm przepisanych obowiązującym prawem, czas trwania umowy, możliwość i warunki wypowiedzenie umowy, a także tryb i zasady postępowania z danymi „nieużytecznymi” na wypadek zakończenia umowy, ich zniszczenia (trwałego usunięcia), kary umowne w przypadku „wycieku” danych, cena za świadczone usługi, ochrona danych, zasady dostępu, klauzule regulujące poziom bezpieczeństwa danych oraz metody ich ochrony, odpowiedzialność odszkodowawcza za niezgodne z umową działanie platformy i kary umowne, sposób i zasady wsparcia technicznego. Zgodnie z art. 222 k.c. właściciel rzeczy – a więc tu również danych – ma prawo żądać od osoby władającej tą rzeczą do jej wydania. Trzeba jednak pamiętać, że umowa powinna wyraźnie przewidywać i gwarantować możliwość dostępu do danych umieszczonych w „chmurze”, co w praktyce może być istotne zwłaszcza w przypadkach zmiany dostawcy.
Do innych warunków związanych z przedmiotem umowy z punktu widzenia jej przedmiotu zaliczyć można m.in. obowiązki stron umowy, odpowiedzialność, parametry archiwizacji danych oraz prawo właściwe i właściwość sądów, regulacje związane z prawem autorskim (udzielanie licencji), szczególnej ochrony danych dotyczących tajemnicy przedsiębiorcy (know-how), odpowiedzialność usługodawcy za utrudniania w dostępie do danych, odpowiedzialność za udostępnienie danych osobom trzecim, określenie osób uprawnionych do dostępu do przechowywanych danych.
Należy mieć również na uwadze, że umowy cloud computing w praktyce często są powiązane z regulaminem świadczenia tego rodzaju usług przez dostawcę. Wynika to z regulacji art. 8 ustawy o świadczeniu usług drogą elektroniczną, zgodnie z którym dostawca jako podmiot zawodowo świadczący usługi drogą elektroniczną ma obowiązek określania zasad ich świadczenia w regulaminie, w którym określa się obligatoryjnie m.in.
Poniżej przedstawione zostały kluczowe elementy, na które należy zwrócić uwagę zawierając umowę archiwizowania baz danych i zarządzania nimi w „chmurze”.