Source: http://piszumowy.pl/umowa-powierzenia-przetwarzania-danych-osobowych-kiedy-i-jak/
Timestamp: 2019-09-23 13:54:51
Legal References Found: art. 83

art. 4

art. 4

art. 4

art. 28

art. 30

Document Content:
Umowa powierzenia przetwarzania danych osobowych - kiedy i jak? Wzór umowy! WZÓR
„Na początku był chaos”, mawiali starożytni Grecy, a potem powstało RODO i było już tylko gorzej. Ahhh… RODO. Mój osobisty top jeśli chodzi o kandydatów na zwycięzcę w konkursie „Słowo Roku 2018”, a już na pewno pretendent do miana najbardziej niezrozumianego aktu prawnego w ostatnich latach. Okrzyknięte „rewolucją” zmiany sparaliżowały działalność administracyjną wielu przedsiębiorstw. Stały się przy tym przedmiotem szkoleń (notabene prowadzonych często przez umiarkowanie kompetentne osoby), artykułów i, oczywiście, internetowych memów. Dziś bohaterką naszego tekstu będzie jedna z kwestii spędzających sen z powiek administratorów – umowa powierzenia przetwarzania danych osobowych.
Na końcu wpisu znajdziesz też link do pobrania wzoru umowy powierzenia przetwarzania danych osobowych.
Już na wstępie powiedzmy sobie otwarcie – umowa powierzenia nie jest żadną nowością. W 1997 roku, gdy weszła w życie ustawa o ochronie danych osobowych, ustawodawca przewidział możliwość powierzenia przetwarzania danych tylko w drodze umowy zawieranej na piśmie. Co więcej, wskazano także, że zakres przetwarzania powierzonych danych osobowych nie może wykraczać poza to, co strony w takiej umowie ustaliły. RODO jedynie określiło bardziej szczegółowo treść i zakres umowy – o czym w dalszej części tekstu. Tak naprawdę więc umowa powierzenia przetwarzania danych osobowych powinna być zawierana w większości przypadków, gdy współpraca pomiędzy przedsiębiorcami wymagała przetwarzania danych osobowych już od 1997 roku.
Jeśli nie zawierałeś umów powierzenia pod rządami poprzedniej ustawy, to łamałeś prawo dokładnie tak samo, jak robisz to dziś jeśli ich nie zawierasz. Co więc sprawiło, że umowa powierzenia stała się drugą lub trzecią frazą wpisywaną w Google w kontekście umów w ogóle? Oczywiście sankcja. Ustawodawca unijny był uprzejmy zagrozić karą w wysokości nawet 20 mln EURO lub 4% rocznego, światowego obrotu. 1 To, zaskoczeń nie będzie, zadziałało na wyobraźnię przedsiębiorców. Niestety, rozpoczęło też irracjonalny pęd, w którym „na wszelki wypadek” masowo zawiera się umowy powierzenia w sytuacjach, gdy są one po prostu zbędne.
Zacznijmy od podstaw – czyli o czym w ogóle mówimy. Umowa powierzenia przetwarzania danych osobowych to dokument regulujący sposób działania podmiotu przetwarzającego dane w imieniu administratora. RODO określa bardzo dokładnie to, co w takiej umowie powinno się znaleźć, ale o tym za chwilę. Wątpliwości budzi bowiem to, kto i kiedy powinien ją zawrzeć.
Dostęp do danych osobowych a ich przetwarzanie
W praktyce często spotykaną sytuacją jest ta, w której osoba świadcząca usługi na rzecz administratora uzyskuje dostęp do danych osobowych, których w zasadzie do wykonania swoich zadań nie potrzebuje. Dzieje się tak m.in. w sytuacjach prowadzenia prac na serwerach, w systemach IT administratorów czy tworzenia statystyk. Czy w takiej sytuacji powinna zostać zawarta umowa powierzenia przetwarzania danych osobowych?
Odpowiedź brzmi NIE. Wielu przedsiębiorców będzie jednak próbowało namówić osoby, które takie usługi świadczą na jej podpisanie by mieć tzw. „tyłkochron” :). Umowa powierzenia powinna być zawierana wtedy, gdy dochodzi do przetwarzania danych osobowych. Rozporządzenie wskazuje wprost, że przetwarzanie to „operacja lub zestaw operacji” na danych osobowych (…).2 Dostęp, bez podejmowania wobec danych innych czynności, operacją, póki co nie jest, w związku z czym ta forma regulacji nie będzie właściwa.
Nie znaczy to jednak, że taką sprawę powinno się zostawić bez żadnego porozumienia. Udzielenie dostępu do systemu, w którym znajdują się dane osobowe, wiąże się dla administratora z dużym ryzykiem, przed którym powinien się zabezpieczyć. Nie ma jednak konieczności zawierania umowy powierzenia w rozumieniu RODO. W zupełności wystarczająca będzie krótka umowa o poufności lub punkt dotyczący poufności danych w umowie o współpracy.
Stronami umowy powierzenia przetwarzania danych osobowych muszą być administrator oraz podmiot przetwarzający (procesor). Zupełnie inaczej wyglądać będzie porozumienie pomiędzy współadministratorami lub kiedy dochodzi do udostępnienia przez administratora danych osobowych drugiemu administratorowi! Kluczowe jest więc określenie roli procesora w procesie przetwarzania danych osobowych.
Administratorem jest podmiot, który decyduje samodzielnie lub wspólnie z innymi administratorami o celach lub sposobach przetwarzania danych osobowych.3
Procesorem jest podmiot, który przetwarza dane osobowe w imieniu administratora.4
Tym samym, mówiąc w uproszczeniu, podmiotem przetwarzającym jest osoba, która otrzymuje od administratora dane osobowe z wyraźnym poleceniem ich przetwarzania w określonym zakresie i celu. Procesor może podejmować decyzje co do sposobu przetwarzania danych osobowych, ale tylko w takim zakresie, w jakim prawo to przyzna mu administrator. Mówiąc wprost – nie może z danymi zrobić niczego na własną rękę.
Tylko w takim przypadku umowa powierzenia przetwarzania danych osobowych będzie dokumentem właściwym.
Co musi się znaleźć w umowie powierzenia?
W treści umowy powierzenia muszą znaleźć się określone w rozporządzeniu elementy. Umowa musi mieć formę pisemną (w tym elektroniczną tj. opatrzoną kwalifikowanym podpisem elektronicznym) i określać:
– przedmiot i czas trwania przetwarzania – czyli co jest przedmiotem głównej umowy i jak długo będzie trwało jej wykonywanie,
– charakter i cel przetwarzania – określenie po co i jak dane będą przetwarzane,
– rodzaj danych osobowych oraz kategorie osób, których dane dotyczą – określenie jakie i czyje dane osobowe będą przetwarzane,
– obowiązki i prawa administratora. 5
Ponadto obowiązkowo umowa musi stanowić, iż procesor :
a) przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora;
b) zapewnia, by osoby upoważnione do przetwarzania danych osobowych były zobowiązane do zachowania tajemnicy ;
c) podejmuje wszelkie środki wymagane przez przepisy dot. zapewnienia bezpieczeństwa danych osobowych;
d) przestrzega warunków korzystania z usług podprocesora;
e) w miarę możliwości pomaga administratorowi wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą;
f) pomaga administratorowi wywiązać się z obowiązków dot. bezpieczeństwa danych i oceny skutków dla ochrony danych;
g) po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie;
Konsekwencje niezawarcia umowy powierzenia
Niezawarcie umowy powierzenia nie sprawia, że podmiot przetwarzający nie jest procesorem i że nie musi przestrzegać zapisów RODO. Jego obowiązkiem nadal jest prowadzenie rejestru kategorii czynności przetwarzania danych osobowych,6 powierzanie czynności tylko swoim upoważnionym pracownikom oraz zapewnienie danym poufności itd. Na polu stosunków między administratorem a procesorem niezawarcie umowy na piśmie niczego nie zmienia.
Przede wszystkim niezawieranie umowy powierzenia, gdy jest ona konieczna, może jednak stanowić podstawę do nałożenia administracyjnej kary pieniężnej. Oczywiście, nie spodziewałbym się kar z górnej półki — niemniej zagrożenie jest realne. Ponadto niezawarcie umowy powierzenia może prowadzić do problemów z kontrolą nad przetwarzaniem danych przez administratora. Nieuregulowanie kwestii audytu, brak zapewnienia wsparcia w realizacji obowiązków wynikających z RODO ze strony procesora, brak zapewnienia usunięcia danych po zakończeniu współpracy, problemy dowodowe przed sądem… Wszystko to może rzutować na kłopoty administratora z kontrolą nad danymi osobowymi, za które odpowiada.
Umowa powierzenia przetwarzania danych osobowych stała się stałym elementem prawniczego repertuaru w umowach w biznesie. Czy to dobrze? Zdania są podzielone, niemniej jednak podejmowanie polemiki to jedno, a bezpieczeństwo w biznesie to drugie. Dlatego koniecznie powinieneś czym prędzej zawrzeć umowy powierzenia ze wszystkimi podmiotami, z którymi jest to konieczne. Nie popadaj jednak w RODO-paranoję. Nie musisz tego robić zawsze, gdy podejmujesz z kimś jakąkolwiek współpracę, a tylko wtedy, gdy jesteś procesorem lub zlecasz podmiotowi przetwarzającemu prowadzenie operacji z wykorzystaniem danych osobowych.
Masz jakieś pytania? Zapraszam do pytania w komentarzu lub w zakładce Kontakt.
Potrzebujesz wzoru umowy powierzenia? Kliknij poniżej i pobierz za darmo!
Post Scriptum – no to w sumie kiedy? SPIS UMÓW
Tak, wiem, czekaliście na to, aż napiszę w końcu KIEDY. No to macie 🙂 Dokładnego spisu umów podać nie sposób, ale można wypisać przykładowe porozumienia, w przypadku których będzie to niezbędne. Będzie to m.in. umowa :
obsługi księgowości;
z zewnętrznym archiwum;
o zarządzanie spółką/przedsiębiorstwem (tzw. kontrakt managerski) etc.;
świadczenia usług ochrony mienia (zwłaszcza, gdy dochodzi monitoring);
o świadczenie usług w zakresie BHP;
świadczenia usług handlowych, z call center, agencyjne i inne związane z pozyskiwaniem i obsługą klienta (takie jak np. o obsługę reklamacji);
świadczenie usług marketingowych z wykorzystaniem danych osobowych (np. wysyłka newslettera);
o audyt księgowy, informatyczny;
serwisowe w zakresie systemów IT (zwłaszcza księgowych, kadrowych lub CRM);
świadczenia usług windykacyjnych;
obsługi w zakresie Inspektora Ochrony Danych Osobowych;
o świadczenie usług szkoleniowych;
o świadczenie usług wysyłki towarów z zewnętrznego magazynu (dla e-commerce)
UWAGA – wszystkie te umowy dotyczą zewnętrznych podmiotów świadczących usługi, a nie pracowników Twojego przedsiębiorstwa. W ich przypadku stosuje się innego rodzaju środki określone w przepisach prawa pracy – o tym w innym tekście.
Sporna jest także kwestia niezbędności umowy powierzenia w umowach o obsługę prawną z adwokatami lub radcami prawnymi. Wydaje się być słusznym stanowisko, że umowa powierzenia nie będzie w tym przypadku konieczna. Prawnicy zawodowi są zobowiązani do zachowania w tajemnicy wszystkiego, o czym się dowiedzieli świadcząc pomoc prawną na podstawie odrębnych przepisów. Ponadto pojawiają się uzasadnione wątpliwości co do prawa kogokolwiek do poddania np. biura radcy prawnego lub adwokata audytowi przez jakąkolwiek osobę z zewnątrz (w związku z wspomnianymi przepisami o konieczności zachowania poufności).
To chyba wszystko, co mi przychodzi do głowy. Jeśli macie wątpliwości – pytajcie!
art. 83 RODO
art. 4 pkt 2 RODO
art. 4 pkt 7 RODO
art. 4 pkt 8 RODO
art. 28 RODO w całości
art. 30 ust. 2 RODO
Tags: ochrona danych osobowych, rodo, Umowa, umowa na piśmie, umowa powierzenia, umowa powierzenia przetwarzania danych osobowych