Powierzenie przetwarzania danych na co dzień: kiedy potrzebna jest umowa?

Rozgraniczenie, przykłady z praktyki i typowe błędy

W wielu firmach współpraca z zewnętrznymi usługodawcami odbywa się jakby mimochodem. Stroną internetową zajmuje się agencja, narzędzie w chmurze przechowuje dane klientów, a firma informatyczna ma regularny dostęp do systemów i skrzynek pocztowych. Z punktu widzenia ochrony danych często umyka przy tym jedna kwestia: umowa powierzenia przetwarzania danych.

Nierzadko takiej umowy w ogóle brakuje, choć dane osobowe od dawna przetwarzają zewnętrzni dostawcy. Często nikt nie zdaje sobie nawet sprawy, że istnieje tu jakikolwiek obowiązek wynikający z przepisów o ochronie danych.

RODO wymaga bowiem takiej analizy nie tylko przy dużych projektach czy szczególnie wrażliwych przypadkach. Już codzienne procesy biznesowe mogą stanowić powierzenie przetwarzania danych, a tym samym wymagać zawarcia umowy powierzenia.

Z naszej praktyki doradczej wynika, że właśnie te „codzienne” sytuacje są szczególnie często przeoczane – czasem z poważnymi skutkami prawnymi i organizacyjnymi.

Czym w ogóle jest powierzenie przetwarzania danych?

O powierzeniu przetwarzania danych mówimy wtedy, gdy zewnętrzny usługodawca przetwarza dane osobowe w imieniu firmy i zgodnie z jej poleceniami.

Kluczowe jest przy tym to, że usługodawca nie decyduje sam o celach i sposobach przetwarzania, lecz działa wyłącznie na rzecz zlecającej firmy.

Podstawę prawną stanowi art. 28 RODO. Przepis ten jasno stanowi, że taka współpraca jest dopuszczalna wyłącznie na podstawie odpowiedniej umowy.

Dla firm oznacza to w praktyce: gdy tylko usługodawca zostaje włączony w przetwarzanie danych osobowych, należy odpowiednio wcześnie sprawdzić, czy działa on na polecenie firmy, a tym samym czy istnieje obowiązek zawarcia umowy powierzenia przetwarzania danych.

Kiedy konieczne jest zawarcie umowy

Umowa powierzenia przetwarzania danych jest potrzebna zawsze wtedy, gdy usługodawca nie tylko przypadkowo styka się z danymi osobowymi, lecz faktycznie przetwarza je na rzecz firmy.

Typowymi przykładami są:

W takich przypadkach zwykła umowa o świadczenie usług nie wystarczy. Bez umowy powierzenia brakuje kluczowej podstawy z punktu widzenia ochrony danych.

W praktyce oznacza to, że nawet wieloletnią współpracę z usługodawcami należy regularnie weryfikować pod kątem tego, czy jej kwalifikacja na gruncie przepisów o ochronie danych jest nadal prawidłowa. Zwłaszcza w rozbudowywanych przez lata strukturach IT często powstają tu niezauważone luki.

Kiedy umowa powierzenia nie jest potrzebna

Typowe błędy w praktyce

Najczęstszym błędem nie jest zbędna umowa, lecz całkowity brak umowy powierzenia. Wiele firm od lat korzysta z zewnętrznych dostawców oprogramowania, agencji internetowych czy rozwiązań chmurowych, nigdy nie sprawdziwszy, czy dochodzi do powierzenia przetwarzania danych.
Szczególnie często dotyczy to struktur rozbudowywanych latami. Wdrażano nowe systemy, zmieniano dostawców i rozszerzano procesy, nie aktualizując przy tym umów dotyczących ochrony danych. Najpóźniej podczas kontroli organu nadzorczego lub po naruszeniu ochrony danych osobowych ta luka wychodzi na jaw.

Wtedy szybko okazuje się, że brakuje nie tylko umowy, ale często także dokumentacji, weryfikacji usługodawcy i umownego zabezpieczenia technicznych środków ochrony.

Praktyka regularnie pokazuje, że powierzenia przetwarzania danych nie można rozpatrywać w oderwaniu od reszty. Brakującym umowom często towarzyszą inne braki, np. w weryfikacji usługodawców, dokumentacji w rejestrze czynności przetwarzania czy wdrożeniu środków technicznych i organizacyjnych.

Co firmy powinny zrobić teraz

Pierwszym krokiem jest rzetelna inwentaryzacja. Dopiero na jej podstawie można trafnie ocenić, gdzie rzeczywiście trzeba działać.

Równie ważna jest jakość istniejących umów. Wiele umów powierzenia jest nieaktualnych, sformułowanych zbyt ogólnie lub w niewystarczającym stopniu uwzględnia aktualne wymogi, takie jak przekazywanie danych do państw trzecich, podprzetwarzanie (dalsze podmioty przetwarzające) czy techniczne środki ochrony.

Sam podpis pod umową nie wystarczy. Również faktyczna współpraca musi być zorganizowana zgodnie z przepisami o ochronie danych.

Zwłaszcza w strukturach rozbudowywanych latami często brakuje pełnego obrazu sytuacji. Dopiero systematyczna analiza pokazuje, którzy usługodawcy faktycznie przetwarzają dane w ramach powierzenia i gdzie trzeba podjąć działania.

Z perspektywy doradczej zalecamy uporządkowane podejście: najpierw należy sporządzić pełną listę wszystkich usługodawców. Następnie dokonuje się kwalifikacji prawnej z punktu widzenia ochrony danych i weryfikuje istniejące umowy. Dopiero na tej podstawie można ustalić priorytety działań i sprawnie je wdrożyć.

Wczesna kwalifikacja prawna z punktu widzenia ochrony danych pomaga uniknąć zbędnego ryzyka i zapewnić zgodność istniejących procesów z prawem. Często już uporządkowana analiza pozwala szybko i pragmatycznie rozwiać wiele wątpliwości.

Podsumowanie

Powierzenie przetwarzania danych należy do tematów, które w codziennej działalności firm często po cichu umykają uwadze. Nie dlatego, że firmy świadomie z niego rezygnują, lecz dlatego, że wiele z nich w ogóle nie wie, że umowa powierzenia jest potrzebna. Właśnie dlatego warto przyjrzeć się z bliska współpracującym usługodawcom i procesom.

Dla firm oznacza to w praktyce: weryfikacja usługodawców nie powinna być jednorazowym działaniem, lecz stałym elementem skutecznego zarządzania ochroną danych.

Kto sprawdza to wcześnie – samodzielnie lub z pomocą ekspertów – jasno określa zakresy odpowiedzialności, ogranicza ryzyko odpowiedzialności prawnej i unika nieprzyjemnych niespodzianek podczas kontroli lub incydentów.

Często dopiero uporządkowana inwentaryzacja pokazuje, ile luk w ochronie danych powstało już w codziennej działalności. Właśnie od tego zaczyna się skuteczne i praktyczne zarządzanie ochroną danych.

Z naszego doświadczenia wynika, że już uporządkowana wstępna analiza zapewnia dużą przejrzystość i szybko ujawnia istniejące ryzyka. Właśnie w tym miejscu zaczyna działać skuteczne i praktyczne zarządzanie ochroną danych.