Firma korzystająca z zewnętrznego biura księgowego przekazuje mu dane pracowników do obsługi kadrowo-płacowej, zakładając, że sama umowa o świadczenie usług wystarczy do uregulowania tej współpracy. Tymczasem przekazanie danych osobowych podmiotowi zewnętrznemu rządzi się odrębnymi zasadami i wymaga zawarcia dodatkowej umowy, niezależnie od tego, czy współpraca dotyczy księgowości, hostingu czy obsługi marketingowej. Właśnie w takich sytuacjach ochrona danych osobowych przestaje być tematem teoretycznym i zaczyna wpływać bezpośrednio na codzienne relacje biznesowe firmy z jej kontrahentami. Poniższy tekst wyjaśnia, czym różni się powierzenie przetwarzania danych od zwykłego udostępnienia, jakie elementy musi zawierać taka umowa oraz jakie ryzyko wiąże się z jej pominięciem.
Powierzenie przetwarzania a udostępnienie danych – podstawowa różnica
Powierzenie przetwarzania danych osobowych zachodzi wtedy, gdy jeden podmiot przetwarza dane w imieniu i na rzecz drugiego, działając wyłącznie w granicach wyznaczonych przez administratora. Sytuacja ta różni się od udostępnienia danych, gdzie odbiorca zaczyna przetwarzać dane we własnym celu i na własną odpowiedzialność, na przykład gdy firma przekazuje dane klienta kurierowi realizującemu dostawę. Rozróżnienie to ma istotne znaczenie prawne, ponieważ powierzenie wymaga zawarcia odrębnej umowy określającej zakres i sposób przetwarzania danych przez podmiot przetwarzający. Pomylenie tych dwóch konstrukcji bywa częstym błędem popełnianym przez firmy współpracujące z licznymi podwykonawcami.
Kiedy zawarcie umowy powierzenia staje się obowiązkowe?
Obowiązek zawarcia umowy powierzenia pojawia się praktycznie zawsze, gdy firma korzysta z usług podmiotu zewnętrznego mającego dostęp do danych osobowych jej klientów lub pracowników. Do typowych sytuacji wymagających takiej umowy należą:
- korzystanie z zewnętrznego biura rachunkowego obsługującego kadry i płace;
- przechowywanie danych na serwerach firmy hostingowej lub w chmurze obliczeniowej;
- zlecenie obsługi marketingowej agencji zewnętrznej mającej dostęp do bazy klientów;
- korzystanie z systemu CRM lub innego narzędzia informatycznego dostarczanego przez firmę trzecią.
W każdym z tych przypadków administrator danych pozostaje odpowiedzialny za ich prawidłowe przetwarzanie, nawet jeśli faktyczne czynności wykonuje podmiot zewnętrzny działający na jego zlecenie.
Co powinna zawierać umowa powierzenia przetwarzania?
Przepisy RODO precyzują minimalny zakres elementów, jakie musi zawierać umowa regulująca powierzenie przetwarzania danych osobowych. Dokument taki powinien określać przedmiot i czas trwania przetwarzania, charakter oraz cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora. Umowa musi ponadto zobowiązywać podmiot przetwarzający do stosowania odpowiednich środków bezpieczeństwa oraz do pomocy administratorowi w wywiązywaniu się z obowiązków wynikających z przepisów, na przykład w razie zgłoszonego naruszenia.
Jakie ryzyko wiąże się z brakiem takiej umowy?
Brak umowy powierzenia, mimo że w praktyce dochodzi do przetwarzania danych przez podmiot zewnętrzny, stanowi samodzielne naruszenie przepisów o ochronie danych osobowych, niezależnie od tego, czy w wyniku takiej współpracy doszło do jakiegokolwiek incydentu bezpieczeństwa. Poniższa tabela pokazuje, jak różnią się konsekwencje w zależności od charakteru stwierdzonego uchybienia.
| Rodzaj uchybienia | Możliwe konsekwencje |
|---|---|
| brak umowy powierzenia przy współpracy z podwykonawcą | nakaz jej zawarcia oraz ryzyko kary finansowej w razie kontroli |
| niepełna treść umowy powierzenia | konieczność jej uzupełnienia zgodnie z wymogami RODO |
| naruszenie danych przez podwykonawcę bez odpowiednich zabezpieczeń | odpowiedzialność administratora za wybór niewłaściwego podmiotu przetwarzającego |
Odpowiedzialność za prawidłowe przetwarzanie danych spoczywa na administratorze nawet wtedy, gdy do naruszenia doszło po stronie podwykonawcy, dlatego wybór partnera biznesowego mającego dostęp do danych osobowych warto poprzedzić weryfikacją jego standardów bezpieczeństwa.
Jak zweryfikować podwykonawcę przed powierzeniem mu danych?
Zanim firma podpisze umowę z nowym dostawcą usług, warto sprawdzić, czy dysponuje on odpowiednimi środkami technicznymi i organizacyjnymi gwarantującymi bezpieczeństwo przetwarzanych danych. Praktyczną wskazówką bywa poproszenie potencjalnego podwykonawcy o przedstawienie własnej polityki bezpieczeństwa albo informacji o wcześniejszych audytach zgodności z RODO, co pozwala ocenić poziom dojrzałości organizacyjnej takiego partnera jeszcze przed rozpoczęciem współpracy. Więcej informacji o zakresie takiej obsługi prawnej można znaleźć na stronie jdpl-law.pl, gdzie opisano poszczególne obszary tej praktyki.
Co warto zapamiętać, powierzając dane podmiotom zewnętrznym?
Współpraca z podwykonawcami mającymi dostęp do danych osobowych klientów lub pracowników wymaga uregulowania tej relacji odrębną umową, niezależnie od tego, jak długo firmy współpracują ze sobą na innych polach. Regularny przegląd zawartych umów powierzenia oraz weryfikacja, czy podwykonawcy nadal spełniają wymagane standardy bezpieczeństwa, pozwalają uniknąć sytuacji, w której administrator odpowiada za zaniedbania podmiotu, na którego dobór nie miał już bezpośredniego wpływu. Znajomość zasad rządzących powierzeniem przetwarzania danych przydaje się każdej firmie korzystającej z usług zewnętrznych dostawców, niezależnie od skali prowadzonej działalności.