Znany już wszystkim skrót RODO – czyli rozporządzenie o ochronie danych osobowych niesie za sobą liczne obowiązki dla przedsiębiorców. Jednym z istotnych elementów w tym zakresie jest umowa powierzenia przetwarzania danych osobowych.
W artykule odpowiadam:
- kto powinien ją zawrzeć,
- kiedy taka umowa jest wymagana,
- co powinno się w niej znaleźć.
Kto powinien zawrzeć umowę o powierzeniu przetwarzania danych osobowych?
Stronami umowy będzie administrator oraz przetwarzający.
Ty jako przedsiębiorca, który zbiera dane (swoich klientów czy pracowników) – jesteś administratorem. Przetwarzającym jest natomiast podmiot, któremu powierzysz dane tych osób.
Kiedy musisz zawrzeć umowę powierzenia danych osobowych?
Umowę powierzenia danych osobowych musisz zawrzeć z każdym podmiotem, który przetwarza dane osobowe innych osób w Twoim imieniu – czyli jest przetwarzającym. Mówiąc prościej, jeśli Twoim klientem jest Jan Kowalski i celem wykonania swojej usługi jego dane udostępniasz komuś innemu – musisz zawrzeć tego rodzaju umowę.
W praktyce może to wyglądać następująco:
- Korzystasz z usług biura rachunkowego, które przetwarza dane osobowe Twoich pracowników;
- Zatrudniasz agencję marketingową do prowadzenia kampanii mailingowych z użyciem Twojej bazy danych;
- Używasz systemu CRM do zarządzania danymi klientów.
Co musi zawierać umowa powierzenia przetwarzania danych?
Zgodnie z art. 28 ust. 3 RODO, umowa powierzenia musi zawierać konkretne elementy. Oto najważniejsze z nich:
- Przedmiot i czas trwania przetwarzania – przedmiot jak i czas przetwarzania związane są ściśle z przedmiotem i okresem umowy głównej łączącej administratora i przetwarzającego,
- Charakter i cel przetwarzania – w umowie należy uwzględniać po co powierzamy dane przetwarzającemu oraz w jaki sposób będzie przebiegało niniejsze przetwarzanie (przechowywanie, przesyłanie, analiza itp.)
- Rodzaj danych osobowych i kategorie osób, których dane dotyczą – umowa powinna uwzględniać jakie dane, zgodnie z podziałem z art. 4 ust. 1 RODO, będą przetwarzane w związku z jej wykonywaniem; np. dane kontaktowe, numery PESEL, adresy poczty elektronicznej,
- Obowiązki i prawa administratora – obowiązki administratora w ramach tego rodzaju umowy sprowadzają się do przekazywania danych i potrzebnych informacji, prawa natomiast mogą być związane z kontrola realizacją obowiązków przez przetwarzającego,
- Obowiązki przetwarzającego
Zgodnie z RODO przetwarzający powinien przede wszystkim:
- przetwarzać dane tylko na udokumentowane polecenie administratora,
- zapewnić zachowanie danych w tajemnicy przez osoby upoważnione do ich przetwarzania,
- zapewnić bezpieczeństwo przetwarzania danych zgodnie z RODO (środki techniczne i organizacyjne),
- pomóc administratorowi w realizacji obowiązków wobec osób, których dane dotyczą (np. żądania dostępu, usunięcia, przeniesienia),
- usunąć lub zwrócić dane po zakończeniu współpracy,
WAŻNE: Jeśli strony przewidują, że przetwarzający będzie mógł również powierzyć wykonywanie obowiązków z zawartej umowy głównej podwykonawcom, w umowie o przetwarzanie danych należy uwzględnić również możliwość i zasady podpowierzenia przetwarzania;
Forma umowy o powierzenia danych
Zgodnie z rozporządzeniem umowa tego rodzaju musi mieć formę pisemną – oznacza to, że może być zawarta w formie papierowej, z odręcznym podpisem bądź też w formie elektronicznej z podpisem elektronicznym.
Co grozi za brak umowy powierzenia?
Brak umowy powierzenia w sytuacji, gdy jest ona wymagana, to naruszenie przepisów RODO, które może skutkować nałożeniem kary finansowej przez Prezesa Urzędu Ochrony Danych Osobowych jak i cywilną odpowiedzialnością wobec osób, której dane zostały bezprawnie udostępnione.
Podsumowanie
Właściwa umowa powierzenia przetwarzania danych osobowych zapewnia bezpieczeństwo nie tylko Twoim klientom, ale również Tobie jako administratorowi.
Jeśli przekazujesz dane innemu podmiotowi do przetwarzania, upewnij się, że:
- zawarłeś z nim ważną i zgodną z RODO umowę,
- umowa zawiera wszystkie wymagane elementy,
- nadzorujesz, jak podmiot przetwarza powierzone dane.
Chcesz mieć pewność, że Twoje umowy powierzenia przetwarzania danych są zgodne z prawem? Napisz do mnie – jako prawnik bardzo chętnie rzucę na nie okiem, a Ty zyskasz pewność, że działasz legalnie, a w razie kontroli RODO nic Cię nie zaskoczy.
