Umowa powierzenia przetwarzania danych – kiedy jest potrzebna i co powinna zawierać?
Zewnętrzna księgowość, hosting, system do obsługi klientów czy firma archiwizująca dokumenty mogą ułatwiać prowadzenie działalności. Często oznaczają jednak, że dane pracowników lub klientów trafiają do innego podmiotu. Wtedy pojawia się pytanie: czy potrzebna jest umowa powierzenia przetwarzania danych?
Umowa powierzenia jest potrzebna, gdy odrębny podmiot przetwarza dane osobowe w imieniu administratora. Nie każde przekazanie danych tworzy taką relację. Przed podpisaniem dokumentu trzeba ustalić, kto decyduje o celu przetwarzania, jakie zadania wykonuje usługodawca i czy może wykorzystywać informacje do własnych celów. Poniżej wyjaśniamy, jak to ocenić i co sprawdzić w umowie.
Najważniejsze informacje:
O powierzeniu decyduje rzeczywisty sposób współpracy, a nie nazwa dokumentu.
Wymagane postanowienia można zawrzeć w osobnej umowie, załączniku lub umowie o świadczenie usług.
Umowa musi obejmować wymagania art. 28 RODO oraz konkretnie opisywać przetwarzanie.
Sam podpis nie zastępuje sprawdzenia dostawcy i stosowanych zabezpieczeń.
Należy ustalić zasady korzystania z podwykonawców, zgłaszania naruszeń oraz zwrotu lub usunięcia danych.
SALVO IURE
Dostawca przesłał Ci umowę powierzenia do podpisania?
Przed jej zaakceptowaniem warto sprawdzić role stron, zakres danych oraz obowiązki wykonawcy. SALVO IURE wspiera firmy i instytucje w analizie umów i dokumentacji ochrony danych.
Spis treści
Czym jest umowa powierzenia przetwarzania danych?
Umowa powierzenia określa warunki, na jakich usługodawca może wykonywać operacje na danych osobowych w imieniu administratora. Administrator ustala cele i sposoby przetwarzania. Podmiot przetwarzający, nazywany również procesorem, realizuje powierzone czynności na jego rzecz. Podstawą tego rozróżnienia są art. 4 pkt 7 i 8 RODO, a wymagania dotyczące współpracy określa art. 28. RODO – tekst udostępniony przez UODO.
Przykładowo pracodawca decyduje, że dane zatrudnionych są wykorzystywane do rozliczania wynagrodzeń. Zewnętrzna firma przygotowuje listy płac według przekazanych informacji i poleceń. W tym zakresie może działać jako podmiot przetwarzający.
Powierzenie nie oznacza przeniesienia całej odpowiedzialności na wykonawcę. Administrator nadal odpowiada za własne obowiązki, w tym legalność przetwarzania, dobór usługodawcy i rozliczalność. Procesor ma natomiast obowiązki wynikające bezpośrednio z RODO i z zawartej umowy.
Europejska Rada Ochrony Danych podkreśla, że role stron wynikają z faktycznych okoliczności. Nazwanie wykonawcy „procesorem” nie przesądza o jego statusie, jeżeli samodzielnie ustala cele przetwarzania. Umowa powinna odzwierciedlać sposób działania stron. Wytyczne EROD 07/2020.
Kiedy umowa powierzenia jest potrzebna? Praktyczne przykłady
Najpierw opisz usługę: co wykonawca ma zrobić z danymi, czy działa na Twoje polecenie i czy realizuje własne cele. Taką analizę należy przeprowadzić dla konkretnych czynności, ponieważ jeden kontrahent może występować w różnych rolach.
Poniższe przykłady pokazują typowe sytuacje wymagające oceny w świetle art. 4 i 28 RODO.
| Usługa | Kiedy występuje powierzenie? | Co sprawdzić? |
|---|---|---|
| Obsługa kadrowo-płacowa | Gdy wykonawca rozlicza pracowników w imieniu pracodawcy | Zakres danych, dostęp personelu, sposób przekazywania dokumentów |
| Hosting i kopie zapasowe | Gdy dostawca przechowuje dane osobowe na rzecz klienta | Lokalizację danych, podwykonawców, odtwarzanie i usuwanie kopii |
| System CRM | Gdy dostawca utrzymuje bazę klientów i obsługuje ją na rzecz organizacji | Możliwość eksportu, uprawnienia i ewentualne własne cele dostawcy |
| Wysyłka newslettera | Gdy platforma wysyła wiadomości do wskazanej bazy w imieniu zleceniodawcy | Dalsze wykorzystanie adresów, integracje i podwykonawców |
| Archiwizacja lub niszczenie dokumentów | Gdy firma przechowuje albo niszczy dokumenty zawierające dane na zlecenie | Transport, zabezpieczenie dokumentów i potwierdzenie wykonania usługi |
| Obsługa informatyczna | Gdy usługa obejmuje operacje na danych, np. administrację bazą lub migrację systemu | Zakres i cel dostępu, konta serwisowe oraz rejestrowanie działań |
Nie trzeba fizycznie wysyłać pliku do wykonawcy, aby doszło do przetwarzania. Może nim być także zdalny wgląd, przechowywanie czy usuwanie informacji. Wynika to z szerokiej definicji przetwarzania w art. 4 pkt 2 RODO. Definicje w RODO.
Z drugiej strony sama możliwość przypadkowego zobaczenia nazwiska na biurku nie czyni każdej firmy remontowej procesorem. Jeżeli usługa nie obejmuje przetwarzania danych w imieniu klienta, należy przede wszystkim odpowiednio zabezpieczyć dostęp do informacji. Nie warto zastępować tej oceny automatycznym podpisywaniem umów ze wszystkimi kontrahentami.
Powierzenie, udostępnienie i upoważnienie – różnice
Powierzenie dotyczy działania odrębnego podmiotu w imieniu administratora. Udostępnienie innemu administratorowi oznacza przekazanie danych podmiotowi, który w danym zakresie odpowiada za własne cele przetwarzania. Przykładem może być przekazanie danych bankowi realizującemu własne obowiązki związane z usługą bankową. Każda strona musi ocenić właściwą podstawę prawną swoich działań; podpisanie umowy powierzenia nie zastąpi tej podstawy.
Jeszcze inna sytuacja występuje, gdy strony wspólnie ustalają cele i sposoby przetwarzania. Wówczas trzeba rozważyć współadministrację i uzgodnienie odpowiedzialności na zasadach art. 26 RODO.
Pracownik wykonujący zadania pod kierownictwem administratora nie staje się odrębnym procesorem tylko dlatego, że ma dostęp do danych. W jego przypadku znaczenie mają odpowiednie upoważnienie, instrukcje, zakres uprawnień i poufność. Podstawy tych rozróżnień zawierają art. 4, 26, 28 i 29 RODO. Tekst rozporządzenia.
Umowa powierzenia nie jest również zgodą klienta na przetwarzanie danych. Administrator musi posiadać właściwą podstawę z art. 6 RODO, a przy szczególnych kategoriach danych także spełniać warunki art. 9. Samo korzystanie z procesora nie tworzy automatycznie obowiązku uzyskania dodatkowej zgody od każdej osoby. Trzeba natomiast prawidłowo wykonać obowiązki informacyjne, w tym dotyczące odbiorców lub kategorii odbiorców danych.
Jaką formę powinna mieć umowa?
Art. 28 ust. 9 RODO wymaga formy pisemnej, w tym elektronicznej. Nie oznacza to, że zawsze potrzebny jest odrębny dokument zatytułowany „Umowa powierzenia przetwarzania danych osobowych”. Wymagane postanowienia mogą znaleźć się w umowie głównej, załączniku albo wiążących warunkach usługi. Art. 28 RODO.
Przy usługach internetowych należy ustalić, czy warunki powierzenia rzeczywiście wiążą obie strony i obejmują kupowaną usługę. Warto zachować zaakceptowaną wersję dokumentu oraz potwierdzenie jej przyjęcia. Sama polityka prywatności opisująca działalność dostawcy nie musi spełniać wymagań umowy powierzenia.
Zasady współpracy powinny być ustalone przed rozpoczęciem przetwarzania przez wykonawcę. Jeżeli dane już przekazano, trzeba ocenić dotychczasową sytuację i uzupełnić brakujące zabezpieczenia. Późniejsze podpisanie dokumentu nie usuwa automatycznie wcześniejszych nieprawidłowości.
Co powinna zawierać umowa powierzenia przetwarzania danych?
Punktem wyjścia jest art. 28 ust. 3 RODO. Umowa powinna określać przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych, kategorie osób oraz prawa i obowiązki administratora. Musi też regulować obowiązki procesora wskazane w tym przepisie. Wymagania ustawowe.
Przedmiot, cel, czas i zakres przetwarzania
Zapis „dane niezbędne do wykonania umowy” może być zbyt ogólny, aby ustalić dopuszczalny zakres działań. Lepiej wskazać konkretną usługę, operacje na danych i grupy osób.
Przykładowy opis dla obsługi płac może obejmować przygotowanie list wynagrodzeń, obliczanie potrąceń i sporządzanie dokumentów rozliczeniowych na podstawie informacji od pracodawcy. Kategorie danych należy dopasować do usługi: mogą to być dane identyfikacyjne, numery rachunków, informacje o wynagrodzeniu i nieobecnościach, a w odpowiednich przypadkach także dane dotyczące zdrowia. Nie należy dopisywać kategorii „na zapas”.
Czas przetwarzania powinien uwzględniać również zakończenie współpracy: eksport danych, ich zwrot i usunięcie kopii. Te czynności wymagają uzgodnienia, zanim pojawi się spór o rozwiązanie umowy.
Udokumentowane polecenia i poufność
Procesor ma przetwarzać dane na udokumentowane polecenie administratora, z wyjątkiem sytuacji wynikających z właściwego prawa opisanych w art. 28 ust. 3 lit. a RODO. W praktyce warto wskazać osoby uprawnione do wydawania instrukcji oraz dopuszczalny kanał, np. określony adres e-mail lub system zgłoszeń.
Umowa powinna zobowiązywać procesora do zapewnienia poufności osób upoważnionych do przetwarzania. Musi też uwzględniać obowiązek niezwłocznego poinformowania administratora, jeśli zdaniem procesora polecenie narusza przepisy o ochronie danych.
Środki bezpieczeństwa
Ogólna deklaracja „stosujemy RODO” niewiele mówi o sposobie ochrony informacji. W załączniku można opisać zarządzanie dostępem, uwierzytelnianie, szyfrowanie, kopie zapasowe, aktualizacje, rejestrowanie zdarzeń i procedurę odbierania uprawnień.
Dobór zabezpieczeń zależy od ryzyka, charakteru danych i warunków usługi. Art. 32 RODO nie ustanawia identycznego zestawu technicznego dla każdej organizacji. Wymaga natomiast poziomu bezpieczeństwa odpowiedniego do ryzyka oraz oceny skuteczności zastosowanych środków. Art. 32 RODO.
Pomoc administratorowi i audyty
Umowa musi uwzględniać pomoc w obsłudze żądań osób, których dane dotyczą, w granicach wskazanych w art. 28 ust. 3 lit. e, oraz pomoc w realizacji obowiązków z art. 32–36. Dotyczy to m.in. bezpieczeństwa, naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji.
Procesor powinien udostępniać informacje pozwalające wykazać zgodność z art. 28 oraz umożliwiać audyty, w tym inspekcje. Warto uzgodnić organizację kontroli i ochronę informacji innych klientów. Takie zasady nie powinny jednak praktycznie wyłączać możliwości weryfikacji dostawcy.
Zwrot i usunięcie danych
Po zakończeniu usług administrator wybiera zwrot albo usunięcie danych. Procesor usuwa również istniejące kopie, chyba że właściwe prawo nakazuje ich przechowywanie. Art. 28 ust. 3 lit. g RODO.
Praktyczne ustalenia powinny obejmować termin, format eksportu, potwierdzenie usunięcia oraz postępowanie z kopiami zapasowymi. Sama deklaracja dostawcy, że „backupów nie da się usunąć”, nie rozwiązuje problemu. Trzeba ustalić cykl ich usuwania, ograniczenia dostępu i zgodność przyjętego rozwiązania z obowiązkami stron.
Podwykonawcy i dane poza EOG
Procesor może potrzebować kolejnych wykonawców, np. dostawcy infrastruktury chmurowej. Korzystanie z dalszego procesora wymaga uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej administrator musi być informowany o planowanym dodaniu lub zastąpieniu podwykonawcy i mieć możliwość zgłoszenia sprzeciwu.
Dalszy procesor powinien zostać związany odpowiednimi obowiązkami ochrony danych. Pierwszy procesor pozostaje wobec administratora w pełni odpowiedzialny za wykonanie obowiązków przez dalszego procesora. Wynika to z art. 28 ust. 2 i 4 RODO. Zasady dalszego powierzenia.
W umowie warto ustalić sposób przekazywania informacji o zmianach, czas na reakcję i konsekwencje sprzeciwu. Administrator powinien wiedzieć, jaki podmiot wykonuje określoną część usługi i gdzie przetwarzane są dane.
Umowa powierzenia nie rozwiązuje sama w sobie kwestii transferów do państw trzecich. Jeżeli usługa wiąże się z takim przekazywaniem, trzeba odrębnie spełnić wymagania rozdziału V RODO. Dotyczy to również oceny dostępu do danych przez odrębne podmioty spoza Europejskiego Obszaru Gospodarczego.
Komisja Europejska udostępniła standardowe klauzule administrator–procesor w decyzji 2021/915. Są one narzędziem realizacji art. 28, lecz same nie stanowią standardowych klauzul transferowych dla rozdziału V. Decyzja Komisji 2021/915, motyw 10.
Naruszenie ochrony danych – kto i kiedy informuje?
Podmiot przetwarzający ma zgłosić administratorowi stwierdzone naruszenie bez zbędnej zwłoki. Nie obowiązuje tu automatycznie termin 72 godzin, którym często posługują się strony w projektach umów.
Termin 72 godzin dotyczy zgłoszenia przez administratora właściwemu organowi nadzorczemu: bez zbędnej zwłoki i w miarę możliwości nie później niż w tym czasie od stwierdzenia naruszenia. Zgłoszenie nie jest wymagane, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Art. 33 RODO.
W umowie można doprecyzować szybki tryb informacji, np. bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia. To przykład ustalenia umownego, a nie powszechny termin wynikający z RODO. Wskazanie maksymalnego czasu nie powinno usprawiedliwiać czekania, gdy wiadomość można przekazać wcześniej.
Dobrze określić adres alarmowy, kontakt zastępczy, zakres pierwszego komunikatu i zasady dalszych aktualizacji. Procesor nie powinien czekać na kompletny raport techniczny, zanim przekaże pierwszą informację. Administrator potrzebuje czasu na ocenę sytuacji i podjęcie własnych działań.
Jak sprawdzić dostawcę przed podpisaniem umowy?
Art. 28 ust. 1 RODO wymaga wyboru procesora zapewniającego wystarczające gwarancje ochrony danych. Dlatego warto poprosić o konkretne informacje dotyczące usługi, zamiast ograniczać się do deklaracji zgodności. Obowiązek doboru procesora.
Przed udzieleniem dostępu ustal:
jakie dane będą przetwarzane i kto uzyska do nich dostęp;
jakie zabezpieczenia rzeczywiście obejmują kupowaną usługę;
gdzie znajdują się dane i kto uczestniczy w dalszym przetwarzaniu;
jak dostawca reaguje na incydenty oraz odtwarza dane;
czy potrafi wykonać eksport, usunąć informacje i pomóc przy żądaniach osób;
jakie dowody zgodności udostępnia i czy odpowiadają one zakresowi współpracy.
Rozmiar weryfikacji trzeba dopasować do ryzyka. Certyfikat może być pomocny, lecz należy sprawdzić jego zakres i aktualność. Nie zastąpi odpowiedzi na pytanie, jak dostawca będzie obsługiwał właśnie Twoje dane.
Przykład praktyczny: firma wybiera system kadrowy. Umowa opisuje zabezpieczenia aplikacji, ale milczy o pomocy technicznej. Przed uruchomieniem warto ustalić, czy konsultanci mają dostęp do dokumentów, z jakich lokalizacji pracują i czy ich działania są rejestrowane. Taka informacja może być ważniejsza niż kolejne ogólne oświadczenie o poufności.
Wzór umowy powierzenia – jak z niego korzystać?
Gotowy wzór może ułatwić pracę, jeśli zostanie dostosowany do faktycznej usługi. Punktem odniesienia są także standardowe klauzule Komisji Europejskiej z decyzji 2021/915. Wymagają one uzupełnienia informacji o stronach, przetwarzaniu i zabezpieczeniach.
EROD wskazuje, że umowa nie powinna jedynie powtarzać RODO. Potrzebne są konkretne informacje o sposobie realizacji wymagań. Wytyczne 07/2020, część II.
Przed uzupełnianiem wzoru przygotuj opis usługi, listę kategorii danych i osób, wymagania bezpieczeństwa, informacje o podwykonawcach oraz zasady zakończenia współpracy. Następnie porównaj dokument z umową główną. Jeżeli jedna przewiduje usunięcie danych, a druga pozwala dostawcy wykorzystywać je bezterminowo do własnych analiz, konieczne jest wyjaśnienie tej sprzeczności.
Najczęstsze błędy i odpowiedzialność
Najbardziej problematyczne są umowy podpisywane bez sprawdzenia roli wykonawcy, z pustymi załącznikami lub nieokreślonym zakresem danych. Ryzyko tworzą również brak zasad dalszego powierzenia, nieaktualny kontakt do zgłaszania naruszeń i niemożliwy do wykonania obowiązek natychmiastowego usunięcia wszystkich kopii.
Umowne przeniesienie „całej odpowiedzialności za RODO” na dostawcę nie usuwa obowiązków administratora wobec osób i organu nadzorczego. Strony mogą regulować wzajemne rozliczenia, lecz nie dowolnie zmieniać zasady odpowiedzialności wynikające z rozporządzenia. Braki dotyczące powierzenia mogą prowadzić do zastosowania środków nadzorczych, a zależnie od okoliczności również kar lub odpowiedzialności odszkodowawczej. Art. 58, 82 i 83 RODO.
Umowę warto przeglądać przy zmianie usługi, zakresu danych, zabezpieczeń lub podwykonawców. Nie trzeba podpisywać jej ponownie tylko dlatego, że rozpoczął się kolejny rok. Powinna jednak przez cały czas odpowiadać rzeczywistym warunkom współpracy.
Jak SALVO IURE pomaga przy umowach powierzenia?
Kancelaria Prawnicza SALVO IURE w Zawierciu wspiera firmy i instytucje w ochronie danych osobowych. Pomoc może obejmować ocenę ról stron, przygotowanie lub analizę umowy powierzenia, uporządkowanie załączników oraz wskazanie kwestii wymagających wyjaśnienia z dostawcą.
Pracę warto rozpocząć od opisu faktycznych czynności i dokumentów usługodawcy. Dzięki temu można ustalić, czy powierzenie jest właściwym rozwiązaniem oraz jakie postanowienia wymagają doprecyzowania.
Jeżeli organizacja korzysta z inspektora ochrony danych, IOD może doradzać i monitorować zgodność tego procesu. Decyzje dotyczące wyboru dostawcy i organizacji przetwarzania pozostają po stronie administratora. Więcej o tej roli przeczytasz w poradniku: Outsourcing IOD – obowiązki, umowa i wybór inspektora.
Potrzebujesz sprawdzenia umowy powierzenia? Przygotuj projekt dokumentu, umowę główną i krótki opis usługi. Skontaktuj się z SALVO IURE, aby ustalić zakres pomocy.
Źródła
Podstawą poradnika są przepisy RODO oraz oficjalne materiały unijne. Przykłady mają charakter ilustracyjny i nie opisują spraw klientów kancelarii.
Rozporządzenie (UE) 2016/679 – tekst udostępniony przez UODO, w szczególności art. 4, 5, 6, 9, 13–14, 26, 28–29, 32–36, 44–49, 58, 82–83.
Wytyczne EROD 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego, wersja 2.1, przyjęte 7 lipca 2021 r., z korektami z 20 września 2022 r. – pomoc interpretacyjna, a nie odrębny akt prawny.
Decyzja wykonawcza Komisji (UE) 2021/915 z 4 czerwca 2021 r. – standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi.
Najczęściej zadawane pytania
Czy umowa powierzenia jest obowiązkowa z każdym kontrahentem?
Nie. Jest właściwa dla przetwarzania przez odrębny podmiot w imieniu administratora. Jeżeli kontrahent działa jako samodzielny administrator, potrzebna jest ocena zasad udostępnienia danych. Sama wymiana danych kontaktowych stron nie oznacza powierzenia.
Czy trzeba zawierać umowę powierzenia z biurem rachunkowym?
W zakresie czynności wykonywanych na danych w imieniu klienta, takich jak zlecona obsługa płacowa, co do zasady tak. Trzeba jednak oddzielić te czynności od przetwarzania, w którym biuro realizuje własne obowiązki prawne i występuje jako administrator.
Czy umowa powierzenia może być częścią regulaminu usługi online?
Tak, jeżeli odpowiednie postanowienia są wiążące, spełniają wymogi art. 28 RODO i obejmują daną usługę. Warto zachować treść zaakceptowanej wersji i dowód jej przyjęcia.
Czy umowę powierzenia trzeba zgłosić do UODO?
RODO nie przewiduje ogólnego obowiązku zgłaszania każdej umowy powierzenia do UODO. Administrator powinien natomiast móc wykazać prawidłowość współpracy i przedstawić dokumentację na żądanie organu w ramach jego uprawnień.
Czy procesor ma 72 godziny na poinformowanie o wycieku?
Nie. Art. 33 ust. 2 RODO wymaga zgłoszenia administratorowi bez zbędnej zwłoki. Termin 72 godzin dotyczy zgłoszenia przez administratora organowi nadzorczemu, na warunkach określonych w art. 33 ust. 1.
Czy NDA zastępuje umowę powierzenia?
Samo zobowiązanie do poufności nie wystarcza. Dokument musiałby obejmować także pozostałe wymagania art. 28 RODO, w tym zakres przetwarzania, pomoc administratorowi, audyty i zakończenie przetwarzania.
Czy powierzenie danych zwalnia z obowiązku wyznaczenia IOD?
Nie. Przesłanki wyznaczenia IOD i zasady powierzenia to odrębne zagadnienia. Korzystanie z zewnętrznego wykonawcy nie usuwa obowiązku wyznaczenia inspektora, jeżeli wynika on z art. 37 RODO lub właściwych przepisów krajowych.