Jakie zapisy zawrzeć w nowej umowie powierzenia zgodne z RODO

Powierzenie danych do przetwarzania przez inny podmiot w imieniu administratora to rozwiązanie dopuszczalne i znane na gruncie przepisów dyrektywy 95/46/WE (art. 16 ust. 2–4), a co za tym idzie – także ustawy o ochronie danych osobowych. Zakres uregulowania tej instytucji w przepisach prawa nie był jednak adekwatny do skali jej stosowania, która – zwłaszcza w przypadku administratorów prowadzących działalność gospodarczą – była powszechna.

Stronom stosunku powierzenia pozostawiono szerokie pole do zagospodarowania w ramach dozwolonych postanowień umownych. Przekazywanie danych do podmiotów zewnętrznych w praktyce niejednokrotnie wiązało się ze znaczącym ryzykiem dla mniej doświadczonych administratorów. Tracili oni wpływ na sposób przetwarzania danych czy możliwość skontrolowania działań podejmowanych przez procesora, jeśli nie uregulowali tej kwestii odpowiednimi klauzulami. Często skutkowało to realnym zagrożeniem dla bezpieczeństwa danych i praw podmiotów danych.

W ogólnym rozporządzeniu o ochronie danych (RODO) regulacje dotyczące przekazania danych przez administratora do przetwarzania zostały znacząco rozbudowane, możliwość korzystania z takiego narzędzia obwarowano zaś licznymi warunkami. Obok umowy za prawną podstawę powierzenia przyjęto także instrument prawny podlegający prawu Unii lub prawu państwa członkowskiego i wiążący zarówno procesora, jak i administratora. Brak przepisów przejściowych powoduje konieczność weryfikacji istniejących obecnie w obrocie umów powierzenia i dostosowania ich do nowych wymogów do 25 maja tego roku.

Biorąc pod uwagę, jak wysokie ryzyko wiąże się z niewłaściwym wyborem podmiotu przetwarzającego, każdy administrator zobowiązany jest zachować należytą staranność w trakcie procedury poprzedzającej powierzenie danych do przetwarzania. Administrator może bowiem korzystać tylko z usług takiego podmiotu zewnętrznego, który zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia ogólnego i chroniło prawa osób, których dane dotyczą.

Przyjęcie przez administratora pisemnego zapewnienia od podmiotu przetwarzającego, że ten spełnia wskazane kryteria, należy ocenić jako działanie konieczne, lecz niewystarczające. Administrator może np. żądać od przyszłego procesora udzielenia informacji dotyczących:

a) wykorzystywanych zasobów kadrowych i organizacyjnych, które mają zapewnić przetwarzanie w zgodzie z RODO (motyw 81),

b) wykorzystywanych metodyk w zakresie np. zarządzania usługami IT czy jakością, wdrożenia określonych norm,

c) zastosowanych technologii i ich zabezpieczeń,

d) wdrożonych do stosowania polityk ochrony danych lub bezpieczeństwa,

e) uprawnień naprawczych stosowanych wobec niego przez organ nadzorczy na podstawie art. 58 ust. 2 RODO,

f) nakładanych na niego na podstawie art. 83 RODO administracyjnych kar pieniężnych.

Odnosząc się do kryteriów, które mają zagwarantować właściwy wybór procesora, warto zauważyć, że europejski prawodawca wskazuje, że jednym z nich może być stosowanie przez niego zatwierdzonego kodeksu postępowania (art. 40 RODO) czy zatwierdzonego mechanizmu certyfikacji (art. 42 RODO). Nie oznacza to oczywiście, że podmioty, które nie mogą wykazać się ich stosowaniem, z założenia nie będą dawać należytej gwarancji ochrony danych czy realizacji praw podmiotów danych. Administrator powinien jednak mieć świadomość, że może i powinien żądać od podmiotu przetwarzającego wykazania, że ten spełnia wymogi, o których mowa w art. 28 ust. 1 RODO.

Zasadniczo samo współadministrowanie danymi osobowymi nie wpływa na możliwość zawarcia umowy powierzenia – RODO nie wprowadza tutaj żadnych ograniczeń. Mimo to podmioty współadministrujące danymi mogą rozważyć ustanowienie ograniczeń lub wyłączeń w tym zakresie, a w przypadku ich przyjęcia uczynić je przedmiotem wspólnych ustaleń.

Podmioty te mogą np. przyjąć model, w którym zawieranie umowy powierzenia dotyczącej współadministrowanych danych będzie wyłączone lub umowę taką będzie mógł zawierać w imieniu wszystkich współadministratorów tylko jeden z nich[1].

Prawodawca europejski zdecydował się na określenie zakresu przedmiotowego umowy powierzenia i wprowadzenie określonych wymogów dotyczących jej formy. Zgodnie z art. 28 ust. 3 RODO umowa taka musi określać co najmniej:

a) w odniesieniu do przetwarzania jego:

• przedmiot,
• czas trwania,
• charakter,
• cel;

b) rodzaj przetwarzanych danych;

c) kategorie osób, których dane dotyczą;

d) obowiązki i prawa administratora.

Za przedmiot przetwarzania należy uznać przedmiot samej umowy rozumianej jako opis operacji dokonywanych na danych osobowych[2] (np. zbieranie, utrwalanie i przechowywanie danych czy tylko ich niszczenie).

Czas trwania przetwarzania może zostać zarówno określony poprzez podanie konkretnej daty (umowa na czas określony), jak i obejmować usługę realizowaną w trybie ciągłym z podanym okresem jej wypowiedzenia (umowa na czas nieokreślony). Słusznie zauważa K. Witkowska-Nowakowska, że powierzenie może obejmować „w ramach szerszej umowy powierzenia szereg poszczególnych poleceń administratora w stosunku do konkretnych danych”[3].

Celem przetwarzania może być np. marketing produktów i usług oferowanych przez administratora, dostarczenie towaru zakupionego przez klienta administratora czy prowadzenie rekrutacji w imieniu podmiotu powierzającego dane do przetwarzania. Procesor może oczywiście w ramach jednej umowy powierzenia przetwarzać dane w kilku różnych celach.

Za rodzaj przetwarzanych danych należy uznać ich kategorie[4]. Powinny one jednak zostać określone w sposób wyczerpujący i precyzyjny. Może mieć to istotne znaczenie np. z powodu zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO – zgodnie z zasadą minimalizacji dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane), za której nieprzestrzeganie będzie odpowiadał administrator, lub też w przypadku konieczności zweryfikowania, czy wszystkie kategorie danych zostały zwrócone po zakończeniu przetwarzania.

Określenie kategorii osób, których dane dotyczą, powinno zostać dokonane poprzez opisowe doprecyzowanie danych grupy, np. osoby świadczące pracę na rzecz administratora na podstawie umowy zlecenia w latach 2015–2017; subskrybenci newslettera prowadzonego przez redakcję bloga „Życie zaczyna się po czterdziestce”.

W umowie powierzenia powinny również znaleźć się zapisy określające prawa i obowiązki administratora w relacji z podmiotem przetwarzającym, a przez to także odpowiadające im prawa i obowiązki procesora. Wśród nich strony mogą np. przewidzieć dla administratora prawo do niezwłocznego poinformowania go przez procesora o uzyskaniu dostępu do powierzonych danych przez osobę nieuprawnioną czy o odwołaniu inspektora ochrony danych i jego przyczynach.

Nie należy jednak ograniczyć się jedynie do podania katalogu takich uprawnień i obowiązków, ale także skupić się na sposobie ich wykonywania. Administrator nie powinien zapominać np. o ewentualnym zastrzeżeniu prawa do regresu w stosunku do procesora, którego działanie doprowadziło do powstania szkody po stronie podmiotu danych – wobec ukształtowania solidarnej odpowiedzialności administratora i procesora może mieć to szczególne znaczenie praktyczne.

RODO, w odróżnieniu od dotychczasowych regulacji, wskazuje także, jakie zapisy muszą znaleźć się w umowie powierzenia. Ich katalog, który ma charakter otwarty, został zawarty w art. 28 ust. 3 RODO. Poniższa tabela zawiera przykładowe postanowienia umowne przygotowane na podstawie treści tego przepisu – zmiany w porównaniu z tekstem rozporządzenia ogólnego zostały podkreślone.

Źródło: opracowanie własne autorów.

Wielu administratorów, zamiast korzystać z umów indywidualnych, z pewnością chętnie sięgnie po standardowe klauzule umowne, jeśli takie zostaną określone przez Komisję czy przyjęte przez organ nadzorczy. RODO takie rozwiązanie przewiduje (art. 28 ust. 7 i 8 RODO), jednak dziś trudno przewidzieć, kiedy takie klauzule umowne mogą się pojawić. Obecnie administratorom pozostaje więc głównie przygotowanie indywidualnych umów powierzenia.

Forma umowy powierzenia, zgodnie z art. 28 ust. 9 RODO, ma być pisemna, w tym dopuszcza się formę elektroniczną, co jest istotnym złagodzeniem wymogów co do formy i ma istotne znaczenie praktyczne[9]. Za K. Witkowską-Nowakowską należy przy tym wskazać, że z uwagi na cel regulacji oraz specyfikę prawa europejskiego za wystarczające należy uznać spełnienie wymogów tzw. formy dokumentowej[10], wprowadzonej do polskiego porządku prawnego w 2016 roku poprzez nowelizację przepisów Kodeksu cywilnego (kc).

Artykuł powstał przy współautorstwie dr Tomasza Banysia, doktora nauk prawnych, adwokata, który wiedzę prawniczą z zakresu ochrony danych osobowych łączy z wieloletnim doświadczeniem z zakresu informatyki oraz zarządzania bezpieczeństwem.