Umowa powierzenia przetwarzania danych osobowych i podwykonawcy przetwarzania

Moduł 9: Ludzie i przepisy · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili przeczytać umowę powierzenia przetwarzania danych osobowych i sprawdzić ją pod kątem punktów wymaganych przez RODO, a także ocenić listę podwykonawców przetwarzania.

Kluczowe pojęcia: umowa powierzenia przetwarzania danych osobowych (DPA), art. 28 ust. 3 RODO, pisemne polecenia, poufność, środki bezpieczeństwa, podwykonawca przetwarzania, zgoda ogólna lub szczegółowa, prawo sprzeciwu, pomoc, zwrot lub usunięcie danych, audyt, przekazywanie danych poza EOG, termin zgłoszenia naruszenia ochrony danych osobowych, standardowe klauzule umowne dla podmiotów przetwarzających

Dlaczego umowa powierzenia przetwarzania danych osobowych?

W lekcji 1.2 omówiono role: Bakkerij De Korrel jest administratorem, a usługa chmurowa jest podmiotem przetwarzającym. Artykuł 28 ust. 3 RODO wymaga, aby przetwarzanie danych przez podmiot przetwarzający było uregulowane umową (lub innym instrumentem prawnym) sporządzoną na piśmie. Dopuszczalna jest także forma elektroniczna. Jest to umowa powierzenia przetwarzania danych osobowych, w skrócie czasem nazywana po angielsku Data Processing Agreement (DPA) lub Data Processing Addendum.

W przypadku dużych usług chmurowych nie podpisują Państwo samodzielnie dokumentu: umowa powierzenia jest częścią warunków, które Państwo akceptują, albo zaznaczają Państwo odpowiednie pole w panelu administracyjnym. U mniejszych dostawców czasem pobiera się dokument, wypełnia dane i podpisuje. Tak czy inaczej, jako administrator muszą Państwo móc wykazać, że taka umowa istnieje i co się w niej znajduje.

To jest wyjaśnienie, a nie porada prawna. W razie wątpliwości co do własnych umów proszę zwrócić się do prawnika lub inspektora ochrony danych.

Co musi zawierać umowa zgodnie z RODO

Artykuł 28 ust. 3 wymienia najpierw zagadnienia, które umowa musi opisywać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz prawa i obowiązki administratora. Następnie wymienionych jest osiem obowiązków podmiotu przetwarzającego (lit. a do h). Poniżej w prostym języku, wraz z pytaniem, które warto zadać przy czytaniu:

Komisja Europejska opublikowała również standardowe klauzule umowne dla podmiotów przetwarzających (decyzja wykonawcza (UE) 2021/915). Mogą Państwo wykorzystać je jako umowę powierzenia; zawierają wszystkie wymagane elementy. Wielu mniejszych dostawców korzysta z własnego wzoru, często opartego na wzorze organizacji branżowych.

Podwykonawcy przetwarzania: kto stoi za Państwa dostawcą?

Państwa usługa chmurowa nie wykonuje wszystkiego samodzielnie. Podwykonawca przetwarzania to podmiot, który zostaje zaangażowany przez podmiot przetwarzający i ma dostęp do Państwa danych, na przykład:

• centrum danych (jeśli nie należy do samego dostawcy);
• dostawca przechowywania kopii zapasowych;
• firma filtrująca pocztę pod kątem spamu lub wirusów;
• podmiot wsparcia technicznego lub programista mający zdalny podgląd;
• usługa AI, jeśli dostawca oferuje funkcję opartą na AI.

Artykuł 28 ust. 2 stanowi: podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku zgody ogólnej podmiot przetwarzający musi informować Państwa o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podwykonawców, dając Państwu możliwość wyrażenia sprzeciwu. W praktyce wygląda to tak: dostawca publikuje listę, zgłasza zmiany (mailem lub na stronie, którą można śledzić), a Państwo mają określony termin na wniesienie sprzeciwu. Jeśli wniosą Państwo sprzeciw i nie znajdzie się rozwiązanie, zazwyczaj można rozwiązać umowę.

Zgodnie z ust. 4 podwykonawca musi mieć nałożone te same obowiązki, a podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec Państwa.

Na co zwrócić szczególną uwagę przy przejściu na usługę europejską

Przy przejściu na europejską usługę, patrząc na listę podwykonawców przetwarzania, warto zwrócić uwagę przede wszystkim na dwie rzeczy:

1. Gdzie znajdują się podwykonawcy przetwarzania? Europejski dostawca, który zleca filtrowanie poczty amerykańskiej usłudze albo przechowuje kopie zapasowe w amerykańskiej chmurze, i tak naraża Państwa dane na objęcie ich przepisami CLOUD Act (lekcja 1.3). Proszę sprawdzić zarówno kraj, jak i spółkę macierzystą każdego podwykonawcy.
2. Czym się zajmują? Rejestr domen, który zna jedynie Państwa imię i nazwisko oraz adres jako posiadacza domeny, to zupełnie co innego niż podmiot przechowujący Państwa skrzynki pocztowe.

Proszę zapoznać się również z artykułem o przekazywaniu danych. Dobra europejska umowa powierzenia stwierdza, że dane są przetwarzane w UE lub EOG, a przekazywanie poza ten obszar jest możliwe wyłącznie za Państwa uprzednią zgodą. Jeśli umowa zawiera sformułowanie "możemy przetwarzać dane na całym świecie z zastosowaniem odpowiednich zabezpieczeń", oznacza to, że przekazywanie danych jest możliwe.

Sygnały ostrzegawcze

• Brak dostępnej umowy powierzenia przy usłudze przeznaczonej do użytku biznesowego: niedobry wybór.
• Nieaktualna lista podwykonawców przetwarzania, niezgodna z tym, co dostawca podaje gdzie indziej (np. inne centrum danych): proszę poprosić o wyjaśnienia.
• Termin zgłaszania naruszeń ochrony danych na tyle długi, że nie zdążą Państwo dotrzymać własnego terminu 72 godzin (art. 33). Wiele umów powierzenia podaje 24 lub 48 godzin.
• Odpowiedzialność całkowicie wyłączona. Do pewnego stopnia jest to standardowa praktyka, ale mówi coś o tym, jak bardzo dostawca jest pewny swoich usług.
• Brak uregulowania zakończenia współpracy: co się dzieje z danymi po rozwiązaniu umowy i czy otrzymają Państwo potwierdzenie usunięcia danych?

Kto podpisuje umowę i gdzie ją przechowywać?

W De Korrel umowę podpisuje Sanne jako właścicielka. Przechowuje umowę powierzenia razem z rejestrem czynności przetwarzania (lekcja 9.3), wraz z datą i wersją dokumentu. Jeśli dostawca zmieni umowę powierzenia lub listę podwykonawców, przechowuje również taką informację o zmianie. W razie kontroli ze strony organu nadzorczego lub pytania klienta ("jak postępujecie z moimi danymi?") może od razu to okazać.

W praktyce: jak to wygląda u dostawcy

WebOké posiada standardową umowę powierzenia przetwarzania danych osobowych wraz z załącznikiem zawierającym listę zaangażowanych podmiotów trzecich, w którym zapisano, że przetwarzanie odbywa się w UE, a przekazywanie danych poza ten obszar wymaga pisemnej zgody. W najczęściej zadawanych pytaniach w instrukcji Nextcloud można znaleźć informację, kiedy taka umowa jest potrzebna. U innych dostawców dokument ten często nazywa się "Data Processing Agreement", a lista podwykonawców znajduje się na osobnej stronie ("Subprocessors"). Warto porównać tę listę z tym, co dostawca podaje na swojej stronie internetowej o centrach danych i wsparciu technicznym.

Podsumowanie

• Artykuł 28 ust. 3 RODO wymaga pisemnej umowy powierzenia przetwarzania danych osobowych, zawierającej stałe elementy oraz osiem obowiązków podmiotu przetwarzającego.
• Proszę sprawdzić przede wszystkim: brak własnych celów przetwarzania, bezpieczeństwo, podwykonawców, pomoc przy naruszeniach ochrony danych, zwrot lub usunięcie danych po zakończeniu usługi oraz możliwość audytów.
• Podwykonawcy przetwarzania wyłącznie za Państwa zgodą; przy zgodzie ogólnej muszą Państwo być informowani o zmianach i mieć możliwość wniesienia sprzeciwu.
• Przy przejściu na usługę europejską warto sprawdzić w liście podwykonawców kraj i spółkę macierzystą każdego podmiotu.
• Proszę przechowywać umowę powierzenia oraz powiadomienia o zmianach razem z rejestrem czynności przetwarzania.

Quiz

Zadanie

Zadanie E9.2: Sprawdźcie umowę powierzenia przetwarzania danych osobowych. Proszę wziąć umowę powierzenia przetwarzania danych osobowych obecnej lub nowej usługi chmurowej. Proszę przejść przez osiem punktów od a do h i zapisać przy każdym: czy jest zawarty (tak, nie, niejasne) i gdzie. Proszę ocenić listę podwykonawców przetwarzania: przy każdym podwykonawcy proszę zapisać kraj, spółkę macierzystą oraz czym się zajmuje.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• Podręcznik Nextcloud 14.8: Asystent AI w Państwa Nextcloud
• Rozporządzenie (UE) 2016/679 (RODO), artykuł 28, na EUR-Lex
• Decyzja wykonawcza (UE) 2021/915 (standardowe klauzule umowne pomiędzy administratorami a podmiotami przetwarzającymi), na EUR-Lex
• Prezes Urzędu Ochrony Danych Osobowych (holenderski odpowiednik, Autoriteit Persoonsgegevens), temat "Umowa powierzenia przetwarzania danych osobowych": https://www.autoriteitpersoonsgegevens.nl