„Z powierzeniem danych osobowych jest zupełnie inaczej niż nam się wydaje, czyli sezon na umowy powierzenia czas zacząć”
Ten wpis to przemyślenia z praktyki — nie tekst naukowy ani porada prawna, ale po latach pracy z danymi osobowymi i setkach godzin szkoleń mam obserwacje, którymi warto się podzielić. RODO to nie „rocket science”, tylko obszar, o który trzeba zadbać w organizacji podobnie jak o BHP i wypłaty każdego 10. dnia miesiąca. Tak więc zaczynamy.
Patrząc na to co dzieje się obecnie na rynku ochrony danych, można śmiało powiedzieć, że mamy do czynienia z sezonem na umowy powierzenia danych osobowych. Wracam pamięcią do czasów majowej RODO paniki roku 2018, kiedy po rynku krążyły „obszerne” umowy powierzenia, pisane na tzw. sztukę. Wówczas wydawało się, że przez najbliższe dwa trzy lata będziemy żyli tylko polityką bezpieczeństwa, procedurami i co najważniejsze klauzulami informacyjnymi. Po kilku latach można powiedzieć, że zmieniło się w tej materii praktycznie wszystko. A co dokładnie- przeczytajcie poniżej.
Umowy powierzenia są istotnym elementem w całym systemie ochrony danych osobowych i nie należy ich lekceważyć. Administratorzy danych często (jak obserwuję) zapatrzeni są w procedury wewnętrzne, upoważnienia i co najważniejsze oczywiście klauzule informacyjne RODO. Nie daj Bóg, jak nie będzie na nich podpisu osoby zapoznającej się. Zapominają tym samym o tym czym tak na prawdę jest powierzenie danych osobowych i jakie rodzi ryzyka. Wielokrotnie nie czytają samych umów, podpisując je w ciemno. Moją intencją nie jest pouczanie kogokolwiek, każdy prowadzi organizację w taki sposób, w jaki uważa to za stosowne, ale moją intencją jest uwrażliwić osoby decydujące o kierunkach działalności swojej organizacji na istotne aspekty ochrony danych. Słynne powiedzenie mówi, że umowy piszemy na złe czasy, a co za tym idzie umowa powinna we właściwy sposób zabezpieczać strony umowy. Tym samym umowa powierzenia powinna zabezpieczać administratora danych właśnie w tych złych dla administratora czasach. Jakich? Chociażby na wypadek wystąpienia naruszenia ochrony danych, które to naruszenie może wystąpić po stronie procesora (podmiotu przetwarzającego powierzone dane osobowe). Warto być może zadbać o stosowne zapisy o współpracy z procesorem w przypadku takowego naruszenia. Może warto uwzględnić w umowie zasady wymiany informacji, kontaktów, czas reakcji po wystąpieniu incydentu itp.
Pamiętajmy również, że powierzenie danych osobowych to proces, który ma swój początek i koniec, który zapewne w końcu nastąpi. Wiele osób nie zwraca uwagi na istotny element powierzenia – to pewnego rodzaju wypożyczenie danych osobowych. Skoro wypożyczam to z myślą, że kiedyś ktoś pożyczoną rzecz odda. Chyba, że będzie jak na naszym filmie i pożyczycie portfel Piotrowi o czym możecie się przekonać TU Nie inaczej jest z danymi osobowymi. Brak zrozumienia przesłanki powierzenia danych powoduje, że z jednej strony administratorzy, zupełnie niesłusznie masowo podpisują umowy powierzenia z każdym, kto z nim współpracuje, a nawet kto w ogóle pojawi się w firmie w innej roli niż pracownik, a z drugiej strony po zakończonej umowie zapominają, żeby o „swoje” dane się upomnieć. Powoduje to skutek odwrotny do zamierzonego i w żaden sposób nie chroni poufności osób fizycznych, których dane przetwarzamy.
Zwracajcie również uwagę na to, że umowa powierzenia jest co prawda kolejnym wagonikiem doczepionym do lokomotywy (umowy o świadczeni usług) i często wagonikiem ostatnim, ale traktujcie ten wagonik równie istotnie jak wszystkie przed nim. Nie popełniajmy błędu, wskutek którego wynegocjujemy wszystkie warunki umowne z kontrahentem, a na koniec wyciągniemy z szuflady draft umowy powierzenia, który będzie kwiatkiem do kożucha. Nie trzeba nikomu przypominać, że powierzenie danych osobowych rodzi odpowiedzialność cywilną — a gdy osoba, której dane ucierpiały u procesora, złoży skargę do Prezesa UODO, to administrator, a nie procesor, tłumaczy się z tego, komu i na jakich warunkach te dane powierzył. Co znaczy, że tak samo odpowiadamy za dane osobowe, które powierzamy jak za inne elementy współpracy z naszym kontrahentem. Traktujmy więc te dane osobowe jako istotny element transakcji umownej.
W całej swojej analizie nie mogę pominąć istotnego elementu, który być może powinien pojawić się jako pierwszy, a mianowicie kwestia samego wyboru naszego procesora (podmiotu przetwarzającego). Art. 28 RODO wprost określa, że przy wyborze procesora musimy kierować się stosowanymi przez niego adekwatnymi zabezpieczeniami technicznymi i organizacyjnymi. Warto przy tej okazji zajrzeć na własne podwórko — to, komu tak naprawdę powierzamy dane przez własną stronę czy sklep (hosting, poczta, narzędzia analityczne, firma wysyłkowa), wychodzi zwykle dopiero przy audycie RODO strony internetowej. Procesor ma skutecznie zabezpieczyć powierzane mu dane osobowe. Co za tym idzie procesor ma być dla nas wiarygodny, musimy przy współpracy z nim czuć się bezpiecznie, a przede wszystkim musimy mieć pewność, że dane osobowe naszych kontrahentów, pracowników, współpracowników i innych osób, których danymi administrujemy, będą tak samo bezpiecznie przetwarzane przez procesora jak przez nas samych. Co nam da fakt, że wdrożymy w pełni system ochrony danych osobowych, przeszkolimy pracowników, przejdziemy całą ścieżkę tworzenia i wdrażania procedur jak na końcu oddamy część (być może mniejszą lub większą) danych osobowych w ręce osób nieodpowiedzialnych. I też należy pamiętać i kierować się zasadą, że nie ilość danych przekazywanych podmiotowi przetwarzającemu decyduje, a zakres danych. Zwracajmy uwagę na ten element. Dla zwykłego Andrzejewskiego w przypadku jakiegokolwiek naruszenia, wycieku danych nie będzie ważne, czy wraz z nim dotknęło to jeszcze 200, 300 a może 500 osób, tylko będą liczyły się jego dobra utracone, jego dane, jego poufność. I wydaje się, że tą zasadą powinniśmy się kierować zawsze – także w procesie powierzania danych osobowych.
Co konkretnie sprawdzić w umowie powierzenia, zanim ją podpiszesz: (1) czy procesor ma prawo korzystać z podwykonawców tylko z listy, którą znasz, i czy musi Cię uprzedzić o każdej zmianie z czasem na sprzeciw (art. 28 ust. 2 i 4 RODO); (2) w ile godzin — nie „bez zbędnej zwłoki” — zawiadomi Cię o naruszeniu, żebyś zdążył w swoich 72 godzinach z art. 33 RODO; (3) czy masz prawo audytu, a procesor obowiązek pomocy przy wnioskach osób i przy DPIA (art. 28 ust. 3 lit. e, f, h); (4) co dzieje się z danymi po zakończeniu umowy — zwrot czy usunięcie, i kto to potwierdza. Wzór umowy powierzenia z tymi elementami jest w każdym naszym pakiecie RODO.
O tym, jak wygląda taka weryfikacja z drugiej strony — gdy to Ciebie audytuje kontrahent — piszemy w poradniku Kontrola RODO ze strony partnerów biznesowych. Miejcie na uwadze jedno:
RODO nie może hamować biznesu, RODO ma być wartością dodaną do biznesu i właściwie współgrać z procesami biznesowymi, gdyż tylko wtedy będzie skutecznie stosowane przez organizację i zapewni realną a nie fikcyjną ochronę naszych danych osobowych.
Przeczytaj też: analiza ryzyka RODO w małej firmie — skąd bierze się obowiązek, czym różni się od oceny skutków (DPIA) i jak ją przeprowadzić krok po kroku.