Umowa powierzenia przetwarzania danych to nie formalność do podpisania po fakcie. To dokument, który przy kontroli pokazuje, czy administrator w ogóle panuje nad tym, komu przekazał dane — i na jakich warunkach.
Kiedy w ogóle jest potrzebna
Powierzenie występuje wtedy, gdy inny podmiot przetwarza dane w imieniu administratora i według jego poleceń. Typowe sytuacje: biuro rachunkowe, dostawca systemu kadrowego lub CRM w chmurze, firma hostingowa, agencja rekrutacyjna, zewnętrzna obsługa IT, firma niszcząca dokumenty.
Nie każde przekazanie danych jest powierzeniem. Jeżeli drugi podmiot decyduje samodzielnie o celach i sposobach przetwarzania, występuje jako odrębny administrator — wtedy umowa powierzenia jest błędem, bo opisuje relację, której nie ma.
Czego kontrola szuka najpierw
- Czy umowa w ogóle istnieje — w formie pisemnej, w tym elektronicznej.
- Czy opisuje realny zakres — jakie dane, czyje, po co i jak długo. Ogólnik „dane osobowe pracowników i klientów” zwykle nie wystarcza.
- Czy jest zapis o poleceniach administratora — procesor działa wyłącznie na udokumentowane polecenie.
- Czy uregulowano dalsze powierzenie (podprocesorzy) — zgoda i warunki.
- Co dzieje się z danymi po zakończeniu współpracy — usunięcie albo zwrot, wybór po stronie administratora.
- Czy przewidziano wsparcie procesora przy realizacji żądań osób i przy zgłaszaniu naruszeń.
- Czy administrator ma prawo audytu i czy z niego kiedykolwiek skorzystał.
Weryfikacja dostawcy — obowiązek, o którym najczęściej się zapomina
Administrator powinien korzystać wyłącznie z usług podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. W praktyce oznacza to, że przed podpisaniem umowy trzeba dostawcę sprawdzić — i zachować ślad tego sprawdzenia.
Wystarczy prosty, powtarzalny zestaw pytań: gdzie fizycznie są dane, kto ma do nich dostęp, jak wygląda kopia zapasowa, czy jest procedura reagowania na incydenty, czy są podwykonawcy. Odpowiedzi w formie pisemnej są jednocześnie dowodem dochowania należytej staranności.
Pięć błędów, które widać od razu
- Umowa podpisana po rozpoczęciu współpracy. Data mówi wszystko.
- Wzór ściągnięty z internetu bez dopasowania — opisuje procesy, których organizacja nie prowadzi, a pomija te realne.
- Brak listy podprocesorów przy usłudze chmurowej, która z natury ich ma.
- Zapisy sprzeczne z umową główną — inne terminy, inny zakres, inne strony.
- Nikt nie wie, gdzie ta umowa jest. Dokument, którego nie da się okazać w dniu kontroli, praktycznie nie istnieje.
Co zrobić w tym tygodniu
Zrób listę wszystkich podmiotów, którym przekazujesz dane. Przy każdym zaznacz: czy jest umowa, z jaką datą, czy zakres odpowiada rzeczywistości, kto po Twojej stronie za to odpowiada. Ta lista jest zalążkiem rejestru i zwykle sama pokazuje dwie lub trzy luki, o których nikt wcześniej nie pomyślał.