Umowa powierzenia przetwarzania danych osobowych – dla kogo?

Dokument ten przeznaczony jest dla osób i spółek prowadzących jakąkolwiek współpracę z podmiotami zewnętrznymi, z którą to współpracą związane będzie przetwarzanie danych osobowych. Przykładowo, umowa będzie potrzebna w przypadku korzystania z outsourcingu, tj. zlecania zewnętrznym firmom określonych zadań (przykładem może być obsługa prawna przez kancelarię, usługi księgowe, informatyczne, ochrona mienia i osób, obsługa BHP i wiele więcej). Zgodnie z przepisami podmioty świadczące takie usługi są osobami przetwarzającymi dane osobowe w imieniu i na zlecenie administratora. Przetwarzający może wykorzystywać dane osobowe wyłącznie w celu i zakresie określonym w umowie. Nie może wykorzystywać tych danych i informacji do własnych celów, np. marketingu, sprzedaży osobom trzecim, budowania bazy klientów i innych.

Administrator może na drodze pisemnej umowy powierzyć przetwarzanie danych osobowych innemu podmiotowi. Prezentowana umowa zgodna jest z przepisami unijnego rozporządzenia, ma na celu uregulować warunki i zapewnić kontrolę nad przetwarzanymi danymi osobowymi. Warte nadmienienia jest, że brak podpisania umowy z przetwarzającym stanowi podstawę do nałożenia na administratora kary pieniężnej.

Umowa powierzenia przetwarzania danych osobowych – kto zawiera?

Umowa zawierana jest pomiędzy administratorem, a więc osobą/podmiotem, który decyduje o celach i środkach przetwarzania danych, a przetwarzającym, o którym mowa poniżej.

Umowa powierzenia przetwarzania danych osobowych – jaki przetwarzający?

Ogólne rozporządzenie o ochronie danych osobowych precyzuje, kto może być podmiotem przetwarzającym dane osobowe (procesorem). Zgodnie z rozporządzeniem, przetwarzającym może być:

1. osoba fizyczna,
2. osoba prawna,
3. organ publiczny,
4. jednostka lub inny podmiot, który przetwarza dane w imieniu administratora.

Warto nadmienić, że umowy powierzenia danych nie trzeba podpisywać z instytucjami, które mogą otrzymywać dane osobowe od administratora na podstawie przepisów prawa. Mowa tutaj m.in. o ZUS-ie, Urzędzie Skarbowym, komorniku, policji, prokuraturze i podmiotach podobnego rodzaju.

Umowa powierzenia przetwarzania danych osobowych a dalsze powierzenie?

Dalsze powierzenie przetwarzania danych osobowych jest prawnie dopuszczalne i nic nie stoi na przeszkodzie, aby go dokonać. Niniejszy wzór zawiera rozbudowane postanowienie dotyczące warunków, zakresu oraz podmiotów, którym przetwarzający może powierzyć konkretne działania na danych osobowych (podpowierzenie). Zgodnie z treścią umowy, przetwarzający ma m.in. obowiązek uzyskać akceptację podmiotów trzecich ze strony administratora czy zapewnić gwarancję wdrożenia odpowiednich środków technicznych. Zgodnie z prezentowaną umową, jeżeli przetwarzający chce przekazać dane osobowe dalej – do przetwarzania przez kolejny podmiot – musi uzyskać akceptację tego podmiotu przez administratora z którym sam zawarł umowę. W ten sposób zabezpiecza się dane osobowe przekazane przetwarzającemu przed dostaniem się w niepowołane ręce. Ponadto podmiot, który będzie przetwarzał dane jako ostatni w łańcuchu, musi także zapewnić odpowiednie środki techniczne, zabezpieczające te dane.

Umowa powierzenia przetwarzania danych osobowych, w jaki sposób sporządzić?

Prezentowany wzór zawiera wszystkie niezbędne elementy umowy powierzenia przetwarzania danych osobowych, a także nieobowiązkowe, praktyczne postanowienia, które pozwolą usprawnić współpracę pomiędzy stronami i zabezpieczą ich interes. Mowa tu m.in. o rozbudowanym postanowieniu dotyczącym podpowierzania na rzecz osoby trzeciej. Dokument opatrzony jest licznymi komentarzami, które wyjaśniają wątpliwości i pozwolą w łatwy sposób sporządzić umowę. Należy pamiętać, że umowa powinna zostać zawarta w formie pisemnej, dopuszczalna jest również forma elektroniczna.

Umowa powierzenia przetwarzania danych osobowych – co powinna zawierać?

Niniejszy wzór zawiera wszystkie obowiązkowe elementy umowy powierzenia przetwarzania danych osobowych. Przepisy RODO wskazują wprost elementy, jakie powinny się znaleźć w takiej umowie. Do obowiązkowych elementów zgodnie z rozporządzeniem należy zaliczyć: określenie administratora danych, określenie podmiotu przetwarzającego dane na zlecenie administratora (a więc dane procesora), czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj powierzonych danych osobowych, kategorię osób, których dane dotyczą, obowiązki i prawa administratora, obowiązki przetwarzającego. Wzór oprócz wskazanych elementów zawiera także inne, nieobowiązkowe postanowienia, które pozwolą usprawnić współpracę pomiędzy stronami i uniknąć ewentualnych nieporozumień i konfliktów. Mowa tutaj o regulacji dotyczącej usunięcia danych osobowych, kwestii odpowiedzialności przetwarzającego czy też rozbudowanej klauzuli regulującej warunki podpowierzenia przetwarzania danych osobowych (klauzula ta nie jest obowiązkowa, lecz może się okazać bardzo przydatna, jeżeli przetwarzający chce powierzyć konkretne operacje przetwarzania danych osobowych osobie trzeciej).

Umowa powierzenia przetwarzania danych osobowych na jaki okres?

Zasadą jest, że umowa powierzenia przetwarzania danych osobowych zawierana jest doraźnie, a więc na czas wykonywania czynności przez przetwarzającego. Jednak nic nie stoi na przeszkodzie, aby zawrzeć ją na czas określony np. od dnia zawarcia umowy do dnia 1 kwietnia 2021 roku. Najbardziej praktycznym rozwiązaniem jest wskazanie, że umowa obowiązuje na czas obowiązywania umowy podstawowej (umowy głównej). Wzór zawiera właśnie takie postanowienie, dzięki czemu przetwarzający przetwarzać będzie dane osobowe przez cały niezbędny do tego czas i ani jednego dnia dłużej. W praktyce oznacza to, że jeżeli zawieramy np. umowę na obsługę księgową z biurem księgowym na 3 lata, to powinniśmy także na te 3 lata zawrzeć umowę przetwarzania danych osobowych – wraz z przekazywaniem do księgowości naszych dokumentów, będą tam przecież trafiały także dane osobowe.

Umowa powierzenia przetwarzania danych osobowych – kiedy jest potrzebna?

Umowa powierzenia przetwarzania danych osobowych jest potrzebna, gdy legalnie przekazujemy zgromadzone przez nas dane na rzecz jakiejś osoby trzeciej, naszego współpracownika, kontrahenta lub podmiotu świadczącego nam usługi (np. księgowości) i dochodzi w związku z tym do przetwarzania danych przez te podmioty. Warto przytoczyć kilka przykładów powierzenia przetwarzania danych:

1. Przedsiębiorstwo korzysta z hostingu poczty elektronicznej zapewnianej przez zewnętrzny podmiot, np. poczta home.pl,a dane o kontach użytkowników oraz dane zawarte w treści korespondencji e-mail są przechowywane na serwerze, którym zarządza ten zewnętrzny podmiot.
2. Firma korzysta z usług kancelarii prawnej w celu obsługi prawnej. Wykonywanie przez kancelarię powierzonych zadań wymaga dostępu do danych kontrahentów i pracowników przedsiębiorstwa, które jest jej klientem.
3. Przedsiębiorstwo korzysta z usług chmurowych, w ramach których przetwarzane są dane osobowe np. Onedrive lub Dropbox – w takich przypadkach usługodawca, świadczący usługi chmurowe na rzecz swojego klienta, jest podmiotem przetwarzającym dane, a klient – ich administratorem.
4. Architekt/fotograf/lekarz zlecający zewnętrznej agencji marketingowej prowadzenie działań marketingowych w jego imieniu.