Umowa powierzenia przetwarzania. Wzór, Art. 28 i pułapki.
No to o dokumencie, który większość firm podpisuje w ciemno, bo dostawca przysłał swój. A to właśnie tam siedzą najczęstsze dziury RODO w łańcuchu.
No i typowa sytuacja: wdrażasz nowe narzędzie, dostawca przysyła swoją umowę powierzenia, ktoś podpisuje, temat zamknięty. Tylko że za rok kontrola pyta “kto przetwarza wasze dane i na jakich warunkach”, a Ty masz teczkę umów, których nikt nie czytał. Umowa powierzenia (Art. 28 RODO) to nie formalność, to Twoja kontrola nad procesorem.
TL;DR
- Umowa powierzenia jest wymagana, gdy ktoś przetwarza dane w Twoim imieniu (chmura, IT, kadry, marketing)
- Art. 28 wymienia konkretne elementy, które muszą się w niej znaleźć
- Największa pułapka: podwykonawcy (subprocesorzy) i transfery poza EOG
- Wzór to punkt startu; sednem jest aktualny rejestr tego, kto co przetwarza
Kiedy jest potrzebna
Zawsze, gdy podmiot zewnętrzny przetwarza dane osobowe w Twoim imieniu. Hosting, chmura, system kadrowy, biuro rachunkowe, narzędzie do mailingu, dostawca wsparcia IT. Jeśli mają dostęp do danych Twoich klientów lub pracowników, potrzebujesz umowy powierzenia. Brak takiej umowy to jedna z prostszych do wykrycia niezgodności.
Co musi zawierać (Art. 28)
Przedmiot i czas przetwarzania, charakter i cel, rodzaj danych i kategorie osób. Do tego obowiązki procesora: przetwarzanie tylko na udokumentowane polecenie, poufność, bezpieczeństwo (Art. 32), pomoc w realizacji praw osób i w obowiązkach administratora, usunięcie lub zwrot danych po zakończeniu, oraz udostępnianie informacji i poddanie się audytom.
Wzór to nie koniec roboty
Wzór umowy powierzenia załatwia formę, nie treść. Najczęstszy błąd to podpisać i zapomnieć. Po roku nie wiadomo, który dostawca ma jaką umowę, czy obejmuje aktualny zakres danych i czy ktoś nie dorzucił subprocesora. Teczka umów to nie to samo co kontrola.
Jak to ogarnąć
Sednem jest powiązanie: dostawca, umowa, dane, które przetwarza, i transfery. W module Iodynka (RODO) umowy powierzenia siedzą na tych samych dostawcach i czynnościach co reszta rejestru, więc widać od razu kto co przetwarza i gdzie. Chcesz tylko punkt startu? Weź darmowy wzór i rozbuduj. Ale docelowo lepiej, żeby system pilnował aktualności, niż żeby leżało to w teczce. Pozamiatane.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.