Powierzenie przetwarzania: kiedy potrzebujesz umowy — i czego ona nie załatwia

Art. 28 RODO reguluje prosty układ: ty decydujesz, po co i czym dane są przetwarzane, a ktoś inny wykonuje to dla ciebie. Jesteś wtedy administratorem (art. 4 pkt 7), druga strona jest podmiotem przetwarzającym (art. 4 pkt 8). Dla tej relacji rozporządzenie wymaga umowy o określonej treści — po polsku najczęściej umowy powierzenia przetwarzania danych osobowych.

Ta umowa nie jest formularzem, który się odkłada i zapomina, ale nie jest też projektem. U poważnych dostawców leży gotowa i zawiera się ją w dziesięć minut. Nakład leży gdzie indziej: w wiedzy, z kim właściwie jest potrzebna. Ten tekst odpowiada na to po kolei i pozostaje przy tym orientacją — zakwalifikowanie konkretnego usługodawcy może w razie wątpliwości ostatecznie ocenić Prezes Urzędu Ochrony Danych Osobowych albo porada prawna.

To rozróżnienie jest całym pytaniem. Administratorem jest ten, kto decyduje o celach i sposobach przetwarzania. Podmiotem przetwarzającym jest ten, kto przetwarza dane osobowe w imieniu administratora — czyli na jego polecenie i bez własnych celów.

Zdanie kontrolne jest krótkie: kto ustala, po co te dane są? Jeśli ustalasz to ty, a druga strona wykonuje, jest to powierzenie przetwarzania. Jeśli druga strona realizuje własne, ustawowo albo zawodowo narzucone cele, jest sama administratorem — wtedy mamy dwóch administratorów po kolei i żadnej umowy powierzenia.

Art. 28 ust. 10 stawia za tym wyraźną granicę: podmiot przetwarzający, który naruszając rozporządzenie sam określa cele i sposoby, uznawany jest za administratora w odniesieniu do tego przetwarzania. Kto wykorzystuje twoje dane klientów do własnych zestawień, przestaje być podmiotem przetwarzającym, cokolwiek stoi w umowie. To także powód, dla którego umowa nie jest papierem ustalającym rolę — ona ją tylko opisuje.

Nie każde przekazanie jest powierzeniem. Jeśli przekazujesz dane komuś, kto potrzebuje ich na własną odpowiedzialność, jest to udostępnienie z własną podstawą prawną — a do niego potrzebujesz przesłanki z art. 6 ust. 1, a nie umowy z art. 28.

Lista jest dłuższa, niż się wydaje, bo większość pozycji nie nazywa się „przetwarzaniem danych”.

Przedostatni wiersz jest tym, o który faktycznie toczy się spór. Tam, gdzie biuro albo doradca wypełnia własne obowiązki zawodowe i nie działa na polecenie, kwalifikuje się je przeważnie jako odrębnego administratora; jeżeli ten sam usługodawca wykonuje obok tego czynności czysto wykonawcze, kwalifikacja może wypaść inaczej. Stanowiska organów nadzorczych różnią się w tej sprawie między państwami członkowskimi, a w Polsce spór wygląda podobnie — zapytaj usługodawcę, za kogo sam się uważa, i poproś o odpowiedź na piśmie.

Przy oprogramowaniu sprawa jest natomiast bezsporna. Kto przechowuje dla ciebie dane klientów, jest podmiotem przetwarzającym i ma trzymać umowę w gotowości. Jeśli jej brak albo można ją dostać dopiero na prośbę i po kilku tygodniach, jest to wynik badania na temat dostawcy. Oprogramowanie dla salonu udostępnia ją jak każdy dostawca tego rodzaju — pytanie o nią należy do pięciu pytań rozstrzyganych przed pierwszą prezentacją, a nie do tygodnia po podpisaniu umowy.

Przed umową stoi obowiązek, który łatwo przeoczyć. Art. 28 ust. 1 wymaga, żeby korzystać wyłącznie z podmiotów zapewniających wystarczające gwarancje — czyli żeby decyzja o wyborze zapadła, zanim złożysz podpis. Umowa z nieodpowiednim usługodawcą jego nieodpowiedniości nie uleczy.

Art. 28 ust. 3 wymienia najpierw dane podstawowe: przedmiot i czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Potem następuje osiem punktów, które umowa musi przewidzieć:

1. przetwarzanie wyłącznie na udokumentowane polecenie, także przy przekazaniu do państwa trzeciego;
2. zobowiązanie do poufności osób dopuszczonych do danych;
3. wdrożenie środków bezpieczeństwa zgodnie z art. 32;
4. przestrzeganie warunków korzystania z dalszych podmiotów przetwarzających;
5. pomoc przy realizacji żądań osób, których dane dotyczą, czyli przy dostępie, sprostowaniu i usunięciu;
6. pomoc przy bezpieczeństwie, zgłaszaniu naruszeń i ocenie skutków (art. 32–36);
7. po zakończeniu świadczenia usunięcie albo zwrot wszystkich danych wraz z istniejącymi kopiami;
8. udostępnianie informacji niezbędnych do wykazania zgodności i umożliwianie audytów.

Punkty piąty i siódmy są tymi, których naprawdę potrzebujesz na co dzień — jeden, gdy ktoś żąda dostępu, drugi przy zmianie dostawcy. Przeczytaj je przed podpisaniem, a nie w dniu, w którym będą potrzebne.

Co do formy: umowę sporządza się zgodnie z art. 28 ust. 9 na piśmie, przy czym forma elektroniczna jest wyraźnie dopuszczona. Może w całości lub w części opierać się na standardowych klauzulach umownych przyjętych przez Komisję albo organ nadzorczy (ust. 6–8) — dlatego umowy różnych dostawców są do siebie tak podobne.

Tu leży najczęstsze nieporozumienie. Umowa powierzenia nie czyni przetwarzania zgodnym z prawem. Reguluje wyłącznie relację między tobą a usługodawcą.

Zgodność z prawem nadal wynika wyłącznie z art. 6 ust. 1 — i to po twojej stronie. Kto zbiera adresy bez podstawy, a potem wysyła na nie wiadomości przez usługodawcę z nienaganną umową, ma czystą umowę o niezgodnym z prawem przetwarzaniu. Umowa nie przesuwa odpowiedzialności: wobec osób, których dane dotyczą, administratorem pozostajesz ty.

Trzech dalszych rzeczy również nie załatwia:

• Nie zastępuje informowania osób, których dane dotyczą. To, że korzystasz z usługodawcy, należy do twojej informacji o ochronie danych, jako odbiorca albo kategoria odbiorców.
• Nie zastępuje twojej decyzji o wyborze — zobacz art. 28 ust. 1.
• Nie zastępuje twojego własnego rejestru. Art. 30 wymaga go od ciebie jako administratora; podmiot przetwarzający prowadzi zgodnie z ust. 2 swój własny, który twojego nie zastępuje.

Co natomiast załatwia jak najbardziej: daje ci egzekwowalne roszczenie o współdziałanie. Jeśli jutro ktoś zażąda dostępu, a dane leżą u dostawcy, obowiązek pomocy z ust. 3 lit. e jest twoją dźwignią — a nie nadzieja na dobrą współpracę.

Prawie każdy dostawca sam korzysta z usługodawców: centrum danych, kopie zapasowe, droga wysyłki, narzędzie wsparcia. Art. 28 ust. 2 wymaga na to twojej uprzedniej zgody — szczegółowej albo ogólnej. Przy zgodzie ogólnej dostawca musi informować cię o każdej zamierzonej zmianie, żeby można było wyrazić sprzeciw.

Praktycznie znaczy to: istnieje lista, a ta lista się zmienia. Sprawdź raz, gdzie stoi i jak ogłaszane są zmiany. Zgodnie z art. 28 ust. 4 na dalsze podmioty przetwarzające trzeba nałożyć te same obowiązki ochrony danych, a pierwszy podmiot odpowiada wobec ciebie za ich wypełnienie — łańcuch się więc nie urywa.

Drugie pytanie dotyczy miejsca. Z chwilą gdy dane są przetwarzane poza Unią i Europejskim Obszarem Gospodarczym, dochodzą art. 44 i następne RODO. Przekazanie potrzebuje wtedy własnej podstawy: decyzji Komisji stwierdzającej odpowiedni stopień ochrony w danym państwie albo odpowiednich zabezpieczeń z art. 46, w praktyce najczęściej standardowych klauzul umownych.

Dla ciebie nie jest to analiza prawna, tylko pytanie do dostawcy, i brzmi ono: gdzie leżą dane i kto może do nich sięgnąć, i skąd? Także dostęp wsparcia technicznego z państwa trzeciego jest przekazaniem. Odpowiedź należy do twoich dokumentów — jest zarazem jedną z informacji, których art. 30 ust. 1 wymaga do rejestru.