Předáváte osobní údaje zákazníků externímu zpracovateli

Kdy je dodavatel zpracovatelem a kdy už ne

Rozhodující otázka zní, kdo určuje, proč a jak se data zpracovávají. Kdo účely a prostředky zpracování určuje, je správce. Kdo s daty pracuje jen podle jeho pokynů a pro jeho potřebu, je zpracovatel. Poskytovatel cloudového CRM, externí mzdová účetní, provozovatel e-shopové platformy nebo call centrum jsou typickými zpracovateli, pokud s daty pracují jen podle vašich pokynů; banka nebo pojišťovna, která s daty vašich zaměstnanců nakládá pro své vlastní účely, zpracovatelem není.

Pokud má být zpracování provedeno pro správce, využije správce pouze ty zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření (čl. 28 obecného nařízení o ochraně osobních údajů). Výběr dodavatele tedy není jen obchodní rozhodnutí: nesete odpovědnost za to, koho jste vybrali, a měli byste umět doložit, podle čeho jste jeho záruky posoudili.

Hranice přitom není pevná. Zpracovatel, který poruší nařízení tím, že sám určí účely a prostředky zpracování, se ve vztahu k takovému zpracování považuje za správce. Agentura, která vaše kontakty použije i pro kampaň jiného klienta, tím přestává být vaším zpracovatelem a stává se samostatným správcem se všemi povinnostmi, které z toho plynou.

V praxi je dobré mít přehled, kolik takových vztahů firma vůbec má. Průměrná středně velká firma mívá zpracovatelů víc, než kolik jich eviduje právní oddělení: vedle hlavních systémů i nástroj na rezervace schůzek, dotazníkovou službu, externí IT podporu s přístupem do databází nebo archivační firmu. Každý z nich potřebuje smlouvu a u každého je potřeba vědět, kde data fyzicky leží.

Co musí zpracovatelská smlouva obsahovat

Zpracovatelská smlouva, často označovaná zkratkou DPA z anglického data processing agreement, je smlouva, kterou nařízení vyžaduje mezi správcem a zpracovatelem. Musí stanovit předmět a dobu trvání zpracování, jeho povahu a účel, typ osobních údajů, kategorie subjektů údajů a povinnosti a práva správce. Musí být vyhotovena písemně, přičemž elektronická forma postačuje.

Nařízení dále vyjmenovává, co smlouva zejména stanoví o povinnostech zpracovatele. Zpracovatel zpracovává údaje pouze na základě doložených pokynů správce, včetně otázek předání do třetí země. Zajistí, aby se osoby oprávněné s údaji pracovat zavázaly k mlčenlivosti. Přijme požadovaná bezpečnostní opatření a dodržuje podmínky pro zapojení dalšího zpracovatele. Informuje správce, pokud podle jeho názoru určitý pokyn porušuje předpisy o ochraně údajů.

Druhá skupina povinností se týká součinnosti. Zpracovatel je správci nápomocen při vyřizování žádostí subjektů údajů, například o přístup nebo výmaz, a při plnění povinností v oblasti zabezpečení, ohlašování porušení a posouzení vlivu. Jakmile zjistí porušení zabezpečení osobních údajů, ohlásí je správci bez zbytečného odkladu. Tahle lhůta je pro vás klíčová, protože bez včasné informace od dodavatele nemůžete splnit vlastní povinnosti vůči úřadu ani vůči lidem, jejichž data unikla.

Třetí skupina řeší konec spolupráce a kontrolu. Po ukončení služeb zpracovatel podle vašeho rozhodnutí všechny údaje vymaže, nebo je vrátí, a vymaže existující kopie, pokud právo jejich uložení nepožaduje. Současně vám poskytne veškeré informace potřebné k doložení toho, že povinnosti plní, a umožní audity včetně inspekcí prováděných vámi nebo auditorem, kterého pověříte. Souvislosti kontrol ze strany úřadu rozebírá text o GDPR kontrolách v praxi.

Výčet v nařízení je minimem, ne stropem. Do smlouvy patří i to, co nařízení výslovně nevyžaduje, ale bez čeho se povinnosti nedají vymoci: konkrétní lhůta pro ohlášení úniku v hodinách, seznam dalších zpracovatelů v příloze, místo uložení dat, kontaktní osoby a sankce za porušení. Která z těchto doplňujících doložek je u konkrétního dodavatele podstatná, závisí na objemu a citlivosti dat, která mu předáváte — proto rozsah smlouvy nastavují právníci ARROWS advokátní

kanceláře podle typu zpracování, ne podle vzoru.

Další zpracovatelé: řetězec, který nekončí u vašeho dodavatele

Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. U obecného povolení vás musí informovat o všech zamýšlených změnách týkajících se přijetí nebo nahrazení dalších zpracovatelů a dát vám příležitost vyslovit vůči nim námitky. Konkrétní povolení vám dává větší kontrolu nad každou změnou, ale u větších dodavatelů je prakticky neprosaditelné, protože svůj řetězec mění průběžně.

Pro firmy je důležitější druhá polovina tohoto pravidla, totiž odpovědnost. Pokud zpracovatel zapojí dalšího zpracovatele, musí mu smluvně uložit stejné povinnosti na ochranu údajů, jaké má vůči vám. Neplní-li další zpracovatel své povinnosti, odpovídá vám za jejich plnění i nadále plně prvotní zpracovatel. Váš dodavatel tedy nemůže selhání svého subdodavatele přenést na vás.

V praxi je proto potřeba vědět, kdo všechno v řetězci je. Cloudový dodavatel běžně využívá datová centra, nástroje pro zákaznickou podporu a monitorovací služby od dalších firem, často se sídlem mimo Evropskou unii. Každý takový článek je místem, kudy mohou data uniknout nebo odejít do třetí země. Podmínky předání do třetích zemí se řídí samostatnými pravidly a patří do smlouvy výslovně.

Rozumným standardem je obecné povolení se seznamem stávajících dalších zpracovatelů v příloze. K tomu povinnost oznámit změnu s dostatečným předstihem a vaše právo vypovědět smlouvu, pokud se změnou nesouhlasíte. Jak se tahle pravidla projevují u mobilních aplikací a platforem, rozebírá text o zpracování osobních údajů v aplikacích.

Odpovědnost: kdo platí, když zpracovatel selže

Vůči lidem, jejichž data unikla, nesete jako správce širokou odpovědnost i za zpracování prováděné vaším jménem. Zpracovatel za újmu odpovídá přímo tehdy, nesplnil-li povinnosti stanovené nařízením konkrétně pro zpracovatele, nebo jednal-li nad rámec vašich pokynů či v rozporu s nimi. Poškozený se proto může obrátit na vás i na dodavatele. Odpovídají-li za tutéž újmu oba, může po kterémkoli z nich chtít celou náhradu a podíly si pak vypořádáte mezi sebou.

Mezi vámi a dodavatelem se pak odpovědnost řeší podle smlouvy a občanského zákoníku. Poruší-li dodavatel povinnost ze smlouvy, nahradí škodu z toho vzniklou (§ 2913 občanského zákoníku). Povinnosti se zprostí jen tehdy, prokáže-li mimořádnou nepředvídatelnou a nepřekonatelnou překážku vzniklou nezávisle na jeho vůli. Náklady na vyšetření incidentu, na informování zákazníků a na právní obranu jsou položky, které vás bez dobře nastavené smlouvy vyjdou draho.

Dodavatelé se proti tomu brání limitem odpovědnosti, obvykle ve výši ročních plateb za službu. Takový limit má ale zákonné hranice. Nepřihlíží se k ujednání, které předem vylučuje nebo omezuje povinnost k náhradě újmy způsobené člověku na jeho přirozených právech, anebo způsobené úmyslně nebo z hrubé nedbalosti (§ 2898 občanského zákoníku). Limit tedy nekryje případ, kdy dodavatel ignoroval základní bezpečnostní pravidla natolik, že jde o hrubou nedbalost. Kde přesně tato hranice leží, se posuzuje až podle okolností konkrétního incidentu.

Jestli limit odpovědnosti u konkrétního dodavatele odpovídá riziku, se posuzuje podle objemu a citlivosti předávaných dat a podle toho, jaké škody by únik reálně způsobil — proto ho právníci ARROWS advokátní kanceláře počítají z typu zpracování, ne z výše ceny za službu.

Sankce a limit odpovědnosti ve smlouvě

Mnoho zpracovatelských smluv obsahuje smluvní pokutu za porušení povinností, například za pozdní ohlášení úniku nebo za zapojení dalšího zpracovatele bez souhlasu. Pokuta motivuje k plnění, ale má háček. Je-li ujednána smluvní pokuta, nemá věřitel právo na náhradu škody vzniklé z porušení povinnosti, ke kterému se pokuta vztahuje (§ 2050 občanského zákoníku).

U úniku dat je škoda zpravidla řádově vyšší než jakákoli rozumně sjednaná pokuta. Pokud smlouva nestanoví, že vedle pokuty lze požadovat i náhradu škody v plném rozsahu, pokuta vám paradoxně nárok zúží. Tahle jedna věta patří do každé zpracovatelské smlouvy, kde sjednáváte sankce, a bez ní se pokuta stává spíš ochranou dodavatele než vaší.

Výše pokuty navíc není jistá ani sama o sobě. Nepřiměřeně vysokou smluvní pokutu může soud na návrh dlužníka snížit s přihlédnutím k hodnotě a významu zajišťované povinnosti (§ 2051 občanského zákoníku). Soud přitom neposuzuje sjednanou částku jako takovou, ale konkrétní nárok: jak a za jakých okolností k porušení došlo a jak se dotklo zájmů, které měla pokuta chránit.

Rozumným kompromisem, který na trhu prochází, je kombinace pokuty a plné náhrady škody. Pokuta platí za procesní pochybení jako pozdní ohlášení nebo neoznámení změny dalšího zpracovatele, plná náhrada škody za samotný únik. K tomu limit odpovědnosti, který pro úniky dat platí zvlášť a ve vyšší výši než pro běžné vady služby. Vyplatí se také vést evidenci nákladů a dopadů, které vám incident způsobil, protože právě ty ukážou, jaký zájem pokuta chránila.

Společná kampaň: když data sdílíte s partnerem

Jiná situace nastává, když data neposíláte zpracovateli, ale sdílíte je s obchodním partnerem pro společný účel, typicky pro společnou marketingovou kampaň, soutěž nebo věrnostní program. Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci (čl. 26 obecného nařízení o ochraně osobních údajů). Samotné sdílení kontaktů to ještě neznamená; rozhoduje, jestli o účelu a způsobu zpracování skutečně rozhodujete oba.

Společní správci mezi sebou musí transparentním ujednáním vymezit své podíly na odpovědnosti, zejména pokud jde o výkon práv subjektu údajů a o povinnost informovat lidi o zpracování. V ujednání může být určeno kontaktní místo. Ujednání musí zohlednit úlohy obou správců a jejich vztahy vůči lidem, jejichž údaje zpracovávají, a tito lidé musí být o jeho podstatných prvcích informováni.

Zásadní rozdíl oproti zpracovatelské smlouvě je v postavení vůči lidem. Bez ohledu na to, jak si odpovědnost rozdělíte, může subjekt údajů vykonávat svá práva u každého ze správců a vůči každému z nich. Vnitřní dělba tak chrání jen vztah mezi vámi a partnerem, ne vás vůči zákazníkovi, který si může vybrat, po kom bude svá práva vymáhat.

V praxi se tato situace často pozná pozdě. Firmy uzavřou s partnerem obchodní smlouvu o společné akci, sdílejí kontakty a o ochraně údajů v ní nic není. Pokud pak partner data použije jinak, než bylo dohodnuto, nemáte smluvní oporu a vůči zákazníkům se stejně můžete ocitnout v roli toho, kdo za zpracování odpovídá.

Jak zpracovatelskou smlouvu vyjednat s velkým dodavatelem

U velkých poskytovatelů cloudových služeb je zpracovatelská smlouva obvykle nevyjednatelná a nabízená ve standardním znění. To neznamená, že ji máte jen podepsat. Máte ji přečíst a ověřit, jestli obsahuje všechny povinné náležitosti, kde leží data, jaký je seznam dalších zpracovatelů a jak rychle se hlásí únik.

Pokud standardní znění nestačí, řeší se to výběrem služby, ne vyjednáváním textu. Velcí dodavatelé nabízejí různé úrovně služby s odlišnými podmínkami, včetně umístění dat v Evropské unii nebo rozšířených auditních práv. Rozdíl v ceně bývá menší než náklady, které by vám nesplněné povinnosti způsobily.

U menších a středních dodavatelů je situace opačná. Tam se vyplatí mít vlastní vzor zpracovatelské smlouvy a trvat na něm, protože dodavatelé často vlastní vzor nemají, nebo používají neúplnou šablonu. Jak postupovat při objednávce softwaru nebo cloudové služby celkově, rozebírá text o objednávce softwaru na míru nebo SaaS.

Nařízení vám přitom nabízí i usnadnění. Smlouva může být zcela nebo zčásti založena na standardních smluvních doložkách přijatých Evropskou komisí. Jejich použití zjednodušuje jednání, protože o obsahu povinných ustanovení se pak nevede spor a zbývá vyjednat jen obchodní části, tedy lhůty, limity a sankce.

Chyby, které se ukážou až při úniku

Nejčastější chybou je zpracovatelská smlouva podepsaná jako formalita, kterou nikdo nečetl. Firma ji má, ale neví, jak rychle se jí dodavatel musí ozvat při úniku, kde data leží ani kdo všechno je v řetězci dalších zpracovatelů. V okamžiku incidentu pak řeší základní otázky pod časovým tlakem.

Druhou chybou je chybějící přehled o tom, se kterými dodavateli smlouvu vůbec máte. Nástroje zavedené jednotlivými odděleními bez vědomí vedení, zkušební verze softwaru nebo služby placené firemní kartou často smlouvu nemají. Právě tam přitom data unikají nejčastěji, protože nikdo nehlídá jejich nastavení ani to, kdo k nim má přístup.

Třetí chybou je smlouva, která nestanoví, co se s daty stane po skončení spolupráce. Dodavatel data dál uchovává, protože nemá pokyn je vymazat, a vy o nich ztrácíte přehled. Při pozdějším úniku z jeho systému se pak můžete zodpovídat za data, o kterých jste nevěděli, že ještě existují. Do smlouvy proto patří i povinnost potvrdit výmaz písemně.

Čtvrtou chybou je přehlédnuté společné správcovství. Firma považuje partnera za zpracovatele a uzavře s ním zpracovatelskou smlouvu, ačkoli ve skutečnosti oba určují, proč se data zpracovávají. Jaký typ smlouvy je u vaší spolupráce správný, se posuzuje podle toho, kdo skutečně rozhoduje o účelu — a právě na tom stojí celé rozdělení odpovědnosti, proto to právníci ARROWS advokátní kanceláře vyhodnocují před podpisem.

Kde zpracovatelská smlouva selhává

Závěrečné shrnutí

Článek ukázal, že zpracovatelská smlouva není formalita, ale hlavní nástroj, kterým můžete kontrolovat, co dodavatel s daty vašich zákazníků a zaměstnanců dělá. Nařízení stanoví její povinný obsah a vůči lidem, jejichž data předáváte, nesete jako správce širokou odpovědnost i za zpracování prováděné vaším jménem. Smlouva proto rozhoduje o tom, co budete moci po dodavateli vymáhat zpět.

Pro vedení firmy jsou podstatné dva přehledy, které se dají pořídit rychle. Prvním je seznam všech dodavatelů, kteří pracují s osobními údaji, včetně nástrojů zavedených jednotlivými odděleními. Druhým je u každého z nich odpověď na tři otázky: kde data leží, jak rychle hlásí únik a jestli limit odpovědnosti kryje reálnou škodu.

Odklad se tu nevyplácí, protože smlouvu je třeba mít před tím, než data předáte, a po incidentu ji už nedoplníte. Každý měsíc bez smlouvy je měsícem zpracování, které nesplňuje požadavky nařízení. Firmy, které únik zvládly bez velkých ztrát, měly smlouvy s konkrétními lhůtami a věděly, kdo všechno v řetězci je.

Právníci ARROWS advokátní kanceláře připraví a zrevidují zpracovatelské smlouvy i ujednání společných správců, prověří vaše dodavatele a jejich řetězec dalších zpracovatelů, vyjednají podmínky s protistranou a zastoupí vás při uplatnění nároků po úniku. Napište nám na konzultace@arws.cz nebo si projděte naši službu GDPR a ochrana osobních údajů.