Przekazują Państwo dane osobowe klientów zewnętrznemu podmiotowi przetwarzającemu

Kiedy dostawca jest podmiotem przetwarzającym, a kiedy już nie

Kluczowe pytanie brzmi: kto decyduje, w jakim celu i w jaki sposób dane są przetwarzane. Ten, kto ustala cele i sposoby przetwarzania, jest administratorem. Ten, kto pracuje z danymi wyłącznie według jego poleceń i na jego potrzeby, jest podmiotem przetwarzającym. Dostawca CRM w chmurze, zewnętrzna księgowa płacowa, operator platformy e-commerce czy call center to typowe podmioty przetwarzające, o ile pracują z danymi tylko według Państwa poleceń; bank lub ubezpieczyciel, który wykorzystuje dane Państwa pracowników do własnych celów, podmiotem przetwarzającym nie jest.

Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ogólnego rozporządzenia o ochronie danych). Wybór dostawcy nie jest więc wyłącznie decyzją biznesową: ponoszą Państwo odpowiedzialność za to, kogo Państwo wybrali, i powinni Państwo umieć wykazać, na jakiej podstawie oceniono jego gwarancje.

Granica ta nie jest przy tym sztywna. Podmiot przetwarzający, który naruszając rozporządzenie sam określa cele i sposoby przetwarzania, jest uznawany za administratora w odniesieniu do tego przetwarzania. Agencja, która wykorzysta Państwa kontakty także w kampanii innego klienta, przestaje być Państwa podmiotem przetwarzającym i staje się samodzielnym administratorem ze wszystkimi wynikającymi z tego obowiązkami.

W praktyce warto mieć przegląd, ile takich relacji firma w ogóle ma. Przeciętna średnia firma ma więcej podmiotów przetwarzających, niż ewidencjonuje dział prawny: obok głównych systemów także narzędzie do rezerwacji spotkań, serwis ankietowy, zewnętrzne wsparcie IT z dostępem do baz danych czy firmę archiwizacyjną. Każdy z nich potrzebuje umowy i w przypadku każdego trzeba wiedzieć, gdzie dane fizycznie się znajdują.

Co musi zawierać umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych, często określana skrótem DPA od angielskiego data processing agreement, to umowa, której rozporządzenie wymaga między administratorem a podmiotem przetwarzającym. Musi określać przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Musi mieć formę pisemną, przy czym wystarczy forma elektroniczna.

Rozporządzenie wylicza ponadto, co umowa w szczególności przewiduje w zakresie obowiązków podmiotu przetwarzającego. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora, także w kwestii przekazywania do państwa trzeciego. Zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy. Wdraża wymagane środki bezpieczeństwa i przestrzega warunków korzystania z usług dalszego podmiotu przetwarzającego. Informuje administratora, jeżeli jego zdaniem wydane polecenie narusza przepisy o ochronie danych.

Druga grupa obowiązków dotyczy współpracy. Podmiot przetwarzający pomaga administratorowi w realizacji żądań osób, których dane dotyczą, na przykład dostępu do danych lub ich usunięcia, oraz w wywiązywaniu się z obowiązków w zakresie bezpieczeństwa, zgłaszania naruszeń i oceny skutków. Gdy stwierdzi naruszenie ochrony danych osobowych, zgłasza je administratorowi bez zbędnej zwłoki. Ten termin jest dla Państwa kluczowy, ponieważ bez terminowej informacji od dostawcy nie są Państwo w stanie wypełnić własnych obowiązków wobec organu ani wobec osób, których dane wyciekły.

Trzecia grupa reguluje zakończenie współpracy i kontrolę. Po zakończeniu świadczenia usług podmiot przetwarzający, zależnie od Państwa decyzji, usuwa lub zwraca wszystkie dane oraz usuwa istniejące kopie, chyba że prawo nakazuje ich przechowywanie. Jednocześnie udostępnia Państwu wszelkie informacje niezbędne do wykazania spełnienia obowiązków i umożliwia przeprowadzanie audytów, w tym inspekcji, przez Państwa lub upoważnionego przez Państwa audytora. Kontekst kontroli prowadzonych przez organ omawia tekst o kontrolach RODO w praktyce.

Wyliczenie w rozporządzeniu stanowi minimum, a nie górną granicę. Do umowy należy także to, czego rozporządzenie wprost nie wymaga, ale bez czego obowiązków nie da się wyegzekwować: konkretny termin zgłoszenia wycieku w godzinach, lista dalszych podmiotów przetwarzających w załączniku, miejsce przechowywania danych, osoby kontaktowe i sankcje za naruszenie. To, która z tych dodatkowych klauzul jest istotna u danego dostawcy, zależy od ilości i wrażliwości przekazywanych mu danych — dlatego zakres umowy ustalają prawnicy kancelarii adwokackiej

ARROWS według rodzaju przetwarzania, a nie według wzoru.

Dalsze podmioty przetwarzające: łańcuch, który nie kończy się na Państwa dostawcy

Podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku zgody ogólnej musi informować Państwa o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających i dać Państwu możliwość wyrażenia sprzeciwu. Zgoda szczegółowa daje większą kontrolę nad każdą zmianą, ale u większych dostawców jest praktycznie nie do przeforsowania, ponieważ swój łańcuch zmieniają oni na bieżąco.

Dla firm ważniejsza jest druga połowa tej zasady, czyli odpowiedzialność. Jeżeli podmiot przetwarzający korzysta z usług dalszego podmiotu przetwarzającego, musi umownie nałożyć na niego te same obowiązki w zakresie ochrony danych, jakie sam ma wobec Państwa. Jeżeli dalszy podmiot przetwarzający nie wywiązuje się ze swoich obowiązków, pełna odpowiedzialność wobec Państwa za ich wypełnienie nadal spoczywa na pierwotnym podmiocie przetwarzającym. Państwa dostawca nie może więc przerzucić na Państwa niepowodzenia swojego podwykonawcy.

W praktyce trzeba zatem wiedzieć, kto wchodzi w skład łańcucha. Dostawca chmurowy zwykle korzysta z centrów danych, narzędzi obsługi klienta i usług monitoringu innych firm, często z siedzibą poza Unią Europejską. Każde takie ogniwo to miejsce, przez które dane mogą wyciec lub trafić do państwa trzeciego. Warunki przekazywania do państw trzecich podlegają odrębnym regułom i powinny być wyraźnie uregulowane w umowie.

Rozsądnym standardem jest zgoda ogólna z listą obecnych dalszych podmiotów przetwarzających w załączniku. Do tego obowiązek zgłoszenia zmiany z odpowiednim wyprzedzeniem oraz Państwa prawo do wypowiedzenia umowy, jeśli nie zgadzają się Państwo ze zmianą. Jak te zasady przekładają się na aplikacje mobilne i platformy, omawia tekst o przetwarzaniu danych osobowych w aplikacjach.

Odpowiedzialność: kto płaci, gdy podmiot przetwarzający zawiedzie

Wobec osób, których dane wyciekły, ponoszą Państwo jako administrator szeroką odpowiedzialność także za przetwarzanie dokonywane w Państwa imieniu. Podmiot przetwarzający odpowiada za szkodę bezpośrednio wtedy, gdy nie dopełnił obowiązków nałożonych przez rozporządzenie konkretnie na podmioty przetwarzające lub gdy działał poza zgodnymi z prawem poleceniami administratora lub wbrew nim. Poszkodowany może się więc zwrócić zarówno do Państwa, jak i do dostawcy. Jeśli za tę samą szkodę odpowiadają obaj, może żądać pełnego odszkodowania od każdego z nich, a udziały rozliczają Państwo następnie między sobą.

Między Państwem a dostawcą odpowiedzialność rozstrzyga się następnie według umowy i kodeksu cywilnego. Jeżeli dostawca naruszy obowiązek umowny, naprawia wynikłą z tego szkodę (§ 2913 czeskiego Kodeksu cywilnego (ustawa nr 89/2012 Sb., dalej „k.c.”)). Od obowiązku tego uwalnia się tylko wtedy, gdy wykaże nadzwyczajną, nieprzewidywalną i niemożliwą do pokonania przeszkodę powstałą niezależnie od jego woli. Koszty dochodzenia w sprawie incydentu, informowania klientów i obrony prawnej to pozycje, które bez dobrze skonstruowanej umowy będą Państwa drogo kosztować.

Dostawcy bronią się przed tym limitem odpowiedzialności, zwykle w wysokości rocznych opłat za usługę. Taki limit ma jednak granice ustawowe. Nie uwzględnia się postanowienia, które z góry wyłącza lub ogranicza obowiązek naprawienia szkody wyrządzonej człowiekowi na jego prawach przyrodzonych albo wyrządzonej umyślnie lub z rażącego niedbalstwa (§ 2898 k.c.). Limit nie obejmuje więc przypadku, gdy dostawca zignorował podstawowe zasady bezpieczeństwa w takim stopniu, że chodzi o rażące niedbalstwo. Gdzie dokładnie przebiega ta granica, ocenia się dopiero według okoliczności konkretnego incydentu.

To, czy limit odpowiedzialności u konkretnego dostawcy odpowiada ryzyku, ocenia się według ilości i wrażliwości przekazywanych danych oraz tego, jakie szkody wyciek realnie by spowodował — dlatego prawnicy kancelarii adwokackiej ARROWS wyliczają go na podstawie rodzaju przetwarzania, a nie wysokości ceny usługi.

Sankcje i limit odpowiedzialności w umowie

Wiele umów powierzenia zawiera karę umowną za naruszenie obowiązków, na przykład za spóźnione zgłoszenie wycieku lub za zaangażowanie dalszego podmiotu przetwarzającego bez zgody. Kara motywuje do wykonania zobowiązań, ale ma haczyk. Jeżeli zastrzeżono karę umowną, wierzycielowi nie przysługuje odszkodowanie za szkodę wynikłą z naruszenia obowiązku, którego kara dotyczy (§ 2050 k.c.).

Przy wycieku danych szkoda jest z reguły o rząd wielkości wyższa niż jakakolwiek rozsądnie zastrzeżona kara. Jeżeli umowa nie stanowi, że obok kary można żądać także odszkodowania w pełnej wysokości, kara paradoksalnie zawęzi Państwa roszczenie. To jedno zdanie należy do każdej umowy powierzenia, w której ustalają Państwo sankcje, a bez niego kara staje się raczej ochroną dostawcy niż Państwa.

Wysokość kary nie jest zresztą pewna sama w sobie. Nadmiernie wysoką karę umowną sąd może na wniosek dłużnika obniżyć, uwzględniając wartość i znaczenie zabezpieczanego obowiązku (§ 2051 k.c.). Sąd nie ocenia przy tym zastrzeżonej kwoty jako takiej, lecz konkretne roszczenie: jak i w jakich okolicznościach doszło do naruszenia i jak wpłynęło ono na interesy, które kara miała chronić.

Rozsądnym kompromisem, który przechodzi na rynku, jest połączenie kary i pełnego odszkodowania. Kara dotyczy uchybień proceduralnych, takich jak spóźnione zgłoszenie lub niepoinformowanie o zmianie dalszego podmiotu przetwarzającego, pełne odszkodowanie — samego wycieku. Do tego limit odpowiedzialności, który dla wycieków danych obowiązuje odrębnie i w wyższej wysokości niż dla zwykłych wad usługi. Opłaca się również prowadzić ewidencję kosztów i skutków, jakie spowodował u Państwa incydent, ponieważ właśnie one pokażą, jaki interes kara chroniła.

Wspólna kampania: gdy dzielą się Państwo danymi z partnerem

Inna sytuacja zachodzi, gdy nie przekazują Państwo danych podmiotowi przetwarzającemu, lecz udostępniają je partnerowi biznesowemu we wspólnym celu, typowo na potrzeby wspólnej kampanii marketingowej, konkursu lub programu lojalnościowego. Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami (art. 26 ogólnego rozporządzenia o ochronie danych). Samo udostępnienie kontaktów jeszcze tego nie oznacza; decyduje to, czy o celu i sposobie przetwarzania rzeczywiście decydują Państwo obaj.

Współadministratorzy muszą w drodze przejrzystego uzgodnienia określić swoje zakresy odpowiedzialności, w szczególności w odniesieniu do wykonywania praw osoby, której dane dotyczą, i obowiązku informowania ludzi o przetwarzaniu. W uzgodnieniu można wskazać punkt kontaktowy. Uzgodnienie musi odzwierciedlać role obu administratorów i ich relacje z osobami, których dane przetwarzają, a osoby te muszą zostać poinformowane o jego zasadniczej treści.

Zasadnicza różnica w porównaniu z umową powierzenia dotyczy pozycji wobec ludzi. Niezależnie od tego, jak podzielą Państwo odpowiedzialność, osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego z administratorów. Wewnętrzny podział chroni więc tylko relację między Państwem a partnerem, a nie Państwa wobec klienta, który może wybrać, od kogo będzie dochodził swoich praw.

W praktyce sytuację tę często rozpoznaje się za późno. Firmy zawierają z partnerem umowę handlową o wspólnej akcji, udostępniają kontakty, a o ochronie danych nie ma w niej nic. Jeżeli partner wykorzysta następnie dane inaczej, niż uzgodniono, nie mają Państwo oparcia w umowie, a wobec klientów i tak mogą się Państwo znaleźć w roli podmiotu odpowiedzialnego za przetwarzanie.

Jak wynegocjować umowę powierzenia z dużym dostawcą

U dużych dostawców usług chmurowych umowa powierzenia jest zwykle niepodlegająca negocjacjom i oferowana w standardowym brzmieniu. Nie oznacza to, że należy ją tylko podpisać. Trzeba ją przeczytać i sprawdzić, czy zawiera wszystkie obowiązkowe elementy, gdzie znajdują się dane, jaka jest lista dalszych podmiotów przetwarzających i jak szybko zgłaszany jest wyciek.

Jeżeli standardowe brzmienie nie wystarcza, rozwiązuje się to wyborem usługi, a nie negocjowaniem tekstu. Duzi dostawcy oferują różne poziomy usług o odmiennych warunkach, w tym przechowywanie danych w Unii Europejskiej lub rozszerzone prawa audytu. Różnica w cenie bywa mniejsza niż koszty, jakie spowodowałyby niedopełnione obowiązki.

U małych i średnich dostawców sytuacja jest odwrotna. Tam opłaca się mieć własny wzór umowy powierzenia i przy nim obstawać, ponieważ dostawcy często nie mają własnego wzoru albo używają niekompletnego szablonu. Jak postępować przy zamawianiu oprogramowania lub usługi chmurowej w ogóle, omawia tekst o zamawianiu oprogramowania na zamówienie lub SaaS.

Rozporządzenie oferuje przy tym również ułatwienie. Umowa może w całości lub w części opierać się na standardowych klauzulach umownych przyjętych przez Komisję Europejską. Ich zastosowanie upraszcza negocjacje, ponieważ o treść obowiązkowych postanowień nie toczy się wówczas spór i pozostaje do wynegocjowania jedynie część handlowa, czyli terminy, limity i sankcje.

Błędy, które wychodzą na jaw dopiero przy wycieku

Najczęstszym błędem jest umowa powierzenia podpisana jako formalność, której nikt nie przeczytał. Firma ją ma, ale nie wie, jak szybko dostawca musi się odezwać w razie wycieku, gdzie znajdują się dane ani kto wchodzi w skład łańcucha dalszych podmiotów przetwarzających. W chwili incydentu rozwiązuje wtedy podstawowe kwestie pod presją czasu.

Drugim błędem jest brak przeglądu, z którymi dostawcami w ogóle mają Państwo umowę. Narzędzia wprowadzone przez poszczególne działy bez wiedzy kierownictwa, wersje próbne oprogramowania czy usługi opłacane firmową kartą często umowy nie mają. A właśnie tam dane wyciekają najczęściej, bo nikt nie pilnuje ich konfiguracji ani tego, kto ma do nich dostęp.

Trzecim błędem jest umowa, która nie określa, co stanie się z danymi po zakończeniu współpracy. Dostawca nadal przechowuje dane, bo nie otrzymał polecenia ich usunięcia, a Państwo tracą nad nimi kontrolę. Przy późniejszym wycieku z jego systemu mogą Państwo odpowiadać za dane, o których nie wiedzieli Państwo, że jeszcze istnieją. Do umowy należy zatem również obowiązek pisemnego potwierdzenia usunięcia.

Czwartym błędem jest przeoczone współadministrowanie. Firma uważa partnera za podmiot przetwarzający i zawiera z nim umowę powierzenia, choć w rzeczywistości obie strony ustalają, dlaczego dane są przetwarzane. To, jaki rodzaj umowy jest właściwy dla Państwa współpracy, ocenia się według tego, kto faktycznie decyduje o celu — i właśnie na tym opiera się cały podział odpowiedzialności, dlatego prawnicy kancelarii adwokackiej ARROWS oceniają to przed podpisaniem.

Gdzie umowa powierzenia zawodzi

Podsumowanie końcowe

Artykuł pokazał, że umowa powierzenia nie jest formalnością, lecz głównym narzędziem, za pomocą którego mogą Państwo kontrolować, co dostawca robi z danymi Państwa klientów i pracowników. Rozporządzenie określa jej obowiązkową treść, a wobec osób, których dane Państwo przekazują, ponoszą Państwo jako administrator szeroką odpowiedzialność także za przetwarzanie dokonywane w Państwa imieniu. Umowa decyduje więc o tym, czego będą Państwo mogli następnie dochodzić od dostawcy.

Dla kierownictwa firmy istotne są dwa zestawienia, które można szybko przygotować. Pierwszym jest lista wszystkich dostawców pracujących z danymi osobowymi, w tym narzędzi wprowadzonych przez poszczególne działy. Drugim jest odpowiedź na trzy pytania w odniesieniu do każdego z nich: gdzie znajdują się dane, jak szybko zgłasza wyciek i czy limit odpowiedzialności pokrywa realną szkodę.

Zwłoka się tu nie opłaca, ponieważ umowę trzeba mieć przed przekazaniem danych, a po incydencie nie da się jej już uzupełnić. Każdy miesiąc bez umowy to miesiąc przetwarzania, które nie spełnia wymogów rozporządzenia. Firmy, które poradziły sobie z wyciekiem bez dużych strat, miały umowy z konkretnymi terminami i wiedziały, kto wchodzi w skład łańcucha.

Ogólne zasady, które powinny obowiązywać przy rewizji każdej umowy handlowej, podsumowuje tekst o tym, co powinna obejmować rewizja umowy handlowej — DPA jako szczególny rodzaj umowy jest tylko jednym z przypadków, w których zasady te znajdują zastosowanie.

Prawnicy kancelarii adwokackiej ARROWS przygotują i zrewidują umowy powierzenia oraz uzgodnienia współadministratorów, zweryfikują Państwa dostawców i ich łańcuch dalszych podmiotów przetwarzających, wynegocjują warunki z drugą stroną i będą Państwa reprezentować przy dochodzeniu roszczeń po wycieku. Prosimy o kontakt pod adresem konsultacja@arws.cz lub zapoznanie się z naszą usługą RODO i ochrona danych osobowych.