Umowa powierzenia przetwarzania danych osobowych

Zawsze, gdy podmiot zewnętrzny przetwarza dane osobowe w Twoim imieniu i na Twoje polecenie — art. 28 ust. 3 RODO wymaga wtedy umowy albo innego instrumentu prawnego. Typowe przykłady w e-commerce: biuro rachunkowe (dane klientów i kontrahentów z faktur), hosting sklepu i poczty, hurtownia w dropshippingu (adresy do wysyłki), narzędzie do newslettera, firma obsługująca leady, zleceniobiorca lub freelancer B2B z dostępem do bazy klientów. Umowy nie potrzebujesz, gdy druga strona przetwarza dane we własnym celu i jako odrębny administrator — np. kurier, bank, operator płatności.

Umowa musi określać sześć elementów z art. 28 ust. 3 RODO: przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Do tego dochodzą obowiązki procesora wymienione w tym samym przepisie: przetwarzanie wyłącznie na udokumentowane polecenie, poufność, środki bezpieczeństwa z art. 32, zasady korzystania z podwykonawców (dalsze powierzenie), pomoc administratorowi w realizacji praw osób i przy naruszeniach, usunięcie lub zwrot danych po zakończeniu usługi oraz prawo do audytu. Umowa z Kreatora zawiera wszystkie te punkty i pasuje zarówno wtedy, gdy Ty powierzasz dane, jak i wtedy, gdy przetwarzasz je dla kogoś.

Umowa powierzenia musi mieć formę pisemną, w tym elektroniczną (art. 28 ust. 9 RODO) — nie musi to być papier z podpisami. Wystarczy dokument w PDF podpisany elektronicznie, akceptacja regulaminu usługi, w który wbudowano postanowienia o powierzeniu (tak robi większość dostawców hostingu i narzędzi SaaS), albo wymiana maili z pełną treścią umowy, jeśli da się wykazać, kto i co zaakceptował. Ustne ustalenia nie spełniają wymogu. Z naszego doświadczenia najbezpieczniejsza jest umowa jako osobny dokument z datą — łatwo ją pokazać na żądanie UODO.

Tak — gotową umowę pobierasz w PDF od razu po wypełnieniu formularza. To nie pusty wzór: formularz pyta, czy występujesz jako administrator, czy jako podmiot przetwarzający, w związku z jaką umową powierzasz dane, jakich osób dotyczą i jakie dane obejmuje powierzenie — i na tej podstawie przygotowuje umowę do podpisu. Zasady korzystania z podwykonawców (kolejnego podmiotu przetwarzającego) umowa reguluje sama, zgodnie z art. 28 RODO. W okresie licencji (249 zł netto za rok) generujesz ją dowolną liczbę razy, z różnymi kontrahentami. Jedyne, czego nie zmienisz, to dane Twojej firmy jako strony umowy.

Tak — biuro rachunkowe jest podmiotem przetwarzającym dla każdego klienta, którego dokumenty księguje, więc z każdym powinno mieć umowę powierzenia. Najczęściej dołącza się ją jako załącznik do umowy o prowadzenie ksiąg. Umowa z Kreatora działa w obie strony: biuro może ją generować dla swoich klientów jako procesor, a przedsiębiorca — dla swojego biura jako administrator.

Brak umowy powierzenia to naruszenie art. 28 RODO, za które UODO może nałożyć karę administracyjną do 10 mln euro lub 2% rocznego światowego obrotu (art. 83 ust. 4 lit. a RODO). W praktyce UODO karał w Polsce za brak umowy powierzenia zarówno administratorów, jak i procesorów. Ważniejsze bywa co innego: bez umowy nie masz podstawy, żeby żądać od dostawcy usunięcia danych, informacji o naruszeniu ani współpracy przy wniosku klienta o dostęp do danych.

Umowa powierzenia przetwarzania danych osobowych kosztuje 249 zł netto za rok — niezależnie od tego, ile umów w tym czasie wygenerujesz. To kilka razy mniej niż umowa pisana na indywidualne zlecenie. W cenie są też aktualizacje: gdy zmiana przepisów o ochronie danych osobowych dotyka treści dokumentu, przygotowujemy nową wersję i dajemy Ci znać mailem.