Powierzenie przetwarzania danych dostawcom: czego w praktyce wymaga art. 28 RODO?

Podmiotem przetwarzającym jest ten, kto przetwarza dane osobowe w imieniu i na polecenie administratora (art. 4 pkt 8 RODO). Typowe przypadki to hosting i usługi centrów danych, oprogramowanie jako usługa, serwis IT z dostępem do danych lub wysyłka korespondencji i e-maili na zlecenie.

Powierzenie przetwarzania nie występuje, gdy usługodawca w ogóle nie ma dostępu do danych osobowych albo sam decyduje o celach i sposobach przetwarzania.

Zgodnie z art. 28 ust. 3 RODO umowa określa przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Podmiot przetwarzający zobowiązuje się w szczególności: przetwarzać dane wyłącznie na udokumentowane polecenie (lit. a), zapewnić poufność (lit. b), podejmować środki wymagane na mocy art. 32 (lit. c), przestrzegać zasad korzystania z usług dalszych podmiotów przetwarzających (lit. d), pomagać w realizacji praw osób, których dane dotyczą (lit. e), oraz w wywiązywaniu się z obowiązków określonych w art. 32–36 (lit. f), usunąć lub zwrócić dane po zakończeniu świadczenia usług (lit. g) oraz udostępniać wszelkie niezbędne informacje i umożliwiać przeprowadzanie audytów (lit. h).

Umowa musi mieć formę pisemną, co obejmuje również formę elektroniczną (art. 28 ust. 9). Jako podstawa mogą posłużyć standardowe klauzule umowne Komisji Europejskiej (decyzja wykonawcza (UE) 2021/915).

Już przed zawarciem umowy zleceniodawca musi sprawdzić, czy dostawca zapewnia wystarczające gwarancje (art. 28 ust. 1). Należą do nich udokumentowane środki techniczne i organizacyjne zgodnie z art. 32 – np. ochrona dostępu, szyfrowanie, kopie zapasowe i procedury regularnego testowania.

Zatwierdzone kodeksy postępowania lub certyfikacje zgodnie z RODO mogą być wykorzystywane jako element wykazania wystarczających gwarancji (art. 28 ust. 5). Nie zastępują one jednak samej weryfikacji.

Dostawca może korzystać z usług innych podmiotów przetwarzających wyłącznie za uprzednią szczegółową lub ogólną pisemną zgodą (art. 28 ust. 2). W przypadku zgody ogólnej informuje o wszelkich zamierzonych zmianach, a zleceniodawca może wyrazić sprzeciw.

Na dalszy podmiot przetwarzający należy nałożyć te same obowiązki w zakresie ochrony danych; jeśli nie wywiąże się on z nich, dostawca odpowiada za to wobec zleceniodawcy (art. 28 ust. 4).

Często umowy brakuje w ogóle albo została raz podpisana i nigdy więcej nie była przeglądana. Równie częste są nieaktualne listy dalszych podmiotów przetwarzających, środki techniczne i organizacyjne w postaci ogólnych szablonów bez związku z usługą oraz brak uregulowania kwestii usunięcia danych po zakończeniu umowy.

Naruszenia obowiązków wynikających z art. 28 mogą zgodnie z art. 83 ust. 4 RODO podlegać administracyjnym karom pieniężnym w wysokości do 10 mln euro lub do 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa.

Katalog Vendo4u obejmuje punkty istotne dla weryfikacji zgodnie z art. 28 – czy dostępna jest umowa powierzenia, gdzie przetwarzane są dane, z usług jakich dalszych podmiotów przetwarzających korzysta dostawca – a dostawcy zamieszczają do nich odpowiednie dokumenty. Kupujący widzą te informacje dla wszystkich dostawców w tej samej strukturze i dzięki eksportowi archiwizują je we własnych aktach.