Hosting działa w cudzej chmurze, newsletter idzie przez zewnętrzne narzędzie, pensje liczy biuro rachunkowe, CRM leży u dostawcy. We wszystkich tych przypadkach pozwalają Państwo osobie trzeciej przetwarzać dane osobowe swoich klientów, pracowników czy zainteresowanych — to jest powierzenie przetwarzania danych. I obowiązuje przy tym niewygodne zdanie: pod względem prawa ochrony danych Państwo pozostają administratorem. Jeśli brakuje wymaganej umowy powierzenia przetwarzania albo jest ona wadliwa, już to samo jest własnym naruszeniem — a za błędy Państwa usługodawcy mogą Państwo współodpowiadać. Ten poradnik pokazuje, kiedy zachodzi powierzenie przetwarzania, co musi znaleźć się w umowie, gdzie leżą typowe pułapki — i jak ustawić umowy z usługodawcami i klientami tak, żeby się broniły.
Wprowadzane jest nowe narzędzie, zamawiany dysk w chmurze, wysyłka newslettera zlecana na zewnątrz. Dane osobowe Państwa klientów lądują u dostawcy — a pytania, czy zawarto do tego umowę powierzenia przetwarzania, często nikt nie stawia. Jeśli jej brakuje, wyprowadzenie danych jest od początku obarczone naruszeniem, które przypisuje się Państwu jako administratorowi.
Hostują Państwo, prowadzą narzędzie, rozliczają albo świadczą usługę IT — i przetwarzają przy tym dane swoich zleceniodawców. Wtedy są Państwo podmiotem przetwarzającym, a Państwa klienci słusznie żądają solidnej umowy. Czysty wzór umowy nie jest tu biurokracją, lecz warunkiem, żeby w ogóle otrzymać zlecenie — i Państwa własną granicą odpowiedzialności.
Państwa dostawca korzysta ze swojej strony z cudzej chmury, centrum danych, wsparcia z zagranicy. Ten łańcuch jest dozwolony — ale tylko za Państwa zgodą i tylko wtedy, gdy podwykonawcy nałoży się te same obowiązki. Kto łańcucha nie zna i nie uregulował, traci kontrolę nad pytaniem, gdzie jego dane ostatecznie leżą.
Punktem wyjścia są dwie role, które rozporządzenie czysto rozdziela. Administratorem (Verantwortlicher) jest ten, kto samodzielnie albo wspólnie z innymi decyduje o celach i środkach przetwarzania danych osobowych (Art. 4 pkt 7 DSGVO). Podmiotem przetwarzającym (Auftragsverarbeiter) jest natomiast ten, kto przetwarza dane osobowe w imieniu administratora (Art. 4 pkt 8 DSGVO). Rozstrzygająca różnica tkwi we władzy decyzyjnej: kto określa „dlaczego" i „jak", jest administratorem; kto tylko wykonuje to, co administrator mu zada, jest podmiotem przetwarzającym.
To tłumaczy, dlaczego klasyczne wyprowadzenia na zewnątrz podpadają pod tę figurę: hoster przechowuje Państwa dane, dostawca chmury dostarcza infrastrukturę, narzędzie do newslettera wysyła według Państwa wytycznych, biuro płac rozlicza według Państwa liczb. We wszystkich tych przypadkach nie usługodawcy decydują, po co i dla kogo dane są przetwarzane — decydują o tym Państwo. Oddają Państwo przetwarzanie z rąk, ale nie odpowiedzialność za nie. Właśnie dlatego rozporządzenie ściśle wiąże podmiot przetwarzający z Państwa poleceniem — i jednocześnie czyni Państwa odpowiedzialnymi za właściwy dobór i ukształtowanie umowy.
Przeciwwagą dla powierzenia przetwarzania jest związanie poleceniami (Weisungsgebundenheit) po stronie wykonawczej: podmiot przetwarzający oraz każda podległa jemu lub Państwu osoba z dostępem do danych mogą przetwarzać te dane wyłącznie na polecenie administratora, chyba że są do przetwarzania zobowiązane ustawowo (Art. 29 DSGVO). Ta zasada jest zawiasem całego modelu: usługodawca ma robić to, co mu Państwo zlecą — nie więcej i nic innego.
Powierzenie przetwarzania nie może działać na słowo. Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy albo innego instrumentu prawnego, który wiąże podmiot przetwarzający względem administratora (Art. 28 ust. 3 DSGVO). Ta umowa nie jest tylko zaleceniem, lecz jest ustawowo obowiązkowa — i musi określać pewien zakres: przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Musi mieć formę pisemną, przy czym forma elektroniczna wyraźnie wystarcza (Art. 28 ust. 9 DSGVO).
Tu leży pierwsza wielka pułapka: brak umowy albo umowa niewystarczająca. Otwiera się ona niemal zawsze z oczywistości — narzędzie zamawia się szybko, warunki korzystania odhacza, a czy zawierają w ogóle obowiązkowe treści z Art. 28 ust. 3 DSGVO, nikt nie sprawdza. Brakująca albo dziurawa umowa powierzenia nie jest jednak drobiazgiem, lecz samodzielnym naruszeniem rozporządzenia — zupełnie niezależnie od tego, czy z danymi kiedykolwiek coś się stanie. A ponieważ obowiązek rozliczalności spoczywa na Państwu jako administratorze, w razie wątpliwości to Państwo muszą wykazać, że istnieje skuteczna umowa.
Z praktyki Proszę założyć rejestr swoich usługodawców, którzy przetwarzają dla Państwa dane osobowe — hosting, chmura, newsletter, płace, CRM, wsparcie. Proszę sprawdzić przy każdym: czy jest umowa powierzenia przetwarzania i czy naprawdę pokrywa minimum treści z Art. 28 ust. 3 DSGVO? Dołączone przez dostawcę „Data Processing Agreement" jest dobrym punktem wyjścia, ale nie glejtem — może zawierać luki, które w razie potrzeby obrócą się przeciw Państwu.
Umowa musi w szczególności przewidywać, że podmiot przetwarzający przejmuje następujące obowiązki (Art. 28 ust. 3 lit. a–h DSGVO). Tych osiem punktów to rdzeń, którym mierzyć się musi każda umowa powierzenia przetwarzania:
Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora — także co do przekazania do państwa trzeciego — chyba że jest do czegoś innego zobowiązany ustawowo; w takim wypadku musi Państwa o tym wcześniej poinformować.
Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
Podejmuje wszelkie środki wymagane na mocy Art. 32 DSGVO dla bezpieczeństwa przetwarzania — bezpieczeństwo danych jest więc wyraźnie przedmiotem umowy.
Przestrzega warunków ustępów 2 i 4 dla włączenia dalszych podmiotów przetwarzających — o tym niżej więcej.
W miarę możliwości wspiera Państwa odpowiednimi środkami w realizacji wniosków osób, których dane dotyczą, o wykonanie ich praw (dostęp, usunięcie, sprzeciw i dalsze prawa z rozdziału III).
Wspiera Państwa w wywiązaniu się z obowiązków z Art. 32–36 DSGVO — a więc m.in. bezpieczeństwo danych, zgłaszanie naruszeń i ocena skutków dla ochrony danych.
Po zakończeniu świadczenia usuwa albo przekazuje wszystkie dane według Państwa wyboru i usuwa istniejące kopie, o ile nie istnieje ustawowy obowiązek przechowywania. Wybór między usunięciem a zwrotem należy do Państwa, nie do usługodawcy.
Udostępnia Państwu wszystkie informacje niezbędne do wykazania spełnienia tych obowiązków i umożliwia przeprowadzanie kontroli — w tym inspekcji — przez Państwa lub upoważnionego przez Państwa audytora oraz się do nich przyczynia.
Dodatkowo rozporządzenie zobowiązuje podmiot przetwarzający, by niezwłocznie poinformował Państwa, jeśli jego zdaniem któreś z Państwa poleceń narusza przepisy o ochronie danych (Art. 28 ust. 3 akapit drugi DSGVO). Umowa, której brakuje któregoś z tych elementów, nie spełnia ustawowego minimum treści — i tym samym nie czyni zadość obowiązkowi z ust. 3.
Zanim umowa w ogóle wchodzi w grę, stoi decyzja o doborze — i ta należy do Państwa. Administrator współpracuje wyłącznie z podmiotami przetwarzającymi, które dają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych tak, by przetwarzanie odbywało się zgodnie z rozporządzeniem i chroniło prawa osób, których dane dotyczą (Art. 28 ust. 1 DSGVO). Nie mogą Państwo dobrać usługodawcy na ślepo: kto oczywiście nie ma solidnych zabezpieczeń, jest jako podmiot przetwarzający nieodpowiedni — a wybór obciąża Państwa.
Ten obowiązek doboru brzmi abstrakcyjnie, ma jednak uchwytny rdzeń: proszę przed zleceniem zapytać o koncepcję bezpieczeństwa, o certyfikaty albo kodeksy postępowania, o miejsce przetwarzania i o łańcuch podwykonawców. To, co Państwo tu sprawdzą i utrwalą, jest zarazem elementem Państwa rozliczalności: mogą Państwo później wykazać, że dobrali usługodawcę nie w ciemno, lecz na zrozumiałej podstawie.
Mało który usługodawca pracuje dziś sam. Hoster korzysta z cudzego centrum danych, narzędzie z cudzej chmury, wsparcie siedzi u osoby trzeciej. Te łańcuchy są dozwolone — ale nie bez Państwa udziału. Podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej albo ogólnej pisemnej zgody administratora (Art. 28 ust. 2 zd. 1 DSGVO). Zgodę mogą więc Państwo udzielić pojedynczo dla każdego podwykonawcy albo ogólnie — wtedy jednak usługodawca musi zawsze informować Państwa o każdej zamierzonej zmianie, tak by mogli Państwo wnieść sprzeciw (Art. 28 ust. 2 zd. 2 DSGVO).
Właśnie tu powstaje druga typowa pułapka: podwykonawca bez zgody. Często pozostaje niezauważona, bo kryje się za łańcuchem — dostawca zmienia centrum danych, dołącza nową usługę chmurową albo przenosi wsparcie, a Państwo się o tym nie dowiadują. Gdy włączony zostaje dalszy podmiot przetwarzający, trzeba mu w drodze umowy nałożyć te same obowiązki ochrony danych, które obowiązują między Państwem a Państwa usługodawcą (Art. 28 ust. 4 zd. 1 DSGVO). Jeśli podwykonawca nie wywiąże się ze swoich obowiązków, Państwa bezpośredni usługodawca odpowiada wobec Państwa za ich spełnienie (Art. 28 ust. 4 zd. 2 DSGVO). Dla Państwa znaczy to: proszę zastrzec sobie w umowie regulację podwykonawców wyraźnie — z prawem do informacji i sprzeciwu — i żądać aktualnej listy zaangażowanych podwykonawców.
Rozkład odpowiedzialności podąża za rolami. Zasadniczo każda osoba, która z powodu naruszenia rozporządzenia poniosła szkodę majątkową lub niemajątkową, ma prawo do odszkodowania od administratora albo podmiotu przetwarzającego (Art. 82 ust. 1 DSGVO). Administrator odpowiada przy tym za szkodę z przetwarzania niezgodnego z rozporządzeniem; podmiot przetwarzający odpowiada tylko wtedy, gdy nie dopełnił obowiązków nałożonych specjalnie na podmioty przetwarzające albo działał wbrew zgodnym z prawem poleceniom administratora lub poza nimi (Art. 82 ust. 2 DSGVO). Jeśli w tym samym przetwarzaniu uczestniczy i odpowiada kilka podmiotów, każdy odpowiada wobec osoby, której dane dotyczą, za całą szkodę, aby zapewnić jej skuteczne odszkodowanie (Art. 82 ust. 4 DSGVO) — w stosunku wewnętrznym następuje potem rozliczenie według udziałów w odpowiedzialności.
Dla Państwa jako administratora znaczy to: wyprowadzenie przetwarzania nie jest wyprowadzeniem odpowiedzialności. Na zewnątrz osoby, których dane dotyczą, mogą zwrócić się do Państwa, a to, czy wewnętrznie zdołają Państwo zaspokoić się u usługodawcy, zależy w decydującym stopniu od tego, co stoi w umowie powierzenia przetwarzania. Czysta umowa z jasną regulacją poleceń, zgłoszeń i odpowiedzialności nie jest więc tylko obowiązkiem z Art. 28, lecz Państwa najważniejszym narzędziem, by w razie szkody nie zostać samemu.
Z praktyki Najgroźniejsza konstelacja to usługodawca, który staje się samowolny: jeśli podmiot przetwarzający z naruszeniem rozporządzenia przetwarza dane do własnych celów albo własnymi środkami, w tym zakresie sam staje się administratorem (Art. 28 ust. 10 DSGVO) — z pełną odpowiedzialnością, która się z tym wiąże. Dla Państwa umów wynika stąd: granice dozwolonego przetwarzania muszą być tak jasno zakreślone, by każda samowola dała się jako taka rozpoznać — zarówno gdy są Państwo administratorem, jak i gdy sami są Państwo podmiotem przetwarzającym i tej granicy przekroczyć nie chcą.
Nie każde przekazanie danych osobie trzeciej jest powierzeniem przetwarzania — a właściwe zakwalifikowanie rozstrzyga, która umowa jest ta właściwa. Trzeba odróżnić trzy konstelacje. Przy powierzeniu przetwarzania (Auftragsverarbeitung) o celach i środkach decyduje wyłącznie administrator, usługodawca wykonuje związany poleceniami (Art. 4 pkt 8, Art. 28, Art. 29 DSGVO) — tu należy umowa powierzenia przetwarzania.
Przy współadministrowaniu (współadministratorzy, gemeinsame Verantwortliche) dwa lub więcej podmiotów ustalają natomiast cele i środki wspólnie; wtedy są współadministratorami i muszą w porozumieniu uregulować, kto wypełnia który obowiązek (Art. 26 ust. 1 DSGVO). To nie jest umowa powierzenia przetwarzania, lecz inny rodzaj umowy — a osoby, których dane dotyczą, mogą tu wykonywać swoje prawa wobec każdego z administratorów (Art. 26 ust. 3 DSGVO). Trzecia konstelacja to przekazanie samodzielnemu administratorowi: kto otrzymuje dane do własnych celów i z własną władzą decyzyjną, nie jest ani Państwa podmiotem przetwarzającym, ani współadministratorem z Państwem — jest własnym administratorem, a przekazanie potrzebuje własnej podstawy prawnej.
Zwrotnica leży zawsze przy tym samym pytaniu: kto decyduje o celu i środkach? Kto tylko wykonuje, jest podmiotem przetwarzającym; kto współdecyduje, jest współadministratorem; kto decyduje samodzielnie, jest własnym administratorem. Jeśli to zakwalifikowanie wypadnie błędnie, zawarta umowa jest ta niewłaściwa — a właściwej brakuje.
Proszę systematycznie wypisać wszystkich usługodawców, którzy przetwarzają dla Państwa dane osobowe — hosting, chmura, newsletter, płace, CRM, wsparcie, narzędzia analityczne. Ta inwentaryzacja jest podstawą, by przy każdym dostawcy określić właściwą rolę i pasującą umowę.
Proszę wyjaśnić przy każdym przekazaniu danych, kto decyduje o celach i środkach: powierzenie przetwarzania, współadministrowanie (Art. 26 DSGVO) czy przekazanie własnemu administratorowi. Od tego zakwalifikowania zależy, która umowa jest obowiązkowa.
Proszę zadbać o pisemną umowę z pełnym minimum treści (Art. 28 ust. 3 lit. a–h DSGVO). Proszę krytycznie sprawdzić dołączone umowy dostawcy pod kątem luk — zwłaszcza przy związaniu poleceniami, usunięciu/zwrocie i prawach do audytu.
Proszę udokumentować, dlaczego usługodawca daje wystarczające gwarancje (Art. 28 ust. 1 DSGVO), i zastrzec sobie regulację podwykonawców z prawem do informacji i sprzeciwu (Art. 28 ust. 2 i 4 DSGVO). Proszę żądać aktualnej listy podwykonawców.
Jeśli sami są Państwo podmiotem przetwarzającym, potrzebują Państwo solidnego wzoru umowy, który spełnia minimum treści i czysto zakreśla Państwa własne granice — jest on warunkiem zlecenia i zarazem Państwa granicą odpowiedzialności (Art. 82 ust. 2, Art. 28 ust. 10 DSGVO).
Nakład zależy od tego, gdzie Państwo stoją i w jakiej roli. Przedsiębiorstwo, które po raz pierwszy systematycznie ujmuje swoich usługodawców i dla każdego ustawia nośną umowę powierzenia przetwarzania, ma więcej do nadrobienia niż takie, które musi tylko doostrzyć pojedyncze umowy albo zlecić sprawdzenie konkretnego wyprowadzenia na zewnątrz. Kto sam występuje jako podmiot przetwarzający i potrzebuje wielokrotnego wzoru umowy, ma znów inną potrzebę. Dobra wiadomość: największa część to jednorazowa praca budująca, która potem jest tylko pielęgnowana — a czysta umowa jest niemal zawsze wyraźnie tańsza niż przepracowanie szkody albo postępowania nadzorczego, w którym umowy brakuje.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o sprawdzenie jednej umowy dostawcy, o zbudowanie pełnej struktury powierzenia przetwarzania, czy o wzór umowy dla Państwa jako usługodawcy, robi dla nakładu i sposobu postępowania rozstrzygającą różnicę. Poznają Państwo rząd wielkości i uczciwą ocenę, która droga jest dla Państwa sensowna, gdy tylko poznamy, jak Państwa firma jest ustawiona i o co konkretnie chodzi.
Zawsze wtedy, gdy dostawca przetwarza dane osobowe w Państwa imieniu (Art. 4 pkt 8 DSGVO), umowa jest obowiązkowa (Art. 28 ust. 3 DSGVO). Dotyczy to większości usług hostingu, chmury, newslettera, płac i CRM. Czyste narzędzia, które nie przetwarzają dla Państwa danych osobowych, nie podpadają pod to — rozgraniczenie w konkretnym przypadku warto sprawdzić, bo od niego zależy, która umowa jest ta właściwa.
Często jest dobrym punktem wyjścia, ale nie glejtem. Rozstrzyga, czy pokrywa pełne minimum treści z Art. 28 ust. 3 lit. a–h DSGVO — od związania poleceniami przez usunięcie lub zwrot według Państwa wyboru aż po prawa do audytu. Ponieważ rozliczalność spoczywa na Państwu jako administratorze, powinni Państwo sprawdzić wzór pod kątem luk, zanim go podpiszą.
Tylko za Państwa uprzednią — szczegółową albo ogólną — pisemną zgodą (Art. 28 ust. 2 DSGVO). Przy zgodzie ogólnej musi informować Państwa o każdej zamierzonej zmianie, tak by mogli Państwo wnieść sprzeciw. Podwykonawcy trzeba nałożyć te same obowiązki ochrony danych (Art. 28 ust. 4 DSGVO), a Państwa bezpośredni usługodawca odpowiada wobec Państwa za ich spełnienie.
Tak. Wyprowadzenie przetwarzania nie jest wyprowadzeniem odpowiedzialności. Osoby, których dane dotyczą, mogą zwrócić się do administratora albo podmiotu przetwarzającego (Art. 82 ust. 1 DSGVO), przy kilku uczestnikach nawet o całą szkodę (Art. 82 ust. 4 DSGVO). Czy wewnętrznie zaspokoją się Państwo u usługodawcy, zależy rozstrzygająco od umowy powierzenia przetwarzania — dlatego jej jakość jest tak ważna.
Przy powierzeniu przetwarzania o celach i środkach decyduje wyłącznie administrator, usługodawca wykonuje związany poleceniami (Art. 28, Art. 29 DSGVO). Jeśli natomiast dwa podmioty ustalają cele i środki wspólnie, są współadministratorami i potrzebują porozumienia według Art. 26 DSGVO — nie umowy powierzenia przetwarzania. Kto rolę zakwalifikuje błędnie, zawiera niewłaściwą umowę i pozwala, by właściwej brakowało.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Właśnie gdy wyprowadzenie na zewnątrz jest w toku albo umowa dostawcy leży na stole do podpisu, opłaca się sprawdzenie z wyprzedzeniem — proszę opisać sprawę raczej wcześnie, zanim przetwarzanie już ruszy.
„Kto wyprowadza przetwarzanie na zewnątrz, nie wyprowadza wraz z nim odpowiedzialności — ta zostaje przy administratorze. Umowa powierzenia przetwarzania nie jest więc formularzem do segregatora, lecz narzędziem, którym w razie potrzeby nie odpowiadają Państwo samemu za błędy osoby trzeciej", mówi adwokat Sebastian Müller.
Proszę opisać krótko, o co chodzi — czy chcą Państwo dać do sprawdzenia umowę dostawcy, zbudować strukturę powierzenia przetwarzania, czy przygotować własny wzór jako usługodawca. Otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę