umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych (ang. data processing agreement, DPA) to umowa albo inny instrument prawny, na podstawie którego podmiot przetwarzający przetwarza dane osobowe w imieniu administratora ^[1]. Wymaga jej art. 28 ust. 3 RODO, który określa także jej obowiązkową treść ^[1]. Umowa ma formę pisemną, w tym elektroniczną ^[1]. W praktyce mówi się krótko o umowie powierzenia, a o przekazaniu kolejnemu podmiotowi o podpowierzeniu.

Kiedy jest potrzebna

Podmiot przetwarzający to według RODO osoba lub organizacja, która przetwarza dane osobowe w imieniu administratora ^[1]. Umowa powierzenia jest potrzebna zawsze, gdy administrator zleca komuś operacje na danych, a sam decyduje o celach i sposobach przetwarzania. Administrator może korzystać wyłącznie z podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych ^[1]. Motyw 81 dopowiada, że chodzi w szczególności o wiedzę fachową, wiarygodność i zasoby ^[1].

Granica ról ma znaczenie. Jeżeli podmiot przetwarzający, naruszając rozporządzenie, sam zacznie określać cele i sposoby przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania ^[1].

Obowiązkowa treść

Umowa określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora ^[1]. Art. 28 ust. 3 wymienia też zobowiązania podmiotu przetwarzającego.

Punkt c odsyła do art. 32, który wymienia m.in. pseudonimizację i szyfrowanie, zdolność do szybkiego przywrócenia dostępności danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń ^[1]. Podmiot przetwarzający niezwłocznie informuje też administratora, jeżeli jego zdaniem wydane mu polecenie narusza przepisy o ochronie danych ^[1].

Podpowierzenie

Podmiot przetwarzający nie może korzystać z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora ^[1]. Przy zgodzie ogólnej informuje administratora o zamiarze dodania lub zastąpienia dalszych podmiotów, co daje administratorowi możliwość sprzeciwu ^[1]. Dalszy podmiot przejmuje te same obowiązki ochrony danych, a jeśli się z nich nie wywiąże, pełną odpowiedzialność wobec administratora ponosi pierwotny podmiot przetwarzający ^[1]. Łańcuch wygląda tak, jak na schemacie poniżej.

RYS. 1Powierzenie i podpowierzenie przy stronie sklepu

Kontrola i wzory umów

Umowa jest punktem wyjścia do nadzoru. UODO podkreśla, że administrator powinien mieć możliwość sprawdzenia, komu powierza dane i w jaki sposób będą one przetwarzane, oraz że jest zobowiązany do stałej kontroli, czy podmiot przetwarzający przetwarza dane zgodnie z prawem ^[2]. Według urzędu postanowienia umowy powierzenia, które w istocie ograniczałyby prawa administratora do audytu, należałoby uznać za niezgodne z RODO ^[2]. Takie sprawdzenie może przyjąć formę audytu bezpieczeństwa i jest częścią zarządzania ryzykiem dostawców (third-party risk management, TPRM).

Rozporządzenie pozwala oprzeć umowę w całości lub części na standardowych klauzulach umownych ^[1]. Komisja Europejska przyjęła je decyzją wykonawczą (UE) 2021/915 z 4 czerwca 2021 roku, wydaną na podstawie art. 28 ust. 7 RODO ^[3]. Klauzule dotyczą relacji między administratorem a podmiotem przetwarzającym na terenie UE i EOG ^[3]. Wystarczające gwarancje podmiot przetwarzający może wykazać także przez zatwierdzony kodeks postępowania albo mechanizm certyfikacji ^[1].

W WordPressie

Strona na WordPressie rzadko przetwarza dane wyłącznie na serwerze właściciela. Typowymi podmiotami przetwarzającymi są firma hostingowa, agencja lub freelancer z dostępem do panelu i bazy, dostawca usługi kopii zapasowych, zewnętrzna poczta transakcyjna, usługa newslettera czy system obsługi zgłoszeń. Każdy z nich, kto przetwarza dane w imieniu właściciela strony, powinien być objęty umową powierzenia.

Dokumentacja WordPressa zwraca uwagę na dwa miejsca, w których łatwo przeoczyć przepływ danych:

• usługi zewnętrzne osadzone na stronie — narzędzia do zapisu na newsletter i podobne usługi zbierają dane w sposób, którego pomocnik polityki prywatności w rdzeniu nie wykrywa ^[4]; wbudowane narzędzia eksportu i usuwania danych zwykle nie obejmują danych zebranych przez dostawców analityki, newsletterów, programów partnerskich i osadzonych multimediów ^[4];
• wtyczki — podręcznik dla autorów wtyczek każe sprawdzić, czy wtyczka przekazuje dane osobowe stronom trzecim, na przykład zewnętrznym API lub serwerom, i czy przekazuje je do SDK ^[5].

Z tych list powstaje rejestr podmiotów, z którymi trzeba zawrzeć umowę albo zaakceptować umowę dostawcy. W przypadku hostingu współdzielonego zwykle akceptuje się standardową umowę operatora; jej zakres podpowierzenia i miejsce przechowywania kopii zapasowych (backup) warto sprawdzić przed zakupem.

Znaczenie dla bezpieczeństwa

Umowa powierzenia przenosi wymagania bezpieczeństwa na każdego, kto ma dostęp do danych. Gdy dojdzie do naruszenia ochrony danych osobowych po stronie dostawcy, podmiot przetwarzający zgłasza je administratorowi bez zbędnej zwłoki ^[1], a administrator ocenia, czy wymagane jest zgłoszenie naruszenia do organu nadzorczego. Obowiązek usunięcia lub zwrotu danych po zakończeniu współpracy ^[1] ogranicza liczbę nieaktualnych kopii bazy u byłych wykonawców. Dostęp agencji do panelu warto przy tym nadawać zgodnie z zasadą najmniejszych uprawnień.

Naruszenie obowiązków administratora i podmiotu przetwarzającego z art. 25–39, obejmujących art. 28, podlega karze do 10 000 000 EUR albo do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, przy czym stosuje się kwotę wyższą ^[1].