ARK. 1Słownik pojęćPrawo, zgodność i ryzyko
umowa powierzenia przetwarzania danych osobowych
Umowa — lub inny instrument prawny — wymagana przez art. 28 ust. 3 RODO, wiążąca podmiot przetwarzający z administratorem i określająca przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki i prawa stron oraz środki bezpieczeństwa; obowiązkowa forma pisemna, w tym elektroniczna.
TAB. 1Nazwapo polsku
| Po angielsku | data processing agreement (DPA) |
|---|---|
| Po polsku | umowa powierzenia przetwarzania danych osobowych |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | umowa powierzenia · powierzenie przetwarzania · umowa powierzenia danych (potocznie) |
| Odmiana | ta umowa powierzenia, tej umowy powierzenia, tę umowę powierzenia, o umowie powierzenia; l.mn. umowy powierzenia, umów powierzenia. Skrót DPA nieodmienny, bez apostrofu (w DPA, z DPA). |
TAB. 2Jak to nazywająprasa vs urząd
| Urząd i ustawa | umowa powierzenia (UODO); pochodne: powierzenie, podpowierzenie |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Zatem jakiekolwiek inne postanowienia umowy powierzenia, które w istocie ograniczały ww. prawa administratora należałoby uznać za niezgodne z RODO.” | uodo.gov.pl |
| PL | „administrator powinien mieć możliwość sprawdzenia komu powierza dane osobowe” | uodo.gov.pl |
| PL | „umowa lub inny instrument prawny (brzmienie do potwierdzenia przed publikacją)” | eur-lex.europa.eu |
TAB. 4Obok w tej dziedzinie6
| szacowanie ryzyka | risk assessment | Proces identyfikacji zagrożeń, oszacowania prawdopodobieństwa i skutków ich wystąpienia oraz uszeregowania ryzyk, aby świadomie zdecydować, które z nich ograniczać w pierwszej kolejności. |
| szkolenia z cyberbezpieczeństwa dla pracowników | security awareness training | Regularne szkolenia uczące pracowników rozpoznawać phishing i socjotechnikę oraz stosować bezpieczne procedury, często łączone z kontrolowanymi testami phishingowymi; obowiązek szkoleń nakładają m.in. NIS2/ustawa o KSC (w tym udokumentowane szkolenie kierownictwa) i DORA. |
| ubezpieczenie od ryzyk cybernetycznych | cyber insurance (ubezpieczenie cyber) | Polisa pokrywająca finansowe skutki incydentu cyberbezpieczeństwa — koszty reakcji i odtworzenia systemów, obsługi prawnej i roszczeń osób trzecich, a w części ofert także koszty cyberwymuszenia. |
| ustawa o krajowym systemie cyberbezpieczeństwa (KSC) | National Cybersecurity System Act | Polska ustawa z 5 lipca 2018 r. (Dz.U. 2018 poz. 1560) wdrażająca unijne przepisy o cyberbezpieczeństwie do prawa krajowego, wyznaczająca obowiązki operatorów usług kluczowych i dostawców usług cyfrowych oraz rolę krajowych zespołów CSIRT; znowelizowana w 2026 r. („KSC2") w celu wdrożenia dyrektywy NIS2, z rozszerzeniem kręgu podmiotów do ok. 40 tys. organizacji. |
| ustawa o zwalczaniu nadużyć w komunikacji elektronicznej | Act on Combating Abuse in Electronic Communications | Polska ustawa z 28 lipca 2023 r., która nakłada na operatorów obowiązek blokowania SMS-ów zgodnych ze wzorcami smishingu i połączeń z podszytym numerem, na dostawców poczty — stosowania mechanizmów SPF, DKIM i DMARC, a na CSIRT NASK — prowadzenia listy ostrzeżeń i wykazów nadpisów nadawcy. |
| uwzględnianie ochrony danych w fazie projektowania | privacy by design | Zasada z art. 25 RODO: administrator już na etapie określania sposobów przetwarzania (a więc przy projektowaniu systemu) wdraża odpowiednie środki techniczne i organizacyjne realizujące zasady ochrony danych, a domyślne ustawienia mają przetwarzać tylko dane niezbędne do celu (domyślna ochrona danych). |