Umowa, której potrzebuje niemal każda strona
Gdy tylko usługodawca dotyka danych osobowych na czyjeś zlecenie – hosting, newsletter, kopie zapasowe – art. 28 RODO wymaga umowy o określonej treści. To nie formalność: bez niej przekazanie danych jest po prostu niedozwolone.
Umowa powierzenia przetwarzania – w skrócie DPA – to najczęściej pomijany element. Jest potrzebna, gdy tylko podmiot trzeci przetwarza dane na polecenie, a dotyczy to większej liczby usług, niż zawiera większość list.
Czy potrzebna jest umowa powierzenia?
Co musi się w niej znaleźć
Art. 28 ust. 3 wylicza minimalną treść. Umowa, w której brakuje jednego z tych punktów, nie spełnia wymogu – choćby liczyła dwadzieścia stron.
- Przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych oraz kategorie osób.
- Związanie poleceniami: przetwarzanie wyłącznie na udokumentowane polecenie, także przy przekazaniach do państw trzecich.
- Poufność osób zaangażowanych, zapewniona umownie lub ustawowo.
- Środki techniczne i organizacyjne z art. 32 – wskazane konkretnie, nie jako deklaracja intencji.
- Zasady dotyczące podwykonawców: zgoda, informowanie o zmianach, przeniesienie tych samych obowiązków.
- Wsparcie przy prawach osób, naruszeniach i ocenach skutków.
- Usunięcie lub zwrot po zakończeniu usługi – według wyboru administratora, nie usługodawcy.
- Możliwość wykazania zgodności i kontroli, w tym znoszenie audytów.
Sama umowa nie wystarczy
Art. 28 wymaga więcej niż podpisu: wybrać wolno wyłącznie usługodawcę dającego wystarczające gwarancje. Ten wybór to odrębna ocena dokonywana przed zawarciem umowy i również wymaga udokumentowania – certyfikaty, miejsce przetwarzania, sposób obsługi żądań organów.
W praktyce wystarczy krótka notatka na każdego usługodawcę. Ważne, by istniała: kontrola pyta nie tylko o umowę, ale i o uzasadnienie wyboru.
Umowa powierzenia podpisana po pierwszym przepływie danych niczego nie naprawia – dokumentuje jedynie, od kiedy jest lepiej.