Powierzenie przetwarzania danych osobowych

Korzystanie z ogólnodostępnych wzorów dokumentów
Już pobieżna analiza obecnego sposobu funkcjonowania biznesu, niezależnie od branży i zakresu terytorialnego, pozwala dostrzec ogromny wzrost zainteresowania przedsiębiorców stosowaniem outsourcingu w ramach wielu procesów biznesowych.

Przy okazji outsourcingu, w wielu przypadkach dochodzi do powierzenia danych osobowych do przetwarzania. Tytułem przykładu powierzenia danych osobowych podać można zewnętrzną obsługę kadrową, księgową, informatyczną, prawną czy marketingową. O tym czym jest powierzenie przetwarzania danych osobowych oraz jakie warunki powinno spełniać mogą Państwo przeczytać w jednym z poprzednich wpisów.

Podstawowym warunkiem uznania powierzenia przetwarzania danych osobowych za zgodne z prawem jest zawarcie w tym zakresie umowy na piśmie. Dokonana w ramach przeprowadzanych audytów ochrony danych osobowych analiza stosowanych w obrocie umów powierzenia, pozwala stwierdzić, że stosunek powierzenia w dużej mierze regulowany jest przez przedsiębiorców w oparciu o ogólnodostępne (w szczególności w Internecie) wzory umowy powierzenia przetwarzania danych osobowych.

Mając na uwadze dostrzeżony trend, zdecydowanie podkreślić należy, że pobrany z Internetu wzór umowy powierzenia przetwarzania danych osobowych może nie odpowiadać (i najczęściej nie odpowiada) faktycznym warunkom relacji pomiędzy administratorem a procesorem. Co więcej, dostępne w Internecie wzory umów powierzenia nie zabezpieczają interesów i praw administratorów danych osobowych w sposób należyty i adekwatny do charakteru, skali i sposobu przetwarzania danych w ramach powierzenia.

Ogólnodostępny wzór dokumentu ma, ze swej istoty, charakter ogólnikowy i generalny. Z jednej strony, umożliwia to łatwe i nieskrępowane wykorzystanie go w prowadzonej działalności, z drugiej zaś strony rodzi ryzyko niedopasowania do danej sytuacji faktycznej czy określonego stosunku prawnego.

Niedostosowanie wykorzystywanego wzoru (np. wzoru umowy powierzenia) do warunków i specyfiki określonej sprawy czy relacji prawnej grozi wieloma negatywnymi konsekwencjami, których to konsekwencji często nie przywiduje się sięgając bezrefleksyjnie do danego wzoru.

Wzór umowy powierzenia przetwarzania danych osobowych
Oczywistym jest również to, że w ramach prowadzonej działalności dochodzi do wielu procesów o charakterze powtarzalnym. Pewna regularność czy cykliczność dotyka również sfer związanych z relacjami z podmiotami zewnętrznymi. Przy okazji regulowania stosunków prawnych w takich wypadkach, dla oszczędności czasu i zwiększenia efektywności prowadzonego biznesu, można posłużyć się odpowiednim wzorem umowy.

Co niezwykle ważne, aby mówić o przydatności wzoru dokumentu (np. umowy) dla prowadzonej działalności gospodarczej, wzór taki powinien być uprzednio odpowiednio i indywidualnie „skrojony”, tj. przygotowany w sposób uwzględniający potrzeby przedsiębiorcy, charakter prowadzonej przez niego działalności a przede wszystkim cele, dla realizacji których wzór jest tworzony.

Odnosząc powyższe uwagi do umowy powierzenia przetwarzania danych osobowych, stwierdzić należy, że wzór takiej umowy będzie użyteczny dla przedsiębiorcy jeżeli jego postanowienia będą uwzględniały w szczególności skalę, charakter oraz kategorie danych osobowych przetwarzanych przez tego przedsiębiorcę oraz zakres i przedmiot prowadzonej działalności gospodarczej. Wymienione przymioty determinują bowiem pozostałe aspekty powierzenia przetwarzania danych osobowych, które bezwzględnie wymagają uregulowania.

Użyteczny wzór umowy powierzenia, przy założeniu, że będzie on wykorzystywany w sposób rozważny i odpowiedzialny, powinien zawierać postanowienia określające:

1. dane osobowe powierzane do przetwarzania;
2. zakres przetwarzania danych osobowych (rozumiany jako katalog operacji wykonywanych na danych osobowych);
3. cel przetwarzania danych osobowych na podstawie umowy;
4. obowiązki procesora związane z zapewnieniem bezpieczeństwa powierzonym danym osobowym;
5. możliwość korzystania przez procesora z podwykonawców (tzw. podpowierzenie) oraz ewentualnie zasady tekiego podpowierzenia;
6. zasady współdziałania procesora z administratorem w czasie obowiązywania umowy;
7. sposób przeprowadzania przez administratora kontroli procesora w zakresie przetwarzania danych osobowych;
8. zasady ponoszenia odpowiedzialności w przypadku nienależytego przetwarzania danych osobowych przez procesora, w tym kary umowne;
9. okres obowiązywania umowy i możliwość jej wcześniejszego wypowiedzenia;
10. sposób postępowania procesora z danymi osobowymi po ustania stosunku prawnego pomiędzy administratorem a procesorem.

Dla zapewnienia bezpieczeństwa powierzonych do przetwarzania danych osobowych, samo skorzystanie z prawidłowo „skrojonego” wzoru umowy jest jednak niewystarczające. Przed sfinalizowaniem transakcji obejmującej powierzenie przetwarzania danych osobowych, warto, a nawet należy zapewnić zweryfikowanie postanowień umowy przygotowanej w oparciu o wzór przez osobę posiadającą wiedzę i doświadczenie z zakresu ochrony danych osobowych, np. przez powołanego administratora bezpieczeństwa informacji czy zewnętrznego eksperta.

Warto pamiętać, że umowy zawiera się na „złe czasy”, a wysiłek i środki, które przeznaczymy na etapie ustalania (regulowania) prawnych ram naszego przedsięwzięcia, przyniosą nieocenione korzyści w przyszłości.