Umowa powierzenia przetwarzania danych

Po co w ogóle jest umowa powierzenia

Prawo ochrony danych nie pozwala administratorowi przekazać danych osobowych dostawcy na zaufanie. Artykuł 28 brytyjskiego RODO stanowi, że taki układ musi być uregulowany umową wiążącą podmiot przetwarzający, i wymienia, co ta umowa musi zawierać. Obowiązek działa w obie strony: jeśli zbierają Państwo dane osobowe przez ankietę, a umowy powierzenia nie ma, to Państwo dopuszczają się naruszenia, nie tylko my. Dlatego działy zakupów pytają o nią wcześnie i dlatego wolimy opublikować tę stronę, niż odpowiadać czterdzieści razy na ten sam e-mail.

Strona o brytyjskim RODO szczegółowo wyjaśnia podział ról między administratorem a podmiotem przetwarzającym, w tym przypadki, w których to my jesteśmy administratorem — dane kont i korespondencja z obsługą.

Kiedy jest potrzebna, a kiedy nie

Umowa powierzenia jest potrzebna, jeśli ankieta zbiera dane osobowe. To próg niższy, niż się wydaje. Ankieta bez pola na imię i nazwisko wciąż może zbierać dane osobowe przez pole tekstowe, w którym ktoś pisze o sobie, przez pytanie o adres lub e-mail, przez przesłany plik albo przez ukryte pole niosące numer sprawy z Państwa własnego systemu. Jeśli którykolwiek z tych przypadków zachodzi, proszę potraktować ankietę jako przetwarzanie danych osobowych i zadbać o dokumenty.

Naprawdę anonimowa ankieta — bez identyfikatorów, bez ukrytych pól, bez przesyłanych plików, bez pytań otwartych zachęcających do podania danych o sobie — umowy powierzenia nie wymaga, bo nie ma danych osobowych do przetwarzania. Warto uczciwie ocenić, którą z nich Państwo prowadzą. Sekcja o anonimowości omawia trzy funkcje, które najczęściej przypadkiem tę anonimowość naruszają.

Co obejmuje nasza umowa powierzenia

Umowa jest krótka i podąża za strukturą artykułu 28 ust. 3, zamiast wymyślać ją na nowo. Każdy z poniższych elementów znajduje się w dokumencie:

Załącznik, prostym językiem

Załącznik to część, którą większość osób faktycznie czyta, bo mówi, gdzie trafiają dane. Treść ankiet, odpowiedzi, zapisane odpowiedzi częściowe i przesłane pliki przechowuje Supabase na infrastrukturze AWS w Londynie (eu-west-2). Zastosowane wobec nich zabezpieczenia techniczne — TLS w tranzycie, AES-256 w spoczynku, zabezpieczenia na poziomie wierszy, izolacja organizacji rozstrzygana po stronie serwera, a nie przyjmowana z przeglądarki, oraz prywatny zasobnik na przesyłane pliki, odczytywany wyłącznie przez podpisane adresy URL wygasające po 300 sekundach — są opisane na stronie o bezpieczeństwie, a ten sam opis stanowi wykaz środków z artykułu 32.

Każdy podmiot trzeci, na którym się opieramy, wraz z tym, co robi, co widzi i gdzie to robi, znajduje się na stronie podmiotów podprzetwarzających. Umowa powierzenia udziela ogólnej pisemnej zgody na tę listę i zobowiązuje nas do opublikowania dodania, zanim nowy dostawca rozpocznie przetwarzanie, z prawem sprzeciwu po Państwa stronie z uzasadnionych przyczyn dotyczących ochrony danych. Dwa wiersze na tej stronie są oznaczone jako „do potwierdzenia”, ponieważ nie zweryfikowaliśmy jeszcze regionu u dostawcy; jeśli potrzebują Państwo takiego potwierdzenia przed podpisaniem, proszę powiedzieć, a my to wyjaśnimy, zamiast zgadywać.

Jak poprosić o egzemplarz

Prosimy napisać przez stronę kontaktową. Proszę podać pełną nazwę organizacji zawierającej umowę i osobę, która ją podpisze, oraz czy potrzebują jej Państwo przed założeniem konta, czy po — jedno i drugie jest w porządku, a wolimy, żeby inspektor ochrony danych przeczytał ją na etapie oceny, niż odkrył problem w trzecim miesiącu.

Jeśli Państwa organizacja ma własną obowiązkową umowę powierzenia, prosimy ją przysłać. Samorządy, podmioty ochrony zdrowia i uczelnie zwykle je mają, a przejrzenie Państwa dokumentu jest szybsze niż spór o to, czyj papier wygrywa. Czytamy go uważnie i wracamy z konkretnymi uwagami tam, gdzie klauzula nie odpowiada temu, jak platforma faktycznie działa — na przykład klauzula audytowa wymagająca inspekcji na miejscu w centrum danych, którego nie jesteśmy właścicielem, albo zobowiązanie dotyczące retencji zakładające automatyczne wygasanie, którego nie mamy. Wolimy to zasygnalizować, niż podpisać coś, czego nie jesteśmy w stanie dotrzymać.

Czego umowa powierzenia nie robi

Nie wybiera za Państwa podstawy prawnej, nie pisze Państwa klauzuli informacyjnej ani nie wypełnia oceny skutków dla ochrony danych. To obowiązki administratora i żadna umowa z dostawcą ich nie przenosi. Wypełnimy części DPIA dotyczące dostawcy i odpowiemy na kwestionariusz bezpieczeństwa — zakres opisuje strona o brytyjskim RODO — ale sama ocena należy do Państwa.

Umowa nie nadaje też certyfikatu, którego nie posiadamy. Nie mamy certyfikatu ISO 27001, nie ukończyliśmy audytu SOC 2 i nie posiadamy Cyber Essentials. Jeśli Państwa procedura traktuje któryś z nich jako warunek bezwzględny, umowa powierzenia go nie zastąpi i powinni Państwo wiedzieć o tym, zanim poświęcą czas na ocenę.

Powiązane strony

Bezpieczeństwo opisuje zabezpieczenia, do których zobowiązuje nas umowa powierzenia. Brytyjskie RODO obejmuje role, podstawy prawne, retencję i prawa respondentów. Podmioty podprzetwarzające to lista z załącznika w wersji na bieżąco aktualizowanej. Deklaracja dostępności to drugi dokument, o który dział zakupów zwykle prosi w tym samym e-mailu.

Ta strona opisuje umowę. Nie stanowi porady prawnej i nie zastępuje Państwa własnej analizy.