Umowa musi opisywać faktyczne przetwarzanie
Umowa o przetwarzaniu danych, często nazywana Umową o przetwarzaniu danych (DPA), stanowi uzupełnienie umowy o świadczenie usług. Nabiera znaczenia, gdy dostawca usług przetwarza dane osobowe w imieniu swojego klienta. Może to dotyczyć hostingu, wsparcia, dystrybucji newsletterów lub aplikacji w chmurze. Decydującym czynnikiem jest faktyczne wykorzystanie danych, a nie tytuł dokumentu.
Umowa powinna jasno określać obowiązki. Wyjaśnia między innymi, jakie czynności przetwarzania są wykonywane, jakie instrukcje mają zastosowanie i w jaki sposób dostawca wspiera ochronę danych. Długi standardowy tekst jest nieskuteczny, jeśli opisuje zupełnie inny produkt. Dlatego kupujący powinni zapoznać się z warunkami umowy, ofertą, dokumentacją techniczną i planowanym wykorzystaniem.
To, czy przetwarzanie danych w imieniu administratora danych istnieje i jaka umowa jest wymagana, zależy od konkretnej relacji i obowiązującego prawa. Ogólna lista kontrolna nie może zastąpić tej klasyfikacji prawnej. W przypadku niejasnych ról, danych wrażliwych lub nietypowych czynności przetwarzania należy zasięgnąć porady eksperta. Jasno określone ścieżki dostępu do danych, obowiązki i szczegóły umowne stanowią wiarygodną podstawę faktyczną.
Administratorzy i podmioty przetwarzające mają różne role
Administrator określa cele i podstawowe sposoby przetwarzania. Podmiot przetwarzający przetwarza dane osobowe w jego imieniu i zgodnie z jego udokumentowanymi instrukcjami. Terminy te opisują role w zakresie ochrony danych i nie ustanawiają ogólnej hierarchii między firmami. Duży dostawca platformy może być podmiotem przetwarzającym, podczas gdy mały klient działa jako administrator w odniesieniu do danego przetwarzania.
Role mogą się różnić w zależności od funkcji. Dostawca może przetwarzać dane klientów w imieniu innej strony, ale wykorzystywać określone dane umowne lub rozliczeniowe do własnych celów. W takich przypadkach powinien wyjaśnić, jaką rolę przyjmuje w odniesieniu do poszczególnych procesów. Ogólne stwierdzenie, że wszystkie dane są przetwarzane wyłącznie w imieniu innej strony, nie jest zbyt pomocne, jeśli opisy produktów lub informacje o ochronie prywatności również wspominają o jego własnym wykorzystaniu.
Umowa nie może zmienić faktycznych ról poprzez zmianę jej etykiety. Dlatego przed podpisaniem umowy powinno być jasne, kto decyduje o wykorzystaniu danych. Jeśli dostawca zdefiniuje nowy cel niezależnie od klienta, może to wykraczać poza zakres uzgodnionej umowy o przetwarzaniu danych. Takie granice wymagają zrozumiałego wyjaśnienia, aby umożliwić prawidłową ocenę obowiązków, informacji dla osób, których dane dotyczą, oraz innych podstaw prawnych.
Przedmiot, czas trwania i rodzaje danych wymagają szczegółowych informacji.
Umowa powinna jasno określać, która usługa jest świadczona z wykorzystaniem jakich danych osobowych. Ogólne sformułowania, takie jak „świadczenie uzgodnionych usług”, często nie wystarczają do zrozumienia przepływu danych. W systemie wsparcia może to mieć wpływ na dane kontaktowe, treść wiadomości i techniczne dane dotyczące użytkowania. Kategorie osób, których dane dotyczą, takie jak klienci, pracownicy lub kandydaci, powinny również odpowiadać rzeczywistemu wykorzystaniu.
Rodzaj i cel przetwarzania są równie ważne. Przechowywanie, przesyłanie, ocena i usuwanie opisują różne procesy. Cel wyjaśnia, dlaczego są one przeprowadzane, na przykład w celu przetwarzania zgłoszeń serwisowych lub obsługi platformy klienta. Im dokładniej opisane jest to powiązanie, tym łatwiej później ustalić, czy nowa funkcja produktu jest nadal objęta umową, czy wymaga nowej decyzji.
Czas trwania musi być odpowiedni do usługi i procesu usuwania. Czasami przetwarzanie trwa przez cały okres obowiązywania umowy, a kopie zapasowe są przechowywane przez ograniczony czas. Nie powinno to być przysłaniane przez nieokreślony okres przechowywania. Kupujący potrzebują realistycznego obrazu tego, kiedy aktywne dane są usuwane, jak długo przechowywane są kopie techniczne i jakie obowiązki prawne mogą uniemożliwić natychmiastowe usunięcie.
Instrukcje muszą być faktycznie skuteczne w praktyce.
Podmioty przetwarzające dane powinny przetwarzać dane osobowe zgodnie z udokumentowanymi instrukcjami, chyba że obowiązek prawny stanowi inaczej. W standardowym oprogramowaniu duża część tych instrukcji jest już zawarta w umowie głównej, wyborze produktu i ustawieniach. Umowa o przetwarzaniu danych (DPA) powinna być z tym zgodna. Ogólna klauzula dotycząca dowolnych, indywidualnych instrukcji jest mało przydatna, jeśli nikt nie wie, poprzez który kontakt i w jakich ramach technicznych można je wdrożyć.
Wyjaśnij, które zmiany są uważane za nowe instrukcje. Aktywacja funkcji analitycznej, nowa lokalizacja przechowywania lub dłuższe okresy przechowywania mogą zmienić przetwarzanie. Niektóre ustawienia są kontrolowane przez klienta, inne wyłącznie przez dostawcę. Kupujący powinni zrozumieć, jakie opcje są dostępne i jakie są ich konsekwencje. Umowa nie może rekompensować brakujących lub wprowadzających w błąd kontroli produktu za pomocą abstrakcyjnych praw.
Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO) dostawca musi poinformować klienta, jeśli uzna polecenie za niezgodne z prawem. Umowa powinna określać praktyczną procedurę w takim przypadku. Kto zostanie poinformowany, co się stanie do czasu wyjaśnienia sprawy i które czynności przetwarzania mogą zostać zawieszone? Jasno określone osoby kontaktowe i kanały eskalacji są cenniejsze niż sformułowanie, które jedynie powtarza zasadę prawną.
Poufność i bezpieczeństwo muszą być adekwatne do ryzyka.
Osoby przetwarzające dane dla dostawcy muszą być związane umowami o zachowaniu poufności lub podlegać odpowiednim obowiązkom prawnym. Ważne jest również, aby kupujący rozumieli, jak ograniczony jest dostęp w codziennym użytkowaniu. Czy wsparcie wymaga standardowego dostępu do treści, czy też jest on przyznawany tylko w określonych przypadkach? Role, uprawnienia i rejestrowanie powinny być zgodne z obiecaną usługą.
Środki techniczne i organizacyjne opisują ochronę przetwarzania danych. Mogą one obejmować kontrolę dostępu, szyfrowanie, tworzenie kopii zapasowych, odzyskiwanie i regularne audyty. Sama lista powszechnie znanych terminów dotyczących bezpieczeństwa niewiele mówi o ich zastosowaniu. Kupujący powinni być w stanie zrozumieć, które dane są chronione i kiedy, kto kontroluje klucze lub dostęp oraz jakie środki bezpieczeństwa faktycznie obowiązują w przypadku wybranego produktu.
Bezpieczeństwo nie jest wartością statyczną. Systemy i zagrożenia ewoluują w miarę jak dostawcy dostosowują swoją infrastrukturę. Umowa powinna umożliwiać znaczące ulepszenia bez subtelnego obniżania uzgodnionego poziomu ochrony. Klienci potrzebują wystarczających informacji o istotnych zmianach. To, co stanowi istotną zmianę, zależy od usługi, ale może obejmować nowe lokalizacje przechowywania, inne metody dostępu lub usunięcie centralnego środka bezpieczeństwa.
Inni dostawcy usług nie mogą pozostać niewidoczni.
Wielu dostawców nie świadczy swoich usług samodzielnie. Korzystają oni z centrów danych, usług poczty elektronicznej lub firm wsparcia, które mogą działać jako dodatkowe podmioty przetwarzające dane. Umowa o przetwarzaniu danych (DPA) powinna precyzować, czy obowiązuje upoważnienie szczegółowe, czy ogólne. W przypadku upoważnienia ogólnego klienci muszą być informowani o wszelkich planowanych zmianach i mieć rzeczywistą możliwość zgłoszenia sprzeciwu.
Lista dodatkowych podmiotów przetwarzających dane jest przydatna tylko wtedy, gdy jest zrozumiała. Nazwa, rola i miejsce przetwarzania pomagają ocenić, którą część usługi obsługuje firma. Sam zbiór nazw firm bez określenia funkcji utrudnia przepływ danych. Powinno być również jasne, gdzie można znaleźć aktualne informacje i w jaki sposób klienci będą powiadamiani o nowych lub zastąpionych dostawcach.
Główny dostawca pozostaje odpowiedzialny za nałożenie zasadniczo tych samych obowiązków w zakresie ochrony danych na swoich dodatkowych podmiotów przetwarzających dane. Kupujący nie muszą samodzielnie negocjować każdej umowy podwykonawczej, ale potrzebują wystarczającego zabezpieczenia w całym łańcuchu dostaw. Sprzeciw wobec nowego dostawcy nie powinien być czysto teoretyczny. Konsekwencje umowne, możliwe alternatywy oraz wszelkie prawa do odstąpienia od umowy muszą być jasno wyjaśnione w kontekście umowy głównej.
Wsparcie musi być łatwo dostępne w zakresie praw osób, których dane dotyczą, i w przypadku incydentów.
Osoby fizyczne mogą korzystać z praw dotyczących swoich danych osobowych. Administrator danych pozostaje odpowiedzialny za przetwarzanie, ale często wymaga wsparcia ze strony dostawcy usług. Umowa powinna opisywać, w jaki sposób można znaleźć, poprawić, wyeksportować lub usunąć dane. W przypadku funkcji samoobsługowej ważne jest wyjaśnienie, czy obejmuje ona wszystkie istotne dane, czy też konieczne są dodatkowe żądania skierowane do dostawcy.
W przypadku naruszenia danych osobowych podmiot przetwarzający dane musi poinformować o tym administratora danych bez zbędnej zwłoki po uzyskaniu o nim informacji. Dla kupującego kluczowe znaczenie mają informacje, które otrzymuje, oraz sposób, w jaki je otrzymuje. Trudno dostępny formularz wsparcia może marnować cenny czas. Wyznaczone osoby kontaktowe w nagłych wypadkach i bieżące aktualizacje pomagają ocenić wpływ, dane, których dotyczy naruszenie, oraz podjęte środki.
Wsparcie może być również wymagane w przypadku oceny skutków dla ochrony danych i zapytań organów nadzorczych. Zakres i ograniczenia praktyczne zależą od usługi i dostępnych informacji. Dlatego ogólne obietnice wsparcia powinny być dostosowane do warunków wsparcia i potencjalnych kosztów. Kupujący muszą mieć możliwość sprawdzenia, jakie dowody są dostarczane domyślnie oraz kiedy zostanie uzgodnione specjalne dochodzenie lub pomoc ekspercka.
Usuwanie, zwrot i przegląd wymagają realistycznego podejścia.
Po zakończeniu usługi dane osobowe powinny zostać usunięte lub zwrócone według uznania administratora, o ile nie ma prawnego obowiązku ich przechowywania. Wybór ten musi być technicznie wykonalny. Kupujący powinni wiedzieć, w jakim formacie dane zostaną otrzymane, jak długo eksport jest dostępny oraz kiedy aktywne systemy zostaną opróżnione. Nieczytelny format eksportu sprawia, że formalne prawo do zwrotu jest praktycznie bezwartościowe.
Kopie zapasowe często nie mogą być natychmiast pojedynczo usunięte. Dlatego konieczne jest ograniczenie czasu przechowywania, ochrona przed normalnym użytkowaniem oraz śledzenie procesu usuwania. Oświadczenia dotyczące późniejszego usuwania w ramach regularnego cyklu powinny określać zrozumiałe ramy czasowe. Powinno być również jasne, czy logi, załączniki pomocy technicznej i kopie testowe podlegają tym samym zasadom, czy też są przechowywane dłużej ze względu na inne obowiązki.
Dostawca musi udostępnić informacje potwierdzające przestrzeganie swoich obowiązków i umożliwiające przeprowadzenie audytów. W popularnych usługach chmurowych często wykorzystuje się w tym celu niezależne raporty, certyfikaty i standardowe ujawnienia. Mogą one być przydatne, jeśli zakres, okres i usługa, których dotyczą, są odpowiednie. Bardziej kompleksowe prawo do audytu pozostaje ważne, ale powinno uwzględniać bezpieczeństwo innych klientów, poufność i proporcjonalny proces.
Umowa o przetwarzaniu danych (DPA) nie rozstrzyga automatycznie kwestii międzynarodowego transferu danych.
Jeśli dane są przetwarzane poza Europejskim Obszarem Gospodarczym (EOG) lub udostępniane z tego obszaru, pojawiają się dodatkowe pytania. DPA zgodnie z art. 28 nie stanowi automatycznie pełnej podstawy prawnej. Kupujący powinni być świadomi lokalizacji przetwarzania, potencjalnego zdalnego dostępu oraz zaangażowanych firm. Samo stwierdzenie „hosting w UE” jest niewystarczające, jeśli wsparcie lub administracja mogą być regularnie świadczone z państwa trzeciego.
W zależności od kraju i konkretnych okoliczności, istotne mogą być decyzje dotyczące odpowiedniego stopnia ochrony, standardowe klauzule umowne lub inne instrumenty. W przypadku każdego indywidualnego transferu danych należy ocenić, która podstawa prawna jest odpowiednia i jakie dodatkowe środki są konieczne. Umowa nie powinna mieszać różnych dokumentów o podobnych skrótach. Umowa o przetwarzaniu danych (DPA) reguluje przetwarzanie danych w imieniu administratora, podczas gdy standardowe klauzule umowne regulują różne kwestie związane z transferem danych w zależności od ich zastosowania.
Należy również rozważyć zmiany. Nowy podwykonawca lub lokalizacja wsparcia może zmienić poprzednią ocenę. Klienci potrzebują zatem informacji przed rozpoczęciem nowego przetwarzania i wystarczająco dużo czasu na odpowiednią analizę. Porada prawna jest szczególnie wskazana w przypadku złożonych łańcuchów transferu danych. Jasne i zwięzłe szczegóły umowy ustalają podstawę faktyczną, ale nie zastępują niezbędnej oceny prawnej.
Dobrą umowę można wyjaśnić za pomocą produktu.
Przed podpisaniem dokumentu osoba kompetentna powinna być w stanie w prosty sposób opisać przepływ danych. Jakie dane docierają do dostawcy, do czego są wykorzystywane, kto ma do nich dostęp i kiedy są usuwane? Odpowiedzi muszą być spójne w obrębie produktu, umowy głównej, umowy o przetwarzaniu danych (DPA) i dokumentacji bezpieczeństwa. Nieścisłości wymagają wyjaśnienia, a nie założenia, że bardziej szczegółowy załącznik automatycznie rozwiąże wszystkie problemy.
Zaangażuj ochronę danych, bezpieczeństwo informacji, zaopatrzenie i odpowiedzialny dział, w zależności od ryzyka. Każda perspektywa identyfikuje inne luki: role prawne, zabezpieczenia, implikacje umowne lub nieodpowiednią funkcję produktu. W przypadku małej usługi o niskim ryzyku, przegląd może pozostać łatwy w zarządzaniu. Obszerne lub wrażliwe przetwarzanie wymaga bardziej dogłębnej analizy. Kluczem jest odpowiedni przegląd, a nie taka sama ilość dokumentacji dla każdego dostawcy.
Jasna i zrozumiała umowa o przetwarzaniu danych (DPA) sama w sobie nie gwarantuje bezpieczeństwa, ale sprawia, że weryfikowalne oczekiwania stają się przejrzyste. Łączy ona zlecone przetwarzanie z instrukcjami, ochroną, wsparciem, podwykonawcami i zakończeniem użytkowania. Gdy te oświadczenia dokładnie odzwierciedlają rzeczywistą usługę, kupujący mogą lepiej ocenić odpowiedzialność i wcześniej zidentyfikować zmiany. Wszelkie pozostałe kwestie prawne należy następnie rozwiązać za pośrednictwem wykwalifikowanej porady prawnej, a nie opierając się na założeniach dotyczących standardowych klauzul.