Kiedy gabinet potrzebuje umowy powierzenia przetwarzania danych (DPA) i z kim?

Administrator, podmiot przetwarzający — kim jestem, kim jest dostawca?

Jako gabinet jesteś zwykle administratorem — to Ty decydujesz, po co i jak przetwarzasz dane klientów. Dostawca, który robi to w Twoim imieniu i według Twoich poleceń (np. przechowuje dane w chmurze, wysyła w Twoim imieniu SMS-y), jest podmiotem przetwarzającym (procesorem). Relację między wami reguluje umowa powierzenia.

Kiedy DPA jest obowiązkowe?

Zawsze, gdy zewnętrzny podmiot przetwarza dane osobowe w Twoim imieniu. Powierzenie bez umowy spełniającej wymogi art. 28 RODO jest naruszeniem — i to niezależnie od tego, że sam dostawca dba o bezpieczeństwo. Brak DPA to jedno z najczęstszych, a łatwych do uniknięcia uchybień w małych gabinetach.

Co musi zawierać umowa powierzenia?

Art. 28 ust. 3 RODO wskazuje obowiązkowe elementy. Dobra DPA opisuje co najmniej:

• przedmiot, czas, charakter i cel przetwarzania oraz kategorie danych i osób,
• obowiązek działania wyłącznie na udokumentowane polecenie administratora,
• zobowiązanie do zachowania poufności przez osoby przetwarzające dane,
• wdrożenie odpowiednich środków bezpieczeństwa (art. 32),
• zasady korzystania z podwykonawców (dalsze powierzenie) — za zgodą administratora,
• pomoc administratorowi w realizacji praw osób oraz obowiązków (naruszenia, DPIA),
• usunięcie lub zwrot danych po zakończeniu współpracy,
• umożliwienie audytu/wykazania zgodności.

Czym różni się powierzenie od współadministrowania?

Przy współadministrowaniu (art. 26 RODO) dwa podmioty wspólnie ustalają cele i sposoby przetwarzania — wtedy zawierają porozumienie o współadministrowaniu, a nie umowę powierzenia. W gabinecie to rzadsze; typowe relacje z dostawcami IT to powierzenie. Jeśli nie jesteś pewien statusu współpracy, oceń, kto realnie decyduje o celach przetwarzania.

Jak wybrać dostawcę, żeby nie odpowiadać za jego zaniedbania?

RODO wymaga, byś korzystał wyłącznie z podmiotów dających wystarczające gwarancje wdrożenia odpowiednich środków (art. 28 ust. 1). Odpowiedzialność za wybór jest po Twojej stronie, więc warto sprawdzić:

• gdzie fizycznie przechowywane są dane (najlepiej w UE/EOG; transfer poza EOG wymaga dodatkowych podstaw),
• jakie stosuje zabezpieczenia (szyfrowanie, kontrola dostępu, kopie zapasowe),
• czy udostępnia DPA i listę podwykonawców,
• jak wspiera realizację praw osób i zgłaszanie naruszeń.

Najczęstsze pytania

Czy potrzebuję umowy powierzenia z własnym pracownikiem?

Nie. Osoby działające pod Twoim zwierzchnictwem (pracownicy, współpracownicy przetwarzający dane z Twojego upoważnienia) nie są odrębnym podmiotem przetwarzającym. Wystarczy nadać im upoważnienie do przetwarzania i zobowiązać do poufności.

Czy z biurem rachunkowym zawieram umowę powierzenia?

Zwykle tak — w zakresie, w jakim przetwarza dane w Twoim imieniu. Bywa jednak, że w pewnym zakresie księgowość jest odrębnym administratorem (własne obowiązki ustawowe). Zakres najlepiej doprecyzować w umowie z biurem.

Dostawca ma serwery poza Unią Europejską — czy to problem?

Transfer danych poza Europejski Obszar Gospodarczy jest dopuszczalny tylko przy spełnieniu dodatkowych warunków (np. odpowiednie decyzje lub standardowe klauzule umowne). Dla danych klientów, zwłaszcza wrażliwych, bezpieczniej wybierać dostawców przechowujących dane w UE/EOG.

Co, jeśli korzystam z systemu bez podpisanej umowy powierzenia?

To luka do pilnego uzupełnienia. Sprawdź, czy dostawca udostępnia DPA (często jest częścią regulaminu akceptowanego przy zakładaniu konta) i zadbaj o jej zawarcie oraz przechowywanie na wypadek kontroli lub skargi klienta.