Powierzasz dane klientów dostawcy IT, firmie marketingowej albo platformie chmurowej? Musisz wiedzieć, komu je przekazujesz, na jakich warunkach i jak to kontrolować. Poniżej znajdziesz konkretne zasady: jak wybrać podmiot przetwarzający, co wpisać do umowy i jak reagować na incydenty.
Dane osobowe to nie tylko imię, nazwisko czy adres – to również informacje o zdrowiu, preferencjach zakupowych czy zachowaniach online. Ich nieodpowiednie wykorzystanie prowadzi do konkretnych konsekwencji:
RODO (Rozporządzenie Ogólne o Ochronie Danych) nakłada na Twoją firmę obowiązki związane z przetwarzaniem danych osobowych. Za naruszenia grożą wysokie kary finansowe oraz szkody wizerunkowe. To nie abstrakcyjne zagrożenie – Prezes UODO regularnie nakłada kary liczone w milionach złotych.
Powierzając dane zewnętrznemu podmiotowi, kieruj się trzema kryteriami.
Zanim podpiszesz umowę, zweryfikuj firmę, której chcesz powierzyć dane. Pytaj o:
Sprawdź, czy podmiot stosuje dobre praktyki w zakresie ochrony danych:
Podmiot przetwarzający dane musi działać zgodnie z RODO. Ustal:
Umowa powierzenia przetwarzania danych reguluje relację między administratorem danych (Twoją firmą) a podmiotem przetwarzającym. Bez niej nie masz podstaw do dochodzenia roszczeń w razie problemów. Zadbaj, żeby zawierała pięć elementów:
Określ, jakie dane będą przetwarzane oraz w jakim celu. Przykład: przechowywanie danych klientów na serwerze chmurowym.
Umowa powinna wskazywać, jak długo dane będą przetwarzane. Po zakończeniu współpracy dane powinny zostać usunięte lub zwrócone – wpisz to wprost.
Ustal, jakie środki bezpieczeństwa zastosuje podmiot przetwarzający:
Jeśli podmiot przetwarzający chce przekazać dane dalszym podmiotom (subprocesorom – czyli podwykonawcom, którzy też będą mieć dostęp do danych), wymaga to Twojej zgody. Upewnij się, że subprocesorzy również spełniają wymogi bezpieczeństwa.
Określ, kto ponosi odpowiedzialność w przypadku naruszenia danych. Ustal kary umowne za niedopełnienie obowiązków – to daje Ci realne narzędzie egzekwowania ustaleń.
Powierzenie danych to nie koniec Twoich obowiązków jako administratora. Wdróż dwa mechanizmy kontrolne:
Regularnie przeprowadzaj audyty, żeby ocenić procedury bezpieczeństwa. Możesz też wymagać dostarczania raportów o działaniach podmiotu. Wpisz prawo do audytu do umowy – bez tego nie masz formalnej podstawy do kontroli.
Zwracaj uwagę na zgłaszanie incydentów związanych z danymi. Zgodnie z RODO podmiot przetwarzający musi Cię powiadomić o naruszeniu bez zbędnej zwłoki, a Ty musisz zgłosić incydent do organu nadzorczego w ciągu 72 godzin.
Wiele firm popełnia błędy, które narażają je na kary i utratę danych. Sprawdź, czy nie dotyczy to Twojej organizacji:
Mimo najlepszych zabezpieczeń incydenty mogą się zdarzyć. Działaj w trzech krokach:
Współczesne narzędzia pozwalają ograniczyć ryzyko naruszeń. Rozważ wdrożenie:
Najlepsze systemy i procedury nie pomogą, jeśli Twoi pracownicy nie będą znać zasad ochrony danych. Zorganizuj szkolenia, które obejmą:
Bezpieczne przetwarzanie danych to proces, który wymaga konkretnych działań. Oto Twoja checklista:
Jeśli masz wątpliwości lub potrzebujesz wsparcia w zakresie ochrony danych osobowych – skontaktuj się z nami. Lepiej uporządkować temat teraz, niż reagować po incydencie.
Jak sprawdzić, czy dostawca IT albo firma zewnętrzna nadaje się do przetwarzania danych osobowych? Zweryfikuj trzy obszary: wiarygodność (doświadczenie w branży, referencje od klientów, certyfikaty takie jak ISO 27001 lub SOC 2), politykę bezpieczeństwa (szyfrowanie danych, systemy zarządzania dostępem, regularne audyty) oraz zgodność z RODO (wyznaczenie Inspektora Ochrony Danych, realizacja praw osób, których dane dotyczą, procedura zgłaszania incydentów). Zrób to przed podpisaniem umowy – nie po.
Co musi zawierać umowa powierzenia przetwarzania danych osobowych? Umowa powierzenia przetwarzania danych powinna zawierać pięć elementów: zakres i cel przetwarzania danych, czas przetwarzania z obowiązkiem usunięcia lub zwrotu danych po zakończeniu współpracy, zabezpieczenia techniczne i organizacyjne, zasady powierzania danych subprocesorom (podwykonawcom) wymagające Twojej zgody oraz odpowiedzialność za naruszenia wraz z karami umownymi. Bez tej umowy nie masz podstaw do dochodzenia roszczeń w razie problemów.
Czy jako administrator mogę audytować podmiot, któremu powierzam dane? Tak, ale pod warunkiem, że prawo do audytu wpiszesz do umowy powierzenia – bez tego nie masz formalnej podstawy do kontroli. Poza audytami możesz wymagać od podmiotu przetwarzającego regularnych raportów o jego działaniach i monitorować zgłaszanie incydentów związanych z danymi.
Jakie błędy firmy najczęściej popełniają przy powierzaniu danych osobowych? Trzy najczęstsze błędy to: brak formalnej umowy powierzenia (co oznacza naruszenie przepisów i brak możliwości dochodzenia roszczeń), zbyt szeroki dostęp do danych (jeśli podmiot nie potrzebuje danej kategorii danych do realizacji usługi – nie udostępniaj jej) oraz wybór partnera wyłącznie po cenie, bez weryfikacji jego standardów bezpieczeństwa. Każdy z tych błędów naraża Twoją firmę na kary finansowe i utratę danych.
Co trzeba zrobić, jeśli dojdzie do naruszenia danych osobowych u podmiotu przetwarzającego? Działaj w trzech krokach: najpierw zidentyfikuj źródło problemu i podejmij kroki minimalizujące skutki, następnie zgłoś incydent do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin, a na końcu – jeśli naruszenie może prowadzić do szkody dla osób, których dane dotyczą – poinformuj te osoby. Podmiot przetwarzający ma obowiązek powiadomić Cię o naruszeniu bez zbędnej zwłoki, więc upewnij się, że ta zasada jest wpisana do umowy.
