Wiele firm korzysta dziś z narzędzi takich jak Google Workspace, Microsoft 365, Slack, systemy HR, usługi chmurowe czy zewnętrzne CRM-y. Rozwiązania te usprawniają codzienną pracę, ale jednocześnie mogą wiązać się z przetwarzaniem danych osobowych przez zewnętrznych dostawców.
W praktyce często dopiero przy okazji porządkowania dokumentacji okazuje się, że korzystanie z takich usług oznacza powierzenie danych osobowych do przetwarzania.
Sama umowa biznesowa zwykle nie wystarczy
Na gruncie RODO samo zawarcie umowy biznesowej z dostawcą zazwyczaj nie jest wystarczające.
Jeżeli dostawca przetwarza dane osobowe w imieniu firmy, najczęściej działa jako podmiot przetwarzający. Oznacza to, że jeszcze przed rozpoczęciem współpracy administrator powinien sprawdzić, czy dostawca zapewnia odpowiednie środki techniczne i organizacyjne oraz czy daje wystarczające gwarancje zgodności z RODO.
Nie wystarczy przy tym sama rozpoznawalność marki ani popularność danego rozwiązania na rynku.
Kiedy potrzebna jest umowa powierzenia?
Co do zasady, jeżeli dostawca przetwarza dane osobowe w imieniu administratora, konieczne jest zawarcie umowy powierzenia przetwarzania danych.
To właśnie ten dokument określa zasady, na jakich dostawca może przetwarzać dane osobowe. Dlatego przy korzystaniu z usług chmurowych, narzędzi zewnętrznych czy podwykonawców warto zweryfikować, czy kwestia powierzenia danych została prawidłowo uregulowana.
Transfer danych poza EOG
Dodatkowe obowiązki pojawiają się wtedy, gdy w ramach współpracy dane trafiają poza Europejski Obszar Gospodarczy („EOG”) albo są poza nim przechowywane.
W takiej sytuacji należy sprawdzić, czy przekazywanie danych odbywa się w oparciu o właściwą podstawę prawną, a także czy wdrożono odpowiednie zabezpieczenia, na przykład standardowe klauzule umowne.
Na co zwrócić uwagę przy wdrażaniu nowych narzędzi?
W praktyce kwestie związane z powierzeniem danych często wychodzą na jaw dopiero wtedy, gdy nowe narzędzie jest już wdrożone i wykorzystywane w organizacji. Dzieje się tak zwłaszcza wtedy, gdy zagadnienia dotyczące ochrony danych osobowych nie zostaną uwzględnione na etapie wyboru i uruchamiania rozwiązania. W rezultacie IOD lub zewnętrzni doradcy są angażowani dopiero później, często już post factum.
Z perspektywy RODO takie podejście może być problematyczne. Administrator powinien jeszcze przed rozpoczęciem współpracy sprawdzić, czy dostawca daje wystarczające gwarancje prawidłowego przetwarzania danych osobowych. Chodzi nie tylko o podpisanie odpowiedniej umowy, ale także o ocenę, jakie dane będą przetwarzane, gdzie będą przechowywane, kto będzie miał do nich dostęp i czy mogą być przekazywane poza EOG.
Uwzględnienie tych kwestii dopiero po wdrożeniu narzędzia może oznaczać, że organizacja korzysta już z rozwiązania, które nie zostało wcześniej ocenione pod kątem zgodności z RODO. Wtedy uporządkowanie dokumentów, konfiguracji dostępów czy zasad transferu danych bywa trudniejsze, ponieważ narzędzie jest już wykorzystywane operacyjnie, a dane osobowe są w nim przetwarzane.
W praktyce pojawia się jeszcze jeden problem: po wdrożeniu narzędzia dostawca często nie jest już tak skłonny do ustępstw jak na etapie negocjowania współpracy. Trudniej wtedy uzgodnić zmiany w umowie, doprecyzować zasady przetwarzania danych czy wynegocjować dodatkowe zabezpieczenia.
Dlatego przy wdrażaniu nowych narzędzi warto zadbać o wspomniane kwestie możliwie wcześnie, jeszcze zanim rozwiązanie zostanie wdrożone w organizacji na pełną skalę. Później często nadal da się wiele rzeczy uporządkować, ale zwykle wymaga to więcej czasu, większego zaangażowania i rozmów prowadzonych już z dużo słabszej pozycji negocjacyjnej.
