Umowa powierzenia danych – co musi zawierać?

Umowa powierzenia danych to umowa zawarta pomiędzy administratorem danych (ADO), a podmiotem przetwarzającym dane (Procesor). Na jej podstawie ADO powierza dane osobowe Procesorowi w celu realizacji określonego przez ADO celu. RODO nie określa szczególnej formy takiej umowy może ona zostać zawarta np. w formie papierowej lub dokumentowej.

Zawarcie takiej umowy oznacza m.in., że Procesor może przetwarzać dane wyłącznie na udokumentowane polecenie ADO oraz w celu ustalonym przez ADO. Gdy Procesor realizuje własny cel przetwarzania to umowa powierzenia jest w takim przypadku niewłaściwa, gdyż będzie on wtedy odrębnym ADO.

Umowa powierzenia danych jest zawsze konieczna w celu sformalizowania relacji powierzenia przetwarzania danych osobowych pomiędzy ADO oraz Procesorem. Brak zawarcia takiej umowy gdy dochodzi do powierzenia przetwarzania danych osobowych, oznacza naruszenie RODO oraz naraża na kary pieniężne.

Kara rekordowej wysokości za naruszenie przepisów RODO?

Umowa powierzenia zgodna z RODO określa:

1. ADO;
2. Procesora;
3. przedmiot i czas trwania przetwarzania;
4. charakter i cel przetwarzania;
5. rodzaj powierzanych danych osobowych oraz kategorie osób, których dane dotyczą;
6. obowiązki i prawa ADO;
7. oświadczenia Procesora, wskazujące jego obowiązki.

ROK z RODO: Umowy powierzenia

Dodatkowo w umowie powierzenia powinny znaleźć się postanowienia dotyczące powiadamiania o incydentach bezpieczeństwa, postępowaniach w razie kontroli czy dalszego przetwarzania danych osobowych.

W treści umowy powierzenia należy określić precyzyjnie, w jaki sposób podmiot przetwarzający zabezpieczy dane np. przed nieuprawnionym dostępem osób trzecich. W motywie 109 RODO wskazano, że w drodze zobowiązań umownych warto przewidywać dodatkowe zabezpieczenia przetwarzania danych osobowych.