Umowa powierzenia przetwarzania (AVV): kiedy jest obowiązkowa i co musi zawierać

Kiedy umowa powierzenia jest obowiązkowa

Gdy tylko usługodawca przetwarza dla Ciebie dane osobowe na podstawie poleceń, mamy do czynienia z powierzeniem przetwarzania, a art. 28 RODO wymaga umowy powierzenia przetwarzania (w Niemczech: Auftragsverarbeitungsvertrag, AVV). Dotyczy to znacznie więcej niż klasycznych usługodawców IT: narzędzia do newsletterów, chmura, hosting, zewnętrzna obsługa płac, systemy ticketowe i wiele aplikacji SaaS przetwarza dane klientów lub pracowników na Twoje zlecenie.

Co nie wymaga umowy powierzenia

Umowa powierzenia nie jest potrzebna, gdy odbiorca przetwarza dane na własną odpowiedzialność, na przykład doradcy podatkowi, adwokaci lub banki. Również czyste umowy serwisowe bez celowego dostępu do danych z reguły pod to nie podpadają. O rozgraniczeniu decyduje to, kto określa cele i środki przetwarzania: Ty samodzielnie (powierzenie przetwarzania) czy sam usługodawca (własna odpowiedzialność).

Obowiązkowe treści według art. 28 ust. 3 RODO

• Przedmiot, czas trwania, charakter i cel przetwarzania oraz kategorie danych i osób, których dane dotyczą.
• Związanie poleceniami: podmiot przetwarzający działa wyłącznie na udokumentowane polecenie.
• Zobowiązanie do poufności osób zaangażowanych w przetwarzanie.
• Środki techniczne i organizacyjne (TOM) zgodnie z art. 32 RODO.
• Zasady dotyczące podwykonawców: zgoda i przeniesienie obowiązków.
• Obowiązki wsparcia przy prawach osób, których dane dotyczą, i przy naruszeniach ochrony danych.
• Usunięcie lub zwrot danych po zakończeniu umowy.
• Prawa do wykazania zgodności i kontroli, włącznie z audytami.

Typowe błędy w praktyce

Najczęstsze słabe punkty: umowa powierzenia w ogóle nie istnieje, nigdy nie została podpisana ani aktywowana (wielu dostawców wymaga kliknięcia w koncie klienta), załącznik TOM jest pusty lub nieaktualny, a nowi podwykonawcy dostawcy nie są śledzeni. Przy dostawcach spoza UE dochodzi kwestia transferu do państwa trzeciego, zwykle rozwiązywana przez standardowe klauzule umowne UE dodatkowo do umowy powierzenia.

Umowy powierzenia w sytuacji awaryjnej

Najpóźniej przy naruszeniu ochrony danych okazuje się, czy Twoje umowy powierzenia działają: podmiot przetwarzający musi niezwłocznie zgłaszać Ci incydenty, abyś mógł dotrzymać 72-godzinnego terminu wobec organu nadzorczego. Przebieg opisuje Plan działania 72 godzin, a GDPR Breach Navigator prowadzi uporządkowanie przez zgłoszenie. Prowadź dlatego rejestr wszystkich podmiotów przetwarzających ze statusem umów, wtedy z obowiązku powstanie prawdziwy plan awaryjny.

Passendes Tool

Bereit, Cybersicherheit zu automatisieren?