Umowa współadministrowania: kluczowe elementy

Tworzenie prawidłowej umowy o współadministrowanie danymi osobowymi stanowi wyzwanie dla wielu organizacji stosujących RODO. Brak szczegółowych regulacji w rozporządzeniu dotyczącym tego, co dokładnie powinna zawierać taka umowa, dodatkowo komplikuje sprawę. W przeciwieństwie do umów powierzenia przetwarzania danych, RODO nie precyzuje wprost obowiązkowych klauzul dla umów o współadministrowanie. Jednak, aby umowa efektywnie regulowała relacje między współadministratorami i chroniła prawa osób, których dane dotyczą, należy uwzględnić szereg istotnych elementów. Niniejszy artykuł ma na celu przedstawienie kluczowych aspektów, które powinna zawierać kompleksowa umowa o współadministrowanie.

Czym jest współadministrowanie danych osobowych?

Z współadministrowaniem mamy do czynienia, gdy co najmniej dwa odrębne podmioty (współadministratorzy) wspólnie ustalają cele i sposoby przetwarzania danych osobowych. Oznacza to, że podejmują oni wspólne decyzje dotyczące tego, *po co* i *jak* dane osobowe będą przetwarzane. Kluczowe jest słowo „wspólnie” – decyzje nie są podejmowane jednostronnie, lecz w porozumieniu między współadministratorami.

Przykładowo, współadministrowanie może wystąpić w sytuacji, gdy dwie firmy prowadzą wspólną akcję marketingową i razem zbierają dane kontaktowe potencjalnych klientów. Obie firmy wspólnie decydują o celach marketingowych i sposobach wykorzystania zebranych danych.

Dlaczego umowa o współadministrowanie jest konieczna?

RODO wprost wskazuje na możliwość współadministrowania i nakłada na współadministratorów obowiązek uregulowania ich współpracy w ramach uzgodnień. Chociaż RODO nie narzuca formy pisemnej dla tych uzgodnień, z uwagi na zasadę rozliczalności, zaleca się sporządzenie pisemnej umowy o współadministrowanie. Umowa ta jest kluczowa z kilku powodów:

• Określenie odpowiedzialności: Umowa precyzyjnie określa odpowiedzialność poszczególnych współadministratorów za wypełnianie obowiązków wynikających z RODO. Dotyczy to w szczególności realizacji praw osób, których dane dotyczą, oraz spełniania obowiązków informacyjnych.
• Przejrzystość dla osób, których dane dotyczą: Umowa o współadministrowanie powinna być przynajmniej ogólnie znana osobom, których dane dotyczą. Informacje o uzgodnieniach współadministratorów powinny być dostępne np. w treści obowiązku informacyjnego. Zwiększa to transparentność przetwarzania danych.
• Uniknięcie sporów: Szczegółowa umowa pomaga uniknąć potencjalnych sporów między współadministratorami w przyszłości, szczególnie w kwestiach odpowiedzialności finansowej lub w przypadku naruszeń ochrony danych.

Minimalna zawartość umowy o współadministrowanie według RODO

RODO wskazuje minimalne wymagania dotyczące treści umowy o współadministrowanie. Zgodnie z rozporządzeniem, umowa powinna zawierać postanowienia dotyczące:

• Odpowiedzialności za wypełnianie obowiązków wynikających z RODO: W szczególności w odniesieniu do wykonywania praw osób, których dane dotyczą. Należy jasno określić, który współadministrator jest odpowiedzialny za realizację poszczególnych praw (np. prawa dostępu, sprostowania, usunięcia danych).
• Obowiązków informacyjnych (art. 13 i 14 RODO): Umowa powinna wskazywać, który współadministrator jest odpowiedzialny za spełnienie obowiązku informacyjnego wobec osób, których dane dotyczą. Może to być jeden współadministrator lub wspólne działanie.
• Udostępnienie uzgodnień osobom, których dane dotyczą: Należy określić sposób, w jaki osoby, których dane dotyczą, będą mogły zapoznać się z kluczowymi ustaleniami współadministratorów. Najczęściej informacje te są zawarte w polityce prywatności lub klauzuli informacyjnej.

Pamiętaj, że osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego ze współadministratorów. Współadministratorzy mogą jednak wyznaczyć punkt kontaktowy, który będzie ułatwiał komunikację z osobami, których dane dotyczą.

Rekomendowane elementy umowy o współadministrowanie

Minimalne wymagania RODO to jedynie podstawa. Aby umowa o współadministrowanie była kompleksowa i efektywna, warto uwzględnić w niej również następujące elementy, inspirując się elementami umów powierzenia przetwarzania danych:

1. Szczegóły przetwarzanych danych osobowych

• Źródła danych osobowych: Wskazanie, skąd współadministratorzy pozyskują dane osobowe (np. bezpośrednio od osób, których dane dotyczą, z publicznie dostępnych źródeł).
• Cele przetwarzania danych osobowych: Dokładne określenie celów, dla których dane osobowe są przetwarzane (np. marketing, sprzedaż usług, realizacja umowy).
• Kategorie danych osobowych: Wymienienie kategorii danych osobowych objętych współadministrowaniem (np. dane kontaktowe, dane demograficzne, dane dotyczące preferencji).
• Podstawa prawna przetwarzania danych: Wskazanie podstawy prawnej przetwarzania danych osobowych (np. zgoda, umowa, prawnie uzasadniony interes).
• Operacje przetwarzania: Określenie, jakie operacje przetwarzania będą wykonywane przez każdego ze współadministratorów na poszczególnych etapach przetwarzania (np. zbieranie danych, przechowywanie, analiza, wysyłka komunikatów marketingowych).
• Ograniczenia przetwarzania (opcjonalnie): W razie potrzeby, możliwość wprowadzenia ograniczeń w przetwarzaniu danych (np. zakaz wykorzystywania danych do podkradania klientów).

2. Bezpieczeństwo danych osobowych

• Zasady odpowiedzialności za bezpieczeństwo: Ustalenie zasad odpowiedzialności za zapewnienie bezpieczeństwa przetwarzanych danych osobowych.
• Minimalne wymogi bezpieczeństwa: Określenie minimalnych wymogów bezpieczeństwa danych, w tym zabezpieczeń organizacyjnych, fizycznych i technicznych.
• Procedury bezpieczeństwa: Wskazanie stosowanych procedur bezpieczeństwa, np. procedur zarządzania incydentami, procedur dostępu do danych.
• Zobowiązanie pracowników do poufności: Uregulowanie kwestii zobowiązywania pracowników współadministratorów do zachowania poufności danych.
• Zasady dalszego powierzenia przetwarzania: Ustalenie zasad dotyczących ewentualnego dalszego powierzenia przetwarzania danych podmiotom zewnętrznym.
• Odpowiedzialność za systemy IT: W przypadku gdy jeden ze współadministratorów jest odpowiedzialny za system informatyczny, zobowiązanie go do uwzględnienia kwestii bezpieczeństwa przy wyborze systemu i zapewnienia jego zgodności z RODO (art. 32 RODO).

3. Odpowiedzialność finansowa i kary

• Zasady odpowiedzialności za kary i odszkodowania: Ustalenie zasad odpowiedzialności finansowej w przypadku nałożenia kar przez organ nadzorczy lub zasądzenia odszkodowań na rzecz osób, których dane dotyczą.
• Solidarna odpowiedzialność: Przypomnienie o solidarnej odpowiedzialności współadministratorów (osoba, której dane dotyczą, może żądać odszkodowania od każdego z nich).
• Mechanizm regresu: Ustalenie mechanizmu regresu między współadministratorami w celu określenia, który z nich ponosi ostateczną odpowiedzialność finansową za błąd w przetwarzaniu danych.

4. Zgłaszanie naruszeń, dokumentacja i rozliczalność

• Zgłaszanie naruszeń: Ustalenie, który współadministrator jest odpowiedzialny za zgłaszanie naruszeń ochrony danych osobowych do organu nadzorczego.
• Dokumentacja ochrony danych: Ustalenie zasad dotyczących tworzenia i aktualizowania dokumentacji związanej z ochroną danych osobowych (np. rejestr czynności przetwarzania, ocena skutków dla ochrony danych).
• Realizacja zasady rozliczalności: Ustalenie, w jaki sposób współadministratorzy będą wspólnie realizować zasadę rozliczalności (np. poprzez przeprowadzanie wewnętrznych audytów, wspólne szkolenia z zakresu ochrony danych).

Podsumowanie

Umowa o współadministrowanie jest kluczowym dokumentem regulującym współpracę między podmiotami, które wspólnie decydują o celach i sposobach przetwarzania danych osobowych. Chociaż RODO nie narzuca szczegółowej treści takiej umowy, warto zadbać o jej kompleksowość, uwzględniając zarówno minimalne wymagania rozporządzenia, jak i rekomendowane elementy. Dobra umowa o współadministrowanie zapewnia przejrzystość przetwarzania danych, określa odpowiedzialność współadministratorów i chroni prawa osób, których dane dotyczą, minimalizując ryzyko problemów z RODO w przyszłości.

Jeśli chcesz poznać inne artykuły podobne do Umowa współadministrowania: kluczowe elementy, możesz odwiedzić kategorię Rachunkowość.