RODO w umowach: podstawa prawna i praktyka w praktyce prawnej

W dobie cyfryzacji i rygorystycznych przepisów o ochronie danych osobowych, prawidłowe ustrukturyzowanie zapisów dotyczących RODO w umowach stało się jednym z najważniejszych aspektów pracy każdego prawnika, radcy prawnego oraz przedsiębiorcy. Umowy handlowe, cywilnoprawne, a także porozumienia o zachowaniu poufności nie mogą funkcjonować w oderwaniu od standardów narzuconych przez Ogólne Rozporządzenie o Ochronie Danych. Ignorowanie tych wymogów naraża strony nie tylko na dotkliwe kary finansowe nakładane przez organ nadzorczy, ale również na utratę reputacji oraz odpowiedzialność odszkodowawczą wobec kontrahentów i osób fizycznych, których dane dotyczą. Niniejsza analiza ma na celu szczegółowe omówienie aspektów teoretycznych i praktycznych związanych z wdrażaniem RODO w umowach, ze szczególnym uwzględnieniem podziału ról stron, konstrukcji umów powierzenia oraz najczęściej popełnianych błędów.

Kwalifikacja prawna stron: Administrator, Procesor czy Współadministratorzy?

Zanim przystąpimy do redagowania jakichkolwiek klauzul umownych, kluczowe jest precyzyjne ustalenie, w jakim charakterze występują strony kontraktu w odniesieniu do przetwarzanych danych osobowych. Błędna kwalifikacja roli stron na etapie przedkontraktowym jest jednym z najpoważniejszych grzechów praktyki prawnej, prowadzącym do wadliwego ukształtowania praw i obowiązków.

Administrator Danych Osobowych (ADO)

Zgodnie z art. 4 pkt 7 RODO, administratorem jest podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W kontekście umownym, każda ze stron jest administratorem danych swoich pracowników, współpracowników czy reprezentantów wyznaczonych do kontaktu i realizacji umowy. Wymiana tych danych następuje na zasadzie udostępnienia danych między niezależnymi administratorami, co nie wymaga zawierania umowy powierzenia, a jedynie odpowiednich klauzul informacyjnych.

Podmiot przetwarzający (Procesor)

Podmiot przetwarzający, zgodnie z art. 4 pkt 8 RODO, przetwarza dane osobowe wyłącznie w imieniu administratora i na jego udokumentowane polecenie. Klasycznym przykładem procesora jest firma hostingowa, biuro rachunkowe, agencja marketingowa czy dostawca oprogramowania w chmurze. W takich przypadkach niezbędne jest zawarcie odrębnej umowy powierzenia przetwarzania danych osobowych.

Współadministrowanie

Współadministrowanie występuje wtedy, gdy co najmniej dwa podmioty wspólnie decydują o celach i sposobach przetwarzania danych. W praktyce umownej zjawisko to zachodzi rzadziej, na przykład przy wspólnych projektach marketingowych lub badawczych, i wymaga zawarcia szczegółowego porozumienia określającego zakresy odpowiedzialności każdego z partnerów.

Podstawa prawna przetwarzania danych w umowach

Aby przetwarzanie danych osobowych w ramach realizacji umowy było legalne, musi opierać się na jednej z przesłanek wymienionych w art. 6 ust. 1 RODO. W praktyce kontraktowej najczęściej zastosowanie mają trzy podstawy prawne. Pierwszą z nich jest art. 6 ust. 1 lit. b RODO, zgodnie z którym przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą. Ta podstawa ma zastosowanie bezpośrednio do danych kontrahenta będącego osobą fizyczną. Drugą podstawą jest art. 6 ust. 1 lit. c RODO, czyli obowiązek prawny ciążący na administratorze, na przykład przechowywanie dokumentacji księgowej przez określony przepisami termin. Trzecią niezwykle ważną podstawą jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora. To kluczowa podstawa przy przetwarzaniu danych osób kontaktowych, reprezentantów stron, pełnomocników czy pracowników zaangażowanych w realizację kontraktu.

Obowiązek informacyjny przy zawieraniu umów

Realizacja obowiązku informacyjnego to fundamentalny element transparentności przetwarzania. W umowach handlowych bardzo często dochodzi do sytuacji, w której jedna strona przekazuje drugiej dane swoich pracowników wyznaczonych do kontaktu. W takim przypadku strona otrzymująca te dane staje się ich administratorem i musi spełnić obowiązek informacyjny. Aby uprościć ten proces, w praktyce stosuje się tak zwane kaskadowe spełnianie obowiązku informacyjnego. W treści umowy zamieszcza się klauzulę, w której każda ze stron zobowiązuje się do przekazania swoim pracownikom informacji o przetwarzaniu ich danych przez drugą stronę. Do umowy załącza się gotowe klauzule informacyjne jako załączniki. Taki mechanizm pozwala zminimalizować ryzyko zarzutów ze strony organu nadzorczego o niedopełnienie obowiązków informacyjnych.

Umowa powierzenia przetwarzania danych (DPA) – wymogi art. 28 RODO

Jeżeli analiza relacji umownych wykaże, że jedna ze stron będzie przetwarzać dane w imieniu drugiej, obligatoryjne jest zawarcie umowy powierzenia. Art. 28 ust. 3 RODO precyzyjnie określa, jakie elementy muszą znaleźć się w takim dokumencie. Umowa powierzenia może stanowić odrębny dokument lub być integralną częścią umowy głównej. Do obligatoryjnych elementów należą: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. Ponadto umowa musi nakładać na procesora obowiązek przetwarzania danych wyłącznie na udokumentowane polecenie administratora, zapewnienie zachowania tajemnicy przez osoby upoważnione do przetwarzania, podjęcie wszelkich środków bezpieczeństwa, przestrzeganie warunków korzystania z usług innego podmiotu przetwarzającego, pomaganie administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, oraz pomaganie w wywiązywaniu się z obowiązków związanych z bezpieczeństwem i zgłaszaniem naruszeń.

Procedura postępowania w przypadku naruszenia ochrony danych

W umowach powierzenia niezwykle istotne jest precyzyjne uregulowanie procedury na wypadek wystąpienia incydentu bezpieczeństwa. Zgodnie z RODO, administrator ma zaledwie 72 godziny na zgłoszenie naruszenia do organu nadzorczego od momentu stwierdzenia naruszenia. Z tego względu umowa powierzenia musi nakładać na procesora rygorystyczny termin na poinformowanie administratora o incydencie. W praktyce rynkowej termin ten wynosi najczęściej od 24 do 48 godzin od momentu wykrycia zdarzenia przez procesora. Zgłoszenie powinno zawierać szczegółowy opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekomendowane środki naprawcze. Brak szybkiej reakcji ze strony procesora uniemożliwi administratorowi dotrzymanie ustawowego terminu, co bezpośrednio naraża go na odpowiedzialność przed organem nadzorczym.

Realizacja praw osób, których dane dotyczą – wniosek i terminy

Osoby, których dane są przetwarzane, posiadają szereg uprawnień, takich jak prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania czy przenoszenia. Gdy osoba fizyczna składa wniosek o realizację swoich praw bezpośrednio do procesora, ten nie jest uprawniony do samodzielnego decydowania o jego uwzględnieniu. W umowie należy jasno określić, że procesor ma obowiązek niezwłocznie przekazać każdy taki wniosek do administratora. To administrator podejmuje decyzję merytoryczną i to na nim ciąży ustawowy termin na udzielenie odpowiedzi osobie, której dane dotyczą. Umowa musi precyzować, w jaki sposób i w jakich terminach strony będą współdziałać, aby ten termin nie został przekroczony.

Najczęstsze błędy przy konstruowaniu klauzul RODO w umowach

Analiza praktyki kontraktowej pozwala na zidentyfikowanie kilku powtarzających się błędów, które mogą generować poważne ryzyka prawne. Do najczęstszych należą: kopiowanie szablonów bez analizy stanu faktycznego, brak precyzyjnego określenia zakresu i celu powierzenia, nierealne terminy raportowania incydentów, brak regulacji dotyczących podpowierzenia oraz ignorowanie kwestii transferu danych poza Europejski Obszar Gospodarczy bez odpowiednich zabezpieczeń.

Praktyczny przykład: Umowa o świadczenie usług marketingowych

Wyobraźmy sobie sytuację, w której spółka Alfa zleca agencji reklamowej Beta przeprowadzenie kampanii mailingowej do swoich klientów. W celu realizacji tej usługi, spółka Alfa musi przekazać agencji Beta bazę adresów e-mail oraz imion klientów. W tym przypadku spółka Alfa decyduje o celach i sposobach przetwarzania, a agencja Beta jedynie wykonuje usługę wysyłki na zlecenie. Mamy do czynienia z relacją Administrator - Procesor. Strony muszą zawrzeć umowę powierzenia przetwarzania danych jako załącznik do umowy głównej. W umowie tej należy wskazać, że kategoria danych to dane kontaktowe, a kategoria osób to klienci administratora. Należy określić, że po zakończeniu kampanii agencja Beta ma obowiązek trwale usunąć przekazaną bazę danych i przedstawić na to dowód. W przypadku wycieku bazy danych z serwerów agencji Beta, agencja ta musi powiadomić spółkę Alfa w terminie 24 godzin, aby Alfa mogła w ciągu 72 godzin zgłosić ten fakt do organu nadzorczego.

Rola organu nadzorczego i sankcje za błędy w umowach

Organ nadzorczy, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, posiada szerokie uprawnienia kontrolne i sankcyjne. Podczas kontroli u przedsiębiorcy, umowy handlowe oraz umowy powierzenia są jednymi z pierwszych dokumentów poddawanych szczegółowej weryfikacji. Brak zawarcia umowy powierzenia, gdy był taki obowiązek, lub zawarcie umowy niespełniającej wymogów art. 28 RODO, stanowi bezpośrednie naruszenie przepisów rozporządzenia. Może to skutkować nałożeniem administracyjnej kary pieniężnej do 10 000 000 EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Dodatkowo, podmioty mogą mierzyć się z roszczeniami odszkodowawczymi na drodze cywilnej ze strony osób, których dane zostały naruszone.

Podsumowanie i praktyczne rekomendacje

Prawidłowe uregulowanie kwestii ochrony danych osobowych w umowach to proces wymagający ścisłej współpracy między działem prawnym a działem operacyjnym. Rekomenduje się stworzenie w organizacji standardowych szablonów klauzul informacyjnych oraz umów powierzenia dostosowanych do różnych typów kontrahentów, regularne audytowanie procesorów, zwłaszcza tych, którzy przetwarzają dane wrażliwe, oraz wprowadzanie do umów powierzenia zapisów dotyczących odpowiedzialności odszkodowawczej i kar umownych za naruszenie zasad ochrony danych.