Co musi zawierać umowa powierzenia przetwarzania danych osobowych?

Kiedy dostawca jest podmiotem przetwarzającym

Według wytycznych Europejskiej Rady Ochrony Danych (EROD) 07/2020 rolę wyznaczają dwa warunki. Dostawca jest podmiotem odrębnym od administratora i przetwarza dane w jego imieniu (pkt 76). Podmiotem przetwarzającym może być spółka z tej samej grupy kapitałowej, ale nie dział tej samej spółki (pkt 77). Gdy usługa kupiona przez jedną spółkę grupy obejmuje dane innych spółek, umowa może wiązać dostawcę bezpośrednio wobec każdej z nich (art. 28 ust. 3). Inny układ to spółka podpisująca jako podmiot przetwarzający pozostałych spółek, z umowami powierzenia i ich zgodą na dostawcę jako dalszy podmiot (art. 28 ust. 2–4).

Według EROD o roli rozstrzyga to, co dostawca rzeczywiście robi z danymi, a nie nazwa umowy (pkt 82, przypis 42). EROD przypomina, że nie każdy usługodawca przetwarzający dane przy świadczeniu usługi jest podmiotem przetwarzającym (pkt 82). Dostawca, który sam ustala cele i sposoby przetwarzania potrzebnego do usługi, jest odrębnym administratorem. Ten sam dostawca może być administratorem dla jednych operacji i podmiotem przetwarzającym dla innych (pkt 82). Gdy bez polecenia klienta używa powierzonych danych do rozwoju własnej działalności, według EROD narusza RODO i staje się administratorem tego przetwarzania (pkt 81). W przykładach EROD podmiotem przetwarzającym jest firma wsparcia IT z nieuchronnym i systematycznym dostępem do danych, o ile cele i sposoby przetwarzania ustala klient (pkt 83).

Według UODO umowa powierzenia jest konieczna wtedy, gdy administrator do realizacji swoich celów związanych z przetwarzaniem danych posługuje się zewnętrznym podmiotem. Chodzi o usługi pomocnicze, nierzadko techniczne, w których dostawca stosuje się do instrukcji administratora co najmniej co do celu i istotnych elementów sposobu przetwarzania. UODO wymienia m.in. przechowywanie danych w infrastrukturze dostawcy, prowadzenie dokumentacji księgowej i kadrowej oraz niszczenie nośników informacji.

Gdy co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są współadministratorami (art. 26 ust. 1). Zamiast umowy powierzenia zawierają wtedy wspólne uzgodnienia o zakresach odpowiedzialności, chyba że zakres obowiązków określa prawo. Według UODO umowa o świadczenie usług, której przedmiotem są zadania inspektora ochrony danych z art. 39 ust. 1, nie jest umową powierzenia. Według EROD brak umowy przy faktycznym powierzeniu narusza art. 28 ust. 3, gdy nie obowiązuje inny odpowiedni akt prawny, a za jej zawarcie co do zasady odpowiadają obie strony (pkt 103, przypisy 42 i 43).

Co trzeba ustalić przed podpisaniem

Jak wybrać dostawcę, zanim zostanie zawarta umowa powierzenia

Motyw 81 wymienia jako elementy gwarancji z art. 28 ust. 1 w szczególności wiedzę fachową, wiarygodność i zasoby dostawcy. Według EROD ocena gwarancji jest formą oceny ryzyka i zależy od rodzaju powierzonego przetwarzania (pkt 96). Często wymaga wymiany dokumentów, na przykład polityki bezpieczeństwa informacji albo raportów z zewnętrznych audytów ochrony danych i uznanych certyfikatów (pkt 95). Stosowanie zatwierdzonego kodeksu postępowania (art. 40) albo zatwierdzonego mechanizmu certyfikacji (art. 42) jest jednym ze sposobów wykazania gwarancji (art. 28 ust. 5).

Prezes UODO udzielił upomnienia szpitalowi, który poprzestał na podpisaniu umowy na gotowym formularzu dostawcy poczty elektronicznej. Organ stwierdził naruszenie art. 28 ust. 1 przez brak odpowiedniej weryfikacji dostawcy przed zawarciem umowy i po nim. Szpital korzystał więc z dostawcy, który nie zapewniał wystarczających gwarancji (decyzja DKN.5131.12.2022 z 11 czerwca 2026 r., prawomocna). Szpital miał procedurę oceny dostawców, ale nie zastosował jej przy tym wyborze. Dostawca miał certyfikat z rodziny norm ISO/IEC 27000, który szpital uznał za kluczowy, ale nie poddał go formalnej ocenie. Upomnienie dostał również dostawca, za brak odpowiednich środków bezpieczeństwa (art. 32 ust. 1 i 2 w zw. z art. 28 ust. 3 lit. c).

Według decyzji administrator musi dysponować materialnymi dowodami przeprowadzonej oceny. Według EROD obowiązek z art. 28 ust. 1 jest ciągły, a administrator powinien w odpowiednich odstępach czasu weryfikować gwarancje dostawcy, w stosownych przypadkach przez audyty i inspekcje (pkt 99).

Co opisuje umowa powierzenia

Pierwsze zdanie art. 28 ust. 3 wymaga opisu przetwarzania. Według EROD umowa nie powinna ograniczać się do powtórzenia przepisów RODO (pkt 112). Powinna konkretnie wskazywać, jak wymogi zostaną spełnione i jaki poziom bezpieczeństwa jest wymagany.

Według EROD rodzaj danych i kategorie osób powinny być opisane możliwie konkretnie (pkt 114). Samo wskazanie „danych osobowych w rozumieniu art. 4 pkt 1 RODO” nie wystarcza, a przy szczególnych kategoriach danych umowa powinna co najmniej wskazać, o jakie dane chodzi. Według EROD czas trwania przetwarzania nie musi pokrywać się z czasem trwania umowy, bo przepisy mogą wymagać dłuższego albo krótszego przechowywania danych (przypis 52).

Według EROD środki i procedury powinny być dostosowane do konkretnej sytuacji, a przy przetwarzaniu niosącym niewielkie ryzyko nie trzeba narzucać szczególnie rygorystycznych zabezpieczeń. Umowa musi jednak w każdym przypadku obejmować wszystkie elementy art. 28 ust. 3 (pkt 113). Według EROD obowiązki administratora to m.in. przekazanie danych wskazanych w umowie, dokumentowanie poleceń i nadzór nad przetwarzaniem, w tym audyty (pkt 114). Administrator przekazuje też dostawcy cele bezpieczeństwa z własnej oceny ryzyka i zatwierdza środki zaproponowane przez dostawcę (pkt 127). Decyduje o głównych cechach środków, a szczegółowe środki może pozostawić dostawcy (pkt 40 i 127).

Postanowienia, które musi zawierać umowa powierzenia

Drugie zdanie art. 28 ust. 3 wymienia osiem postanowień, które umowa zawiera „w szczególności”, a akapit drugi dodaje obowiązek informowania o poleceniu. Lista jest minimum, a według EROD zależnie od ryzyka umowa może wymagać dalszych informacji (pkt 115).

Postanowienie — podstawa	Co zapisać w umowie	Wyjątki i ograniczenia
Przetwarzanie wyłącznie na udokumentowane polecenie — art. 28 ust. 3 lit. a	polecenia administratora, także co do przekazywania danych do państwa trzeciego lub organizacji międzynarodowej; EROD zaleca dołączenie procedury i wzoru dalszych poleceń (pkt 118)	wyjątek, gdy obowiązek przetwarzania nakłada prawo Unii lub państwa członkowskiego, któremu podlega podmiot przetwarzający; wtedy przed rozpoczęciem przetwarzania informuje on administratora, o ile to prawo nie zabrania takiej informacji z uwagi na ważny interes publiczny
Tajemnica osób upoważnionych — lit. b	zobowiązanie do zachowania tajemnicy osób upoważnionych do przetwarzania	zamiast zobowiązania może działać odpowiedni ustawowy obowiązek tajemnicy
Bezpieczeństwo — lit. c	wszelkie środki wymagane na mocy art. 32; według EROD umowa musi zawierać opis środków albo odesłanie do niego, obowiązek uzyskania zgody administratora przed ich zmianą i regularny przegląd (pkt 126)	art. 32 wiąże podmiot przetwarzający także bezpośrednio (art. 32 ust. 1)
Dalszy podmiot przetwarzający — lit. d	warunki z art. 28 ust. 2 i 4	uprzednia szczegółowa lub ogólna pisemna zgoda; pełna odpowiedzialność pierwotnego podmiotu wobec administratora
Pomoc przy żądaniach osób — lit. e	sposób pomocy przez odpowiednie środki techniczne i organizacyjne, na przykład przekazanie żądania administratorowi	pomoc „biorąc pod uwagę charakter przetwarzania” i „w miarę możliwości”; za odpowiedź na żądanie odpowiada administrator (pkt 132)
Pomoc przy art. 32–36 — lit. f	sposób pomocy przy obowiązkach z art. 32–36; według EROD zależnie od przetwarzania może być stosowne wskazanie terminu zgłoszenia naruszenia i punktu kontaktowego, a także sposobu i minimalnej treści zgłoszenia (pkt 136)	pomoc uwzględnia charakter przetwarzania i dostępne podmiotowi informacje; obowiązki pozostają obowiązkami administratora (pkt 138)
Usunięcie albo zwrot danych — lit. g	decyzja administratora i usunięcie istniejących kopii; według EROD także możliwość zmiany decyzji przed końcem usług (pkt 140) oraz potwierdzenie usunięcia w uzgodnionym terminie i sposobie (pkt 141)	wyjątek, gdy prawo Unii lub państwa członkowskiego nakazuje przechowywanie danych
Informacje i audyty — lit. h	informacje niezbędne do wykazania obowiązków z art. 28 oraz audyty, w tym inspekcje, prowadzone przez administratora albo upoważnionego przez niego audytora	według EROD umowa nie powinna przewidywać opłat wyraźnie nieproporcjonalnych, które zniechęcają do audytu (pkt 145)
Polecenie naruszające przepisy — art. 28 ust. 3 akapit drugi	niezwłoczna informacja dla administratora, gdy w ocenie podmiotu przetwarzającego polecenie narusza przepisy o ochronie danych	EROD zaleca uzgodnienie skutków takiej informacji i bezczynności administratora, na przykład wstrzymania polecenia albo rozwiązania umowy (pkt 149)

Zgłoszenie naruszenia przez dostawcę nie zależy od umowy. Podmiot przetwarzający zgłasza je administratorowi bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2). Umowa może ten obowiązek doprecyzować, na przykład terminem w godzinach i kanałem zgłoszenia. Rekomenduję zapis „bez zbędnej zwłoki, nie później niż 24 godziny od stwierdzenia naruszenia” z prawem do uzupełniania informacji etapami. Etapowe zgłoszenie przewidują też klauzule Komisji (klauzula 9.2), które nie podają terminu w godzinach. Treść zgłoszenia i pracę z dostawcą przy incydencie omawia wpis Jak i kiedy podmiot przetwarzający ma zgłosić naruszenie administratorowi?.

Przekazanie danych do państwa trzeciego wymaga też spełnienia warunków z rozdziału V RODO. Według EROD umowa powinna określać wymogi takiego przekazania (pkt 119).

Dalszy podmiot przetwarzający

Dalszy podmiot przetwarzający to podwykonawca, który przetwarza dane powierzone dostawcy. Wymaga on uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora (art. 28 ust. 2). Według EROD zgoda szczegółowa dotyczy konkretnego podmiotu i konkretnej czynności w określonym czasie (pkt 153). Przy zgodzie ogólnej podmiot przetwarzający informuje administratora o zamierzonym dodaniu lub zastąpieniu innych podmiotów i daje mu możliwość sprzeciwu.

Według EROD podstawowa różnica dotyczy znaczenia milczenia administratora (pkt 157). Wniosek o zgodę szczegółową bez odpowiedzi w ustalonym terminie powinien zostać uznany za odrzucony (pkt 155). Przy zgodzie ogólnej brak sprzeciwu w ustalonym terminie można uznać za zgodę. W obu trybach umowa powinna według EROD określać rozsądny termin na decyzję, sposób komunikacji i dalsze kroki po sprzeciwie (pkt 158). Według EROD przy zgodzie ogólnej nie wystarcza dostęp do listy dalszych podmiotów aktualizowanej od czasu do czasu, bez wskazania każdego nowego podmiotu (pkt 128, przypis 54). Obowiązek powiadamiania wynika z art. 28 ust. 2, a EROD zaleca opisanie jego trybu w umowie (pkt 128). Gdy dostawca wysyła powiadomienia tylko subskrybentom, warto zapisać na nie skrzynkę zespołu.

Na dalszy podmiot nakłada się te same obowiązki ochrony danych co w umowie z administratorem, w szczególności obowiązek zapewnienia wystarczających gwarancji (art. 28 ust. 4). Według EROD obejmuje to też umożliwienie audytów (pkt 129). Według klauzul Komisji dostawca przekazuje na wniosek administratora kopię umowy z dalszym podmiotem i w niezbędnym zakresie może utajnić informacje poufne (klauzula 7.7 lit. c). Według EROD chodzi o obowiązki takie same co do istoty, a nie o te same słowa, a cały łańcuch przetwarzania ma być uregulowany pisemnymi umowami (pkt 160).

Jaką formę ma umowa powierzenia i co z wzorem dostawcy

Umowa lub inny akt prawny mają formę pisemną, w tym formę elektroniczną (art. 28 ust. 9). Według EROD umowa niepisemna nie spełnia wymogów art. 28 bez względu na to, jak jest dokładna i skuteczna (pkt 101). Gdy dostawca na to pozwala, rekomenduję podpis własnoręczny albo kwalifikowany podpis elektroniczny. Przy akceptacji w panelu warto zachować zaakceptowaną wersję i dowód akceptacji przez osobę umocowaną do zawierania takich umów. Bez umocowania ważność umowy zależy od jej potwierdzenia przez organizację (art. 103 § 1 KC).

Kodeks cywilny wiąże formę pisemną z własnoręcznym podpisem (art. 78 § 1), a formę elektroniczną z kwalifikowanym podpisem elektronicznym (art. 78¹ § 1). Przepisy Kodeksu mają znaczenie, gdy umowa podlega prawu polskiemu.

W mojej ocenie art. 28 ust. 9 wymaga utrwalenia treści umowy i jej przyjęcia przez obie strony, a nie formy z Kodeksu cywilnego. Wersja angielska mówi o umowie „in writing, including in electronic form” i nie odsyła do formy krajowej. Ust. 9 obejmuje też inny akt prawny, na przykład ustawę, a te same słowa stoją w art. 30 ust. 3 przy rejestrze czynności. Przeciw takiemu odczytowi przemawia polska wersja, która używa terminów kodeksowych. EROD zaleca podpisy zgodne z prawem właściwym, żeby nie było trudności z wykazaniem, że umowa obowiązuje (pkt 101).

Przy odczycie kodeksowym akceptacja warunków w panelu dostawcy daje najwyżej formę dokumentową (art. 77² KC). Brak zastrzeżonej formy pisemnej albo elektronicznej powoduje nieważność tylko wtedy, gdy ustawa przewiduje rygor nieważności (art. 73 § 1 KC), a art. 28 ust. 9 go nie przewiduje. Między przedsiębiorcami nie działają też ograniczenia dowodowe z tego tytułu (art. 74 § 4 KC). Ryzykiem jest więc przede wszystkim zarzut naruszenia RODO, a nie nieważność umowy z powodu formy.

Dostawca często przedstawia własny wzór jako część regulaminu usługi. Według EROD samo przygotowanie umowy przez dostawcę nie jest problemem (pkt 110). Słabsza pozycja negocjacyjna nie usprawiedliwia przyjęcia warunków niezgodnych z przepisami ani nie zwalnia z obowiązków. Administrator musi ocenić warunki, a przyjmując je swobodnie i korzystając z usługi, odpowiada w pełni za zgodność z RODO. Zmiany dostawca powinien bezpośrednio zgłaszać administratorowi do zatwierdzenia, z uwzględnieniem swobody co do innych niż istotne sposobów przetwarzania. Według EROD samo opublikowanie zmian na stronie dostawcy nie spełnia wymogów art. 28 (pkt 110). Zmieniony wzorzec wydany w trakcie umowy o charakterze ciągłym może wiązać cywilnie stronę, która nie wypowie umowy w najbliższym terminie wypowiedzenia (art. 384¹ KC). Warunkiem są wymogi z art. 384 KC, które poza umowami konsumenckimi nie zawsze wymagają doręczenia (art. 384 § 2 KC). Związanie cywilne nie zastępuje oceny zmiany przez administratora, więc warto zakończyć ją wyraźną decyzją przed tym terminem. Przy silniejszej pozycji warto uzgodnić umowę powierzenia jako odrębny dokument i zapisać, że zmiana regulaminu jej nie zmienia. W razie sprzeczności z wzorcem strony wiąże wtedy umowa (art. 385 § 1 KC).

Standardowe klauzule umowne zamiast własnego wzoru

Umowa może opierać się w całości lub w części na standardowych klauzulach Komisji albo organu nadzorczego (art. 28 ust. 6–8). Klauzule Komisji przyjęto decyzją wykonawczą (UE) 2021/915. Decyzja stwierdza, że spełniają one wymogi art. 28 ust. 3 i 4 (art. 1 decyzji). W razie sprzeczności z postanowieniami powiązanych umów stron pierwszeństwo mają klauzule (klauzula 4). Według EROD nie ma obowiązku ich stosowania i nie trzeba ich przedkładać nad umowę indywidualną (pkt 106).

Strony korzystające z klauzul nie zmieniają postanowień o ochronie danych, ale wypełniają opcje i załączniki (pkt 107). Mogą dodać inne postanowienia, jeżeli nie są one bezpośrednio lub pośrednio sprzeczne z klauzulami ani nie naruszają podstawowych praw lub wolności osób, których dane dotyczą (klauzula 2 lit. b). Załącznik II zawiera opis przetwarzania. Według uwagi do załącznika III środki techniczne i organizacyjne należy opisać szczegółowo, a nie w sposób ogólny. Klauzula 7.7 daje do wyboru zgodę szczegółową albo ogólną na dalsze podmioty, a termin uprzedzenia wpisują strony. Jeżeli strony przyjmą fakultatywną klauzulę 5, za zgodą wszystkich stron może przystąpić do klauzul każdy podmiot, także spółka grupy. Klauzule same w sobie nie zapewniają wypełnienia obowiązków przy przekazywaniu danych do państw trzecich z rozdziału V RODO (klauzula 1 lit. f).

Audyt, pomoc i koszty

Według EROD umowa określa, jak często i w jaki sposób dostawca przekazuje informacje potrzebne do wykazania zgodności z art. 28 (pkt 143). Dostawca może zaproponować audytora, ale ostateczna decyzja należy do administratora. Administrator może też zakwestionować zakres, metodę i wyniki audytu przeprowadzonego przez audytora wskazanego przez dostawcę (pkt 144).

Według EROD strony powinny w dobrej wierze ocenić potrzebę i formę audytu u dostawcy, a ostatecznie decyduje administrator (pkt 144). Po audycie administrator powinien móc żądać usunięcia stwierdzonych braków. W klauzulach Komisji audyty przeprowadza się w rozsądnych odstępach czasu lub przy przesłankach wskazujących na niezgodność, a administrator może uwzględnić certyfikaty dostawcy (klauzula 7.6 lit. c). W praktyce dostawcy usług masowych proponują raporty z niezależnych audytów. Raport może uzupełnić audyt administratora, ale umowa nie powinna wyłączać prawa do audytu. Warto sprawdzić zakres i okres raportu oraz wyłączone z niego dalsze podmioty. Osobno warto ocenić zastrzeżenia audytora i kontrole przypisane klientowi.

Według EROD RODO nie rozstrzyga podziału kosztów audytu i pozostawia go stronom, z granicą opłat wyraźnie nieproporcjonalnych (pkt 145). Art. 28 ust. 3 lit. e i f nie mówi też, kto płaci za pomoc przy żądaniach osób i przy naruszeniach. Warto to ustalić w umowie głównej razem z czasem reakcji dostawcy. Według EROD administrator nie może przedłużyć terminów z rozdziału III dlatego, że informacje musi przekazać dostawca (pkt 132).

Gdy dostawca wyjdzie poza swoją rolę

Podmiot przetwarzający, który naruszy RODO przy określaniu celów i sposobów przetwarzania, jest uznawany za administratora w odniesieniu do tego przetwarzania (art. 28 ust. 10).

Według RODO podmiot przetwarzający odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające albo działał poza zgodnymi z prawem poleceniami administratora lub wbrew nim (art. 82 ust. 2). Udokumentowane polecenia pomagają mu wykazać, że działał w ich granicach. Według EROD obowiązki nałożone bezpośrednio na podmiot przetwarzający wynikają też z art. 28 ust. 3 (pkt 93).

Od czego zacząć, gdy umowa powierzenia już jest

Przegląd warto zacząć od rejestru czynności przetwarzania i zestawić go z wykazem umów oraz usług IT. Rejestr wymaga tylko kategorii odbiorców (art. 30 ust. 1 lit. d), więc nazwy dostawców trzeba wziąć z umów i faktur. Kolejność przeglądu wyznacza ryzyko, na przykład szczególne kategorie danych, duża liczba osób albo przekazywanie danych do państwa trzeciego. Umowy zawarte przed 25 maja 2018 r. powinny były zostać dostosowane do art. 28 ust. 3, a według EROD brak takiej aktualizacji narusza ten przepis (pkt 103).

Wykaz dostawców i ich role zwykle ustala właściciel procesu z inspektorem ochrony danych, a wzór umowy opiniuje prawnik. Przy kilkuset dostawcach koszt ogranicza podział na grupy ryzyka, w którym pełną negocjację prowadzi się tylko w grupie najwyższej. Pozostałe umowy wystarczy porównać z tabelą postanowień. Wynikiem przeglądu jest wykaz dostawców z rolą i grupą ryzyka oraz lista odstępstw od własnego standardu do decyzji zarządu.

Gdy wzór dostawcy nie zawiera wszystkich elementów art. 28 ust. 3, trzeba go uzupełnić aneksem albo odrębną umową, bo umowa musi obejmować wszystkie te elementy (pkt 113). Gdy dostawca na to nie pozwala, można zaproponować klauzule Komisji, które według EROD mogą pomóc wyrównać pozycję negocjacyjną (pkt 109). Ostatecznym rozwiązaniem jest zmiana dostawcy. Własny standard to wymagania organizacji ponad art. 28 ust. 3, na przykład termin zgłoszenia naruszenia albo lokalizacja danych. Odstępstwa od niego warto przedstawić zarządowi do akceptacji, a braki wobec art. 28 ust. 3 trzeba usunąć przed podpisaniem albo aneksem. Wynik oceny warto zapisać, bo administrator musi umieć wykazać zgodność (art. 5 ust. 2 i art. 24 ust. 1).

Najczęstsze błędy

• Środki bezpieczeństwa opisane jednym zdaniem. Załącznik mówi o „odpowiednich środkach”, a administrator nie może ocenić, czy odpowiadają ryzyku.
• Umowa powierzenia z dostawcą, który jest odrębnym administratorem. Według EROD umowę niezgodną z faktyczną kontrolą można pominąć (przypis 42). Przekazanie danych odrębnemu administratorowi wymaga wtedy podstawy prawnej.
• Zgoda ogólna bez terminu uprzedzenia i terminu na sprzeciw. Administrator dowiaduje się o nowym podmiocie, gdy ten już przetwarza dane.
• Brak decyzji o usunięciu albo zwrocie danych. Po zakończeniu współpracy nie wiadomo, co dostawca ma zrobić z danymi i kopiami ani kiedy potwierdzi usunięcie. Przy wyjściu od dostawcy warto też ustalić format zwrotu danych i okres na ich eksport.

Wnioski i dalsze kroki

Umowa powierzenia zapisuje polecenia administratora i obowiązki dostawcy, ale nie zastępuje oceny dostawcy.

1. Spisz dostawców z dostępem do danych i przy każdej czynności przetwarzania ustal rolę dostawcy.
2. Przed podpisaniem oceń gwarancje dostawcy i zachowaj dokumenty tej oceny.
3. Uzupełnij opis przetwarzania i załącznik ze środkami bezpieczeństwa, a wzór dostawcy porównaj z art. 28 ust. 3 lit. a–h i z akapitem drugim.
4. Ustal tryb zgody na dalsze podmioty, termin na sprzeciw i sposób otrzymywania powiadomień o zmianach.
5. Zapisz termin zgłaszania naruszeń, decyzję o usunięciu albo zwrocie danych i zasady audytu.
6. Przedstaw zarządowi do akceptacji listę odstępstw od własnego standardu z oceną ryzyka.
7. Przeglądaj gwarancje dostawcy w cyklu zależnym od ryzyka i po incydencie. Żądaj bezpośredniego powiadamiania o zmianach regulaminu i umowy powierzenia, a każdą zmianę oceń przed terminem na sprzeciw albo wypowiedzenie.

Materiały powiązane

• Jak i kiedy podmiot przetwarzający ma zgłosić naruszenie administratorowi? — termin, adresat i treść zgłoszenia od dostawcy.
• Co powinien zawierać rejestr naruszeń ochrony danych? — informacje od podmiotu przetwarzającego w dokumentacji naruszeń.
• Jak zarządzać ryzykiem dostawców w NIS2? — ocena dostawców i postanowienia umów w ustawie o krajowym systemie cyberbezpieczeństwa.
• Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych? — umowa o wykonywanie zadań inspektora, która według UODO nie jest powierzeniem.
• Jak dopuścić asystenta AI do pracy w organizacji? — umowa z dostawcą asystenta jako jeden z warunków jego dopuszczenia.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana oraz wersja ogłoszona w Dz. Urz. UE L 119 z 4 maja 2016 r. (motyw 81) — art. 4 pkt 8, art. 5 ust. 2, art. 24 ust. 1, art. 26 ust. 1, art. 28, art. 30 ust. 1 lit. d i ust. 3, art. 32–36, art. 39 ust. 1, art. 40, art. 42, art. 82 ust. 2 oraz rozdziały III i V — tekst skonsolidowany (eur-lex.europa.eu), tekst ogłoszony (eur-lex.europa.eu).
• Europejska Rada Ochrony Danych, Wytyczne 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO, wersja 2.0 (polska) i wersja 2.1 (oryginał angielski) — pkt 40, 76, 77, 81–83, 93, 95, 96, 99, 101–103, 106, 107, 109, 110, 112–115, 118, 119, 126–129, 132, 136, 138, 140, 141, 143–145, 149, 153, 155, 157, 158 i 160 oraz przypisy 42, 43, 52 i 54 — wersja polska (edpb.europa.eu), wersja angielska (edpb.europa.eu).
• Decyzja wykonawcza Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi — art. 1 oraz załącznik (klauzule 1 lit. f, 2 lit. b, 4, 5, 7.6 lit. c, 7.7 i 9.2, załączniki II i III) — eur-lex.europa.eu.
• Ustawa z dnia 23 kwietnia 1964 r. — Kodeks cywilny — art. 73 § 1, art. 74 § 4, art. 77², art. 78 § 1, art. 78¹ § 1, art. 103 § 1, art. 384, art. 384¹ i art. 385 § 1 — isap.sejm.gov.pl.
• Urząd Ochrony Danych Osobowych, „Czy z zewnętrznym IOD należy zawrzeć umowę powierzenia?”, materiał z 18 maja 2021 r — uodo.gov.pl.
• Decyzja Prezesa Urzędu Ochrony Danych Osobowych DKN.5131.12.2022 z 11 czerwca 2026 r. — baza orzeczeń UODO — orzeczenia.uodo.gov.pl.