Powierzenie danych dostawcy IT: odpowiedzialność nie kończy się na umowie

Teza. Podpisanie umowy powierzenia nie usuwa obowiązków administratora. Odpowiedzialne korzystanie z dostawcy IT wymaga oceny rzeczywistego przepływu danych i gwarancji bezpieczeństwa.

Najpierw rola podmiotów

Zanim podpisze się umowę, trzeba ustalić, kto określa cele i zasadnicze sposoby przetwarzania. Dostawca hostingu, systemu płacowego lub wsparcia technicznego może być podmiotem przetwarzającym, lecz kwalifikacja zależy od faktycznego modelu usługi. Sama nazwa kontraktu nie przesądza roli prawnej. Jeśli dostawca samodzielnie wykorzystuje dane we własnym celu, potrzebna może być odrębna analiza podstaw i odpowiedzialności, zamiast automatycznego przyjęcia modelu powierzenia.

Wybór wykonawcy jako decyzja o ryzyku

Art. 28 RODO wymaga korzystania z podmiotów dających wystarczające gwarancje wdrożenia odpowiednich środków. W praktyce warto sprawdzić architekturę dostępu, lokalizację zasobów, politykę kopii zapasowych, procedurę reagowania na incydenty i możliwość udokumentowania działań. Certyfikat może być użyteczną wskazówką, ale nie zastępuje badania zakresu, jakiego rzeczywiście dotyczy. Inne ryzyko niesie formularz kontaktowy, inne przetwarzanie dokumentacji zdrowotnej.

Instrukcje, poufność i środki bezpieczeństwa

Umowa z art. 28 powinna odpowiadać rzeczywistym operacjom przetwarzania i zawierać wymagane elementy, w tym przedmiot, czas trwania, cel, kategorie danych i osób oraz zobowiązania stron. Kluczowe są instrukcje administratora, zasady poufności i wymagania bezpieczeństwa. Szablon, którego dostawca operacyjnie nie przestrzega, daje słabą ochronę. Rzetelna umowa powinna również określać, jak strony dokumentują zgodność i komunikują zmiany w usłudze.

Podwykonawcy i łańcuch usług

Dostawca główny może korzystać z centrów danych, narzędzi analitycznych lub zewnętrznego wsparcia. Trzeba zidentyfikować dalszych przetwarzających oraz procedurę udzielania zgody i informowania o zmianach, zgodną z art. 28. Szczególnej uwagi wymaga dostęp z państw trzecich: sama lokalizacja serwera w Unii nie rozstrzyga wszystkich kwestii transferu. Każdy etap należy oceniać na podstawie faktów, a nie marketingowego opisu usługi.

Incydent nie kończy się na telefonie do IT

Zdarzenie bezpieczeństwa wymaga wyraźnego podziału odpowiedzialności za wykrycie, ograniczenie szkód, udokumentowanie zdarzenia i ocenę obowiązków informacyjnych. Dostawca powinien bez zbędnej zwłoki przekazywać administratorowi informacje o naruszeniu zgodnie z prawem i umową. Nie należy utożsamiać każdego alarmu technicznego z naruszeniem danych osobowych, ani odwrotnie — bagatelizować incydentu tylko dlatego, że system nadal działa.

Zakończenie współpracy i audyt

Bezpieczne rozwiązanie kontraktu obejmuje zwrot albo usunięcie danych w odpowiednim zakresie, kontrolę kopii, odebranie uprawnień i potwierdzenie wykonania obowiązków. Równie ważna jest możliwość audytu i uzyskania informacji koniecznych do wykazania zgodności. Administrator powinien zaplanować wyjście z usługi przed jej rozpoczęciem, inaczej przy awaryjnej zmianie dostawcy może stracić kontrolę nad danymi i ciągłością działania.

Przykład

Kancelaria korzysta z systemu chmurowego do przechowywania akt. Umowa powierzenia istnieje, lecz brak listy podwykonawców i ustalonego sposobu wydania danych po zakończeniu współpracy. To rzeczywiste luki operacyjne.

Najczęstszy błąd

Uznawanie podpisu pod standardową umową powierzenia za dowód pełnej zgodności z RODO.

Lista kontrolna

1. Ustal rzeczywiste role i przepływy danych.
2. Zweryfikuj gwarancje bezpieczeństwa wykonawcy.
3. Sprawdź podwykonawców i transfery.
4. Ustal audyt, incydenty i procedurę zakończenia usługi.

Konkluzja

Ocena danego przypadku wymaga odniesienia do rzeczywistych dokumentów i obowiązującego stanu prawnego. Przed podjęciem decyzji należy sprawdzić wyjątki, charakter czynności oraz rozkład odpowiedzialności; ogólna analiza nie zastępuje interpretacji konkretnego stanu faktycznego.

Źródła pierwotne

Art. 5, 28 i 32 RODO (rozporządzenie 2016/679). Urzędowy tekst aktu.