Podmiot przetwarzający wykonuje operacje na danych osobowych w imieniu administratora. Jego weryfikacja służy ustaleniu, czy zapewnia wystarczające gwarancje zgodnego i bezpiecznego przetwarzania. Obowiązek z art. 28 ogólnego rozporządzenia o ochronie danych (RODO) zależy od rzeczywistej roli dostawcy.
Najpierw ustal charakter relacji
Nie każda firma otrzymująca dane jest podmiotem przetwarzającym. Przykładowo obsługa systemu kadrowego na polecenie klienta może mieć taki charakter, ale kontrahent samodzielnie ustalający własne cele przetwarzania wymaga odmiennej kwalifikacji. Sam nagłówek umowy nie rozstrzyga roli stron. Przed oceną opisz, jakie czynności ma wykonywać dostawca i na czyje polecenie.
Co wymaga art. 28 RODO
Administrator może korzystać wyłącznie z podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych: ust. 1. Umowa lub inny wiążący instrument powinny określać przetwarzanie i obowiązki stron zgodnie z ust. 3. Lit. h obejmuje informacje potrzebne do wykazania obowiązków oraz umożliwienie audytów i inspekcji. Ust. 2 i 4 regulują zgodę na dalszych przetwarzających i przeniesienie odpowiednich obowiązków. Ust. 5 pozwala wykazywać gwarancje m.in. zatwierdzoną certyfikacją. Źródło: RODO, art. 28.
Rozporządzenie stosuje się od 25 maja 2018 r., zgodnie z art. 99 ust. 2. Nie ustanawia jednego obowiązkowego formularza oceny usługodawcy ani corocznego terminu audytu każdego dostawcy.
Praktyczna ocena przed przekazaniem danych
Poniższe kroki są propozycją organizacji pracy. Ich zakres warto dopasować do danych, dostępu i skutków błędu; nie każdy zakup wymaga takiej samej liczby załączników. Przy doborze źródeł pomocna jest praktyczna lista weryfikacji dostawcy.
- Opisz usługę. Zapisz kategorie danych, osoby, których dotyczą, cel, przewidywany okres oraz czynności dostawcy.
- Ustal dostęp. Zapytaj, kto uzyskuje uprawnienia, jak są przyznawane i jak odbiera się je po zmianie roli.
- Poznaj zabezpieczenia. Poproś o materiały dotyczące ochrony dostępu, obsługi błędów, kopii i odtwarzania w zakresie właściwym dla usługi.
- Sprawdź dalsze przetwarzanie. Ustal podwykonawców, lokalizacje i sposób informowania o zmianach. Pozwala to wychwycić kwestie wymagające dodatkowej analizy.
- Przećwicz zakończenie. Uzgodnij sposób zwrotu lub usunięcia danych oraz materiał potwierdzający wykonanie tych czynności.
Jak czytać otrzymane dokumenty
| Otrzymany materiał | Pytanie uzupełniające |
|---|---|
| Polityka bezpieczeństwa | Czy odnosi się do zespołu i środowiska obsługującego nasze dane? |
| Raport audytowy | Jaki okres obejmuje i które ustalenia pozostają otwarte? |
| Lista podwykonawców | Którzy uczestniczą w tej usłudze i jak zgłaszane są zmiany? |
W karcie oceny dobrze zapisać także ograniczenia odpowiedzi. Stwierdzenie „dostawca ma certyfikat” jest mniej użyteczne niż wskazanie dokumentu, jego zakresu, ważności i związku z powierzanymi danymi. Brak materiału może oznaczać potrzebę dalszego pytania, nie automatycznie stwierdzone naruszenie.
Co ustalić podczas współpracy
Dobrą praktyką jest wyznaczenie właściciela relacji i sposobu aktualizowania oceny po istotnej zmianie usługi. Warto uzgodnić kontakty operacyjne, ścieżkę wyjaśniania zdarzeń oraz sposób kontroli wykonania uzgodnionych poprawek. Dzięki temu dokumentacja pomaga podjąć decyzję, zamiast kończyć się na podpisie pod umową.
Granice OSINT i prywatnego atestu
Publiczna analiza nie daje pełnego obrazu wewnętrznego przetwarzania. OSINT może wspierać zebranie informacji, ale sam nie potwierdza wystarczających gwarancji z art. 28 ust. 1 RODO ani działania zabezpieczeń powierzanej usługi. Art. 28 ust. 3 lit. h wymaga zapewnienia możliwości audytu; nie wyznacza jednolitego harmonogramu audytowania wszystkich dostawców. Prywatny atest SCSA nie jest sam w sobie wymagany przez RODO, nie gwarantuje zgodności i nie powinien być utożsamiany bez podstawy z zatwierdzoną certyfikacją przewidzianą w rozporządzeniu.
Najczęstsze pytania
Czy z każdym kontrahentem trzeba zawrzeć umowę powierzenia?
Nie. Art. 28 dotyczy przetwarzania danych w imieniu administratora. Najpierw należy ustalić rzeczywistą rolę kontrahenta, a dopiero potem odpowiedni model umowny.
Czy RODO wymaga corocznego audytu każdego podmiotu przetwarzającego?
Art. 28 nie ustanawia takiego jednolitego terminu. Wymaga odpowiednich gwarancji oraz możliwości uzyskania informacji i przeprowadzenia audytu. Sposób nadzoru powinien odpowiadać konkretnej relacji.
Czy prywatny atest potwierdza pełną zgodność dostawcy z RODO?
Nie. Ocenia się rzeczywisty zakres badania i dowody dotyczące usługi. Prywatny atest SCSA nie jest automatycznie zatwierdzonym mechanizmem certyfikacji z RODO.
Źródła i podstawa prawna
Opracowanie informacyjne o obowiązkach wskazanych grup podmiotów. Zakres zastosowania zależy od działalności i konkretnej relacji z dostawcą. Opinia SCSA może być materiałem pomocniczym w ocenie ryzyka; nie zastępuje wymaganej prawem analizy, audytu ani decyzji organizacji.