Umowa powierzenia przetwarzania danych osobowych a hosting

Umowa powierzenia przetwarzania danych osobowych z firmą hostingową jest obowiązkowa, jeśli na serwerze znajdują się jakiekolwiek dane osób: zgłoszenia z formularza, skrzynki pocztowe, konta klientów czy zamówienia w sklepie. Wynika to wprost z art. 28 RODO, a odpowiedzialność za jej zawarcie spoczywa na Tobie jako administratorze, nie na dostawcy. W praktyce sprowadza się to do jednego pytania do hostingodawcy i podpisania dokumentu, który powinien być gotowy i dostępny bez dopłat.

Czym jest umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia to dokument, w którym administrator danych zleca innemu podmiotowi przetwarzanie danych osobowych w swoim imieniu i na swoich zasadach. Administrator decyduje, po co i w jaki sposób dane są przetwarzane. Podmiot przetwarzający, po angielsku procesor, wykonuje tylko to, co administrator mu poleci, i nie może wykorzystywać powierzonych danych do własnych celów.

W układzie, o którym mówimy tutaj, administratorem jest Twoja firma, bo to Ty zbierasz zapytania od klientów, prowadzisz sklep albo wysyłasz newsletter. Podmiotem przetwarzającym jest firma hostingowa, bo to jej serwery fizycznie przechowują te dane, a jej pracownicy mają techniczną możliwość dostępu do nich podczas prac serwisowych, migracji czy przywracania kopii zapasowej. Sama możliwość dostępu wystarczy, żeby powstał obowiązek zawarcia umowy. Nie trzeba wykazywać, że ktoś do tych danych rzeczywiście zaglądał.

To rozróżnienie ma konsekwencje praktyczne. Jeżeli dojdzie do wycieku, Prezes Urzędu Ochrony Danych Osobowych będzie pytał administratora, czyli Ciebie, czy dobrałeś podmiot przetwarzający dający wystarczające gwarancje i czy miałeś z nim podpisaną umowę. Odpowiedź "korzystałem z popularnego hostingu" nie jest tu wystarczająca.

Czy hosting wymaga umowy powierzenia

Tak, jeżeli na koncie hostingowym znajdują się dane osobowe, a przy stronie firmowej znajdują się prawie zawsze. Wystarczy formularz kontaktowy zapisujący imię i adres e-mail, skrzynka pocztowa z korespondencją od klientów, baza WordPressa z kontami użytkowników albo sklep z historią zamówień. Nawet zwykła wizytówka firmowa zwykle zbiera adresy e-mail, więc próg jest bardzo niski.

Wyjątek istnieje, ale jest wąski: strona całkowicie statyczna, bez formularzy, bez logowania, bez poczty na tym samym koncie i bez narzędzi analitycznych zapisujących identyfikatory użytkowników. W praktyce spotykamy takie strony rzadko, a właściciel zwykle i tak dokłada po kilku miesiącach formularz zapytania ofertowego, po czym o obowiązku zapomina.

Warto też pamiętać, że hostingodawca nie jest jedynym procesorem w firmie. Umowy powierzenia potrzebujesz zwykle także z biurem rachunkowym, dostawcą systemu do mailingu, firmą kurierską rozliczaną per przesyłka czy zewnętrznym działem IT. Hosting jest po prostu tym elementem, o którym zapomina się najczęściej, bo faktura przychodzi raz w roku i nikt o nim nie myśli.

Co musi zawierać umowa powierzenia przetwarzania danych osobowych

Art. 28 ust. 3 RODO wymienia elementy, bez których dokument nie spełnia wymogów rozporządzenia. Poniższa tabela zestawia je z tym, jak wyglądają w kontekście hostingu, bo abstrakcyjne sformułowania przepisu bywają mylące.

Do tego dochodzi katalog obowiązków samego podmiotu przetwarzającego. Procesor przetwarza dane wyłącznie na udokumentowane polecenie administratora, zapewnia, że osoby dopuszczone do danych są zobowiązane do zachowania tajemnicy, stosuje środki bezpieczeństwa wymagane przez art. 32, pomaga administratorowi w obsłudze żądań osób oraz w zgłaszaniu naruszeń, po zakończeniu współpracy usuwa lub zwraca dane, a na żądanie udostępnia informacje pozwalające wykazać zgodność i umożliwia audyt. Jeżeli w przedstawionym Ci dokumencie tych zobowiązań nie ma, to nie jest umowa powierzenia, tylko regulamin z ładnym tytułem.

Umowę można zawrzeć w formie elektronicznej, co rozporządzenie dopuszcza wprost, więc nie musisz drukować, skanować ani wysyłać niczego pocztą. Jeśli dostawca przysyła plik do akceptacji, wystarczy podpisać go elektronicznie i zachować w dokumentacji razem z datą.

Podpowierzenie, czyli podwykonawcy Twojego hostingodawcy

Firma hostingowa rzadko robi wszystko sama. Korzysta z serwerowni, dostawcy łącza, czasem zewnętrznego systemu zgłoszeń albo firmy wykonującej kopie zapasowe. Każdy taki podmiot to podprocesor, a art. 28 ust. 2 RODO wymaga, żeby korzystanie z niego odbywało się za Twoją uprzednią zgodą, szczegółową albo ogólną, i żebyś był informowany o zmianach w tym gronie.

Dlatego w dobrej umowie znajdziesz listę podwykonawców albo odesłanie do publicznie utrzymywanej listy oraz zapis o tym, w jakim terminie dostawca poinformuje Cię o dodaniu nowego podmiotu i jak możesz się sprzeciwić. Brak takiej listy jest sygnałem ostrzegawczym, bo oznacza, że nie wiesz, kto realnie ma dostęp do serwera z danymi Twoich klientów. Dopytaj wprost, gdzie stoi sprzęt i czyja to serwerownia. U nas są to serwery w Warszawie, w infrastrukturze OVH, i piszemy to w umowie, a nie tylko na stronie.

Gdzie leżą dane i dlaczego lokalizacja ma znaczenie

Przetwarzanie danych wewnątrz Europejskiego Obszaru Gospodarczego jest po prostu prostsze. Przekazanie danych poza EOG wymaga osobnej podstawy z rozdziału V RODO, najczęściej standardowych klauzul umownych, oraz oceny, czy w kraju odbiorcy poziom ochrony jest odpowiedni. To praca dla prawnika i realne ryzyko przy kontroli, którego mała firma zwykle nie potrzebuje.

Dlatego przy wyborze dostawcy warto sprawdzić trzy rzeczy: fizyczną lokalizację serwerów, kraj rejestracji spółki wystawiającej fakturę oraz to, czy wsparcie techniczne, które ma dostęp do konta, pracuje z EOG. Popularne platformy z serwerami w Stanach Zjednoczonych bywają wygodne, ale przenoszą na Ciebie obowiązki dokumentacyjne, o których dowiesz się dopiero przy pierwszym audycie. Ten sam wątek rozwijamy przy okazji hostingu z fakturą VAT i polskim NIP, bo w praktyce te tematy chodzą parami.

Jak sprawdzić, czy Twój hostingodawca ma to poukładane

Nie musisz być prawnikiem, żeby ocenić dostawcę. Wystarczy zadać cztery pytania i zobaczyć, jak szybko przychodzi odpowiedź.

• Czy udostępniacie umowę powierzenia przetwarzania danych osobowych i czy jest ona bezpłatna?
• Gdzie fizycznie znajdują się serwery, na których będą moje dane, i kto jest właścicielem serwerowni?
• Jaka jest lista podwykonawców mających dostęp do infrastruktury i jak informujecie o jej zmianach?
• W jakim czasie zgłosicie mi naruszenie ochrony danych i w jakiej formie?

Ostatnie pytanie jest ważniejsze, niż się wydaje. Administrator ma 72 godziny na zgłoszenie naruszenia do Prezesa UODO, a ten czas biegnie od momentu stwierdzenia naruszenia. Jeżeli Twój dostawca zauważy incydent w piątek, a napisze do Ciebie we wtorek, termin zdąży upłynąć zanim w ogóle się dowiesz. Procesor ma obowiązek zgłosić naruszenie administratorowi bez zbędnej zwłoki, ale konkretny termin i kanał kontaktu warto mieć zapisane.

Zwróć też uwagę na koszt. Umowa powierzenia jest obowiązkiem wynikającym z rozporządzenia, a nie usługą dodatkową, więc jej udostępnienie powinno być bezpłatne. Zdarza się, że dostawcy wyceniają indywidualne zmiany w umowie na kilkaset złotych, co przy niestandardowych wymaganiach jest zrozumiałe, ale sam podstawowy dokument nie powinien kosztować nic. Takie różnice w podejściu bywają widoczne dopiero w cennikach dodatków, dlatego przy porównywaniu dostawców zbieramy je razem z cenami, na przykład w zestawieniu alternatywy dla SeoHost.

Najczęstsze błędy, które widzimy przy migracjach

Przy przenoszeniu stron od innych dostawców regularnie trafiamy na te same braki. Warto sprawdzić, czy nie dotyczą Twojej firmy.

• Umowa podpisana z dostawcą, od którego firma odeszła dwa lata temu, przy braku umowy z obecnym.
• Brak rejestru kategorii czynności przetwarzania, choć art. 30 ust. 2 RODO nakłada taki obowiązek na procesorów, a administratorzy prowadzą własny rejestr czynności.
• Stare konta pocztowe byłych pracowników trzymane latami "na wszelki wypadek", bez podstawy prawnej i bez terminu usunięcia.
• Kopie zapasowe trzymane bez określonego okresu retencji, więc dane usunięte na żądanie osoby wracają przy pierwszym przywróceniu.
• Dostęp do panelu współdzielony przez agencję, freelancera i dwóch byłych współpracowników, bez osobnych kont i bez upoważnień.

Ostatni punkt jest wyjątkowo częsty i wyjątkowo łatwy do naprawienia. Osobne konta zamiast jednego wspólnego hasła to kwadrans pracy, a przy incydencie różnica między "wiemy, kto co zrobił" a zgadywaniem. Jeśli chcesz uporządkować całość, opisujemy szerzej, jak wygląda bieżąca opieka nad stroną internetową i co powinno się w niej znaleźć, a osobno, jak zabezpieczyć skrzynki w ramach poczty firmowej na własnej domenie.

Co grozi za brak umowy powierzenia

Naruszenie art. 28 RODO należy do niższego progu kar administracyjnych z art. 83 ust. 4, czyli do 10 milionów euro albo do 2 procent całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. W polskiej praktyce kary wobec małych firm są znacznie niższe, ale sam brak umowy rzadko występuje samotnie. Zwykle wychodzi na jaw przy okazji wycieku albo skargi klienta i wtedy jest traktowany jako dowód, że administrator nie panował nad tym, komu powierzył dane.

Praktyczne ryzyko jest jednak inne i bliższe. Coraz częściej umowy powierzenia żąda kontrahent, zwłaszcza jeśli jest większą firmą, instytucją publiczną albo podmiotem z branży regulowanej. Brak dokumentu potrafi wtedy zablokować podpisanie kontraktu na etapie działu prawnego i kosztuje realny przychód, zanim jakikolwiek organ nadzorczy w ogóle się pojawi.

Czy umowa powierzenia jest potrzebna przy jednoosobowej działalności

Tak. RODO nie zwalnia mikroprzedsiębiorców z obowiązku zawarcia umowy powierzenia, bo wielkość firmy nie zmienia tego, że dane osobowe trafiają do podmiotu zewnętrznego. Wielkość wpływa na zakres innych obowiązków, na przykład na to, czy trzeba prowadzić pełny rejestr czynności, ale nie na sam art. 28.

Dobra wiadomość jest taka, że dla jednoosobowej działalności cała sprawa zamyka się zwykle w kilkunastu minutach: pobierasz dokument od dostawcy, sprawdzasz, czy zawiera elementy z tabeli powyżej, akceptujesz go i zapisujesz w tym samym folderze co faktury. Nie potrzeba do tego kancelarii, o ile dostawca ma sensowny wzór.

Czym różni się powierzenie od udostępnienia danych

Powierzenie oznacza, że drugi podmiot przetwarza dane w Twoim imieniu i według Twoich poleceń, a Ty pozostajesz administratorem. Udostępnienie oznacza, że drugi podmiot dostaje dane do własnych celów i staje się odrębnym administratorem, jak przy przekazaniu danych firmie windykacyjnej działającej na własny rachunek albo urzędowi.

Różnica jest istotna, bo umowa powierzenia dotyczy tylko pierwszej sytuacji, a druga wymaga własnej podstawy prawnej i informacji dla osoby, której dane dotyczą. Hosting to klasyczny przykład powierzenia. Gdyby jednak dostawca zaczął wykorzystywać dane Twoich klientów do własnego marketingu, przestałby być procesorem i stałby się administratorem, ze wszystkimi konsekwencjami, w tym z tą z art. 28 ust. 10 RODO.

Od czego zacząć w praktyce

Zrób prostą listę wszystkich miejsc, w których dane Twoich klientów opuszczają Twój komputer: hosting i poczta, biuro rachunkowe, system do wysyłki newslettera, narzędzie do faktur, firma sprzątająca mająca dostęp do biura z dokumentami. Przy każdej pozycji zapisz, czy masz umowę powierzenia i z jaką datą. Ta lista, nawet w arkuszu kalkulacyjnym, załatwia w praktyce większość pytań, które padają przy audycie.

Po stronie hostingu wystarczy jeden e-mail do dostawcy. Jeśli odpowiedź przychodzi w kilka godzin razem z gotowym dokumentem i listą podwykonawców, masz sygnał, że temat jest u niego poukładany. Jeśli odpowiedź brzmi, że "trzeba to sprawdzić", warto potraktować to jako informację o tym, jak będzie wyglądała komunikacja przy prawdziwym incydencie.