W firmie e-commerce dane klientów przechodzą przez wiele systemów: sklep, panel zamówień, program księgowy, hosting, narzędzia marketingowe i obsługę techniczną. Każdy taki przepływ trzeba ocenić pod kątem RODO. Umowy powierzenia danych nie są formalnością do odhaczenia ani dokumentem, który można bezrefleksyjnie skopiować od konkurencji. Błędna kwalifikacja relacji może oznaczać lukę w dokumentacji, niekontrolowany dostęp do danych i trudny do obrony model współpracy podczas kontroli.
Dla przedsiębiorcy kluczowe jest jedno pytanie: czy zewnętrzna firma przetwarza dane wyłącznie w naszym imieniu i według naszych instrukcji, czy realizuje własne cele? Od odpowiedzi zależy, czy potrzebna będzie umowa powierzenia, inna podstawa współpracy, czy być może ustalenie wspólnego administrowania.
Kiedy umowa powierzenia danych jest obowiązkowa?
Umowę powierzenia przetwarzania danych zawiera administrator z podmiotem przetwarzającym. Administrator decyduje, po co i w jaki sposób dane osobowe są przetwarzane. Procesor wykonuje natomiast określone operacje na danych w imieniu administratora, w granicach jego poleceń.
Typowym przykładem będzie sklep internetowy korzystający z hostingu. Hostingodawca przechowuje bazę klientów i dane zamówień na swojej infrastrukturze, ale nie wykorzystuje ich dla własnych celów biznesowych. Podobnie może wyglądać współpraca z dostawcą systemu CRM, firmą obsługującą newsletter, zewnętrznym działem IT, agencją mającą dostęp do kont reklamowych czy podmiotem prowadzącym księgowość.
Nie wystarczy jednak nazwać kontrahenta „procesorem” w umowie. O jego roli przesądza rzeczywisty zakres działania. Jeżeli dostawca samodzielnie decyduje, dlaczego i jak wykorzystuje dane, zwykle staje się odrębnym administratorem. Przykładowo firma kurierska co do zasady przetwarza dane odbiorcy przesyłki również na potrzeby własnych obowiązków operacyjnych i prawnych. W takiej relacji mechaniczne podpisywanie umowy powierzenia często nie będzie prawidłowe.
Trzy relacje, których nie wolno mieszać
W praktyce trzeba rozróżnić trzy modele. Pierwszy to administrator i procesor – wtedy zastosowanie ma art. 28 RODO oraz umowa powierzenia. Drugi to relacja dwóch niezależnych administratorów, gdy każda strona określa własne cele przetwarzania. Trzeci to wspólne administrowanie, gdy strony wspólnie ustalają cele i zasadnicze sposoby przetwarzania. W tym ostatnim przypadku potrzebne są uzgodnienia odpowiadające art. 26 RODO, a nie klasyczna umowa powierzenia.
To rozróżnienie ma znaczenie szczególnie dla sprzedawców działających na Allegro i w wielu kanałach sprzedaży. Platforma, operator płatności, kurier, integrator, dostawca magazynu oraz system automatyzujący obsługę zamówień mogą pełnić różne role. Jeden wzór dokumentu dla wszystkich partnerów nie zabezpieczy przedsiębiorcy.
Co muszą zawierać umowy powierzenia danych?
Minimalną treść umowy określa art. 28 ust. 3 RODO. Dokument powinien precyzyjnie opisywać przedmiot i czas trwania przetwarzania, jego charakter oraz cel. Musi także wskazywać rodzaje danych osobowych, kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora.
W dobrze przygotowanej umowie te elementy nie są ogólnikami. Zamiast zapisu o „przetwarzaniu wszelkich danych” należy wskazać konkretny zakres, na przykład dane klientów sklepu, dane adresowe, numer telefonu, adres e-mail, dane dotyczące zamówień i reklamacji. Zamiast deklaracji o „usługach IT” warto opisać, czy dostawca zapewnia hosting, utrzymanie aplikacji, dostęp serwisowy, kopie zapasowe czy obsługę zgłoszeń.
Umowa powinna ponadto zobowiązywać procesora do przetwarzania danych wyłącznie na udokumentowane polecenie administratora. Powinna regulować poufność osób dopuszczonych do danych, stosowanie odpowiednich środków bezpieczeństwa, pomoc przy realizacji praw osób fizycznych oraz wsparcie przy obsłudze naruszeń ochrony danych.
Istotne są także zasady zakończenia współpracy. Procesor powinien po jej ustaniu usunąć lub zwrócić dane, chyba że prawo nakazuje ich dalsze przechowywanie. Warto doprecyzować termin, sposób potwierdzenia usunięcia, zasady przekazania kopii oraz postępowanie z kopiami zapasowymi. To właśnie na tym etapie często wychodzi na jaw, że firma nie ma realnej kontroli nad informacjami klientów.
Podwykonawcy, transfery i audyty – zapisy, które decydują o bezpieczeństwie
Dostawca SaaS lub agencja IT rzadko pracują całkowicie samodzielnie. Mogą korzystać z centrów danych, narzędzi analitycznych, platform do wysyłki e-maili albo specjalistów wsparcia technicznego. Są to potencjalni dalsi procesorzy, czyli podprocesorzy.
Administrator powinien wiedzieć, komu dane są dalej powierzane i na jakich zasadach. Umowa może wymagać uprzedniej zgody szczegółowej na każdego podwykonawcę albo przewidywać zgodę ogólną, połączoną z obowiązkiem informowania o zmianach i prawem zgłoszenia sprzeciwu. Wybór zależy od skali współpracy. Przy krytycznym systemie obsługującym dużą bazę klientów bardziej uzasadniona bywa ścisła kontrola. W usługach masowych zgodę ogólną łatwiej obsłużyć operacyjnie, ale trzeba zapewnić realny mechanizm reakcji na zmianę.
Osobnej oceny wymagają transfery danych poza Europejski Obszar Gospodarczy. Sam fakt, że narzędzie ma polski interfejs lub europejską spółkę w grupie, nie przesądza jeszcze, gdzie dane są dostępne i kto może uzyskać do nich dostęp. Umowa powierzenia nie zastępuje podstawy legalizującej transfer. Przedsiębiorca powinien ustalić, czy transfer występuje, na jakiej podstawie jest realizowany i jakie dodatkowe zabezpieczenia stosuje dostawca.
Nie należy pomijać prawa do kontroli procesora. Audyt nie musi oznaczać fizycznej wizyty w serwerowni. Często rozsądniejszym rozwiązaniem są ankiety, raporty z niezależnych audytów, certyfikaty, dokumentacja bezpieczeństwa i możliwość uzyskania wyjaśnień. Ważne, aby administrator mógł rzeczywiście zweryfikować wykonanie obowiązków, a nie dysponował wyłącznie pozornym zapisem umownym.
Najczęstsze błędy w dokumentacji RODO
Pierwszym błędem jest podpisanie umowy z podmiotem, który w rzeczywistości jest niezależnym administratorem. Drugi to dokument zbyt ogólny, bez wskazania konkretnych systemów, danych i czynności. Trzeci to brak zgodności między umową a praktyką – przykładowo umowa nie przewiduje podprocesorów, choć dostawca stale korzysta z infrastruktury kilku zewnętrznych firm.
Problemem bywają także stare wzory, nieuwzględniające aktualnego modelu biznesowego. Firma rozwija sprzedaż na nowych marketplace’ach, wdraża CRM, uruchamia automatyczną obsługę zwrotów, a dokumentacja pozostaje bez zmian. Z perspektywy RODO ryzyko nie wynika wyłącznie z braku papieru. Wynika z tego, że administrator nie wie, kto i na jakich zasadach ma dostęp do danych klientów.
Niebezpieczne jest też przekonanie, że regulamin usługodawcy zawsze rozwiązuje sprawę. Regulamin może zawierać postanowienia o przetwarzaniu danych, lecz należy sprawdzić, czy spełniają one wymogi art. 28 RODO i odpowiadają rzeczywistej usłudze. Przy większych kontraktach standard dostawcy nierzadko wymaga negocjacji, zwłaszcza w zakresie odpowiedzialności, podwykonawców, zgłaszania incydentów i transferów zagranicznych.
Jak uporządkować powierzenia w firmie e-commerce?
Najpierw należy stworzyć listę dostawców mających dostęp do danych osobowych – nie tylko tych, którzy otrzymują eksport bazy klientów, ale również podmiotów z dostępem administracyjnym do systemów. Następnie trzeba ustalić faktyczny przepływ danych: skąd trafiają do danego narzędzia, jakie dane obejmują, kto podejmuje decyzje o ich użyciu i czy dane opuszczają EOG.
Kolejny etap to kwalifikacja ról. Dopiero po niej można zdecydować, czy konieczna jest umowa powierzenia, umowa między administratorami, uzgodnienie wspólnego administrowania lub jedynie odpowiednia informacja dla osób, których dane dotyczą. Warto równolegle sprawdzić rejestr czynności przetwarzania, procedurę reagowania na naruszenia oraz upoważnienia pracowników. Dokumentacja powinna przedstawiać jeden spójny model, a nie zbiór przypadkowych plików.
Przy działalności na większą skalę skuteczne wdrożenie wymaga analizy umów handlowych, procesów operacyjnych i konfiguracji narzędzi. Szuszkiewicz Kancelaria prawna wspiera przedsiębiorców w ocenie tych relacji oraz przygotowaniu dokumentacji RODO dostosowanej do e-commerce, systemów IT i realnego ryzyka biznesowego.
Dobrze skonstruowana umowa powierzenia nie powstaje po to, by zapełnić segregator. Ma dawać przedsiębiorcy kontrolę nad danymi klientów wtedy, gdy współpraca działa prawidłowo, i wtedy, gdy pojawia się incydent, spór z dostawcą albo pytania organu nadzorczego.