Przekazujesz dane klientów partnerowi. Za co odpowiada Twoja firma?

Jeśli Twoja firma przekazuje dane klientów partnerowi, odpowiedzialność za ich wykorzystanie zależy od tego, kto decyduje, po co i jak będą używane. Samo przekazanie danych nie oznacza, że partner przetwarza je na Twoje zlecenie. Wspólna oferta nie oznacza też automatycznie wspólnej odpowiedzialności za wszystkie operacje na danych.

To dotyczy Cię na przykład wtedy, gdy aplikacja przekazuje zapytanie klienta firmie świadczącej osobną usługę. Przed podpisaniem umowy trzeba ustalić, kto odpowie na prośbę o usunięcie danych i kto pokryje koszty błędu. Zdanie „za RODO odpowiada operator aplikacji” jest na to zbyt ogólne. RODO to unijne rozporządzenie o ochronie danych osobowych.

Jedno konto, ale dwie różne usługi

Załóżmy, że Jakub, Tymek i Celina prowadzą aplikację, przez którą użytkownik wysyła zapytanie do wybranego usługodawcy. Ich spółka obsługuje konto i przekazanie zapytania. Partner sam uzgadnia z klientem zakres oraz cenę usługi, a potem ją wykonuje.

Celina czyta projekt umowy. Partner chce, żeby spółka obsługiwała wszystkie zgłoszenia klientów i odpowiadała za wszelkie wykorzystanie danych w ramach współpracy. Jakub proponuje zostawić jeden adres kontaktowy, żeby klient nie musiał szukać właściwej firmy. Tymek sprawdza jednak, co dzieje się po przekazaniu zapytania: część danych trafia do systemu partnera, nad którym spółka nie ma kontroli.

Zanim zaakceptują taki zapis, muszą rozdzielić czynności. Wspólny adres kontaktowy może ułatwić obsługę. Nie rozstrzyga jeszcze, kto podejmuje decyzję o danych ani kto powinien ponieść koszt błędu.

Administrator czy procesor: kto naprawdę podejmuje decyzje?

Administrator danych ustala cel i zasadnicze sposoby przetwarzania, czyli po co dane są potrzebne i jak będzie zorganizowane ich używanie. W przykładzie warto osobno sprawdzić prowadzenie konta, przekazanie zapytania i realizację usługi partnera.

Procesor, formalnie podmiot przetwarzający, wykonuje operacje na danych w imieniu administratora i według jego instrukcji. Tak może działać firma utrzymująca bazę na zlecenie spółki. Może dobierać część rozwiązań technicznych, ale nie uzyskuje przez to swobody używania danych do własnych celów. Przystępne rozróżnienie obu ról przedstawia poradnik Europejskiej Rady Ochrony Danych (EROD).

Jeśli partner sam ustala cele i zasadnicze sposoby używania danych do realizacji własnej usługi, może być odrębnym administratorem. Umowa powierzenia przetwarzania danych, często nazywana DPA, nie pasuje do tej części relacji tylko dlatego, że obie strony mają dostęp do nazwiska i adresu e-mail klienta.

Dla Celiny i Tymka oznacza to konkretne pytania: kto wybiera zbierane informacje, ustala odbiorców i czas przechowywania? Czy partner może sam zdecydować o kolejnym wykorzystaniu danych? Odpowiedzi trzeba porównać z działaniem produktu. Nazwanie firmy „procesorem” w załączniku nie wystarczy.

Kiedy wspólna oferta oznacza współadministrowanie?

Współadministratorzy wspólnie ustalają cele i zasadnicze sposoby konkretnego przetwarzania. Może to wynikać również z uzupełniających się decyzji obu stron, jeżeli są niezbędne do takiego przetwarzania i rzeczywiście kształtują jego cel oraz sposób. Ich wpływ nie musi być jednakowy i nie każda ze stron musi mieć bezpośredni dostęp do danych.

Załóżmy, że spółka i partner wspólnie projektują formularz: ustalają, jakie informacje zebrać i jak je wykorzystać we wspólnej akcji pozyskiwania klientów. To wymaga oceny współadministrowania na etapie zbierania i przekazywania danych. Nie przesądza roli przy późniejszym, samodzielnym rozliczeniu usługi partnera. Z kolei samo korzystanie z jednego systemu albo korzyść handlowa nie wystarczą do uznania stron za współadministratorów. Takie granice wyjaśniają wytyczne EROD 07/2020, pkt 53 do 74.

Dlatego nie warto nadawać jednej roli całej współpracy. Te same firmy mogą być współadministratorami przy jednym etapie, odrębnymi administratorami przy innym, a przy jeszcze innej czynności jedna może działać na zlecenie drugiej.

Co uzgodnić w umowie, zanim dane zaczną krążyć?

Zacznij od krótkiego opisu przepływu: jakie dane, od kogo, do kogo i po co trafiają. Dopisz, kto podejmuje decyzje na każdym etapie. To materiał do wyboru właściwych ustaleń:

• Przy powierzeniu stosujesz wymagania art. 28 RODO, m.in. instrukcje, zabezpieczenia i pomoc w realizacji praw osób.
• Przy współadministrowaniu art. 26 RODO wymaga przejrzystego podziału obowiązków; zasadniczą treść uzgodnień udostępnia się osobom, których dane dotyczą.
• Między odrębnymi administratorami opisz zasady udostępniania danych. Każda strona musi mieć podstawę prawną swoich operacji i spełnić właściwe obowiązki informacyjne. Sama umowa między firmami nie legalizuje dowolnego wykorzystania danych.

Podstawę tych rozróżnień znajdziesz w art. 4, 5, 6, 13, 14, 26 i 28 RODO, w tekście udostępnionym przez UODO. Nie są to trzy zamienne nazwy jednego załącznika.

Sprawdź też spójność dokumentów. Jeżeli umowa mówi, że partner działa samodzielnie, a polityka prywatności przedstawia go wyłącznie jako wykonawcę poleceń spółki, użytkownik dostaje sprzeczny obraz. Taki przegląd mieści się w obsłudze RODO i InfoSec: trzeba porównać dokumenty z rzeczywistym przepływem danych.

Reklamacja usługi i żądanie usunięcia danych to różne sprawy

Jakub wraca do pomysłu wspólnej skrzynki. Tymek proponuje sprawdzić ją na dwóch wiadomościach: „partner źle wykonał usługę” oraz „usuńcie moje dane”.

Pierwsza dotyczy wykonania umowy z klientem. Przy drugiej trzeba sprawdzić, czy i w jakim zakresie należy usunąć dane. Jeden e-mail może zawierać obie sprawy. Ustal więc, kto rozpoznaje temat, kto podejmuje decyzję, kto dostarcza informacje i kto odpowiada klientowi. Nie zakładaj, że zespół przyjmujący wiadomość ma wiedzę i uprawnienia do załatwienia całości.

Jeśli strony są współadministratorami, osoba może wykonywać prawa wobec każdego z nich, niezależnie od ich wewnętrznego podziału zadań. Wynika to z art. 26 ust. 3 RODO. Procesor z kolei ma pomagać administratorowi w obsłudze żądań na zasadach art. 28 ust. 3 lit. e. Uzgodniony kontakt nie może stać się sposobem odsyłania ludzi w kółko.

W umowie zapisz kanał przekazania sprawy, czas na dostarczenie informacji oraz sposób potwierdzenia, że sprawa została obsłużona. Przy incydencie potrzebna jest osobna ścieżka. Jej terminy omawiamy w tekście o naruszeniu danych u dostawcy SaaS.

Czy umowa ochroni przed kosztami błędu partnera?

Umowa może regulować rozliczenia między firmami: pomoc przy roszczeniu, dokumentowanie zdarzenia i zwrot uzasadnionych kosztów. Nie odbiera jednak osobie poszkodowanej praw z RODO.

Art. 82 ust. 1 do 5 RODO łączy odszkodowanie ze szkodą wynikającą z naruszenia. Administrator odpowiada za szkodę spowodowaną przetwarzaniem naruszającym RODO. Procesor odpowiada, gdy naruszył obowiązki nałożone bezpośrednio na niego albo działał poza zgodnymi z prawem instrukcjami administratora lub wbrew nim. Podmiot może uwolnić się od tej odpowiedzialności, jeśli wykaże, że w żaden sposób nie odpowiada za zdarzenie powodujące szkodę.

Jeżeli kilka podmiotów uczestniczy w tym samym przetwarzaniu i odpowiada za szkodę na tych zasadach, poszkodowany może dochodzić całości odszkodowania od jednego z nich. Podmiot, który zapłacił całość, może następnie żądać odpowiedniej części od pozostałych odpowiedzialnych. Nie oznacza to odpowiedzialności za każdy błąd każdej firmy w projekcie.

Celina ma więc dwie rzeczy do uzgodnienia przed podpisem. Pierwsza: zakres zadań spółki, który da się wykonać przy jej rzeczywistym dostępie do danych. Druga: zasady współpracy i rozliczenia kosztów, gdy sprawa dotyczy również partnera. Testem gotowości może być przejście jednego zapytania klienta przez cały proces, razem z późniejszą prośbą o usunięcie danych. Jeśli na którymś etapie nikt nie wie, kto ma działać, poprawka jest potrzebna także w procesie obsługi.

Wyjaśnienia pojęć i przepisów

Administrator danych

Firma lub inny podmiot, który ustala, po co i w jaki zasadniczy sposób przetwarza dane osobowe. To rola dotycząca konkretnych operacji na danych, nie stanowisko administratora systemu IT.

Podmiot przetwarzający, czyli procesor

Odrębny podmiot przetwarzający dane osobowe w imieniu administratora i według jego instrukcji. Może dobierać część rozwiązań technicznych. Sam dostęp do danych nie przesądza, że jest procesorem.

Współadministratorzy

Co najmniej dwa podmioty wspólnie ustalające cele i zasadnicze sposoby konkretnego przetwarzania. Ich udział nie musi być równy. Uzgodniony podział zadań nie odbiera osobie prawa do zwrócenia się do każdego z nich w sprawie tego przetwarzania.