SaaS zmienia podprocesora. Kiedy i jak zgłosić sprzeciw?

Załóżmy, że Jakub, Tymek i Celina rozwijają SaaS do obsługi zgłoszeń klientów. Korzystają z zewnętrznego narzędzia, do którego trafiają treść zgłoszenia, imię i adres e-mail użytkownika. Pewnego dnia Jakub dostaje mail: dostawca dodaje firmę, która będzie analizować zgłoszenia z użyciem AI. Umowa daje 14 dni na sprzeciw.

Jakub zamierza przekazać wiadomość zespołowi po weekendzie. Celina otwiera jednak DPA, czyli umowę powierzenia przetwarzania danych, a Tymek sprawdza, które zgłoszenia trafią do nowego dostawcy. Okazuje się, że muszą ocenić również zobowiązania wobec swoich klientów. Mail wygląda jak kolejny update produktu, ale dotyczy także tego, kto będzie przetwarzał ich dane.

Przy ogólnej pisemnej zgodzie na dalsze powierzenie dostawca powinien uprzedzić administratora o planowanym dodaniu lub zastąpieniu podprocesora i umożliwić sprzeciw. Termin i dalsze kroki trzeba sprawdzić w umowie. RODO nie ustala uniwersalnych 14 ani 30 dni, a sam sprzeciw nie rozstrzyga jeszcze, jak dalej korzystać z usługi.

Czego dowiesz się z tego tekstu?

W skrócie

• Podprocesor to kolejny podmiot przetwarzający dane w łańcuchu usługi. Nie każdy podwykonawca jest podprocesorem.
• Ogólne upoważnienie wymaga informacji o planowanej zmianie i realnej możliwości sprzeciwu. Cicha aktualizacja strony z listą firm nie wystarczy jako aktywne powiadomienie.
• Brak sprzeciwu w uzgodnionym terminie może oznaczać upoważnienie w modelu zgody ogólnej. Przy zgodzie szczegółowej milczenie nie zastępuje wymaganej akceptacji.
• Sprzeciw wymaga procedury: wyjaśnień, rozwiązania problemu albo ustalenia, co stanie się z przetwarzaniem i usługą.
• Upoważnienie do dalszego powierzenia nie zastępuje oceny transferów poza EOG ani nie pozwala dowolnie zmieniać celu użycia danych.

Kto jest podprocesorem w Twoim SaaS?

Decyduje rzeczywiste przetwarzanie danych w imieniu administratora, a nie nazwa na fakturze. Administrator ustala cele i zasadnicze sposoby przetwarzania. Podmiot przetwarzający wykonuje operacje na jego zlecenie. Gdy angażuje kolejną firmę do takich operacji, pojawia się dalszy podmiot przetwarzający, potocznie podprocesor.

W naszym przykładzie klient biznesowy używa SaaS do obsługi swoich użytkowników. Dla danych w zgłoszeniach to klient jest administratorem, a spółka founderów działa na jego zlecenie. Zewnętrzne narzędzie i firma analizująca zgłoszenia mogą tworzyć kolejne ogniwa tego łańcucha. Role trzeba ustalić dla konkretnych operacji: te same firmy mogą działać inaczej przy danych rozliczeniowych albo własnej analityce.

Dostawca papieru do biura nie staje się podprocesorem tylko dlatego, że jest podwykonawcą. Z kolei firma świadcząca zdalne wsparcie i przetwarzająca dane klientów może nim być, nawet jeśli nie hostuje głównej bazy. Tymek powinien sprawdzić przepływ danych, uprawnienia i faktyczne zadania nowej firmy, zamiast zatrzymać się na etykiecie „usługi techniczne”.

Podstawą dalszego powierzenia jest uprzednia szczegółowa lub ogólna pisemna zgoda administratora, zgodnie z art. 28 ust. 2 RODO. To upoważnienie między podmiotami w łańcuchu, a nie zgoda użytkownika na przetwarzanie jego danych.

Zgoda ogólna czy szczegółowa: co oznacza brak odpowiedzi?

Przy zgodzie szczegółowej trzeba uzyskać akceptację konkretnego podprocesora. Przy zgodzie ogólnej działa uzgodniony proces informowania o zmianach i zgłaszania sprzeciwu.

W modelu ogólnym strony mogą uzgodnić, że brak sprzeciwu w określonym terminie zostanie potraktowany jako upoważnienie. Warunkiem jest proces, który rzeczywiście pozwala dowiedzieć się o zmianie i ją ocenić. Przy wymaganej zgodzie szczegółowej brak odpowiedzi na wniosek o akceptację nie oznacza, że można zacząć przekazywać dane. Taką różnicę wyjaśniają wytyczne EROD 07/2020, pkt 153 do 158.

W DPA naszego startupu 14 dni to uzgodniony termin, nie termin narzucony przez RODO. Celina powinna sprawdzić, od jakiego zdarzenia jest liczony, czy chodzi o dni kalendarzowe czy robocze, gdzie wysłać sprzeciw i kiedy nowa firma ma rozpocząć przetwarzanie. Termin musi dawać rozsądną możliwość reakcji, z uwzględnieniem charakteru i złożoności przetwarzania.

Dostawca powinien aktywnie zasygnalizować zmianę. Sama lista na stronie może być wygodnym źródłem informacji, ale nie przerzuca całej odpowiedzialności za zauważenie aktualizacji na klienta. Wytyczne EROD wskazują na aktywne informowanie; w klauzulach Komisji z decyzji 2021/915, klauzula 7.7 znajdziesz wariant ogólnego upoważnienia z uprzednim pisemnym zawiadomieniem i czasem na sprzeciw. To klauzule dotyczące powierzenia, które same nie zapewniają zgodności transferów do państw trzecich.

Jakich informacji potrzebujesz przed decyzją?

Zawiadomienie powinno pozwolić ustalić, kto, po co i jak będzie przetwarzał dane. Sama nazwa nowej firmy nie odpowiada na pytanie, czy zmiana mieści się w dotychczasowym procesie.

Poproś o:

• pełną identyfikację firmy, lokalizację i dane kontaktowe;
• opis zadań, usługi oraz kategorii danych, które obejmie;
• miejsca przetwarzania i dostępu, w tym zdalnego wsparcia;
• planowaną datę rozpoczęcia i zabezpieczenia adekwatne do tych operacji;
• informacje o ewentualnych transferach poza EOG i ich podstawie;
• wpływ na dotychczasowe instrukcje, retencję i możliwości wyłączenia funkcji.

Opinia EROD 22/2024 podkreśla potrzebę dostępności aktualnych informacji o tożsamości podmiotów w całym łańcuchu. Weryfikacja gwarancji powinna odpowiadać ryzyku. Nie oznacza to obowiązku rutynowego zamawiania kopii każdej umowy z każdym podprocesorem; przy brakach lub wątpliwościach potrzebna może być pogłębiona kontrola. Opinia i wytyczne pomagają interpretować RODO, nie są nową ustawą.

Jeżeli nowa firma ma korzystać ze zgłoszeń do trenowania modelu na własne potrzeby, temat wykracza poza dopisanie podprocesora. Trzeba ponownie ocenić cele, role, podstawy przetwarzania i instrukcje. Więcej pytań dotyczących takiego użycia znajdziesz w checkliście umowy z dostawcą AI.

Co się dzieje po zgłoszeniu sprzeciwu?

RODO daje możliwość sprzeciwu w modelu ogólnego upoważnienia, ale nie opisuje jednego sposobu rozwiązania każdej sytuacji. Sprzeciw może oznaczać konieczność zmiany planu przetwarzania albo zakończenia objętej nim współpracy. Nie traktuj go ani jako gwarancji, że dostawca przebuduje cały produkt, ani jako wiadomości, którą może po prostu odłożyć do archiwum.

Umowa powinna przewidywać kroki po sprzeciwie. W zależności od produktu strony mogą uzgodnić wyłączenie funkcji, obsługę inną drogą, zastosowanie dodatkowych zabezpieczeń albo zakończenie usługi w odpowiednim zakresie. Zanim zaakceptujesz taki mechanizm, sprawdź także opłaty, zwrot przedpłat, eksport i usunięcie danych. To kwestie do uregulowania w kontrakcie; nie wszystkie wynikają automatycznie z art. 28.

Wróćmy do founderów. Tymek ustala, że analiza AI jest opcjonalna, ale domyślnie obejmowałaby także zgłoszenia klienta enterprise. Jakub sprawdza, czy funkcję można wyłączyć dla tego klienta, a Celina wysyła pytania o zakres i transfery. Jeśli zgłaszają sprzeciw, powinni wskazać konkretną zmianę, przyczynę dotyczącą ochrony danych i oczekiwany sposób jej rozwiązania. Potrzebują potwierdzenia, jak zgłoszenia będą obsługiwane do czasu uzgodnienia dalszych kroków.

Prośba o dodatkowe informacje nie musi automatycznie zatrzymać biegu terminu z DPA. Ustal to pisemnie z dostawcą. Jeśli zbliża się termin, nie zakładaj, że mail „prosimy o więcej szczegółów” zostanie potraktowany jako sprzeciw. Sprawdź wymagania umowy i jasno zapisz swoje stanowisko.

A jeśli sam przetwarzasz dane na zlecenie klientów?

Zmianę trzeba ocenić także w relacji z administratorami, którzy powierzyli dane Twojemu SaaS. Zgoda, której udzielisz własnemu dostawcy, nie zastępuje upoważnienia od klientów ani nie zmienia ich instrukcji.

Founderzy muszą więc zestawić dwa procesy:

Jeśli dostawca daje startupowi 14 dni, a startup zobowiązał się zawiadamiać klienta 30 dni przed zmianą, terminy nie układają się same. Trzeba zapewnić odpowiednie wyprzedzenie lub inną zgodną ścieżkę dla danych tego klienta. „Nasz dostawca tak ustalił” nie zmienia podpisanego DPA.

Zgodnie z art. 28 ust. 4 RODO odpowiednie obowiązki ochrony danych muszą przejść na dalszego procesora, a pierwotny procesor pozostaje wobec administratora w pełni odpowiedzialny za wykonanie obowiązków tego podmiotu.

Co zrobić po otrzymaniu zawiadomienia?

Wyznacz osobę odpowiedzialną za reakcję i połącz ocenę umowy z oceną produktu. Zapisz:

• datę otrzymania wiadomości, termin odpowiedzi i datę planowanej zmiany;
• role stron oraz to, czy działa zgoda ogólna czy szczegółowa;
• dane, funkcje i klientów objętych zmianą;
• brakujące informacje i konkretnie rozpoznane ryzyko;
• decyzję, jej uzasadnienie, wysłane stanowisko i odpowiedź dostawcy;
• zadania w produkcie oraz ewentualne powiadomienia klientów.

Jakub, Tymek i Celina mogą ostatecznie pozostawić analizę AI wyłączoną dla wybranego klienta do czasu wyjaśnienia warunków. To jedna z możliwych decyzji, zależna od umowy i technicznej możliwości rozdzielenia usługi. Jeśli współpracy nie da się utrzymać zgodnie z wymaganiami, przygotuj plan wyjścia. Sam eksport to osobny temat, opisany w tekście o zmianie dostawcy SaaS i Data Act.

W ramach wsparcia prawnego dla SaaS możemy porównać DPA z faktycznym przepływem danych i zobowiązaniami wobec klientów. Na rozmowę o zmianie podprocesora przygotuj zawiadomienie, oba zestawy umów i informację, kiedy nowa firma ma zacząć przetwarzać dane.