Umowa powierzenia przetwarzania danych: podpis elektroniczny zgodny z RODO

Tak. Art. 28 ust. 9 RODO stanowi, że umowa powierzenia ma formę pisemną, w tym formę elektroniczną. To przepis prawa unijnego, który obowiązuje wprost i ma własne, autonomiczne znaczenie. Nie odsyła on do surowej definicji formy elektronicznej z art. 78 z indeksem 1 Kodeksu cywilnego, która dla zrównania z formą pisemną wymaga podpisu kwalifikowanego. Cel art. 28 jest inny: chodzi o rozliczalność, czyli o to, żeby dało się wykazać, kto, kiedy i na jaką treść umowy się zgodził.

Dominujące stanowisko doktryny i praktyki organów nadzorczych jest takie, że formę elektroniczną w rozumieniu RODO spełnia trwały dokument elektroniczny, który pozwala jednoznacznie zidentyfikować strony i zapewnia integralność treści. Zwykły podpis elektroniczny (SES) połączony ze śladem audytowym, który zapisuje e-mail, adres IP, znacznik czasu i skrót SHA-256, dostarcza dokładnie te dwie cechy. Dlatego do umowy powierzenia w zdecydowanej większości przypadków nie potrzebujesz podpisu kwalifikowanego.

Dla uczciwości warto dodać, że istnieje też ostrożniejszy pogląd, który słowo forma elektroniczna czyta ściśle jako podpis kwalifikowany. Jeśli Twój kontrahent, dział prawny albo procedura wewnętrzna tego wymaga, podpis kwalifikowany usuwa wszelkie wątpliwości. To jednak kwestia apetytu na ryzyko dowodowe, a nie bezwzględny zakaz. Sama moc prawna wynika z art. 25 ust. 1 eIDAS: podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu tylko dlatego, że jest elektroniczny lub nie jest kwalifikowany.

Podpis elektroniczny załatwia formę, ale treść umowy powierzenia jest osobną, równie ważną kwestią. Zgodnie z art. 28 ust. 3 RODO umowa powierzenia powinna określać co najmniej:

• przedmiot i czas trwania przetwarzania,
• charakter i cel przetwarzania,
• rodzaj danych osobowych oraz kategorie osób, których dane dotyczą,
• obowiązki i prawa administratora,
• zobowiązanie podmiotu przetwarzającego do przetwarzania danych wyłącznie na udokumentowane polecenie administratora,
• zapewnienie poufności przez osoby upoważnione do przetwarzania,
• wdrożenie odpowiednich środków bezpieczeństwa z art. 32 RODO,
• warunki korzystania z podprzetwarzających (podpowierzenie),
• pomoc administratorowi w realizacji praw osób i w obowiązkach dotyczących bezpieczeństwa,
• usunięcie lub zwrot danych po zakończeniu współpracy oraz udostępnianie informacji na potrzeby audytów.

Nasza platforma nie tworzy treści umowy powierzenia za Ciebie i nie zastępuje wzoru przygotowanego przez inspektora ochrony danych lub prawnika. Odpowiadamy za formę i dowód: bierzesz gotowy dokument z tymi elementami, a my zapewniamy jego podpisanie ze śladem audytowym i wykrywalnością zmian.

Umowę powierzenia zawiera się zawsze, gdy jeden podmiot (administrator) udostępnia dane osobowe innemu podmiotowi (podmiotowi przetwarzającemu), który przetwarza je w imieniu i na polecenie administratora. Nie chodzi o sytuacje, w których druga firma staje się niezależnym administratorem, na przykład gdy przekazujesz dane kurierowi realizującemu własny obowiązek doręczenia. Najczęstsze przypadki powierzenia w polskiej firmie to:

• biuro rachunkowe, które prowadzi księgi i kadry na danych Twoich pracowników i kontrahentów (zobacz, jak wygląda podpis elektroniczny dla biura rachunkowego),
• dostawca hostingu i poczty, na którego serwerach leżą dane z Twoich systemów,
• agencja marketingowa prowadząca wysyłki i kampanie na Twojej bazie kontaktów (po stronie agencji temat opisuje podpis elektroniczny dla agencji),
• firma IT serwisująca systemy, w których są dane osobowe,
• zewnętrzny dział kadr, call center czy firma windykacyjna działające na Twoich danych.

W każdym z tych układów administrator odpowiada za to, że powierzenie odbywa się na podstawie umowy spełniającej art. 28 RODO. Brak takiej umowy jest jednym z częstszych ustaleń podczas kontroli, dlatego warto mieć ją podpisaną, zanim ruszy współpraca, a nie miesiąc po fakcie.

Do umowy powierzenia w praktyce wystarcza zwykły podpis elektroniczny ze śladem audytowym, bo RODO wymaga identyfikacji stron i integralności, a nie równoważności z podpisem własnoręcznym. Podpis kwalifikowany bywa uzasadniony w trzech sytuacjach: gdy druga strona wprost go żąda, gdy wewnętrzna polityka bezpieczeństwa go narzuca albo gdy powierzenie dotyczy wyjątkowo wrażliwych danych i chcesz maksymalnie zminimalizować ryzyko sporu o formę.

Granica, której nie zamazujemy: podpisu kwalifikowanego wymagają czynności, dla których przepis zastrzega formę pisemną pod rygorem nieważności, oraz umowa o pracę. Umowa powierzenia do tej grupy nie należy, więc traktowanie jej jak dokumentu wymagającego formy kwalifikowanej jest ostrożnością, a nie obowiązkiem. Jeśli chcesz zrozumieć różnicę między podpisem zwykłym, zaawansowanym i kwalifikowanym, opisaliśmy ją szczegółowo w artykule podpis elektroniczny a kwalifikowany.