Jak rozpoznać procesora i nie przegapić umowy powierzenia?

Kiedy mówimy o procesorze?

To każdy kontrahent, który:

• realizuje zadanie na rzecz naszej firmy,
• przetwarza przy tym dane osobowe,
• działa zgodnie z naszymi instrukcjami (nie samodzielnie decyduje o celu przetwarzania).

Przykład:

Twój dział zleca agencji call center kontaktowanie się z klientami? Albo korzysta z aplikacji działającej „w chmurze”? To może oznaczać współpracę z procesorem – a to z kolei wymaga podpisania umowy powierzenia przetwarzania danych osobowych.

Kto może być procesorem w Twoim otoczeniu?

Poniżej znajdziesz listę kategorii firm, które najczęściej pełnią rolę procesora. Zastanów się, z którymi współpracuje Twój dział – i czy każda z tych relacji została odpowiednio uregulowana:

• Zewnętrzne archiwum dokumentów
• Agencja ochrony
• Firma kadrowa / biuro rachunkowe
• Dostawca usług chmurowych / hosting
• Call center

<div class="adbox-bulletin">
    <div class="adbox-bulletin-content">
        <div class="image">
            <img class="img-responsive mobileoff" src="/template/default/images/bazawiedzy-reklama-blog.png" alt="Baza wiedzy RODO">
        </div>
        <div class="text">
            <h4>Bezpłatna wiedza o RODO.<br>Korzystaj do woli!</h4>
            <div class="desc">Webinary, artykuły, poradniki, szkolenia, migawki i&nbsp;pomoc. Witaj w&nbsp;bazie wiedzy ODO 24.</div>
            <a class="button" href="/pl/wiedza">WCHODZĘ W TO</a>
        </div>
    </div>
</div>

• Centrum Usług Wspólnych
• Agencja rekrutacyjna
• Biuro tłumaczeń
• Dostawca oprogramowania i systemów IT
• Zarządca budynku (działający na rzecz właściciela)
• Firma konsultingowa
• Firma windykacyjna
• Agencja marketingowa
• Usługodawca pocztowy i firma magazynowa
• Dostawca narzędzia do wysyłki newsletterów
• Platforma do podpisów elektronicznych
• Firma niszcząca dokumenty i nośniki danych
• Firma analizująca zachowanie użytkowników na stronie
• Body leasing IT / punkt serwisowy
• Spółki z grupy kapitałowej (w wybranych przypadkach)

Co warto zrobić?

• Zrób szybki przegląd firm, z którymi współpracuje Twój dział.
• Zastanów się, czy którakolwiek z nich przetwarza dane osobowe w naszym imieniu.
• Upewnij się, że z każdą taką firmą została zawarta umowa powierzenia (jeśli nie – daj znać osobie odpowiedzialnej za RODO w Twojej organizacji).
• Sprawdź, czy te firmy (tzw. procesorzy) zostały odpowiednio zweryfikowane przed rozpoczęciem współpracy – oraz czy podlegają regularnej ocenie, np. raz do roku, pod kątem zgodności z wymaganiami ochrony danych.

Małe niedopatrzenie może mieć duże konsekwencje – a kontrola UODO nie pyta, czy to „ktoś z IT się tym zajmował”, tylko czy umowa jest podpisana.

Jeśli masz wątpliwości – zapytaj. Lepiej dmuchać na RODO, niż potem tłumaczyć się z naruszenia.