Umowa powierzenia dla poczty e-mail: co musisz wiedzieć
Czym jest umowa powierzenia dla poczty e-mail?
Umowa powierzenia (po angielsku czasem DPA, Data Processing Agreement) to umowa, która określa, jak podmiot przetwarzający obchodzi się z danymi osobowymi, które przetwarza w twoim imieniu. RODO opisuje w art. 28, co taka umowa musi zawierać.
Idea jest jasna: jeśli przetwarzasz dane osobowe i angażujesz do tego zewnętrzny podmiot, nadal odpowiadasz za to, co dzieje się z tymi danymi. Umowa powierzenia zapisuje, jakie ustalenia w tej sprawie obowiązują, żeby nie skończyło się na luźnych obietnicach. Chodzi na przykład o cel przetwarzania, środki bezpieczeństwa, poufność i o to, co się dzieje, gdy współpraca się kończy.
Dlaczego to ważne
Dla osób pracujących z danymi klientów, pacjentów czy członków to nie jest formalność. Jeśli przetwarzasz dane osobowe i część tego zlecasz na zewnątrz, RODO oczekuje, że porządnie zapiszesz ustalenia. Bez umowy trudno wykazać, że działasz starannie, a odpowiedzialność i tak spoczywa na tobie.
Jest też kwestia praktyczna. Organy nadzorcze i klienci coraz częściej o to pytają. Jeśli możesz pokazać, że masz ustalenia z podmiotami przetwarzającymi na piśmie, twoja pozycja jest mocniejsza. „Ustaliliśmy to ustnie” to odpowiedź, która rodzi pytania.
Ważne zastrzeżenie: nie każda sytuacja wymaga umowy powierzenia, a dokładne wymogi zależą od tego, kto pełni jaką rolę. Dlatego to kwestia indywidualna i czasem warto dać ją do sprawdzenia.
Dla małych organizacji to często niejasny punkt. Słyszysz, że „musisz mieć umowę powierzenia”, ale rzadko dla czego dokładnie. W praktyce chodzi o podmioty, które przetwarzają dane w twoim imieniu: na przykład program księgowy, usługę newsletterową albo twojego dostawcę poczty, zależnie od tego, jak z nich korzystasz. Dla każdego z nich osobno trzeba sprawdzić, czy umowa powinna być zawarta. Pierwszym i najważniejszym krokiem jest wtedy przegląd tego, o jakie podmioty chodzi.
Jak to działa
Żeby ustalić, czy jej potrzebujesz, warto rozdzielić role:
- Administrator. To ty, jeśli decydujesz, dlaczego i jak dane osobowe są przetwarzane. Ty masz kontrolę.
- Podmiot przetwarzający. To podmiot, który przetwarza dane osobowe w twoim imieniu, zgodnie z twoimi poleceniami, nie określając sam celu przetwarzania.
- Umowa. Jeśli zewnętrzny podmiot przetwarza dane w twoim imieniu, RODO może wymagać umowy powierzenia. Zawiera ona między innymi przedmiot i cel, rodzaje danych, środki bezpieczeństwa, poufność, korzystanie z dalszych podmiotów przetwarzających i to, co się dzieje po zakończeniu współpracy.
To, czy dostawca poczty jest w twojej sytuacji podmiotem przetwarzającym, zależy od tego, jak korzystasz z usługi i jakie dane są w niej przetwarzane. To właśnie taki rodzaj oceny, przy którym w razie wątpliwości warto skonsultować się ze specjalistą. Co jeszcze oznacza „zgodność z RODO”, przeczytasz w artykule poczta e-mail zgodna z RODO: co to oznacza.
Na co trzeba uważać
Kilka kwestii, na które warto zwrócić uwagę, i częstych nieporozumień:
- Przekonanie, że umowa powierzenia jest zawsze potrzebna. Tak nie jest. Zależy to od ról i od tego, co dokładnie jest przetwarzane. Nie działaj pochopnie, ale też tego nie ignoruj.
- Mylenie ról. Podmiot nie jest automatycznie „podmiotem przetwarzającym”. Czasem usługodawca sam jest administratorem określonych danych. Ta kwalifikacja decyduje o tym, jakie ustalenia są odpowiednie.
- Podpisywanie standardowego tekstu w ciemno. Umowa musi pasować do twojej sytuacji i danych, które przetwarzasz. Przeczytaj, co w niej jest, i sprawdź, czy opisane zabezpieczenia i dalsze podmioty przetwarzające się zgadzają.
- Przekonanie, że umowa wykona pracę za ciebie. Sam papier nie zapewni ci zgodności z przepisami. Twój sposób pracy, zabezpieczenia i staranność nadal się liczą. Zobacz też RODO a mała firma.
Jeszcze raz: to ogólne wskazówki, a nie ostateczna ocena prawna twojej sytuacji. To, czy i jakiej umowy powierzenia potrzebujesz, jest kwestią indywidualną; w razie wątpliwości skonsultuj się ze specjalistą lub belgijskim organem ochrony danych (GBA/APD).
A w Mailflux?
Mailflux hostuje twoją pocztę w Europie, zgodnie z RODO, we własnej domenie, z szyfrowanymi połączeniami, filtrowaniem spamu, phishingu i złośliwego oprogramowania, automatycznymi kopiami zapasowymi i opcjonalną weryfikacją dwuetapową. Twoje treści nie są skanowane pod kątem reklam. To techniczna i organizacyjna podstawa, na której budujesz dalej.
Potrzebujesz w swojej sytuacji umowy powierzenia albo chcesz wiedzieć, jakie ustalenia są możliwe? Śmiało skontaktuj się z Mailflux, razem sprawdzimy, co da się zrobić. To, czego wymaga twój przypadek, zależy od twojej sytuacji i ról; w razie wątpliwości skonsultuj się ze specjalistą. Więcej o stronie hostingowej przeczytasz w artykule europejski hosting poczty we własnej domenie.
FAQ
Najczęściej zadawane pytania
Czy do poczty zawsze potrzebuję umowy powierzenia?
Nie zawsze. Zależy to od ról i od tego, co dokładnie jest przetwarzane. Jeśli zewnętrzny podmiot przetwarza dane osobowe w twoim imieniu, RODO może wymagać umowy. To, co obowiązuje w twoim przypadku, jest kwestią indywidualną; w razie wątpliwości skonsultuj się ze specjalistą.
Co musi zawierać umowa powierzenia?
RODO (art. 28) wymienia między innymi przedmiot i cel przetwarzania, rodzaje danych, środki bezpieczeństwa, poufność, ustalenia dotyczące dalszych podmiotów przetwarzających i to, co się dzieje po zakończeniu współpracy. Dokładna treść zależy od twojej sytuacji.
Czy Mailflux oferuje umowę powierzenia?
Skontaktuj się w tej sprawie z Mailflux, a razem sprawdzimy, co jest możliwe w twojej sytuacji. Podstawa, czyli europejski hosting zgodny z RODO z szyfrowanymi połączeniami, jest zapewniona w każdym przypadku. To, co jest wymagane dodatkowo, jest kwestią indywidualną; w razie wątpliwości skonsultuj się ze specjalistą.
Czym różni się podmiot przetwarzający od administratora?
Administrator decyduje, dlaczego i jak dane osobowe są przetwarzane; to ty, w odniesieniu do własnych klientów lub członków. Podmiot przetwarzający przetwarza te dane w twoim imieniu, zgodnie z twoimi poleceniami. To, kto pełni jaką rolę, decyduje o tym, czy i jakich ustaleń oczekuje RODO.