RODO: siedem pytań do każdego dostawcy SaaS

Każda strona dostawcy głosi „zgodność z RODO”. To zdanie marketingowe. Nie stoi za nim żaden certyfikat, nikt go nie wydaje i nic dostawcy nie grozi za jego wydrukowanie. Wersja użyteczna jest węższa i znacznie łatwiejsza do sprawdzenia: na co dokładnie się godzę, wrzucając dane swoich klientów do tego systemu?

Poniższe siedem pytań warto zadać przed podpisaniem umowy, mniej więcej w tej kolejności — jest na tyle łagodna, że dostawcy odpowiadają na nią szczerze. Żadne z nich nie wymaga prawnika. Na większość źle odpowiadają ci dostawcy, których nikt wcześniej o to nie pytał.

To wy jesteście administratorem — i w tym rzecz

Kiedy wgrywacie bazę klientów do CRM-u, pozostajecie administratorem danych: to wy zdecydowaliście, po co są przetwarzane. Dostawca jest podmiotem przetwarzającym i działa na wasze polecenie. Artykuł 28 RODO wymaga, żeby tę relację regulowała umowa o określonej treści, a organ nadzorczy pyta o nią was, nie dostawcę. Ta asymetria jest powodem, dla którego to są pytania zakupowe, a nie pytania do działu prawnego: ryzyko i tak zostaje po waszej stronie stołu.

Siedem pytań w kolejności, w której warto je zadawać

1. Jaki podmiot będzie przetwarzającym i gdzie ma siedzibę? Marka ze strony często nie jest spółką z umowy. Poproście o nazwę i kraj podmiotu, który podpisze umowę powierzenia.
2. Kto jest podprzetwarzającym i jak dowiem się o zmianie tej listy? Każdy SaaS ich ma — hosting, wysyłka maili, narzędzia wsparcia, analityka. Chcecie opublikowanej listy, mechanizmu powiadamiania i zapisanego prawa sprzeciwu, a nie domyślnego.
3. Gdzie dane są przechowywane i skąd są dostępne? To dwa różne pytania i pomijane jest zwykle to drugie. Dane leżące we Frankfurcie i tak są przekazywane, jeśli inżynier wsparcia z kraju trzeciego otworzy zgłoszenie i je przeczyta.
4. Czy jest umowa powierzenia, którą mogę po prostu podpisać? Standardowy załącznik, podlinkowany ze strony, to dobry znak. Umowa „dostępna na życzenie dla klientów korporacyjnych” oznacza, że dostawca traktuje zgodność z prawem jako element cennika.
5. Jeśli dane wychodzą poza EOG, to na jakiej podstawie? Decyzja o adekwatności, standardowe klauzule umowne albo coś, czego dostawca nie potrafi nazwać. Przy klauzulach zapytajcie o ocenę skutków przekazania — to wy musicie umieć ją pokazać.
6. Jak obsłużę w tym systemie żądanie osoby, której dane dotyczą? Prośba o kopię albo usunięcie danych to rutyna. Zapytajcie, czy eksport i usunięcie są dostępne w interfejsie, czy przez zgłoszenie do wsparcia — i o deklarowany czas realizacji na piśmie.
7. Co dzieje się po zakończeniu umowy? W jakich formatach wyeksportujecie dane, jak długo pozostaną dostępne, kiedy naprawdę znikną z kopii zapasowych i czy dostaniecie potwierdzenie. „Usuwamy w rozsądnym terminie” nie jest odpowiedzią.

Jak brzmi dobra odpowiedź

Dobre odpowiedzi są konkretne, opatrzone datą i spisane. Dostawca, który ma to poukładane, odeśle was do strony, zamiast pisać akapit:

• Lista podprzetwarzających z nazwami, celami i krajami — oraz adres, pod którym można zapisać się na powiadomienia o zmianach.
• Standardowa umowa powierzenia jako PDF albo załącznik akceptowany kliknięciem, z widoczną treścią wymaganą przez art. 28, a nie ze streszczeniem.
• Zobowiązanie do zgłoszenia naruszenia liczone w godzinach. Na zawiadomienie organu macie 72 godziny od stwierdzenia naruszenia (art. 33); przetwarzający, który obiecuje poinformować „niezwłocznie”, przerzucił swój problem na wasz zegar.
• Strona o bezpieczeństwie, która przy ISO 27001 czy SOC 2 podaje jednostkę certyfikującą i datę audytu, a nie samo logo.

Sygnały ostrzegawcze

• „Nasze serwery są w Unii” jako cała odpowiedź, bez słowa o dostępie wsparcia, kopiach zapasowych i podwykonawcach.
• Umowa powierzenia dostępna dopiero w planie korporacyjnym. Obowiązki prawne nie skalują się z abonamentem.
• Lista podprzetwarzających w formie zrzutu ekranu albo bez daty aktualizacji.
• Każdy opór przed wpisaniem terminów usunięcia danych do umowy.
• Opiekun handlowy, który na pytanie o ochronę danych odpowiada zapewnieniem zamiast dokumentem.

Zachowajcie odpowiedzi

Cokolwiek dostaniecie, odłóżcie to razem z umową. Artykuł 30 nakłada na większość organizacji obowiązek prowadzenia rejestru czynności przetwarzania, a najszybszy sposób, żeby go mieć, to wpinać odpowiedzi na bieżąco, zamiast odtwarzać je w tygodniu kontroli. Skraca to też rozmowę przy przedłużaniu umowy: od razu wiadomo, co się zmieniło.

Po same przepisy, a nie po perspektywę kupującego, warto sięgnąć do wytycznych Europejskiej Rady Ochrony Danych, które stosują organy nadzorcze. U nas zgodność z RODO jest jednym ze strukturalnych kryteriów opisanych przy każdym produkcie — więc listę można zacząć od tych, które na pytanie trzecie już odpowiadają.