Klauzula prawa kontroli
Daje stronie prawo kontroli rejestrów lub systemów drugiej strony w celu weryfikacji zgodności.
Co to jest
Klauzula prawa kontroli daje jednej stronie prawo przeglądu ksiąg, rejestrów, procesów lub kontroli bezpieczeństwa drugiej strony w celu weryfikacji zgodności, na przykład w zakresie cen, raportowania tantiem, korzystania z licencji albo obowiązków ochrony danych.
Dlaczego to ważne
Zaufanie to nie to samo co weryfikacja. Prawo kontroli pozwala klientowi lub licencjodawcy sprawdzić, czy raportowane liczby i kontrole są prawidłowe, przeciwdziałać zaniżaniu raportów i wspierać rozliczalność na podstawie RODO oraz podobnych regulacji.
Jak to zastosować
- Zdefiniuj zakres, częstotliwość kontroli, wymagane wyprzedzenie i to, kto może ją przeprowadzić. Warunki nie mogą uniemożliwiać kontroli wymaganej przez RODO ani postępowania w razie incydentów wymaganego przez właściwe przepisy.
- Ogranicz dostęp do właściwych rejestrów i chroń informacje poufne strony kontrolowanej.
- Uzgodnij podział kosztów: typowym punktem wyjścia jest to, że koszty własne ponosi strona żądająca kontroli. Wskaż, czy koszty mogą zostać przeniesione przy stwierdzonej istotnej rozbieżności, z jasnym progiem i proporcjonalnym trybem, który nie ogranicza ustawowych praw kontroli.
- Wskaż środki na wypadek uchybień: korektę, zapłatę zaległych kwot i prawo kolejnej kontroli.
Wskazówki negocjacyjne
- • Strony kontrolowane powinny uzgodnić ograniczoną częstotliwość kontroli, rozsądne wyprzedzenie i poufność. Warunki nie mogą uniemożliwiać kontroli wymaganej przez RODO ani postępowania w razie incydentów wymaganego przez właściwe przepisy.
- • Strona żądająca kontroli powinna wynegocjować skuteczne postanowienie pozwalające przenieść koszty na stronę kontrolowaną, jeśli stwierdzona rozbieżność przekracza wskazany próg. Postanowienie powinno przewidywać proporcjonalny tryb i nie może ograniczać ustawowych praw kontroli.
Częste pułapki
- • Prawo kontroli tak ingerencyjne, że zakłóca działalność albo ujawnia niezwiązane informacje poufne.
- • Brak wyraźnych środków następczych, co utrudnia działanie nawet wtedy, gdy kontrola wykaże naruszenie umowy.
Podstawy prawne
- Art. 28 ust. 3 lit. h rozporządzenia (UE) 2016/679 (RODO) RODO: prawo kontroli administratora wobec podmiotu przetwarzającego Prawo UE
- Art. 385¹ ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny Kodeks cywilny: niedozwolone postanowienia umowne Prawo polskie
Sprawdź, jakiego prawa dotyczy każda referencja. To informacja ogólna, a nie porada prawna. Te pojęcia są różnie traktowane w różnych systemach prawnych. Zweryfikuj aktualne brzmienie przepisów i ich zastosowanie do Twojej sytuacji z kwalifikowanym prawnikiem.
Najczęściej zadawane pytania
Najczęstsze pytania o tę klauzulę.
Podział kosztów powinna regulować umowa. Typowym punktem wyjścia jest to, że strona żądająca kontroli ponosi własne koszty. Strony mogą uzgodnić przeniesienie kosztów na stronę kontrolowaną przy stwierdzonym istotnym naruszeniu umowy albo zaniżeniu raportu powyżej wskazanego progu. Warunki i tryb muszą być skuteczne oraz proporcjonalne i nie mogą ograniczać ustawowych praw kontroli. Art. 28 RODO sam nie wskazuje, kto ma płacić.
Tak, gdy RODO ma zastosowanie i istnieje rzeczywista relacja między administratorem a podmiotem przetwarzającym. Pisemna umowa lub inny wiążący akt prawny powinien zobowiązywać podmiot przetwarzający do udzielenia wszystkich informacji potrzebnych do wykazania wypełnienia obowiązków z art. 28 oraz do umożliwienia kontroli, w tym inspekcji, przeprowadzanych przez administratora albo audytora przez niego upoważnionego, i do współdziałania w nich. Tego obowiązkowego prawa nie można wyłączyć umownie.
Certyfikat ISO 27001 albo raport SOC 2 mogą dawać podstawę do oceny opartej na ryzyku, ale trzeba sprawdzić zakres, aktualność i ograniczenia. Gdy art. 28 RODO ma zastosowanie, taka dokumentacja nie zastępuje niezbędnych kontroli, w tym inspekcji, wyłącznie dlatego, że umowa na to pozwala. Nie jest automatycznie zatwierdzonym mechanizmem certyfikacji w rozumieniu art. 28 ust. 5 RODO. W przypadku kontroli czysto umownych, nieobjętych tymi wymogami RODO, strony mogą w granicach prawa uzgodnić alternatywną dokumentację. Umowa powinna jasno wskazywać, co jest akceptowane i kiedy możliwa jest kontrola na miejscu, bez ograniczania praw o charakterze bezwzględnie obowiązującym.
Umowa może na przykład przewidywać 10 do 30 dni pisemnego wcześniejszego powiadomienia. To ilustracyjny przedział umowny, a nie wymóg ustawowy ani ustalony polski standard rynkowy. Wymagane wyprzedzenie zależy od umowy, ryzyk i obowiązków bezwzględnie obowiązujących. W przypadku dochodzeń dotyczących oszustw lub incydentów bezpieczeństwa warto odrębnie wynegocjować krótsze wyprzedzenie albo ograniczone prawo kontroli bez zapowiedzi, z jasnym zakresem, podstawą prawną i ochroną informacji poufnych. Uzgodnione terminy nie mogą uniemożliwiać kontroli wymaganej przez RODO ani postępowania w razie incydentów wymaganego przez właściwe przepisy.
Może chodzić o zapłatę zaległej kwoty, odsetki, jeśli wynikają z umowy lub właściwego prawa, oraz przeniesienie kosztu kontroli na stronę kontrolowaną zgodnie z umową. Czasem umowa może też dawać prawo wypowiedzenia lub odstąpienia z powodu naruszenia, jeśli zaniżenie było systematyczne albo umyślne. Wymaga to stwierdzenia istotnego naruszenia i spełnienia umownych wymogów oraz trybu; żaden z tych środków nie działa automatycznie.