Harmonogram przeglądów umowy powierzenia danych

Umowa powierzenia przetwarzania danych nie jest dokumentem, który podpisuje się raz i zapomina, choć podejrzewam, że większość firm traktuje ją właśnie tak. Negocjujesz warunki, podpisujesz, odkładasz do teczki i wszyscy idą dalej z poczuciem, że zgodność jest załatwiona. Problem w tym, że umowa powierzenia zwykle zobowiązuje do okresowych przeglądów, daje prawa audytu z własnymi oknami czasowymi i wiąże zgodność z mechanizmami przekazywania danych, które mogą się zmienić, gdy nie patrzysz. Umowa pozostaje skuteczna tylko wtedy, gdy ktoś pilnuje jej kalendarza. Z mojego doświadczenia wynika, że rzadko ktoś jest do tego wyznaczony, a kalendarz rzadko jest prowadzony.

To praktyczne wskazówki, a nie porada prawna.

Po przeczytaniu tego przewodnika będziesz:

• znać powtarzające się terminy, które faktycznie zawiera typowa umowa powierzenia.
• rozumieć, dlaczego te terminy umykają nawet dobrze poukładanym zespołom.
• umieć zbudować harmonogram przeglądów raz i pozwolić mu działać samodzielnie.
• wiedzieć, jak zamienić klauzule umowy powierzenia w działający plan przypomnień.

Jakie terminy faktycznie zawiera umowa powierzenia

Jeśli czytasz umowę powierzenia i szukasz w niej konkretnie terminów, a nie zapisów o odpowiedzialności i odszkodowaniach, wypłynie ich zaskakująco dużo. Oto te, które widzę najczęściej:

• Okresowe przeglądy bezpieczeństwa. Wiele umów powierzenia wymaga przeglądu środków technicznych i organizacyjnych podmiotu przetwarzającego w ustalonym cyklu, często raz w roku. Wygląda to jak standardowy zapis, ale to zobowiązanie, a nie sugestia, a odpowiedź „nie zdążyliśmy” nie brzmi dobrze podczas audytu.
• Okna na zmiany podprocesorów. Gdy podmiot przetwarzający zgłasza nowego podprocesora, zwykle masz określone okno na sprzeciw. Przegapisz je i zmiana jest przyjęta domyślnie.
• Okna prawa audytu. Prawo do audytu albo do żądania dowodów często wiąże się z terminami powiadomienia i limitami częstotliwości. Znacznie lepiej znać je, zanim trzeba z tego prawa skorzystać, a nie w środku incydentu.
• Ponowna ocena mechanizmu przekazywania danych. Jeśli umowa opiera się na standardowych klauzulach umownych, zmiany w otoczeniu prawnym mogą wymagać sprawdzenia, czy mechanizm nadal obejmuje Twoje przepływy danych. Ramy prawne się zmieniają, umowa nie, a lukę musisz zauważyć sam.
• Terminy rozwiązania umowy i usunięcia danych. Gdy współpraca się kończy, usunięcie albo zwrot danych musi zwykle nastąpić w określonym terminie, z potwierdzeniem na żądanie. Ten punkt bywa zapominany właśnie dlatego, że uwaga wszystkich przeniosła się już na nowego dostawcę.

Zestawione razem tworzą czytelny wzorzec:

Typ terminu	Typowy wyzwalacz	Co musisz zrobić
Przegląd bezpieczeństwa	Cykl roczny	Udokumentowany przegląd środków
Okno podprocesora	Zgłoszenie dostawcy	Decyzja przed zamknięciem okna
Prawo audytu	Twoja inicjatywa	Zachowanie terminów powiadomienia i limitów częstotliwości
Ponowna ocena przekazywania	Zmiana prawa zewnętrznego	Sprawdzenie mechanizmu przekazywania
Usunięcie i zwrot	Koniec współpracy	Usunięcie albo zwrot w określonym terminie

Dlaczego to umyka

Żaden z tych terminów sam się nie ogłasza i w tym tkwi sedno problemu. Przegląd „raz w roku” nie ma wyzwalacza, który siedziałby w czyimś kalendarzu. Zmiana ram prawnych przekazywania danych nie wysyła maila do działu prawnego z informacją, że standardowe klauzule umowne wymagają ponownego spojrzenia. Zgłoszenie nowego podprocesora trafia do skrzynki między setką innych wiadomości i wygląda jak marketing.

Rozpoznasz ten schemat. Zobowiązania są naprawdę realne, podobnie jak konsekwencje: dane płyną na warunkach, których nikt nie zweryfikował, audyt znajduje uchybienie, którego nie da się wytłumaczyć, a organ nadzorczy zadaje pytanie bez dobrej odpowiedzi. Zwykle brakuje nie chęci ani kompetencji, tylko przypomnienia wysłanego w odpowiednim momencie do właściwej osoby. Zaplanowana praca jest mała, a odkryta za późno bywa ogromna.

Powiem wprost: to znajomy schemat, który wykracza daleko poza ochronę danych. Ten sam mechanizm napędza wiele ryzyk w zarządzaniu umowami, gdzie kosztem nie jest sama klauzula, ale przypisany do niej termin, którego nikt nie pilnował. Cichym przykładem są też koszty zarządzania umowami SaaS: pominięte okna przeglądu zamieniają się w automatyczne przedłużenia umowy i zobowiązania, które dałoby się wynegocjować, gdyby ktoś je przewidział.

Zbuduj harmonogram raz

Rozwiązanie jest mniej efektowne niż problem, jak to zwykle bywa z dobrą higieną zgodności. Wyciągnij terminy z każdej umowy powierzenia w momencie podpisu i wpisz je do harmonogramu z jasno przypisanymi właścicielami: roczny przegląd bezpieczeństwa, następne okno audytu, sprawdzenie mechanizmu przekazywania danych i stały nadzór nad zgłoszeniami podprocesorów. Zrób to raz na umowę, a harmonogram będzie działał sam.

Sztuka polega na tym, żeby trzymać te terminy obok umowy, z której pochodzą: przeszukiwalne, z właścicielem i monitorowane, a nie skopiowane do arkusza, który rozjeżdża się w ciągu kwartału. Porządne repozytorium umów trzyma dokument i jego zobowiązania razem, więc gdy przypomnienie zadziała, jesteś jedno kliknięcie od klauzuli, która je wywołała. Taką ciągłość w całym portfelu dostawców daje zarządzanie umowami powierzenia przetwarzania danych, a całość mieści się w szerszym oprogramowaniu do zgodności z RODO dla zespołów, które chcą mieć pełny obraz zobowiązań w jednym miejscu.

Najbardziej satysfakcjonujące jest to, że harmonogram pracuje podwójnie. Gdy terminy z umów powierzenia żyją w systemie, śledzenie umów daje jeden widok tego, co jest do zrobienia we wszystkich umowach, a raportowanie sprawia, że pytanie „czy panujemy nad naszymi umowami powierzenia?” przestaje być nerwowym domysłem, a staje się liczbą, którą można pokazać zarządowi albo klientowi. Jeśli to Ty odpowiadasz za ten obszar, przypadek użycia dla compliance officera pokazuje, jak codzienna praca układa się w całość.

Kilka słów o zaufaniu, bo umowy powierzenia służą ochronie danych i byłoby dziwne zawieść je w imię zarządzania nimi. Contracko działa na serwerach w UE, Twoje umowy są szyfrowane, dostęp jest oparty na rolach, a my nigdy nie trenujemy AI na Twoich umowach. Szczegóły znajdziesz na stronie bezpieczeństwa.

Dwa sposoby na start

Nie musisz budować całego programu, żeby odczuć korzyść. Na start polecam dwa lekkie punkty wejścia.

Żeby zamienić klauzule jednej umowy powierzenia w plan przypomnień, narzędzie do przypomnień o umowie powierzenia odczytuje terminy przeglądów, okna podprocesorów, prawa audytu i zobowiązania związane z przekazywaniem danych, a potem proponuje, kiedy działać w każdej sprawie. To najszybszy sposób, żeby zobaczyć, o co jedna umowa prosi Cię od samego początku. Pod spodem ta sama moc planowania stoi za funkcją przypomnień o wygaśnięciu umów, która obejmuje każdą umowę, nie tylko powierzenia.

A jeśli musisz wyliczyć konkretny termin, termin wypowiedzenia, okno powiadomienia o naruszeniu albo datę usunięcia danych po zakończeniu umowy, kalkulator umowy powierzenia liczy daty za Ciebie. Nie musisz liczyć dni roboczych na palcach w dniu, w którym zegar zaczyna biec.

Kolejne kroki

Wybierz jedną umowę powierzenia, najlepiej z dostawcą, którego tłumaczenie przed organem nadzorczym byłoby krępujące, i znajdź w niej każdy termin. Umieść te terminy w miejscu, które ma właściciela i przypomnienie. To jedno ćwiczenie zwykle sprawia, że abstrakcyjny pomysł na „harmonogram przeglądów” staje się konkretem, który chce się wdrożyć w pozostałych umowach.

Gdy zechcesz zrobić z tego stały proces, właśnie do tego zbudowaliśmy Contracko, z bezpłatnym okresem próbnym, żebyś przetestował go na prawdziwych umowach, a nie na demie. Chętnie poznam historię tego, który z tych terminów dał Ci się we znaki, bo takie historie są zawsze konkretne i zawsze uczą. Napisz, jeśli masz pytania: na każdą wiadomość odpowiadam osobiście.