Umowa o przetwarzaniu danych (verwerkersovereenkomst) zgodnie z RODO: holenderski przewodnik po praktykach

Prawie każda firma działająca w Holandii zleca na zewnątrz zadania związane z danymi osobowymi: płace, hosting, CRM, marketing, rekrutację i wsparcie. W przypadku gdy dostawca przetwarza dane osobowe na Państwa polecenie, art. 28 RODO wymaga pisemnej umowy, zwanej po holendersku „ verwerkersovereenkomst” . Niniejszy poradnik omawia, kiedy jest ona wymagana, co musi zawierać, jak podchodzi do niej holenderski organ nadzorczy oraz jak negocjowane są istotne klauzule.

Kiedy wymagana jest umowa o przetwarzaniu, a kiedy nie jest wymagana

Jest on wymagany tylko w jednej sytuacji: gdy jedna strona przetwarza dane osobowe w imieniu drugiej. Stroną decydującą o powodzie i, w istocie, sposobie przetwarzania danych jest administrator; stroną działającą zgodnie z jego instrukcjami jest podmiot przetwarzający. Obowiązek ten rozciąga się na kolejne ogniwa łańcucha, dlatego podmiot przetwarzający, który korzysta z usług podprocesora, musi zawrzeć z nim umowę równoważną. Nie jest on wymagany, gdy strony są niezależnymi administratorami, realizującymi własne cele, gdy są współadministratorami, co wymaga porozumienia zgodnie z art. 26 RODO, lub gdy dane osobowe nie są przetwarzane.

Podpisanie umowy z podmiotem, który w rzeczywistości jest niezależnym administratorem, nie jest nieszkodliwe: błędnie określa, kto ponosi odpowiedzialność, i stwarza iluzję instrukcji, których żadna ze stron nie może przestrzegać. Błąd lustrzany jest równie powszechny, gdy dostawca działający we własnym imieniu akceptuje warunki dotyczące wyłącznie instrukcji, których nie jest w stanie spełnić.

Administrator czy podmiot przetwarzający: jak właściwie ocenia się to rozróżnienie

Ocena ma charakter funkcjonalny, a nie formalny: to, co umowa określa jako strony, stanowi dowód, a nie odpowiedź, a różnica między administratorem a podmiotem przetwarzającym jest pierwszą rzeczą, którą organ nadzorczy sprawdza. Punktem odniesienia są Wytyczne EROD 07/2020 dotyczące administratora i podmiotu przetwarzającego, których ostateczna wersja została przyjęta 7 lipca 2021 r.

Cele i niezbędne środki

Administrator określa cele i niezbędne środki: jakie kategorie danych są przetwarzane, o kim, przez jaki czas i komu są ujawniane. Decyzje te są powiązane z legalnością i koniecznością i nie mogą być delegowane. Środki nieistotne , takie jak szczegóły wdrożenia, mogą zostać pozostawione dostawcy: jakie oprogramowanie jest przez niego wykorzystywane i jak projektuje swoje mechanizmy kontroli.

Organizacja może zatem być administratorem, mimo że nigdy nie ma dostępu do danych. W wyroku z dnia 5 grudnia 2023 r. w sprawie C-683/21 (Nacionalinis visuomenės sveikatos centras) Trybunał Sprawiedliwości orzekł, że podmiot ustalający cele i sposoby przetwarzania realizowanego za pośrednictwem zleconej przez siebie aplikacji jest administratorem, a współadministrowanie może wynikać ze zbieżnych decyzji bez formalnego porozumienia. Z kolei podmiot przetwarzający wykraczający poza polecenia dotyczące przetwarzania na własne potrzeby jest traktowany na mocy art. 28 RODO jako administrator tego przetwarzania.

Sytuacje, które utrudniają firmom pracę

• Biura płac. W przypadku gdy biuro wprowadza dostarczone przez Ciebie dane i wystawia paski płac, jest ono podmiotem przetwarzającym. W przypadku gdy zlecenie obejmuje niezależne doradztwo i kontrole zgodności według własnej oceny firmy, wytyczne holenderskich organizacji zawodowych z dnia 1 października 2019 r. dla księgowych, doradców podatkowych i specjalistów ds. płac traktują je jako administratora danych.
• Księgowi i doradcy podatkowi. Audyt ustawowy, kompilacja i prace związane ze składaniem zeznań podatkowych są wykonywane w ramach własnych obowiązków zawodowych i ustawowych firmy, z zachowaniem niezależnego osądu. Wskazuje to na status administratora danych, a umowa o przetwarzaniu danych jest wówczas niewłaściwym dokumentem.
• Agencje marketingowe. Agencja prowadząca kampanię na Twojej liście klientów to podmiot przetwarzający. To podmiot, który buduje lub wzbogaca grono odbiorców, lub korzysta z technologii reklamowych, w których platforma ustala parametry, ma własne cele, a współadministrowanie z platformą jest realną możliwością.
• Dostawcy IT, hosting i SaaS. Zazwyczaj są to podmioty przetwarzające, ale należy sprawdzić klauzulę zastrzegającą prawo do wykorzystywania danych „zagregowanych” lub „użytkowania” w celu poprawy jakości usług, benchmarkingu lub szkolenia modeli. W zakresie, w jakim dotyczy to danych osobowych, jest to cel własny dostawcy i jest on jego administratorem.
• Rekruterzy. Agencja utrzymująca własną bazę danych kandydatów jest jej administratorem. Przetwarzanie danych kandydatów imiennych na Twoje stanowisko zazwyczaj odbywa się za pośrednictwem dwóch administratorów z ograniczonym przetwarzaniem na podstawie instrukcji pomiędzy nimi.

Współkontrola i wymagane w jej miejsce ustalenia

W przypadku gdy dwie strony wspólnie ustalają cele i środki, czy to w drodze wspólnej decyzji, czy w drodze decyzji, które są zbieżne i nierozerwalnie ze sobą powiązane, art. 26 RODO wymaga porozumienia, a nie umowy o przetwarzaniu. Musi on w sposób przejrzysty określać, kto odpowiada osobom, których dane dotyczą, oraz kto zajmuje się informacją w zakresie przejrzystości, bezpieczeństwem, zgłaszaniem naruszeń, oceną skutków i transferem. Jego istota musi być dostępna osobom, których dane dotyczą, które mogą dochodzić swoich praw wobec każdej ze stron, niezależnie od sposobu podziału majątku. Nie wiąże on również Urzędu Ochrony Danych Osobowych ani sądu.

Obowiązkowa treść zgodnie z art. 28 RODO

Umowa musi być sporządzona na piśmie, w tym w formie elektronicznej, i wiązać podmiot przetwarzający. Art. 28 RODO określa stałą listę, a EROD wyraźnie zaznacza, że ​​samo przywołanie treści rozporządzenia nie wystarczy.

Podprocesorzy i system autoryzacji

Podmiot przetwarzający nie może korzystać z usług podprocesora bez zgody administratora. Szczegółowe, uprzednie upoważnienie zatwierdza każdego z nich indywidualnie, co sprawdza się w przypadku małej, stabilnej sieci, ale nie w przypadku dużej usługi w chmurze. Ogólne pisemne upoważnienie pozwala podmiotowi przetwarzającemu na dodawanie lub zastępowanie podprocesorów, pod warunkiem poinformowania administratora o planowanych zmianach i umożliwienia mu wyrażenia sprzeciwu.

Prawie każda standardowa umowa z dostawcą oferuje ogólne upoważnienie, listę i okres wypowiedzenia, więc negocjacje dotyczą wartości tego wypowiedzenia: ścieżki, która nie wymaga monitorowania strony internetowej, okresu wystarczająco długiego na podjęcie działań oraz określonych konsekwencji w przypadku sprzeciwu, realistycznie rzecz biorąc, rozwiązania umowy bez kary. W każdym przypadku podmiot przetwarzający musi nałożyć te same obowiązki i pozostaje odpowiedzialny za podwykonawcę. W opinii 22/2024 z 9 października 2024 r. EROD potwierdziła, że ​​odpowiedzialność obejmuje cały łańcuch: administrator powinien być w stanie zidentyfikować każdego podwykonawcę i upewnić się, że zabezpieczenia obowiązują w całym łańcuchu.

Konkretyzacja obowiązku bezpieczeństwa

„Podmiot przetwarzający wdroży odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO” to banał: nic nie mówi i niczego nie dowodzi. Użyteczny załącznik określa szyfrowanie w ruchu i w spoczynku oraz sposób zarządzania kluczami; kontrolę dostępu, w tym procesy „dołączający-przenoszący-odchodzący” oraz uwierzytelnianie wieloskładnikowe; co jest rejestrowane i jak długo; częstotliwość tworzenia kopii zapasowych i testowane przywracanie; ramy czasowe wdrażania poprawek i testów penetracyjnych; certyfikaty, na których się opiera, wraz z ich zakresem; oraz miejsce przechowywania i dostępu do danych , w tym personel pomocniczy.

Ma to istotne znaczenie dowodowe. W wyroku z 14 grudnia 2023 r. w sprawie C-340/21 (Natsionalna agentia za prihodite) Trybunał Sprawiedliwości orzekł, że incydent bezpieczeństwa sam w sobie nie dowodzi, że środki były niewystarczające, lecz że na administratorze spoczywa ciężar wykazania, że ​​były one właściwe. Dowodem jest datowany załącznik, a nie odsyłacz.

Pomoc w zakresie praw osób, których dane dotyczą, i powiadamiania o naruszeniach

Oba obowiązki są ograniczone terminami, a terminy należą do administratora. Jeśli chodzi o prawa osób, których dane dotyczą, administrator musi odpowiedzieć w ciągu jednego miesiąca, więc „rozsądna pomoc” bez określonego terminu pozostawia Cię z opóźnieniem. Rozwiązanie: każde zapytanie otrzymane przez dostawcę jest przekazywane w ciągu określonej liczby dni roboczych i nigdy nie otrzymuje odpowiedzi; kompletny wyciąg jest sporządzany w użytecznym formacie w ciągu pięciu do dziesięciu dni roboczych; i jest to wliczone w opłatę, a nie powoduje wystawienia faktury.

W przypadku naruszeń administrator musi powiadomić Urząd Ochrony Danych Osobowych bez zbędnej zwłoki, a w miarę możliwości w ciągu 72 godzin od momentu powzięcia o nich informacji, zgodnie z art. 33 RODO. Należy sprecyzować obowiązek podmiotu przetwarzającego: powiadomienie w ciągu 24 godzin wskazanej osoby kontaktowej, poza godzinami pracy, z określoną minimalną treścią, nawet w przypadku niekompletnych faktów; współpraca z ekspertami śledczymi; oraz zakaz powiadamiania organu lub osób, których dane dotyczą, bez zgody administratora. Organizacje objęte zakresem ochrony danych zgłaszają również incydenty do swojego zespołu CSIRT zgodnie z holenderską ustawą o cyberbezpieczeństwie (Cyberbeveiligingswet), która wdraża dyrektywę NIS2 i obowiązuje od 15 sierpnia 2026 r.

Prawa audytorskie i sposób ich negocjowania

Art. 28 RODO nakłada na podmiot przetwarzający obowiązek udostępniania informacji niezbędnych do wykazania zgodności oraz umożliwienia i współudziału w audytach, w tym inspekcjach, przeprowadzanych przez administratora lub wyznaczonego przez niego audytora. Klauzula oferująca jedynie „nasz najnowszy certyfikat” jest niewystarczająca. Kompromis, który osiąga większość holenderskich negocjacji: roczne sprawozdanie z zapewnienia zgodności z prawem wraz z dokumentem dotyczącym zakresu; udokumentowany audyt raz w roku, a także kolejny audyt po naruszeniu danych lub na żądanie organu nadzorczego; trzydziestodniowe powiadomienie; zakres ograniczony do świadczonych usług; audytor, który nie jest konkurentem; oraz koszty ponoszone przez Państwa, chyba że stwierdzona zostanie istotna niezgodność.

Powrót lub usunięcie na końcu

Wybór należy do administratora, a umowa powinna to określać, a nie zastrzegać dla dostawcy. Należy określić format eksportu, termin, zazwyczaj trzydzieści dni od rozwiązania umowy, pisemne potwierdzenie usunięcia oraz sposób obsługi kopii zapasowych, co w praktyce oznacza, że ​​dane pozostają w udokumentowanym cyklu, chronione i niewykorzystane, aż do ich nadpisania. Należy z góry uzgodnić pomoc w rozwiązaniu umowy i stawki oraz wykluczyć wszelkie prawa do wstrzymania danych z powodu spornych opłat.

Odpowiedzialność, odszkodowania i własny system odpowiedzialności w ramach RODO

Art. 82 RODO przyznaje osobie, której dane dotyczą, prawo do odszkodowania za szkodę majątkową i niemajątkową. Administrator ponosi odpowiedzialność za szkodę wyrządzoną przetwarzaniem naruszającym przepisy; podmiot przetwarzający ponosi odpowiedzialność, jeżeli nie dopełnił obowiązków nałożonych na podmioty przetwarzające lub działał poza lub wbrew instrukcjom prawnym. Jeżeli oba podmioty uczestniczą w tym samym przetwarzaniu, każdy z nich może ponieść odpowiedzialność za całą szkodę, z możliwością późniejszego dochodzenia roszczeń. Tego ryzyka nie można znieść w drodze umowy; umowa określa podział wewnętrzny. Kary pieniężne są odrębne: naruszenia art. 28 RODO znajdują się w dolnej kategorii w art. 83 RODO.

• Standardowe warunki ograniczają odpowiedzialność do wielokrotności opłat i wykluczają „straty pośrednie i następcze”. Jeśli grzywny regulacyjne, koszty powiadomienia i badań kryminalistycznych oraz odszkodowania dla osób, których dane dotyczą, mieszczą się w tym wyłączeniu, odszkodowanie ma charakter dekoracyjny: należy je zaliczyć do odzyskiwalnych strat bezpośrednich.
• Ubiegaj się o wyłączenie lub podwyższenie limitu w przypadku naruszenia umowy o przetwarzaniu, naruszenia poufności oraz umyślnego lub nieumyślnego naruszenia.
• Nałożona na Ciebie grzywna nie może zostać przerzucona na Ciebie jako grzywna, ale może zostać odzyskana jako strata w ramach prawidłowo sporządzonego odszkodowania. Holenderskie pozwy zbiorowe w ramach systemu WAMCA sprawiają, że łączne roszczenia stanowią realne zagrożenie, co przemawia przeciwko absurdalnie niskiemu limitowi.

Przelewy międzynarodowe i klauzule standardowe

Jeżeli podmiot przetwarzający, jego podprocesorzy lub personel pomocniczy mogą uzyskać dostęp do danych spoza EOG, stosuje się rozdział V RODO oraz przepisy dotyczące międzynarodowego przekazywania danych, oprócz art. 28. Zdalny dostęp ma znaczenie, podobnie jak pomoc techniczna za granicą.

W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony na podstawie art. 45 RODO, zwykłym narzędziem są standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. na podstawie art. 46 RODO. Dwa punkty są regularnie pomijane. Moduły obejmujące przekazywanie danych od administratora do podmiotu przetwarzającego i od podmiotu przetwarzającego do podprocesora również spełniają wymogi art. 28 RODO, więc osobna umowa o przetwarzaniu nie jest potrzebna w tym przypadku, chociaż wiele umów łączy oba. A po wyroku Trybunału Sprawiedliwości z dnia 16 lipca 2020 r. w sprawie C-311/18 (Schrems II) podpisanie nie kończy sprawy: strony muszą ocenić, czy prawo i praktyka kraju docelowego uniemożliwiają importerowi przestrzeganie przepisów, i dodać środki uzupełniające, jeśli tak się dzieje. Udokumentuj tę ocenę; zalecenia EROD 01/2020, przyjęte 18 czerwca 2021 r., nadal wyznaczają podejście.

W przypadku Stanów Zjednoczonych decyzja Komisji z 10 lipca 2023 r. w sprawie adekwatności ram ochrony danych UE-USA pozostaje w mocy, ale jest pomocna tylko wtedy, gdy konkretny odbiorca aktywnie dokonuje autocertyfikacji dla odpowiednich kategorii danych, dlatego należy zweryfikować certyfikację. Przetrwała ona pierwsze zaskarżenie: Sąd oddalił skargę wyrokiem z 3 września 2025 r. w sprawie T-553/23 (Latombe przeciwko Komisji). Odwołanie zostało wniesione 31 października 2025 r. jako sprawa C-703/25 P, a Trybunał Sprawiedliwości nie zamknął sprawy do dnia publikacji tej strony w 2026 r.; decyzja w sprawie adekwatności nie została w międzyczasie zawieszona ani zmieniona. Nie pozwól, aby stała się pojedynczym punktem awarii: zachowaj klauzule i udokumentowaną ocenę jako rozwiązanie awaryjne, a oczekujące odwołanie traktuj jako powód do jego złożenia, a nie jako powód do oczekiwania. Decyzją z dnia 22 lipca 2024 r. Autoriteit Persoonsgegevens nałożył na Ubera karę w wysokości 290 mln euro za przekazywanie danych kierowców do Stanów Zjednoczonych bez odpowiedniego narzędzia do przekazywania danych po zaprzestaniu stosowania klauzul; Uber oświadczył, że zamierza wnieść sprzeciw, AP nie opublikowała żadnej decyzji w sprawie tego sprzeciwu, w związku z czym karę należy odczytywać jako oświadczenie stanowiska organu regulacyjnego, a nie jako ustalony precedens.

Jedna luka w zestawie narzędzi jest nadal otwarta. Komisja poinformowała, że ​​przygotowuje kolejny zestaw standardowych klauzul umownych dla importerów spoza UE, których przetwarzanie podlega bezpośrednio RODO na mocy art. 3 – sytuacja, w której klauzule z 2021 r. nie są do końca satysfakcjonujące. Do dnia publikacji tej strony, w 2026 r., klauzule te nie zostały jeszcze przyjęte, dlatego w takiej konfiguracji ocena i zabezpieczenia muszą zostać wpisane do umowy ręcznie.

Czy klauzule Komisji dotyczące administratora i podmiotu przetwarzającego są obowiązkowe?

Nie. Decyzja wykonawcza Komisji (UE) 2021/915 z 4 czerwca 2021 r. ustanawia standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi do stosowania w EOG, ale ich stosowanie jest opcjonalne: strony mogą negocjować własną umowę, pod warunkiem że zawiera ona wszystkie wymogi art. 28 RODO. Klauzule mogą być zawarte w szerszej umowie z dodatkowymi, niesprzecznymi postanowieniami, ale same w sobie nie mogą być modyfikowane, dlatego dostosowanie odbywa się w załącznikach. Umowy na zamówienie i modele sektorowe pozostają holenderską normą, co jest dopuszczalne, pod warunkiem że zawierają one istotę umowy.

Wykonanie przez Autoriteit Persoonsgegevens

Agencja AP zbadała tę sprawę bezpośrednio. Przeanalizowała umowy o przetwarzaniu danych stosowane przez 31 organizacji sektora prywatnego z branży handlowej, opieki zdrowotnej, mediów, rozrywki i energetyki, publikując swoje ustalenia w 2020 roku pod nagłówkiem, że „ta” umowa o przetwarzaniu danych nie istnieje. Agencja stwierdziła, że ​​umowy zawierały niewiele więcej niż cytowanie przepisów, zapisy dotyczące bezpieczeństwa, w których zaznaczano, że polityka istnieje, ale nie precyzowano jej wymogów, oraz umowy sporządzone na podstawie starej holenderskiej ustawy o ochronie danych.

W toku dochodzenia należy się spodziewać, że AP przeanalizuje zapisy dotyczące przetwarzania, umowy z dostawcami w nich wymienionymi, następnie aneks bezpieczeństwa, listę podwykonawców i dokumentację transferową, a następnie dowody na to, że coś z nimi zrobiłeś: nieprzeczytany raport z kontroli nie jest przeoczeniem. Wina również ma znaczenie, ponieważ w sprawie C-683/21 Trybunał Sprawiedliwości potwierdził, że grzywna jest nakładana na podstawie umyślnego lub nieumyślnego naruszenia. Strategiczny obszar zainteresowania AP na lata 2026–2028 obejmuje masowy nadzór, sztuczną inteligencję i odporność cyfrową, przy czym ten ostatni aspekt wyraźnie obejmuje bezpieczeństwo łańcucha dostaw.

Lista kontrolna do przeglądu standardowej umowy przetwarzania dostawcy

• Czy role są poprawne? Jeśli dostawca jest niezależnym administratorem, w ogóle nie podpisuj umowy o przetwarzaniu.
• Czy opis przetwarzania jest kompletny, czy też stanowi pusty załącznik i czy cokolwiek pozwala na przetwarzanie w celu udoskonalenia procesu przez dostawcę, przeprowadzenia analiz lub szkolenia modelu?
• Czy środki bezpieczeństwa są załączone i szczegółowe, z nazwanymi certyfikatami i ich zakresem?
• Czy lista podmiotów przetwarzających jest dostępna, czy powiadomienie zostało do Ciebie wysłane, czy sprzeciw ma jakieś konsekwencje i czy podmioty przetwarzające są ze sobą powiązane?
• Czy powiadomienie o naruszeniu następuje w ustalonym, krótkim terminie i czy dostawca nie ma prawa powiadomić o tym fakcie właściwego organu?
• Czy terminy składania wniosków przez osoby, których dane dotyczą, są stałe i mieszczą się w ramach opłaty, a także czy istnieje rzeczywiste prawo do audytu, a nie tylko do otrzymania certyfikatu?
• Czy usunięcie lub zwrot zależy od Twojego wyboru, formatu, terminu i sposobu przetwarzania kopii zapasowej?
• Gdzie są przechowywane i dostępne dane? Czy na każdym etapie dostępne jest odpowiednie narzędzie do przesyłania danych?
• Czy limit i wyłączenie strat pośrednich pozostawiają odszkodowanie z rzeczywistą treścią? Czy istnieje wewnętrzny właściciel i data przeglądu?

Law & More sporządza, weryfikuje i negocjuje umowy przetwarzania dla przedsiębiorstw holenderskich i międzynarodowych Eindhoven oraz Amsterdamoraz doradza w kwestiach ról administratora i podmiotu przetwarzającego, przekazywania danych poza EOG oraz dochodzeń prowadzonych przez Autoriteit Persoonsgegevens.