Outsourcing transgraniczny a RODO

Outsourcing procesu może wyglądać lokalnie, choć dane podróżują znacznie dalej. Klient przekazuje plik do polskiego dostawcy, ale system działa w chmurze globalnego operatora, kopie zapasowe są replikowane między regionami, a nocne wsparcie techniczne realizuje zespół spoza Europejskiego Obszaru Gospodarczego. W umowie widnieje jeden dostawca, natomiast rzeczywisty przepływ obejmuje kilka państw i podmiotów.

Rozdział V RODO wymaga, aby ochrona danych „podążała” za informacją przekazywaną do państwa trzeciego lub organizacji międzynarodowej. Nie wystarczy zatem sprawdzić adresu siedziby kontrahenta. Trzeba wiedzieć, gdzie dane są przechowywane, skąd można uzyskać do nich dostęp, kto świadczy wsparcie i gdzie trafiają kopie, eksporty oraz logi.

Najpierw narysuj rzeczywistą mapę danych

Mapa powinna obejmować cały cykl procesu: przyjęcie pliku, walidację, produkcję, raport, reklamację, archiwum i usunięcie. Dla korespondencji firmowej mogą to być baza adresowa, dokument źródłowy, obraz wydruku, lista produkcyjna, potwierdzenie nadania, skan zwrotu i raport dla klienta. Każdy z tych elementów może mieć inną lokalizację i okres przechowywania.

Pytanie	Co trzeba ustalić	Dowód
Gdzie?	produkcja, chmura, backup, archiwum, środowisko testowe	lista regionów i lokalizacji
Kto?	dostawca, podwykonawca, administrator systemu, wsparcie	aktualny wykaz odbiorców
Jak?	przesłanie, replikacja, zdalny dostęp, eksport, podgląd	diagram przepływu i uprawnień
Na jakiej podstawie?	EOG, decyzja Komisji, SCC lub inny instrument	umowa i dokumentacja transferu
Jak długo?	produkcja, reklamacje, logi i kopie	macierz retencji

EDPB wskazuje mapowanie transferów jako pierwszy krok oceny. Dostęp z państwa trzeciego do danych przechowywanych w Europie również może wymagać analizy transferowej. Dlatego odpowiedź „serwery są w UE” nie zamyka tematu.

EOG, państwo adekwatne i państwo trzecie to trzy różne sytuacje

Przetwarzanie w EOG. Rozdział V RODO nie tworzy dodatkowej podstawy transferu, ale nadal obowiązują m.in. art. 28, bezpieczeństwo, minimalizacja i kontrola podwykonawców.
Państwo objęte decyzją Komisji Europejskiej. Dane mogą płynąć bez dodatkowego instrumentu z art. 46, lecz trzeba nadal spełnić pozostałe obowiązki RODO i potwierdzić zakres decyzji.
Inne państwo trzecie. Najczęściej potrzebny jest instrument z art. 46, np. standardowe klauzule umowne, oraz ocena, czy w praktyce zapewnia on zasadniczo równoważny poziom ochrony.

Wyjątki z art. 49 nie powinny być domyślnym rozwiązaniem dla regularnego outsourcingu. Są przeznaczone dla szczególnych sytuacji i wymagają ścisłej interpretacji.

SCC to początek kontroli, a nie automatyczna przepustka

Standardowe klauzule umowne Komisji Europejskiej z 2021 r. mają moduły odpowiadające różnym relacjom, m.in. administrator-administrator i administrator-podmiot przetwarzający. Trzeba wybrać właściwy moduł, uzupełnić załączniki konkretnym opisem danych, celu, odbiorców i zabezpieczeń oraz sprawdzić dalszych podwykonawców.

Podpisanie pustego wzoru nie kończy pracy. Ocena skutków transferu, często nazywana TIA, powinna zestawić prawo i praktykę państwa docelowego z charakterem danych, sposobem dostępu i realnymi zabezpieczeniami. Jeśli instrument nie wystarcza, potrzebne są środki dodatkowe. Gdy nie można osiągnąć wymaganego poziomu ochrony, transferu nie należy rozpoczynać albo trzeba go zawiesić.

Środki dodatkowe muszą odpowiadać rzeczywistemu ryzyku

Szyfrowanie. Sprawdź nie tylko algorytm, lecz także kto posiada klucze i czy odbiorca w państwie trzecim potrzebuje danych w postaci jawnej.
Pseudonimizacja. Oddziel identyfikatory od treści, jeżeli proces może działać bez pełnej tożsamości.
Minimalizacja. Nie przekazuj całego archiwum, gdy do zadania wystarczy konkretna partia albo ograniczony zestaw pól.
Kontrola dostępu. Dostęp czasowy, role, MFA, rejestrowanie sesji i szybkie cofanie uprawnień są ważniejsze niż ogólna deklaracja poufności.
Rozdzielenie procesu. Wrażliwą część można pozostawić w EOG, a za granicę przekazać etap niewymagający danych identyfikujących.

Środek techniczny jest skuteczny tylko wtedy, gdy pasuje do procesu. Szyfrowanie „w spoczynku” niewiele zmienia, jeśli zagraniczny zespół musi codziennie odczytywać pełną treść dokumentów.

Osiem zapisów, których potrzebuje umowa outsourcingowa

lista kategorii danych i operacji wykonywanych w każdym kraju;
zatwierdzone lokalizacje przetwarzania oraz procedura ich zmiany;
wykaz podwykonawców i termin na zgłoszenie sprzeciwu;
podstawa każdego transferu poza EOG i obowiązek jej aktualizacji;
środki techniczne, organizacyjne i zasady zarządzania kluczami;
tryb reagowania na żądania organów publicznych, o ile prawo pozwala na powiadomienie;
prawo do informacji, audytu i uzyskania dowodów działania kontroli;
zwrot, przeniesienie i usunięcie danych przy zmianie lub zakończeniu usługi.

Połącz te zapisy z kontrolą podwykonawców i macierzą retencji danych. Te dokumenty opisują różne ryzyka, ale muszą opierać się na tej samej mapie procesu.

Praktyczny przegląd w 30 dni

Zbierz umowy, wykaz podwykonawców i konfigurację regionów chmurowych.
Narysuj dane od wejścia do usunięcia, włącznie z backupami, testami i wsparciem.
Oznacz EOG, państwa adekwatne i pozostałe kraje.
Przypisz podstawę oraz właściciela biznesowego każdemu transferowi.
Uzupełnij SCC i wykonaj udokumentowaną ocenę TIA tam, gdzie jest potrzebna.
Dobierz środki dodatkowe i sprawdź je na rzeczywistym scenariuszu dostępu.
Usuń niepotrzebne trasy, konta, eksporty i repliki.
Ustal kwartalny przegląd oraz kontrolę przed każdą zmianą dostawcy lub regionu.

BackOffice Outsourcing realizuje procesy takie jak obsługa korespondencji, druk, kopertowanie, obieg dokumentów i wybrane procesy back office. Lokalizacja i model przetwarzania powinny być każdorazowo uzgodnione dla konkretnego zakresu. Porozmawiaj z nami o przepływie danych, wymaganych dowodach i bezpiecznym pilotażu.

Źródła

Najczęstsze pytania

Czy korzystanie z serwera w UE oznacza brak transferu poza EOG?

Nie zawsze. Trzeba sprawdzić zdalny dostęp, wsparcie, podwykonawców, repliki, kopie zapasowe i eksporty. Sama lokalizacja głównego serwera nie opisuje całego procesu.

Czy standardowe klauzule umowne wystarczą w każdej sytuacji?

Nie. SCC są instrumentem prawnym, ale wymagają poprawnego modułu, rzetelnych załączników, oceny warunków transferu i - gdy to potrzebne - skutecznych środków dodatkowych.

Czy transfer do państwa z decyzją adekwatności wymaga SCC?

Co do zasady nie w zakresie objętym ważną decyzją Komisji. Nadal trzeba jednak realizować pozostałe obowiązki RODO i sprawdzić, czy konkretny odbiorca oraz transfer mieszczą się w jej zakresie.

Jak często aktualizować mapę przepływów?

Przed uruchomieniem procesu, po zmianie systemu, regionu, podwykonawcy lub sposobu wsparcia oraz okresowo - praktycznie co najmniej raz w roku i częściej dla procesów wysokiego ryzyka.

Porozmawiaj z nami

← Wróć do wszystkich artykułów

Outsourcing transgraniczny a RODO: mapa danych, SCC i kontrola dostępu spoza EOG