Administrator danych i podmiot przetwarzający: jaką rolę pełni firma SaaS zgodnie z GDPR?

Firma SaaS rzadko pełni tylko jedną rolę w zakresie przetwarzania danych osobowych. W odniesieniu do informacji, które klienci przesyłają do serwisu, może być podmiotem przetwarzającym (Data Processor). Jednocześnie firma występuje jako administrator danych (Data Controller) w odniesieniu do danych właścicieli kont, płatności, bezpieczeństwa oraz własnych działań marketingowych.

Prawidłowe określenie roli jest ważne nie tylko dla Privacy Policy i DPA. Od tej roli zależy, kto wybiera podstawy prawne przetwarzania, odpowiada na żądania użytkowników, angażuje podwykonawców i podejmuje decyzje w przypadku naruszenia ochrony danych.

Samo wskazanie roli w umowie nie wystarczy. Zgodnie z GDPR jest ona określana na podstawie faktycznych działań stron.

Kim jest Data Controller

Data Controller, czyli administrator danych, określa cele i zasadnicze sposoby przetwarzania danych osobowych. Mówiąc prościej, decyduje, dlaczego dane są potrzebne i w jaki sposób będą wykorzystywane.

Administrator samodzielnie określa:

• jakie kategorie danych zbierać;
• do jakich celów je wykorzystywać;
• jak długo je przechowywać;
• komu je przekazywać;
• na jakiej podstawie prawnej je przetwarzać;
• w jaki sposób użytkownicy będą mogli realizować swoje prawa.

Na przykład firma SaaS samodzielnie decyduje o zbieraniu imion i adresów e-mail właścicieli kont w celu rejestracji, wykorzystywaniu danych płatniczych do rozliczeń oraz analizowaniu historii logowań w celu ochrony serwisu. W odniesieniu do takich operacji to właśnie firma SaaS jest Data Controller.

Administrator nie musi mieć bezpośredniego dostępu do wszystkich informacji. Głównym kryterium pozostaje możliwość określania celów i zasadniczych elementów przetwarzania.

Kim jest Data Processor

Data Processor, czyli podmiot przetwarzający, przetwarza dane osobowe w imieniu administratora i zgodnie z jego udokumentowanymi instrukcjami.

Typowym przykładem jest sytuacja, w której klient biznesowy przesyła do systemu SaaS informacje o swoich pracownikach lub klientach. Klient określa, jakie dane umieścić w serwisie, w jakim celu je wykorzystywać i kiedy je usunąć. Firma SaaS zapewnia infrastrukturę techniczną i przetwarza dane na rzecz klienta, czyli działa jako podmiot przetwarzający. Co do zasady takie relacje powinny być uregulowane w Data Processing Agreement (umowie powierzenia przetwarzania danych osobowych). Taka umowa może mieć specyficzne wymagania w zależności od regionów docelowych, w szczególności Stanów Zjednoczonych i UK, dlatego jedna umowa dla wszystkich krajów świata może być niewystarczająca.

Dostawca może samodzielnie wybierać określone techniczne sposoby działania: oprogramowanie, architekturę przechowywania danych, tworzenie kopii zapasowych lub środki bezpieczeństwa. Nie musi to oznaczać, że staje się administratorem, jeżeli cele przetwarzania nadal określa klient.

Podmiot przetwarzający nie może jednak wykorzystywać otrzymanych danych do własnych celów. Jeżeli firma SaaS zaczyna samodzielnie analizować bazę klientów, wykorzystywać ją do prowadzenia reklam lub tworzyć na jej podstawie własne produkty, jej rola w odniesieniu do takiego przetwarzania może ulec zmianie.

Dlaczego firma SaaS zazwyczaj pełni obie role

Rola jest określana nie dla firmy jako całości, lecz dla każdej odrębnej operacji przetwarzania danych osobowych.

SaaS jako Data Processor

Firma zazwyczaj jest podmiotem przetwarzającym, gdy przechowuje i porządkuje dane przesłane przez klienta do przestrzeni roboczej, udostępnia je upoważnionym pracownikom, tworzy kopie zapasowe lub usuwa informacje zgodnie z instrukcją klienta.

Na przykład platforma CRM przetwarza informacje o klientach wprowadzone przez firmę korzystającą z systemu. Cele przetwarzania tych danych określa klient, natomiast CRM działa jako jego podmiot przetwarzający.

SaaS jako Data Controller

W odniesieniu do własnej działalności serwis podejmuje decyzje samodzielnie. Zazwyczaj dotyczy to rejestracji kont, zarządzania subskrypcjami, rozliczeń, zapobiegania oszustwom oraz wykonywania obowiązków prawnych.

Firma SaaS może również występować jako administrator podczas wysyłania własnych wiadomości marketingowych, analizowania ruchu na stronie internetowej oraz obsługi zgłoszeń kierowanych do działu wsparcia.

Oznacza to, że ten sam użytkownik może występować jednocześnie w kilku operacjach. Jego dane w przestrzeni roboczej są przetwarzane na zlecenie klienta, natomiast dane kontaktowe administratora konta — w celu realizacji umowy z samym dostawcą SaaS.

Czy SaaS może być współadministratorem

Współadministratorzy, czyli Joint Controllers, wspólnie określają cele i zasadnicze sposoby tego samego przetwarzania.

Taka rola nie powstaje przy każdej współpracy. Sam fakt realizowania wspólnego projektu, integracji lub wymiany informacji nie powoduje jeszcze, że strony stają się współadministratorami.

Współadministrowanie jest możliwe, jeżeli firma SaaS i klient wspólnie decydują, do czego dane będą wykorzystywane i w jaki sposób zostanie zorganizowane ich przetwarzanie. Ich decyzje mogą być wspólne lub wzajemnie się uzupełniać, ale obie strony muszą rzeczywiście wpływać na cele i sposoby przetwarzania informacji.

W takim przypadku należy określić zakresy odpowiedzialności w porozumieniu pomiędzy administratorami: kto przekazuje informacje użytkownikom, obsługuje żądania, zapewnia podstawę prawną i zgłasza naruszenia ochrony danych. Zasadnicze elementy podziału obowiązków powinny być dostępne dla osób, których dane dotyczą.

Jednocześnie obaj administratorzy pozostają odpowiedzialni za przetwarzanie danych osobowych. W przypadku kontroli organ nadzorczy może uwzględnić podział zakresów odpowiedzialności między administratorami i nałożyć mniejszą odpowiedzialność na administratora, do którego zakresu odpowiedzialności nie należało dane przetwarzanie, jednak istnienie porozumienia nie zwalnia całkowicie żadnej ze stron z obowiązków wynikających z GDPR.

Jak określić rolę firmy SaaS

Należy zacząć od mapy operacji przetwarzania, a nie od ogólnego sformułowania w umowie. Dla każdego procesu trzeba odpowiedzieć na kilka pytań.

Kto zdecydował o zbieraniu danych? Jeżeli inicjatorem jest firma SaaS, a przetwarzanie jest potrzebne do jej własnych celów, wskazuje to na rolę administratora.

Kto określa cel? Klient może wykorzystywać platformę do zarządzania pracownikami, pacjentami lub klientami. Jeżeli SaaS jedynie zapewnia działanie narzędzia, najprawdopodobniej jest podmiotem przetwarzającym.

Czy dostawca może samodzielnie wykorzystywać dane? Podmiot przetwarzający działa wyłącznie w granicach instrukcji. Własna analityka, reklama lub sprzedaż informacji wskazują na odrębną rolę administratora.

Kto określa okres przechowywania? Jeżeli decyzję podejmuje klient, a serwis realizuje jego ustawienia, jest to charakterystyczne dla relacji administrator–podmiot przetwarzający. Jeżeli okres przechowywania jest ustalany przez firmę SaaS na potrzeby własnych rozliczeń lub dzienników bezpieczeństwa, działa ona jako administrator.

Co stanie się po zakończeniu umowy? Klient powinien wiedzieć, czy dane można wyeksportować, kiedy zostaną usunięte oraz czy zachowane zostaną kopie zapasowe.

Tego samego procesu nie można prawidłowo opisać bez uwzględnienia produktu, jego ustawień oraz rzeczywistych uzgodnień między stronami.

Jakie obowiązki ma administrator

Data Controller odpowiada za zgodność przetwarzania z prawem i musi być w stanie wykazać zgodność z GDPR.

Określa podstawy prawne, przekazuje użytkownikom informacje, przestrzega okresów przechowywania oraz organizuje realizację praw osób, których dane dotyczą. Administrator wybiera również podmioty przetwarzające, które mogą zapewnić wystarczające gwarancje bezpieczeństwa.

Dla firmy SaaS działającej jako administrator oznacza to, że odpowiedzialności za własne operacje nie można w całości przenieść na klienta lub podwykonawcę. Na przykład firma samodzielnie odpowiada za dane dotyczące kont, które wykorzystuje do rozliczeń, bezpieczeństwa i marketingu.

Za co odpowiada podmiot przetwarzający

Data Processor ma obowiązek działać zgodnie z udokumentowanymi instrukcjami administratora oraz zapewniać poufność i bezpieczeństwo danych.

Do jego obowiązków może również należeć pomoc klientowi przy obsłudze żądań użytkowników, przeprowadzaniu DPIA i badaniu incydentów. Jeżeli doszło do naruszenia ochrony danych, podmiot przetwarzający powinien bez zbędnej zwłoki powiadomić administratora i przekazać dostępne informacje dotyczące sytuacji.

Po zakończeniu świadczenia usług dane są zwracane klientowi lub usuwane zgodnie z umową, chyba że ich dalsze przechowywanie jest wymagane przez prawo.

Jeżeli podmiot przetwarzający wykracza poza instrukcje i samodzielnie określa cele i sposoby przetwarzania, w odniesieniu do takich działań może zostać uznany za administratora.

Dlaczego firma SaaS potrzebuje DPA

Relacje pomiędzy administratorem a podmiotem przetwarzającym reguluje Data Processing Agreement. DPA może być odrębnym dokumentem lub częścią umowy głównej, ale musi zawierać obowiązkowe postanowienia wymagane przez GDPR.

W umowie określa się przedmiot i czas trwania przetwarzania, kategorie danych, grupy osób, których dane dotyczą, a także prawa i obowiązki klienta. Ponadto DPA reguluje:

• sposób przekazywania instrukcji;
• wymagania dotyczące poufności;
• techniczne i organizacyjne środki bezpieczeństwa;
• angażowanie dalszych podmiotów przetwarzających (subprocesorów);
• pomoc przy realizacji żądań osób, których dane dotyczą;
• powiadamianie o naruszeniach ochrony danych;
• przeprowadzanie audytów;
• zwrot i usuwanie danych.

DPA nie powinno jedynie powtarzać treści GDPR. Powinno wyjaśniać, w jaki sposób strony realizują wymagania w odniesieniu do konkretnego serwisu.

Kim są dalsze podmioty przetwarzające

Firma SaaS rzadko przechowuje i przetwarza wszystkie informacje samodzielnie. Może korzystać z hostingu w chmurze, usług poczty elektronicznej, wsparcia technicznego, narzędzi analitycznych oraz innych zewnętrznych rozwiązań.

Jeżeli taki podwykonawca uzyskuje dostęp do danych, które SaaS przetwarza na rzecz klienta, może zostać uznany za dalszy podmiot przetwarzający.

Jego zaangażowanie wymaga uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Firma SaaS powinna informować o zmianach na liście dalszych podmiotów przetwarzających i zapewnić klientowi możliwość zgłoszenia uzasadnionego sprzeciwu, jeżeli przewiduje to przyjęty model uzyskiwania zgody.

Na dalszy podmiot przetwarzający nakłada się obowiązki w zakresie ochrony danych porównywalne z obowiązkami głównego podmiotu przetwarzającego. Jednocześnie wobec klienta za jego działania nadal odpowiada dostawca SaaS.

Najczęstsze błędy firm SaaS

Wskazywanie jednej roli dla wszystkich danych. Sformułowanie „firma jest wyłącznie podmiotem przetwarzającym” może być sprzeczne z faktycznym sposobem przetwarzania danych dotyczących kont, płatności, bezpieczeństwa i marketingu.

Kierowanie się wyłącznie nazwą umowy. Strony nie mogą dowolnie wybrać swoich ról, jeżeli ich rzeczywiste działania wskazują na coś innego.

Wykorzystywanie danych klientów do własnych celów. Informacje otrzymane w celu świadczenia usługi SaaS nie powinny automatycznie stawać się źródłem danych do marketingu lub własnych analiz.

Brak rozróżnienia między podmiotami przetwarzającymi a dalszymi podmiotami przetwarzającymi. Jeżeli firma angażuje dostawców usług chmurowych i technicznych do pracy z danymi klientów, ich udział powinien zostać uwzględniony w DPA.

Kopiowanie uniwersalnego szablonu. Umowa powinna uwzględniać architekturę produktu, kategorie informacji, funkcje stron oraz rzeczywisty sposób usuwania danych.