Umowa powierzenia przetwarzania danych w biurze rachunkowym

Prowadzę jednoosobową działalność gospodarczą w zakresie rozliczania podatkowego małych firm. Mam kilku klientów, dla których prowadzę m.in. PKPiR, ewidencje ryczałtu, rejestry VAT. Działalność prowadzę w mieszkaniu. Klienci nie zatrudniają pracowników, zdarza się jednak, że zawrą umowę o dzieło. Czy w związku z przepisami RODO powinnam ze wszystkimi klientami podpisać oddzielną umowę o przetwarzanie danych osobowych?

TAK. Czytelniczka prowadząc opisaną działalność spełnia definicje podmiotu przetwarzającego. Takim podmiotem jest w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady 216/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (zwanego RODO) osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Z taką sytuacją mamy właśnie do czynienia w przypadku biur rachunkowych, które świadczą swoje usługi na rzecz pracodawców lub przedsiębiorców. To, że klienci Czytelniczki nie zatrudniają pracowników powoduje, że przetwarzanych danych osobowych jest na pewno mniej. Nie zmienia to jednak faktu, że Czytelniczka przetwarza inne dane osobowe w imieniu swoich klientów. Chodzi tu m.in. o dane osobowe zawarte np. w rejestrach VAT (faktury zawierające dane osobowe przedsiębiorców będących osobami fizycznymi), w dowodach zakupów wykorzystywanych np. przy prowadzeniu ewidencji ryczałtu itp. Czytelniczka na pewno przetwarza też dane osobowe przy rozliczeniach rocznych np. gdy jej klienci rozliczają się wspólnie ze swoimi małżonkami. RODO ma zastosowanie do danych osobowych wszystkich osób fizycznych.

Przetwarzanie przez podmiot przetwarzający musi odbywać się na podstawie umowy, która określa: przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.

Umowa powinna stanowić w szczególności, że podmiot przetwarzający:

przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora,
zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy,
podejmuje wszelkie środki wymagane na mocy art. 32 RODO (tj. wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić właściwy stopień bezpieczeństwa przetwarzanym danym),
przestrzega warunków korzystania z usług innego podmiotu przetwarzającego,
pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w RODO,
uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO (m.in. zgłasza do PUODO naruszenia ochrony danych osobowych),
po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych,
udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia nałożonych na niego obowiązków oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.