Powierzenie niszczenia dokumentów a RODO – umowa krok po kroku

Zlecenie niszczenia dokumentów firmie zewnętrznej to powierzenie przetwarzania danych osobowych – art. 4 pkt 2 RODO wprost wymienia „usuwanie lub niszczenie” jako operację przetwarzania. Trzeba więc zawrzeć umowę powierzenia w formie pisemnej lub elektronicznej (art. 28 ust. 9 RODO), a przed jej podpisaniem sprawdzić, czy wykonawca daje wystarczające gwarancje wdrożenia odpowiednich środków (art. 28 ust. 1). Samo zamówienie mailem nie wystarcza – UODO nakładał już kary za brak umowy w wymaganej formie.

Dlaczego niszczenie dokumentów to przetwarzanie danych?

Bo tak stanowi definicja. Art. 4 pkt 2 RODO wymienia wśród operacji przetwarzania „usuwanie lub niszczenie”. Firma, która zabiera dokumenty i je rozdrabnia, robi to w imieniu administratora, czyli jest podmiotem przetwarzającym.

Ryzyko nie kończy się na samym rozdrobnieniu. Największe zagrożenie to droga między biurem a niszczarką: załadunek, transport, przeładunek, magazynowanie przed przerobem. Dokładnie na tym etapie dochodzi do zagubień i kradzieży, za które odpowiada administrator, czyli Twoja firma.

UODO wypowiedział się w analogicznej sprawie – przekazania dokumentacji papierowej firmie zajmującej się odkażaniem – uznając, że wymaga to umowy powierzenia, właśnie ze względu na transport i utratę kontroli nad dokumentami.

Co musi zawierać umowa powierzenia?

Art. 28 ust. 3 RODO wymaga, żeby umowa określała sześć rzeczy:

• przedmiot przetwarzania (niszczenie dokumentacji papierowej i nośników),
• czas trwania przetwarzania,
• charakter i cel przetwarzania,
• rodzaj danych osobowych (w tym, czy są wśród nich dane szczególnych kategorii),
• kategorie osób, których dane dotyczą (pracownicy, klienci, pacjenci),
• obowiązki i prawa administratora.

Oraz żeby stanowiła, że podmiot przetwarzający:

Do tego procesor musi niezwłocznie poinformować administratora, jeżeli uzna, że wydane polecenie narusza przepisy o ochronie danych.

Co sprawdzić u firmy niszczącej przed podpisaniem umowy?

Art. 28 ust. 1 RODO nakazuje korzystać wyłącznie z usług podmiotów, które zapewniają wystarczające gwarancje. UODO karał już administratora nie za wyciek, tylko za to, że nie przeprowadził takiej oceny i nie miał na nią żadnej dokumentacji. Ocena musi więc zostawić ślad na papierze.

• Opis środków technicznych i organizacyjnych – jak wygląda transport, czy pojemniki są plombowane, czy pojazd ma monitoring.
• Czy dokumenty jadą bezpośrednio do zniszczenia, czy leżą po drodze w magazynie.
• Upoważnienia i zobowiązania do poufności dla pracowników mających kontakt z dokumentami.
• Lista podwykonawców – kto przewozi, kto przerabia ścinkę.
• Zgoda na audyt lub inspekcję i realna gotowość, żeby wpuścić klienta na zakład.
• Procedura zgłaszania naruszeń – kto, kiedy i jak informuje administratora.
• Polisa OC i klasa niszczenia stosowana dla danego rodzaju dokumentów.
• Protokół zniszczenia wystawiany do każdego zlecenia.

Co z transportem i podwykonawcami?

Firma niszcząca nie może skorzystać z podwykonawcy bez uprzedniej zgody administratora – szczegółowej albo ogólnej (art. 28 ust. 2). Przy zgodzie ogólnej musi informować o każdej zmianie na liście podwykonawców i dać administratorowi możliwość sprzeciwu.

Na podwykonawcę trzeba nałożyć te same obowiązki, co w umowie głównej (art. 28 ust. 4). A jeśli podwykonawca zawiedzie, pełną odpowiedzialność wobec administratora ponosi firma, której zlecono usługę.

W praktyce oznacza to jedno pytanie do wykonawcy: kto fizycznie przewozi dokumenty. Jeżeli firma kurierska – musi być objęta zgodą i umową. U nas dokumenty odbierają i przewożą nasi pracownicy, bez pośredników.

Kto prowadzi rejestr czynności, a kto rejestr kategorii czynności?

Administrator – czyli Twoja firma – prowadzi rejestr czynności przetwarzania z art. 30 ust. 1 i powinien wskazać w nim firmę niszczącą jako odbiorcę danych. Brak ujawnienia odbiorców był jednym z zarzutów w sprawie zakończonej karą 40 000 zł.

Firma niszcząca prowadzi rejestr kategorii czynności przetwarzania z art. 30 ust. 2. Wyłączenie dla podmiotów zatrudniających mniej niż 250 osób tu nie działa, bo przetwarzanie nie jest sporadyczne, a często obejmuje dane szczególnych kategorii.

Jakie kary nakładał UODO?

Zwróć uwagę na sprawę Cyfrowego Polsatu. Firma miała umowy i procedury. Kara spadła za to, że nikt nie sprawdzał, czy przewoźnik faktycznie ich przestrzega. Podpisanie umowy powierzenia to początek obowiązku, nie jego koniec.

Czy certyfikat zniszczenia załatwia sprawę?

Nie. Certyfikat albo protokół zniszczenia to dowód wykonania jednego z obowiązków – tego z art. 28 ust. 3 lit. g, czyli usunięcia danych po zakończeniu usługi. Nie zastępuje ani umowy powierzenia, ani oceny wykonawcy, ani wpisu do rejestru czynności.

Sam certyfikat nie ma zresztą odrębnej podstawy ustawowej dla zwykłych dokumentów firmowych. Jego wartość bierze się z zasady rozliczalności z art. 5 ust. 2 RODO: administrator musi być w stanie wykazać, że przestrzega przepisów. Bez papieru nie wykaże niczego.

Osobno przepisy sektorowe wymagają udokumentowanego zniszczenia: art. 94⁷ § 1 Kodeksu pracy dla dokumentacji pracowniczej, art. 29 ust. 2 ustawy o prawach pacjenta dla dokumentacji medycznej, a w jednostkach publicznych – procedura brakowania.

Najczęstsze pytania

Czy przy jednorazowym zleceniu niszczenia też potrzebna jest umowa powierzenia?

Tak. RODO nie uzależnia obowiązku od częstotliwości ani wielkości zlecenia. Jeżeli dokumenty z danymi osobowymi opuszczają siedzibę administratora i trafiają do firmy zewnętrznej, dochodzi do powierzenia przetwarzania i umowa jest konieczna – nawet przy jednym kursie.

Czy certyfikat zniszczenia wystarczy zamiast umowy powierzenia?

Nie. Certyfikat potwierdza tylko, że dokumenty zostały zniszczone. Nie zastępuje umowy powierzenia z art. 28 RODO, nie dokumentuje weryfikacji wykonawcy i nie zwalnia z obowiązku wskazania odbiorcy w rejestrze czynności przetwarzania.

Co, jeśli firma niszcząca zleca transport kurierowi?

Kurier staje się podwykonawcą i wymaga uprzedniej zgody administratora – szczegółowej albo ogólnej. Trzeba na niego nałożyć te same obowiązki, co na firmę główną. Za jego błędy pełną odpowiedzialność wobec administratora ponosi firma, której zlecono usługę.

Jaka kara grozi za brak umowy powierzenia?

Dla podmiotów prywatnych maksymalny wymiar to 10 mln euro albo 2% rocznego obrotu światowego. W praktyce UODO nakładał kary od kilku tysięcy do ponad miliona złotych. Znane decyzje to 2 500 zł za brak umowy w formie pisemnej, 40 000 zł za brak umów z trzema podmiotami i 100 000 zł za umowę pozbawioną wymaganych elementów.

Czy niszczenie w naszej siedzibie, na miejscu, też wymaga umowy?

Część komentatorów uważa, że niszczenie pod nadzorem administratora, bez wynoszenia dokumentów, nie jest powierzeniem. To jednak stanowisko doktryny, nie UODO. Bezpieczniejsze jest podpisanie umowy także w tym wariancie – kosztuje jedną kartkę, a usuwa spór.

Kto prowadzi rejestr kategorii czynności przetwarzania?

Firma niszcząca, jako podmiot przetwarzający, na podstawie art. 30 ust. 2 RODO. Administrator prowadzi własny rejestr czynności z art. 30 ust. 1 i wskazuje w nim firmę niszczącą jako odbiorcę danych.

Czytaj dalej: Cennik niszczenia dokumentów · Protokół zniszczenia dokumentów · Niszczenie dokumentów dla kancelarii