Klauzule RODO czy podpisywać z każdym kontrahentem?

Aby dane osobowe były przetwarzane zgodne z prawem musi zostać spełniony przynajmniej jeden z poniższych warunków:

1. osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych;
2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

W omawianej sytuacji zastosowanie znajdzie pkt 2. Większość przetwarzanych przez Państwa danych będzie niezbędne do zrealizowania umowy. W związku z tym, pobieranie od kontrahentów zgód na przetwarzanie ich danych osobowych, gdy to przetwarzanie jest niezbędne do wykonania zawartej przez nich umowy bądź do podjęcia działań przed zawarciem takiej umowy, nie będzie konieczne.

Jednakże, jeżeli zbieracie Państwo dane klientów będących osobami fizycznymi w celach przekraczających zakres umowy (np. aby w późniejszym czasie skierować do nich ofertę handlową) powinniście Państwo dysponować ich zgodą oraz spełnić obowiązek informacyjny poprzez poinformowanie ich o:

• tym kto jest administratorem tych danych,

• danych kontaktowych do Inspektora Ochrony Danych (IOD),

• celach i podstawie przetwarzania,

• odbiorcach danych osobowych,

• okresie przez który dane będą przechowywane;

• prawie do sprostowania, usunięcia, cofnięcia zgody lub ograniczenia przetwarzania danych.

Powyższe najwygodniej będzie osiągnąć wprowadzając klauzule z takimi zapisami np. jako załącznik do umowy podpisywanej przez kontrahenta.

Inaczej będzie wyglądać sytuacja, gdy firma będzie przekazywać dane osobowe swoich pracowników do innego przedsiębiorcy. Jeżeli jest to stała współpraca i przekazywane przez pracodawcę dane osobowe pracowników są następnie przez kontrahenta przetwarzane (np. zewnętrzna kadrowość) to konieczne będzie zawarcie umowy o powierzeniu przetwarzania danych osobowych. W treści takiej umowy, oprócz wskazania jakie dane osobowe będą przekazywane, należy określić zobowiązania podmiotu przetwarzającego do:

a) przetwarzania danych wyłącznie na udokumentowane polecenie administratora,

b) zachowania tajemnicy,

c) podejmowania środków zabezpieczenia danych wymaganych przez RODO,

d) usunięcia danych lub do przekazania (zwrotu) danych administratorowi danych po zakończeniu przetwarzania, itd.

e) udostępnienia administratorowi wszelkich informacji niezbędnych do wykazania spełnienia jego obowiązków oraz do umożliwiania administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów.

Mając na uwadze fakt, że podczas wykonywania usług spedycyjnych może pojawić się wiele podmiotów, z którymi będą łączyć spedytora różne umowy i nie zawsze będzie możliwe zawarcie umowy powierzenia przetwarzania danych - należy podjąć kroki w celu zabezpieczenia interesów spedytora.

Powyżej wskazane zostały podstawowe czynności jakie należy podjąć aby działać zgodnie z przepisami RODO. Jednak, jak to było podkreślone na początku, należy pamiętać o tym, że tylko kompleksowa wiedza o danym przedsiębiorstwie pozwala na kompletne wdrożenie rozwiązań mających na celu zapewnienie zgodności z RODO.