Problem · Compliance

Jak uporządkować umowy z dostawcami?

Umowy z dostawcami to jeden z najczęściej zaniedbywanych obszarów compliance - a to właśnie tam często ukryte jest ryzyko powierzenia danych czy NIS2.

Porządkowanie zaczyna się od inwentaryzacji wszystkich dostawców i usług, jakie świadczą, oraz sprawdzenia, którzy z nich przetwarzają dane osobowe (wymagają umowy powierzenia) lub są częścią łańcucha dostaw objętego wymogami NIS2. Następnie aktualizuje się lub uzupełnia brakujące umowy i klauzule bezpieczeństwa.

Umowa powierzenia przetwarzania danych musi zgodnie z art. 28 RODO określać co najmniej: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, obowiązki i prawa administratora, a także zobowiązanie procesora m.in. do przetwarzania danych wyłącznie na udokumentowane polecenie administratora, zapewnienia poufności, stosowania odpowiednich środków bezpieczeństwa oraz pomocy administratorowi w wywiązywaniu się z jego obowiązków (np. przy obsłudze żądań osób, których dane dotyczą, czy zgłaszaniu naruszeń).

Dla podmiotów objętych NIS2 dyrektywa wprost wskazuje bezpieczeństwo łańcucha dostaw jako jeden z obszarów obowiązkowego zarządzania ryzykiem - oznacza to konieczność uwzględnienia w umowach z dostawcami ICT wymogów bezpieczeństwa proporcjonalnych do ryzyka, jakie dany dostawca stwarza dla ciągłości i bezpieczeństwa usług organizacji.

Dobrą praktyką jest standaryzacja umów - jeden wzór umowy powierzenia i jeden zestaw klauzul bezpieczeństwa dla wszystkich dostawców o podobnym profilu ryzyka, zamiast negocjowania każdej umowy od zera.

Podstawa prawna

art. 28 RODO (umowa powierzenia) oraz art. 21 dyrektywy NIS2 (bezpieczeństwo łańcucha dostaw)