Wysłanie danych osobowych do narzędzia zewnętrznego jest przetwarzaniem i powierzeniem. Obie te rzeczy mają swoje warunki.
Podstawa przetwarzania
Musi istnieć niezależnie od narzędzia. Użycie modelu nie tworzy nowej podstawy ani nie zwalnia z posiadania dotychczasowej.
Praktyczne pytanie brzmi: po co te dane w ogóle przetwarzamy i czy nowy sposób mieści się w tym celu. Rozstrzygnięcie należy do prawnika albo inspektora ochrony danych, nie do osoby konfigurującej narzędzie. Zadaniem wdrażającego jest opisać dokładnie, co trafia do modelu, w którym kroku procesu i w jakiej postaci.
Powierzenie
Dostawca przetwarzający dane w imieniu firmy jest podmiotem przetwarzającym. Wymaga to umowy powierzenia — jej brak oznacza, że danych przekazywać nie wolno.
Sprawdzenie jest mechaniczne. Szukamy dokumentu o przetwarzaniu danych w warunkach usługi, sprawdzamy, czy obejmuje wykupiony plan, i zapisujemy datę akceptacji. Jeśli takiego dokumentu nie ma, narzędzie nadaje się do zadań bez danych osobowych i tylko do nich. Ocenę treści samej umowy zostawiamy prawnikowi albo inspektorowi ochrony danych.
Miejsce przetwarzania
Przekazanie poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy. Warto sprawdzić, gdzie dostawca faktycznie przetwarza, a nie gdzie ma siedzibę.
Informacja bywa schowana w dokumentacji technicznej, a nie w materiałach handlowych. Część dostawców pozwala wybrać region przetwarzania przy zakładaniu konta. To ustawienie robi się raz i późniejsza zmiana bywa niemożliwa bez przeniesienia całej organizacji.
Minimalizacja
Najskuteczniejsze rozwiązanie: nie wysyłać danych, które nie są potrzebne. Zastąpienie nazwisk oznaczeniami wystarcza w większości zastosowań.
W praktyce oznacza to jeden dodatkowy krok w procesie. Przed wysłaniem zapytania podmieniamy dane identyfikujące na etykiety, a po otrzymaniu odpowiedzi wstawiamy je z powrotem. Przy integracji z systemem robi to skrypt, przy pracy ręcznej — reguła zapisana w liście wykluczeń.
Informowanie
Osoby, których dane są przetwarzane, powinny wiedzieć o kategoriach odbiorców. To zwykle wymaga uzupełnienia klauzuli informacyjnej.
Treść takiego uzupełnienia przygotowuje prawnik albo inspektor ochrony danych. Od strony wdrożenia potrzebne mu są konkrety: który dostawca, jakie dane, w jakim celu, jak długo przechowywane i kto jeszcze ma do nich dostęp.
Prawo do usunięcia
Firma musi umieć spełnić żądanie także wobec danych przekazanych dostawcy. Warto sprawdzić, czy jest to technicznie możliwe, zanim się je przekaże.
Pytania są konkretne. Czy da się usunąć historię konta. Czy usunięcie obejmuje kopie zapasowe. W jakim trybie się je zgłasza i kto po stronie dostawcy potwierdza wykonanie. Jeśli odpowiedzi nie ma w dokumentacji, to argument przeciw przekazywaniu danych do tego narzędzia.
Kiedy się to nie opłaca
Przy zastosowaniu, które daje niewielką korzyść, a wymaga przekazania danych osobowych, prostszą drogą bywa rezygnacja albo praca na danych pozbawionych identyfikatorów. Uzgodnienia, zapisy, klauzule i wpis do rejestru zastosowań kosztują czas, który potrafi przewyższyć zysk z zautomatyzowania jednego kroku.
