Umowa powierzenia z firmą niszczącą dokumenty - co w niej sprawdzić

Wysyłasz firmie, która odbiera dokumenty do zniszczenia, swoją umowę powierzenia. Wraca pokreślona w trybie śledzenia zmian: wykreślony zwrot danych, P-5 zamienione na P-4, z certyfikatu zniknął opis tego, co zniszczono. Co przyjąć, a czego pilnować?

Niedawno przechodziłem przez taką umowę punkt po punkcie. W kilku miejscach firma niszcząca miała rację, a błędy siedziały w naszym szablonie.

Pokażę Ci, co w umowie powierzenia z firmą niszczącą dokumenty naprawdę trzeba sprawdzić. Przykłady biorę z dokumentacji medycznej, bo tam stawka jest najwyższa, ale zasady są te same dla akt pracowniczych czy dokumentów księgowych.

Niszczenie dokumentów a RODO: czy firma niszcząca potrzebuje umowy powierzenia?

Tak, umowa powierzenia jest tu obowiązkowa. RODO wymienia niszczenie wprost wśród operacji, które są przetwarzaniem danych (art. 4 pkt 2: „usuwanie lub niszczenie”).

Firma, która odbiera Twoje dokumenty i je niszczy, robi to w Twoim imieniu. Jest więc podmiotem przetwarzającym, a Ty administratorem.

Zanim przekażesz jej dokumenty, masz sprawdzić, czy daje wystarczające gwarancje ochrony danych (art. 28 ust. 1), i podpisać z nią umowę (art. 28 ust. 3). Umowa musi być na piśmie, ale może mieć formę elektroniczną (art. 28 ust. 9). Wymóg jest ten sam, czy firma przyjeżdża co tydzień, czy raz w roku.

Według art. 28 ust. 3 umowa określa co najmniej:

Do tego umowa musi nałożyć na firmę obowiązki z art. 28 ust. 3 lit. a-h, m.in. działanie wyłącznie na Twoje udokumentowane polecenie, zachowanie poufności przez jej ludzi, zabezpieczenia z art. 32, zasady korzystania z podwykonawców i poddanie się audytom.

Przy dokumentacji medycznej dochodzi ustawa o prawach pacjenta. Firma, której powierzono przetwarzanie, musi zachować w tajemnicy informacje o pacjentach, także po ich śmierci (art. 24 ust. 6).

Stopień zniszczenia według DIN 66399: czy P-4 wystarczy dla danych o zdrowiu?

W umowach i na certyfikatach firm niszczących dokumenty zwykle pojawia się norma DIN 66399. W 2018 r. jej treść przejęła międzynarodowa norma ISO/IEC 21964, z tym samym układem klas i stopni, a DIN 66399 wycofano (zob. katalog wydawcy norm DIN).

Norma ma dwa wymiary. Klasa ochrony (od 1 do 3) mówi, jak wrażliwe są dane. Stopień bezpieczeństwa (dla papieru od P-1 do P-7) mówi, na jak drobne kawałki dokumenty są pocięte.

Przy P-4 ścinek ma najwyżej 160 mm², przy P-5 najwyżej 30 mm², a klasa ochrony 3 obejmuje stopnie od P-4 do P-7. Tak podaje zestawienie klas i stopni ISO/IEC 21964 przygotowane przez niemiecką firmę niszczącą dokumenty.

Sama norma nie mówi, które dane należą do której klasy. To decyzja administratora, czyli Twoja.

Przy danych o zdrowiu podpowiedź daje niemieckie pismo lekarskie Deutsches Ärzteblatt (2013): powołując się na izby lekarskie i federalnego pełnomocnika ds. ochrony danych, zalicza je do najwyższej klasy 3. Jeśli przyjmiesz klasę 3, najniższym dopuszczalnym stopniem jest P-4.

Samo RODO nie wskazuje żadnego stopnia. Art. 32 każe dobrać zabezpieczenia do ryzyka, a ustawa o prawach pacjenta mówi tylko, że dokumentację niszczy się „w sposób uniemożliwiający identyfikację pacjenta” (art. 29 ust. 2).

P-5 przy tajemnicy zawodowej: zalecany, ale nie obowiązkowy

Przy tajemnicy zawodowej, np. lekarskiej, oba źródła idą krok dalej. Ärzteblatt nazywa P-5 właściwym stopniem dla danych, które trzeba trzymać w tajemnicy, a zestawienie ISO/IEC 21964 przy tajemnicy zawodowej zaleca klasę 3 i P-5, choć jako minimum podaje P-4. P-4 dla dokumentacji medycznej mieści się w normie, ale to świadoma decyzja oparta na ocenie ryzyka (art. 32 RODO), którą warto opisać w procedurze.

Jest też strona praktyczna: jeśli firma niszcząca w P-5 nie niszczy, nie wpisze tego do umowy. Masz wtedy dwa wyjścia: przyjąć P-4 albo szukać innej firmy.

W sprawie, którą analizowałem, przyjęliśmy P-4 dla firmy zewnętrznej, a P-5 zostało dla własnej niszczarki w biurze. Tak czy inaczej sprawdź dwie rzeczy:

• W umowie jest klasa ochrony i stopień, np. „zgodnie z normą ISO/IEC 21964 (dawniej DIN 66399) dla klasy ochrony 3, w stopniu nie niższym niż P-4”. Samo „P-4” nie mówi, dla jakich danych firma to obiecuje.
• Twoja procedura niszczenia nie przeczy umowie. Trafiłem na procedurę, w której stało, że P-4 jest niewystarczające, podczas gdy umowa przyjmowała właśnie P-4. Przy kontroli to dwa dokumenty, które sobie przeczą.

Nośniki danych poza umową: dyski, pendrive’y i płyty osobną drogą

Firma niszcząca może przyjąć tylko dokumenty papierowe i wykreślić z umowy nośniki danych. To w porządku, jeśli dyski, pendrive’y i karty pamięci niszczysz inaczej.

Norma ma dla nich osobne kategorie, m.in. H dla dysków magnetycznych (HDD), E dla nośników elektronicznych, w tym dysków SSD, pendrive’ów i kart, oraz O dla płyt CD i DVD, np. z wynikami badań obrazowych. Sprawdź, czy opisuje je Twoja procedura i czy rejestr umów powierzenia pokazuje ten sam zakres usługi co umowa.

Umowa ramowa czy na zlecenie: kiedy umowa powierzenia wygasa po cichu

RODO wymaga, żeby umowa określała czas trwania przetwarzania (art. 28 ust. 3). Przy rzadkich odbiorach najłatwiej tu o błąd, który długo nie wychodzi na jaw.

Pierwszy wariant: umowa powierzenia obowiązuje „przez czas obowiązywania umowy głównej”, a umową główną jest pojedyncze zlecenie odbioru. Wtedy powierzenie wygasa po każdym odbiorze. Firma niszcząca, z którą negocjowałem, słusznie to wytknęła.

Drugi wariant: umowa na 12 albo 24 miesiące. Przy odbiorze raz w roku wygaśnie między odbiorami i… nikt tego nie zauważy. Widziałem to u jednego z klientów: tak, po cichu, wygasły dwie inne jego umowy zawarte na czas określony.

Przy rzadkich odbiorach najbezpieczniejsza jest umowa ramowa na czas nieokreślony, z miesięcznym wypowiedzeniem. Obejmuje wszystkie zlecenia składane w czasie jej obowiązywania, a przetwarzanie w ramach jednego zlecenia trwa od przejęcia dokumentów do wystawienia certyfikatu zniszczenia. Dopisz też, że obowiązek zachowania poufności trwa po rozwiązaniu umowy.

Certyfikat zniszczenia dokumentów i protokół przekazania: dowód, co zniszczono

Certyfikat z samą datą i stopniem zniszczenia potwierdza, że coś zniszczono. Nie mówi jednak, co.

A RODO wymaga, żebyś potrafił wykazać, że przestrzegasz zasad ochrony danych (art. 5 ust. 2, tzw. rozliczalność). Przy dokumentacji medycznej pytanie „czy dokumentacja tego pacjenta została zniszczona i kiedy” może paść przy kontroli albo od samego pacjenta.

Łącznikiem są numery plomb. Prosisz, żeby certyfikat podawał liczbę pojemników i numery ich plomb, a sam spisujesz, co trafiło do pojemnika o danym numerze.

Twój protokół przekazania, czyli spis tego, co oddajesz do zniszczenia, to druga połowa dowodu.

W sprawie, którą analizowałem, firma i tak wpisywała numer plomby na certyfikacie. Prośba, żeby zostało to w umowie, nic jej więc nie kosztowała.

Kwalifikacja dokumentów do zniszczenia: za terminy odpowiadasz Ty, nie firma niszcząca

Firma niszcząca nie zagląda do zaplombowanych pojemników. Nie wie, co w nich jest, więc nie oceni, czy te dokumenty wolno już zniszczyć.

Dlatego zapis, że firma przyjmuje do zniszczenia tylko przesyłki opisane protokołem i sprawdza ich zawartość, nie ma sensu, a firma słusznie go wykreśla. W umowie wystarczy zdanie, że za kwalifikację dokumentów do zniszczenia odpowiada administrator.

Tak to działa w RODO: Ty decydujesz, co idzie do zniszczenia, a firma niszczy na Twoje udokumentowane polecenie (art. 28 ust. 3 lit. a). Pilnowanie, żeby niczego nie trzymać za długo ani nie zniszczyć za wcześnie, też jest po Twojej stronie (art. 5 ust. 1 lit. e i f oraz ust. 2).

Przy niszczeniu dokumentacji medycznej chodzi przede wszystkim o terminy z art. 29 ustawy o prawach pacjenta: co do zasady 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, z kilkoma wyjątkami. Pełną listę terminów i to, co grozi za trzymanie akt zbyt długo, opisałem we wpisie Przechowywanie dokumentacji medycznej: archiwum, warunki i niszczenie - 645 tys. euro kary w Irlandii.

Teczka zniszczona rok za wcześnie to Twój błąd, nie firmy niszczącej. Kontrola, co wolno zniszczyć, należy do Twojej procedury niszczenia: lista, zatwierdzenie, protokół. Nie do umowy z firmą.

Zapisy z szablonu umowy powierzenia, które nie pasują do niszczenia

Wiele umów powierzenia powstaje z jednego szablonu, a ten bywa pisany pod dostawcę, który dane przechowuje, np. program do elektronicznej dokumentacji. Tak było u nas. Przy niszczeniu dwa takie zapisy trzeba przerobić.

Zwrot danych po zakończeniu umowy

Art. 28 ust. 3 lit. g RODO mówi, że po zakończeniu usługi podmiot przetwarzający, zależnie od decyzji administratora, usuwa albo zwraca dane. Przy niszczeniu usunięcie jest samą usługą, a zwrot zniszczonych dokumentów jest fizycznie niemożliwy, więc zapis o zwrocie wszystkich danych nie pasuje.

Nie wykreślaj go jednak w całości. Lit. g to obowiązkowa część umowy i ma sens dla pojemników odebranych, a jeszcze niezniszczonych, gdy umowa się kończy, np. po wypowiedzeniu albo przy likwidacji firmy niszczącej. Wpisz, że takie pojemniki firma niszczy z certyfikatem albo zwraca Ci nienaruszone, zależnie od Twojej decyzji.

Przy dokumentacji medycznej ten wybór rozstrzyga ustawa, o czym niżej.

Ciągły dostęp do dokumentacji medycznej

Ustawa o prawach pacjenta wymaga, żeby umowa powierzenia nie zakłócała udzielania świadczeń, w szczególności dostępu do danych z dokumentacji bez zbędnej zwłoki (art. 24 ust. 5). Gdy podmiot przetwarzający kończy przetwarzanie, przekazuje dane z dokumentacji placówce (art. 24 ust. 7).

To zapisy pisane głównie pod kogoś, kto dokumentację przechowuje: dostawcę programu albo archiwum. Do firmy niszczącej trafia dokumentacja, której termin przechowywania już minął, więc rozbudowane zapisy o dostępie do niej można uprościć.

Ustawa obowiązuje jednak niezależnie od umowy, a art. 24 ust. 7 nie robi wyjątku dla dokumentacji, której termin przechowywania minął. Gdy firma niszcząca kończy przetwarzanie, w szczególności przy likwidacji, niezniszczone pojemniki z dokumentacją medyczną musi Ci przekazać. Przy dokumentacji medycznej wpisz więc w umowie zwrot, a nie wybór.

Najczęstsze pytania o umowę powierzenia przy niszczeniu dokumentów

Klasa ochrony, czas trwania i numery plomb: trzy zapisy do sprawdzenia przed podpisem

Pamiętaj: umowa powierzenia nie przenosi na firmę niszczącą Twojej odpowiedzialności. Firma niszcząca dokumenty odpowiada za to, żeby dobrze zniszczyć to, co dostała. Za to, co i kiedy jej dajesz, oraz za dowód, że tak było, odpowiadasz Ty.

Dlatego w umowie pilnuj klasy ochrony i stopnia, czasu trwania i numerów plomb na certyfikacie, a resztę kontroli trzymaj we własnej procedurze.

Umowy powierzenia i procedurę niszczenia przygotowuję w ramach dokumentacji RODO, a dla przychodni i gabinetów w ramach usługi RODO w placówce medycznej. Jeśli dostałeś od firmy niszczącej pokreśloną umowę, napisz do mnie, przejdziemy przez nią razem.