Smlouva o poskytování služeb cloud computingu a ochrana osobních údajů

Přestože se jedná o službu obvyklou, účastníci smluvního vztahu většinou netuší, že součástí smlouvy týkající se poskytování této služby musí být ustanovení vztahující se k ochraně osobních údajů, neboť součástí ukládaných dat obvykle bývají i osobní údaje.

Smlouvy o poskytování služeb cloud computingu bývají často uzavírány adhezním způsobem. Adhezní smlouvy jsou smlouvy, u kterých nedochází mezi smluvními stranami k vyjednávání o obsahu smlouvy. Jsou vždy založeny na principu , tedy jedna strana předloží hotový text smlouvy a druhá strana má možnost návrh buď přijmout, anebo odmítnout. Základní smluvní podmínky jsou určeny ekonomicky silnější stranou a v tomto smluvním vztahu slabší strana (zákazník) nemá příležitost obsah této smlouvy ovlivnit. Z hlediska ochrany osobních údajů není tento způsob příliš vhodný, neboť správcem osobních údajů je uživatel a právě ten by měl stanovit parametry zpracování osobních údajů. Podle § 4 písm. j) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“), je správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Vzhledem k tomu, že je to právě zákazník cloudových služeb, kdo určuje konečný účel zpracování a rozhoduje o zadání tohoto zpracování nebo jeho části externí organizaci, vystupuje tento zákazník jako správce osobních údajů.

Pokud správce provádí zpracování, odpovídá za něj. Uživatel cloudových služeb by si proto měl uvědomit, že primární odpovědnost za zpracování osobních údajů leží na něm. V jeho zájmu je proto včlenit do smlouvy o poskytování cloudových služeb co nejpřesnější pravidla pro zpracování osobních údajů.

Zákon o ochraně osobních údajů umožňuje, aby zpracování osobních údajů neprováděl výhradně sám správce, ale aby některou z operací nebo operace veškeré prováděl za správce jiný subjekt – zpracovatel. Je však podstatné si v této souvislosti uvědomit, že i když dochází k takovému přesunu činnosti, nedochází k úplnému přechodu odpovědnosti správce na zpracovatele. Za škodu způsobenou subjektu údajů v souvislosti se zpracováním osobních údajů totiž odpovídají správce a zpracovatel společně a nerozdílně. Subjekt údajů tak má určitou, právem garantovanou jistotu, že náhrady škody, způsobené subjektu údajů v souvislosti se zpracováním osobních údajů, se může vždy domáhat především u správce.¹⁾

V případě, že zpracování provádí zpracovatel (v tomto případě poskytovatel cloudových služeb), je nutné uzavřít smlouvu podle § 6 zákona o ochraně osobních údajů. Zákon požaduje, aby tato smlouva byla písemná. To však neznamená, že smlouva musí být uzavřena zcela samostatně jako samostatný dokument. Takovou povinnost zákon o ochraně osobních údajů nestanoví. Lze tedy připustit, aby obsahové náležitosti smlouvy o zpracování byly součástí i jiné písemně uzavřené smlouvy. Zákon o ochraně osobních údajů vyžaduje, aby v takové smlouvě kromě jiných podstatných částí smlouvy bylo také výslovně uvedeno, v jakém rozsahu, tedy o jaké osobní údaje se jedná, za jakým účelem a na jakou dobu se smlouva uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.²⁾

Do služeb cloud computingu může být zapojena řada smluvních stran, jež vystupují jako zpracovatelé. Zpracovatelé běžně externě zadávají zpracování údajů dílčím zpracovatelům, kteří pak získávají přístup k osobním údajům. V těchto situacích musí být povinnosti a úkoly vyplývající z právních předpisů na ochranu údajů jasně stanoveny a nesmí docházet k jejich rozptýlení v průběhu subdodavatelského řetězce nebo v rámci externího zajištění služeb. Cílem je přidělit jasnou odpovědnost za zpracovávání údajů a zajistit jeho účinnou kontrolu. Podle názoru WP 29³⁾ může zpracovatel externě zadávat svou činnost pouze se souhlasem správce, který jej obecně může poskytnout na začátku služby s tím, že zpracovatel má jasnou povinnost informovat správce o veškerých zamýšlených změnách týkajících se přidání či náhrady subdodavatele a že správce má po celou dobu možnost vznést proti těmto změnám námitku či smlouvu ukončit. Poskytovatel cloudových služeb by měl mít jasnou povinnost uvádět jména všech pověřených subdodavatelů. Kromě toho by měla být mezi poskytovatelem cloudových služeb a subdodavatelem podepsána smlouva, jež odráží ustanovení smlouvy mezi poskytovatelem cloudových služeb a zákazníkem.⁴⁾

V zájmu právní jistoty a ochrany správce osobních údajů je vhodné do smlouvy zapracovat následující ustanovení:

Z výše uvedeného vyplývá, že uživatel cloudových služeb by měl dávat přednost poskytovateli, který netrvá na své smlouvě formulářového typu a který je ochoten vložit do smlouvy zmíněná ustanovení.