Niemal każdy przedsiębiorca w toku swojej działalności korzysta z usług podmiotów trzecich, outsourcingując określone zadania. Niezależnie od tego, czy chodzi o firmy księgowe, agencje marketingowe, zewnętrznego inspektora ochrony danych osobowych czy informatyka budującego bazę danych na podstawie nadesłanych przez przedsiębiorcę informacji, przedsiębiorca udostępnia tym podmiotom przechowywane przez siebie dane osób fizycznych. Z uwagi na to, że podlegają one ścisłej ochronie, konieczne jest dopełnienie formalności związanych jakie nakłada powierzenie przetwarzania danych osobowych.
Wybór podmiotu przetwarzającego nie może być przypadkowy
Jeżeli przedsiębiorca-administrator danych korzysta z usług innego podmiotu, przekazując mu posiadane dane osobowe, dochodzi zazwyczaj do powierzenia przetwarzania tych danych. RODO nakłada na administratora obowiązek dochowania staranności przy wyborze podmiotów przetwarzających – administrator powinien wybrać takie, które:
„zapewniają wystarczające gwarancje – w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom Rozporządzenia, w tym wymogom bezpieczeństwa przetwarzania” (motyw 81 RODO).
Powierzenie przetwarzania danych osobowych podlega wymogom RODO
Rozporządzenie wymaga, aby powierzenie przetwarzania danych osobowych odbywało się na podstawie umowy zawieranej pomiędzy administratorem danych a podmiotem przetwarzającym. W praktyce umowa ta może stanowić załącznik do umowy zawieranej pomiędzy tymi podmiotami a regulującej zasady ich współpracy.
Umowa musi określać:
-
przedmiot przetwarzania (tj. dokładne wskazanie, jakie dane są przetwarzane na podstawie umowy głównej zawartej pomiędzy stronami);
-
czas trwania przetwarzania (okres przetwarzania będzie wynikał przede wszystkim z umowy głównej regulującej stosunki pomiędzy stronami);
-
charakter i cel przetwarzania;
-
rodzaj danych osobowych;
-
kategorie osób, których dotyczą przetwarzane dane;
-
obowiązki i prawa administratora.
-
przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora – co dotyczy też przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej – chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający;
-
zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
-
podejmuje odpowiednie środki zabezpieczające dane (zgodnie z art. 32 RODO – „przepis ten wskazuje środki techniczne i organizacyjne pozwalające na dostosowanie poziomu zabezpieczeń do istniejącego ryzyka, na przykład poprzez zastosowanie pseudonimizacji czy szyfrowania danych osobowych”);
-
przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, według przepisów o podmiocie przetwarzającym;
-
biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO (rozdział III rozporządzenia określa prawa osób fizycznych, których dane dotyczą);
-
uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (tj. przepisów nakładających na administratora obowiązek zapewnienia bezpieczeństwa danych osobowych poprzez zastosowanie odpowiednich środków technicznych oraz organizacyjnych, obowiązek zgłaszania naruszeń ochrony danych do organu nadzorczego oraz obowiązek przeprowadzania oceny skutków dla ochrony);
-
po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
-
udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich;
-
niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie niniejszego rozporządzenia lub innych przepisów Unii lub państwa członkowskiego o ochronie danych.
Brak umowy jest podstawą do nałożenia kary
Choć zasady odpowiedzialności pomiędzy administratorem danych a podmiotem przetwarzającym strony mogą uregulować w zasadzie dowolnie w umowie o powierzeniu przetwarzania, ostateczną odpowiedzialność za nieprawidłowości związane z powierzeniem przetwarzania będzie ponosił administrator danych. Brak umowy o powierzeniu przetwarzania – w sytuacji, gdy do faktycznego powierzenia dochodzi i podmiot trzeci przetwarza dane osobowe udostępnione przez administratora danych – również będzie rodził konsekwencje. Nieprawidłowości związane z powierzeniem przetwarzania danych osobowych mogą skutkować zarówno nałożeniem kar administracyjnych przez Prezesa Urzędu Ochrony Danych Osobowych, jak i odpowiedzialnością cywilnoprawną względem osoby, której dane zostały nieprawidłowo przetwarzane przez podmiot przetwarzający.
Z uwagi na powyższe w celu zminimalizowania swojej odpowiedzialności administrator danych winien zapewnić sobie realną możliwość kontroli sposobu przetwarzania powierzonych danych przez podmiot przetwarzający.
