Współpraca z zewnętrznymi podmiotami to standard w działalności zarówno instytucji publicznych, jak i sektora MŚP. Często wiąże się ona z koniecznością przekazywania danych osobowych, co niesie ze sobą ryzyko incydentów bezpieczeństwa. Na czym polega bezpieczna współpraca z zewnętrznymi podmiotami i jakie obowiązki wynikają z przepisów RODO, aby skutecznie chronić informacje firmowe?
RODO a bezpieczna współpraca z zewnętrznymi podmiotami
Podczas nawiązywania współpracy z podmiotem zewnętrznym konieczne jest jasne określenie roli organizacji. Zgodnie z art. 4 pkt 8 unijnego Ogólnego Rozporządzenia o Ochronie Danych (dalej: RODO) podmiot przetwarzający dane osobowe w imieniu administratora staje się „podmiotem przetwarzającym” (procesorem), przez co ma obowiązek przestrzegania zapisów tego aktu prawnego.
Kolejne ważne definicje dotyczą pojęcia „odbiorcy” oraz „strony trzeciej” (art. 4 pkt 9 i 10 RODO). Odbiorcę powinniśmy rozumieć jako podmiot, któremu zgodnie z prawem ujawnia się dane osobowe.
W przypadku nieuprawnionego przekazania danych osoba (lub organizacja) staje się wspomnianą stroną trzecią, co opisano w Sprawozdaniu z działalności Prezesa Urzędu Ochrony Danych Osobowych w roku 2020.
Przykład 1.(na podstawie Wskazówek Prezesa Urzędu Ochrony Danych Osobowych dotyczących wykorzystywania monitoringu wizyjnego opublikowanych w czerwcu 2018 roku)
Na parkingu objętym monitoringiem wizyjnym doszło do stłuczki. Zarządca terenu (administrator danych), przy spełnieniu wymogów RODO, może przekazać nagranie obejmujące wizerunek sprawcy czy tablice rejestracyjne pojazdów osobie poszkodowanej, która w ten sposób staje się odbiorcą danych. Film powinien zostać przekazany z poszanowaniem praw i wolności osób postronnych, proces musi być zaś udokumentowany w myśl zasady rozliczalności (art. 5 ust. 2 RODO).
W art. 26 RODO wskazano znaczenie współadministratorów – podmiotów, które wspólnie ustalają cele i sposoby przetwarzania. Rozporządzenie zobowiązuje organizacje do przejrzystego określenia zakresów odpowiedzialności dotyczącej obowiązków.
Należy również podkreślić, że zgodnie z art. 4 pkt 9 RODO organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są uznawane za odbiorców danych.
Przykład 2. (na podstawie Sprawozdania z działalności Prezesa Urzędu Ochrony Danych Osobowych w roku 2020)
Udostępnienie danych komornikowi nie stawia go w roli odbiorcy danych, ponieważ uzyskuje informacje w ramach konkretnego postępowania na podstawie Ustawy z 17 listopada 1964 roku – Kodeks postępowania cywilnego oraz Ustawy z 22 marca 2018 roku o komornikach sądowych. Prezes Urzędu Ochrony Danych Osobowych zaznaczył także, że takie działanie nie wymaga wskazania podmiotu, któremu udostępniono dane – również w przypadku m.in. realizacji prawa dostępu do danych (art. 15 RODO).
Odpowiedzialność za przetwarzanie
Artykuł 28 ust. 1 RODO zobowiązuje administratora do wybierania podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. W ustępie 3 omawianego artykułu podkreślono, że w przetwarzanie opiera się na podstawie umowy lub innego instrumentu prawnego.
Jednocześnie należy podkreślić, że zawarcie takiego dokumentu nie zwalnia administratora z konieczności zapewniania należytego poziomu ochrony danych za pomocą środków technicznych i organizacyjnych (art. 32 RODO).
Warto również dodać, że podmiot przetwarzający musi uzyskać pisemną zgodę administratora do powierzenia danych osobowych kolejnemu procesorowi (zgodnie z art. 28 ust. 2 RODO). Jest to szczególnie ważne w sytuacji, gdy przetwarzanie danych jest dokonywane przez wielu podwykonawców.
Jedna z częściowo prawomocnych decyzji Urzędu Ochrony Danych Osobowych (DKN.5130.4179.2020) dotyczy dalszego powierzenia (podpowierzenia) danych osobowych bez uprzedniego zawarcia odpowiedniej umowy pisemnej – Prezes Urzędu Ochrony Danych Osobowych uznał, że niepodpisanie takiego dokumentu może uniemożliwiać procesorowi wywiązywanie się z obowiązków zawartych w RODO.
Stosowanie odpowiednich środków technicznych
Administrator oraz podmiot przetwarzający są zobowiązani do stosowania odpowiednich środków bezpieczeństwa danych na podstawie m.in. stanu wiedzy technicznej (art. 32 ust. 1 RODO).
W przypadku małych i średnich przedsiębiorstw i jednostek samorządu terytorialnego rekomenduje się przede wszystkim:
- szyfrowanie danych (zarówno plików, jak i partycji);
- wykorzystywanie unikatowych oraz odpowiednio złożonych haseł – od czerwca 2025 roku CERT Polska zaleca stosowanie minimum czternastoznakowych fraz (np. korzystając z menedżerów haseł);
- dwuetapowe uwierzytelnianie (najlepiej przy wykorzystaniu kluczy fizycznych – U2F);
- nadawanie minimalnych wymaganych uprawnień dla użytkowników wraz z cykliczną kontrolą pod kątem nieaktywnych kont;
- regularne tworzenie kopii zapasowych wraz z testowaniem ich odtwarzania oraz przechowywaniem bez dostępu do sieci;
- aktualizowanie oprogramowania;
- monitoring sieci (np. przy wykorzystaniu darmowych i otwartoźródłowych rozwiązań);
- segmentacja sieci (za pośrednictwem tzw. VLAN – wirtualnych sieci lokalnych).
Z punktu widzenia administratora kluczowy jest art. 28 ust. 3 lit. h RODO, ponieważ uprawnia go do m.in. audytowania podmiotu przetwarzającego pod kątem stosowanych środków ochrony danych. To właśnie na administratorze spoczywa obowiązek wybrania odpowiedniego podmiotu.
Praktyczne wskazówki na bezpieczną współpracę z zewnętrznymi podmiotami
Kluczowe dla bezpiecznej współpracy z zewnętrznymi podmiotami jest to, aby po zakończeniu procesu przetwarzania administrator miał pewność co do tego, co stało się z danymi w infrastrukturze podmiotu przetwarzającego. Dodatkowo art. 28 ust. 3 lit. g RODO zobowiązuje podmiot przetwarzający do podporządkowania się do decyzji administratora odnośnie do usunięcia lub zwrotu danych (chyba że polskie i unijne prawo stanowi inaczej).
W Biuletynie Urzędu Ochrony Danych Osobowych nr 11/11/25 wskazano bardzo ważną regułę pod kątem należytej ochrony danych, mianowicie poruszono kwestię usuwania danych osobowych z kopii zapasowych. Prezes Urzędu Ochrony Danych Osobowych podkreślił, że do tzw. backupów stosuje się wszystkie zapisy RODO (dotyczące postępowania z danymi). Wskazano również, że odmowa usunięcia danych osobowych na podstawie żądań osoby fizycznej nie może być poparta ewentualną czasochłonnością procesu.
Umowa powierzenia danych osobowych powinna jasno wskazywać konieczność usunięcia danych osobowych w sytuacji zakończenia współpracy. Z praktycznego punktu widzenia rekomenduje się otrzymanie formalnego zapewnienia od podmiotu, że usunął (lub przekazał) wszystkie dane osobowe, które przetwarzał w imieniu administratora.
W przeszłości zdarzały się incydenty dotyczące naruszenia poufności danych z kopii zapasowych po stronie podmiotów przetwarzających (np. DKN.5130.4179.2020) w trakcie trwania porozumień.
Z punktu widzenia administratora zaleca się przeanalizowanie potencjalnego dostępu z zewnątrz do infrastruktury przez organizacje, z którymi zaprzestano współpracę. Amerykańska Federalna Komisja Handlu (FTC) opisała incydent z okolic kwietnia 2018 roku (skarga nr 202-3151), gdzie były kontraktor uzyskał nieuprawniony dostęp do zasobów chmurowych firmy, w tym do danych 40 milionów użytkowników. Jak do tego doszło? Poświadczenia logowania były współdzielone pomiędzy pracownikami i zewnętrznymi podmiotami. Kilka miesięcy później część informacji została upubliczniona na internetowym forum. Incydent doskonale pokazuje konieczność nadzorowania zewnętrznego dostępu do naszej infrastruktury informatycznej.
Ustawa o krajowym systemie cyberbezpieczeństwa a JST
Podmioty publiczne wchodzące w skład Krajowego Systemu Cyberbezpieczeństwa zobowiązane są do przestrzegania poniższych zasad podczas współpracy z zewnętrznymi organizacjami:
- zapewnienia bezpieczeństwa i ciągłości łańcucha dostaw produktów, usług i procesów ICT (ang. Information and Communication Technology – technologie informacyjno-komunikacyjne), od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym (art. 8 ust. 1 pkt 2 lit. e Ustawy z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa, dalej: uksc);
- uwzględniania ogólnej jakości produktów, usług i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania (art. 8 ust. 2 pkt 2 uksc);
W przypadku organizacji zakwalifikowanych jako podmioty ważne dla krajowego systemu cyberbezpieczeństwa (m.in. jednostki samorządu terytorialnego) kluczowy jest załącznik nr 4 dotyczący wymogów dla systemu zarządzania bezpieczeństwem informacji (SZBI). Wśród wielu wymogów warto wyróżnić bezzwłoczne cofanie uprawnień – kluczowe pod kątem ograniczania ew. skutków nieuprawnionego dostępu.
Podsumowanie
Bezpieczna współpraca z zewnętrznymi podmiotami wymaga od każdej ze stron świadomego podejścia do ochrony danych i cyberbezpieczeństwa, ponieważ incydent w jednej organizacji może mieć negatywny wpływ na kontrahenta.
Warto podkreślić, że podpisanie umowy powierzenia przetwarzania danych osobowych nie zwalnia administratora z odpowiedzialności za ten proces, przy czym to właśnie administrator odpowiada za dobór odpowiedniego procesora danych.
Zgodnie z duchem RODO powinniśmy pamiętać o sporządzeniu analizy ryzyka oraz cyklicznym testowaniu skuteczności stosowanych środków.
Polecamy:
