Powierzenie danych osobowych

Świadomy wybór usługodawcy

Administratorzy danych coraz częściej decydują się na powierzanie przetwarzania danych osobowych innym podmiotom, które w ich imieniu wykonują część operacji na danych. Trudno w tym kontekście nie dostrzec np. coraz popularniejszych rozwiązań chmurowych. Administrator – chcąc wykorzystać możliwości obliczeniowe chmury – decyduje się na przetwarzanie danych przy użyciu tegowłaśnie instrumentu, powierzając tym samym proces przetwarzania danych usługodawcy świadczącemu tego rodzaju usługę.

W takich sytuacjach ważne jest, żeby podpisując umowę powierzenia, nie stracić kontroli nad danymi osobowymi, a więc nie dopuścić do sytuacji, w której powierzone dane będą wykorzystywane w innym celu niż ten określony przez samego administratora.

Powierzając podmiotowi przetwarzającemu czynności przetwarzania, należy korzystać wyłącznie z usług podmiotów przetwarzających posiadających odpowiednią wiedzę fachową, wiarygodność i zasoby. W szczególności, jeśli chodzi o gwarancje wdrożenia środków technicznychi organizacyjnych odpowiadających wymogom unijnego ogólnego rozporządzenia o ochronie danych osobowych (RODO), w tym wymogom bezpieczeństwa przetwarzania.

Mogą to być na przykład podmioty, które posiadać będą odpowiednie certyfikaty wydane na podstawie rozporządzenia.

Prawidłowe wdrożenie RODO wymaga zidentyfikowania tych wszystkich procesów przetwarzania danych, w jakich dochodzi do powierzenia przetwarzania danych. Inaczej niż to było na gruncie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, RODO nakłada na administratora danych prawny obowiązek wyboru takiego podmiotu przetwarzającego, który zapewnia przestrzeganie RODO. Jeżeli więc administrator powierza przetwarzanie danych, to przed wyborem podmiotu przetwarzającego musi sprawdzić każdy podmiot przetwarzający odnośnie przestrzegania przez niego przepisów RODO. Z kolei podmiot przetwarzający dane na zlecenie administratora winien być gotowy na takie sprawdzenie ze strony administratora danych. 

Ważna umowa

Powierzenie danych powinno być regulowane umową lub innym instrumentem prawnym, określającym przedmiot i czas trwania przetwarzania, charakter i cele przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą. Ta umowa lub inny instrument prawny powinny również uwzględniać konkretne zadania i obowiązki podmiotu przetwarzającego w kontekście planowanego przetwarzania oraz ryzyko naruszenia praw bądź wolności osoby, które jdane dotyczą.

W stosunku do obecnych regulacji niezwykle ważną zmianą jest to, że na podmiocie przetwarzającym spoczywają bardzo podobne obowiązki jak na administratorze danych. Przede wszystkim musi on również wdrożyć środki technicznei organizacyjne odpowiednie do ryzyk przetwarzania – tak aby to przetwarzanie odpowiadało wymogom rozporządzenia. Wśród innych obowiązków podmiotu przetwarzającego można wskazać:

• prowadzenie rejestru kategorii czynności przetwarzania,
• zgłaszanie naruszeń ochrony danych do administratora danych,
• wyznaczenie inspektora ochrony danych.

Każda umowa powierzenia powinna zostać dostosowana do nowych wymagań określonych w RODO. Warto więc dokonać przeglądu zawartych umów powierzenia i upewnienić się, że podmiot, któremu powierzono dane, będzie spełniał wszystkie określone w nowym unijnym rozporządzeniu wymagania, a sama umowa zawiera wszelkienie zbędne elementy.

Dowiedz się więcej o nowych unijnych przepisach w zakresie danych osobowych.

Podstawa prawna:

• rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; RODO; Dziennik Urzędowy Unii Europejskiej L z 2016 r. nr 119, str. 1).

A.J.
Zespół e-prawnik.pl