Nadzór administratora danych nad podmiotem przetwarzającym

• 26.04.2021

• Autor: Milena Kraszewska

• powierzanie danych

Sytuacja, w której podmioty gospodarcze w ramach prowadzonej przez siebie działalności, zlecają część swoich zadań podmiotom zewnętrznym jest obecnie standardem. Podmioty gospodarcze korzystają z usług podwykonawców w ramach wykonywania swojej głównej działalności czy też poszukują wsparcia firm świadczących usługi informatyczne, finansowe czy marketingowe.  Jeśli w związku ze zleceniem przez zlecającego (administratora danych) wspomnianych czynności podmiot zewnętrzny przetwarza dane osobowe w imieniu zlecającego administratora danych to mamy do czynienia z powierzeniem przetwarzania danych osobowych, które wymaga zabezpieczenia.

Weryfikacja procesora

Weryfikacja podmiotu przetwarzającego, jest obowiązkiem administratora wynikającym z art. 28 ust. 1 RODO. Administrator powinien korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia i chroniło prawa osób, których dane dotyczą.

Podobnie motyw 81 RODO stanowi, że w przypadku przetwarzania, którego w imieniu administratora ma dokonać podmiot przetwarzający, administrator powinien, powierzając podmiotowi przetwarzającemu czynności przetwarzania, korzystać z usług wyłącznie podmiotów przetwarzających, które zapewniają wystarczające gwarancje – w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom niniejszego rozporządzenia, w tym wymogom bezpieczeństwa przetwarzania.

Co zatem może zrobić administrator aby zrealizować powyższe wymogi RODO ?

Pierwszym sposobem weryfikacji procesora już na etapie szukania odpowiedniego kontrahenta jest stosowanie ankiety weryfikacyjnej z pytaniami dla podmiotu przetwarzającego. Taka ankieta pozwala sprawdzić spełnienie przez procesora podstawowych wymogów RODO takich jak powołanie inspektora ochrony danych czy nadawanie upoważnień do przetwarzania danych. Pozwala też na wstępne sprawdzenie czy procesor wdrożył odpowiednie środki techniczne i organizacyjne wymagane przez administratora. Ponadto ankiety, mogą zawierać pytania dotyczące stanu faktycznego w ramach którego będziemy układać naszą relację z procesorem np. kwestię ewentualnego transferu do państw trzecich czy korzystania z dalszych podmiotów przetwarzających.

Wstępną weryfikację procesora można również podzielić na kilka etapów: pierwszy etap, pozwalający uzyskać odpowiedzi na podstawowe pytania dotyczące zgodności z przepisami i poziomu stosowanych zabezpieczeń oraz drugi etap, dostosowany do konkretnego procesora, uwzględniający specyfikę zlecanych mu czynności oraz ilość, rodzaj i kategorie przetwarzanych przez niego danych osobowych.

Ankiety mogą być stosowane nie tylko na etapie wstępnej weryfikacji kontrahenta – w trakcie umów długoterminowych, mogą służyć jako element aktualizacji wiedzy na temat podmiotu przetwarzającego.

Umowa powierzenia przetwarzania danych

Kolejnym ważnym elementem który zabezpiecza interesy administratora danych w relacji z procesorem oraz stanowi element nadzoru nad nim jest umowa o powierzeniu przetwarzania.

Umowa o powierzeniu przetwarzania określa szczegóły relacji pomiędzy administratorem i podmiotem przetwarzającym. Art. 28 RODO wskazuje szereg warunków, które powinny być przedmiotem takiej umowy. Jednym z nich jest możliwość przeprowadzenia przez administratora audytu lub inspekcji podmiotu przetwarzającego.

Zgodnie z art. 28 ust. 3 lit. h RODO, podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

W związku z tym, na etapie przygotowania umowy powierzenia warto zadbać aby zawierała ona postanowienia precyzujące okoliczności prowadzenia audytu przez administratora.

W szczególności możemy w niej określić:

• Termin na poinformowanie podmiotu przetwarzającego o planowanym audycie.
• Zasady ponoszenia kosztów przeprowadzenia audytu.
• Warunki korzystania z usług zewnętrznych podmiotów audytujących.

Oczywiście wypracowanie końcowego brzmienia postanowień umownych dotyczących audytu będzie zależało od woli stron, ich pozycji rynkowej oraz negocjacyjnej.

Szczególną uwagę warto zwrócić na sytuacje naruszenia ochrony danych osobowych u procesora – na tę okoliczność, administrator może zastrzec w umowie specjalny tryb prowadzenia audytu np. zapewniając sobie krótszy termin na powiadomienie o audycie, konieczność niezwłocznego udostępnienia zasobów oraz dokumentacji dotyczącej naruszenia oraz możliwość kontrolowania sposobu wdrażania przez procesora zaleceń poaudytowych.

Zgodnie z zasadą rozliczalności administrator jest odpowiedzialny za przestrzeganie przepisów i musi być w stanie wykazać ich przestrzeganie – należy więc pamiętać że wszelkie formy weryfikacji procesora należy odpowiednio udokumentować poprzez przygotowanie raportu z audytu i przechowywanie ankiet weryfikacyjnych.