Powierzenie, a udostępnienie – kilka praktycznych wskazówek

• 12.04.2023

• Autor: Katarzyna Stańczak

• News

Tematem artykułu jest próba odpowiedzi na najczęściej pojawiające się pytanie u klientów w obszarze współpracy z podmiotami zewnętrznymi. Czy dana współpraca związana z przekazywaniem danych osobowych wiąże się z powierzeniem  czy udostępnieniem danych osobowych? Czy są jakieś standardowe przykłady powierzenia? Kiedy będziemy mieć do czynienia z modelem udostępnienia danych osobowych, a może w grę wchodzi model współadministrowania? Rozbudowane stany faktyczne w połączeniu z zobowiązaniami umownymi bardzo często powodują, że prawidłowe ustalenie modelu jest niezwykle trudne nawet dla doświadczonych IOD.

Określenie tego kim jest administrator oraz podmiot przetwarzający to  punkt wyjścia naszych dalszych rozważań. Administrator to podmiot, który określa cele i sposoby przetwarzania, czyli dlaczego i jak przetwarzać dane. Administrator decyduje zarówno o celach jak i o sposobach przetwarzania. Definicja administrowania może wynikać z przepisów prawa lub analizy elementów stanu faktycznego lub okoliczności sprawy. Aby administrator został uznany za administratora, nie musi on mieć faktycznego dostępu do przetwarzanych danych.[1]

Podmiot przetwarzający oznacza natomiast osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Istnieją dwa podstawowe warunki uznania za podmiot przetwarzający: jest on odrębnym podmiotem w stosunku do administratora oraz przetwarza dane osobowe w imieniu administratora.[2]

Powierzenie przetwarzania danych osobowych w praktyce to m.in. współpraca z firmami prowadzącymi badania rynku, zewnętrzne Call Center, firmy IT, firmy księgowe/kadrowe, firmy niszczące dokumenty, firmy ochroniarskie oraz firmy realizujące wysyłki newsletterów.

Co wiąże się z przyjęciem modelu powierzenia przetwarzania danych osobowych?

1. Konieczność zawarcia umowy powierzenia przetwarzania danych osobowych zgodnie z wymogami stawianymi przez art. 28 RODO. Przetwarzanie danych osobowych przez podmiot przetwarzający musi być uregulowane umową lub innym aktem prawnym, który musi być sporządzony na piśmie, w tym w formie elektronicznej;
2. Konieczność zweryfikowania podmiotu przetwarzającego (form weryfikacji jest dużo począwszy od fizycznego audytu a kończąc na interaktywnych ankietach weryfikacyjnych). Administrator korzysta wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z wymaganiami RODO;
3. Administrator powinien wziąć pod uwagę następujące elementy, aby ocenić, czy gwarancje są wystarczające: wiedza fachowa (np. wiedza techniczna w zakresie środków bezpieczeństwa i naruszeń ochrony danych); wiarygodność podmiotu przetwarzającego; zasoby podmiotu przetwarzającego. Reputacja podmiotu przetwarzającego na rynku może być również istotnym czynnikiem, który administratorzy powinni wziąć pod uwagę;[3]
4. Prowadzenie rejestru podmiotów przetwarzających – uznaję  to jako dobrą praktykę z zakresu ochrony danych osobowych;
5. Postępowanie zgodnie z przygotowaną i wdrożoną procedurą weryfikacji podmiotu przetwarzającego.

Model udostępnienia danych osobowych to przekazanie danych do odrębnego podmiotu, który samodzielnie decyduje o celach i sposobach przetwarzania danych osobowych. Sztandarowe przykłady to przekazywanie danych na linii pracodawca – ZUS, pracodawca – bank, przekazywanie danych do policji, straży, biur podróży, kancelarii prawnych, Poczcie Polskiej). Należy pamiętać, że udostępnienie danych jest przetwarzaniem danych osobowych i powinno opierać się na ważnej i legalnej podstawie prawnej.

Co wiąże się z przyjęciem modelu udostępnienia danych osobowych? Zarówno podmiot udostępniający dane jak i podmiot otrzymujący dane muszą samodzielnie i niezależnie posiadać ważne podstawy prawne legalizujące udostępnienie danych. Po drugie podmioty zaangażowane w proces muszą spełniać we własnym imieniu obowiązek informacyjny zgodnie z wymogami stawianymi odpowiednio przez art. 13 i 14 RODO. Przekazanie danych musi nastąpić również w sposób bezpieczny. Należy także pamiętać o prowadzeniu rejestru udostępnionych danych osobowych. Często przydatna jest także wdrożona i stosowana sformalizowana procedura udostępniania danych osobowych.

Bazując na doświadczeniu każdorazowo w celu ustalenia czy mam do czynienia z modelem udostępnienia danych staram się odpowiedź na pytania:

1. Czy każdy z podmiotów samodzielnie ustala cele i sposoby przetwarzania danych osobowych?
2. Czy podmiot otrzymujący dane może przechowywać dane pomimo zakończenia umowy? Czy posiada podstawę uprawniającą go do dalszego przetwarzania?
3. Czy podmiot otrzymujący dane posiada przepisy prawa legalizujące przetwarzanie?

Każdorazowo należy skrupulatnie zbadać stan faktyczny. Na rynku obecnie dostępnych jest tak wiele usług, że często samo ich nazwanie jest niezwykle ciężkie nie wspominając już o prawidłowym zakwalifikowaniu czy to do modelu powierzenia czy udostępnienia danych.  

[1] Wytyczne 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO.

[2] Tamże.

[3] Tamże.