REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018

Subskrybuj nas na Youtube
Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018 /Fot. Fotolia
Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018 /Fot. Fotolia
Fotolia

REKLAMA

REKLAMA

Uregulowanie relacji pomiędzy administratorem a podmiotem przetwarzającym dane (popularnym procesorem) współcześnie stało się jedną z podstawowych czynności, które sam administrator musi uwzględnić w systemie ochrony danych w swojej organizacji. Liczne audyty pokazują, że w dzisiejszych czasach, w znacznej mniejszości pozostają podmioty, które z całą odpowiedzialnością mogą stwierdzić, że nie korzystają z usług podmiotów przetwarzających dane na ich zlecenie. W dużej części przypadków administratorzy ci nie są świadomi, że w relacji z kontrahentami dochodzi do powierzenia danych w rozumieniu przepisów o ochronie danych osobowych.

REKLAMA

Autorzy przepisów unijnego rozporządzenia o ochronie danych osobowych (RODO), dostrzegli ten trend, co poskutkowała znacznie bardziej rygorystycznym podejściem do kwestii powierzenia przetwarzania danych osobowych, nakładając na podmioty po obu stronach tej relacji liczne obowiązki, ale również prawa. W niniejszym artykule, skupimy się w szczególności na uprawnieniu administratora do inspekcji podmiotu przetwarzającego.

REKLAMA

Na wstępie tytułem przypomnienia wskażmy kim tak naprawdę jest podmiot przetwarzający (procesor). Zgodnie z definicją zawarta w art. 4 pkt 8 RODO, podmiotem przetwarzającym jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Z przywołanej definicji wynika, że podmiot przetwarzający działa jedynie na zlecenie administratora, który faktycznie decyduje o celach i sposobach przetwarzania danych osobowych. Potwierdza to również art. 29 RODO, wskazujący, iż procesor przetwarza je jedynie wyłącznie na polecenie administratora, z wyjątkiem sytuacji gdy obowiązek przetwarzania wynika z obowiązujących przepisów prawa. Za klasyczne przykłady podmiotów przetwarzających należy uznać: biuro księgowe, zewnętrzny call center, firmy archiwizujące dokumenty, partnerzy świadczący usługi techniczne (np. rozwijanie i utrzymywanie systemów informatycznych i serwisów internetowych), agencje marketingowe, podmioty zewnętrzne odpowiedzialne za prowadzenie spraw kadrowo płacowych.

Całość relacji łączącej administratora z podmiotem przetwarzającym winna być unormowana w ramach umowy powierzenia przetwarzania danych, której to treść została szczegółowo uregulowana w obowiązujących przepisach unijnego rozporządzenia. Kluczowy w tym zakresie jest art. 28 RODO wskazujący jakie dokładnie kwestie winny stanowić przedmiot uzgodnień pomiędzy stronami takiej umowy. Do katalogu wymienionego w przywołanym wchodzi również obowiązek podmiotu przetwarzającego polegający na umożliwieniu administratorowi przeprowadzenia audytu w jego organizacji.

Polecamy: Pakiet żółtych książek - Podatki 2018

REKLAMA

Należy pamiętać, że art. 28 RODO, przewiduje obowiązki również po stronie samego administratora, który to zobowiązany jest do korzystania z jedynie z tego typu podmiotów, które gwarantują wdrożenia odpowiednich środków technicznych i organizacyjnych, zapewniających, że przetwarzani spełnia wymogi RODO oraz chroni prawa osób, których dane są przetwarzane. W tym zakresie bez wątpienia pomocne może być uprawnienie administratora do audytu podmiotu przetwarzającego dane w jego imieniu.

Dalszy ciąg materiału pod wideo

Przepisy RODO przewidują po stronie podmiotu przetwarzającego alternatywne działanie pozwalającą na wykazanie stosowania środków gwarantujących bezpieczeństwo danych oraz przestrzegania przepisów unijnego rozporządzenia. Mowa tutaj o branżowych kodeksach postępowania oraz certyfikacji, o których traktują odpowiednio art. 40 oraz 42 RODO. Z całą stanowczością należy stwierdzić, że nawet w przypadku posiadania przez procesora jednego z powyższych dokumentów, nie można wykluczyć aby sprawdzenia (audyty) ze strony administratora nie były potrzebne np. w sytuacji zaistnienia zdarzenia naruszającego ochronę danych osobowych podlegającego obowiązkowemu zgłoszeniu do organu nadzorczego.

Jak wynika z powyższego, samo prawo do audytowania podmiotu przetwarzającego nie powinno budzić żadnych wątpliwości. Zastanawiać może jednak zakres przeprowadzanego audytu. Jak już wskazano, podmiot przetwarzający udostępnia administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z przepisu art. 28 ust. 2, 3 oraz 4 RODO. Sprawdzenie może zatem dotyczyć następujących informacji:

  • Czy podmiot przetwarzający korzysta z podwykonawców przetwarzających dane powierzone przez administratora na zasadach określonych pomiędzy stronami oraz zgodne z art. 28 ust. 2 i 4? (w szczególności, czy umowy podpisywane z podwykonawcami w sposób odpowiedni regulują kwestie związane z przetwarzaniem danych administratora)
  • Czy podmiot przetwarzający wdrożył odpowiednie środki techniczne i organizacyjne, które umożliwiają procesorowi wsparcie administratora w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie realizacji ich praw wynikających z RODO?
  • Czy osoby biorące udział przy przetwarzaniu zostały zobowiązane do zachowania tajemnicy?
  • Czy podmiot przetwarzający wdrożył mechanizmy/procedury, umożliwiające bezzwłoczne zgłoszenie naruszenia bezpieczeństwa danych osobowych?
  • Czy dane nie są przekazywane przez podmiot przetwarzający do państw trzecich?

Zobacz: RODO w firmie

Mając na względzie obowiązek administratora wynikający z art. 28 ust. 1 RODO, nie bez znaczenia winny również pozostawać następujące informacje:

  • Czy podmiot przetwarzający stosuje fizyczne zabezpieczenia pomieszczeń/obszarów przetwarzania danych osobowych przed dostępem osób nieuprawnionych?
  • Czy podmiot przetwarzający nadaje upoważnienia do przetwarzania danych osobowych?
  • Czy podmiot przetwarzający prowadzi dokumentacje ochrony danych osobowych?
  • Czy podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania?
  • Czy podmiot przetwarzający powołał inspektora ochrony danych?

Należy wskazać, że w ramach kształtowania się praktyki w stosowaniu przepisów RODO, popularne staje się regulowanie w ramach umowy powierzenia uprawnienia po stronie administratora do przeprowadzenia audytu również u podprocesorów. Tendencja do uregulowania tego zagadnienia w ramach umowy wynika prawdopodobnie z treści art. 28 ust. 4 RODO. Zgodnie z nim podmiot przetwarzający może podpowierzyć dane osobowe jedynie na podstawie umowy zawartej ze swoim podwykonawca, której treść zapewniać będzie stosowanie przez podwykonawcę środków gwarantujących przetwarzanie zgodnie z wymogami RODO. W interesie administratora pozostaje zatem zapewnienie sobie możliwości przeprowadzenia audytu u podprocesora, w celu utrzymania pełnej kontroli nad przetwarzanymi przez niego danymi osobowymi.

Kolejnym coraz popularniejszym działaniem w zakresie konstruowania umów powierzenia przetwarzania danych pomiędzy administratorem a podmiotem przetwarzającym, jest wprowadzanie postanowień, mających na celu nic innego jak „zniechęcenie” administratora do skorzystania z jego uprawnień w zakresie audytowania podmiotu przetwarzającego. Przykładem takiego działania jest żądanie stosownej kwoty tytułem opłaty za sam fakt przeprowadzenia sprawdzenia. Podkreślić trzeba, że nie chodzi w tym miejscu o pokrycie kosztów poniesionych przez procesora w zw. z przeprowadzanym audytem (np. udział pracowników procesora w czynnościach audytowych), co można uznać za rozwiązanie dopuszczalne i uzasadnione. Mowa jest w tym miejscu o postanowieniach przewidujących z góry określoną kwotę kilkudziesięciu tysięcy złotych, za sam fakt przeprowadzenia audytu, narzucanych przez organizacje mające silną pozycję na rynku.

Na zakończenie należy również zwrócić uwagę, że istotnym elementem uprawnienia do audytowania podmiotu przetwarzającego jest to, że nie musi być ono wykonane bezpośrednio przez samego administratora lub jego pracownika. W przypadku, w którym administrator nie czuje się na siłach w aspekcie sprawdzenia podmiotu przetwarzającego lub nie dysponuje wystarczającymi zasobami kadrowymi oraz czasowymi do podjęcia takich działań, racjonalnym działaniem jest skorzystanie z wyspecjalizowanego podmiotu zewnętrznego. Z art. 28 ust. 3 lit. h RODO wprost bowiem wynika, że podmiot przetwarzający ma umożliwić audyt administratorowi lub audytorowi upoważnionemu przez administratora. Brak jest zatem przeciwwskazań aby w tym zakresie, administrator mógł skorzystać z podmiotów zewnętrznych specjalizujących się w prowadzeniu działań audytowych.

Autor: Adw. Łukasz Pociecha, ekspert ds. ochrony danych, ODO 24

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
BCC ostrzega: firmy muszą przyspieszyć wdrażanie KSeF. Ustawa już po pierwszym czytaniu w Sejmie

Prace legislacyjne nad ustawą wdrażającą Krajowy System e-Faktur (KSeF) wchodzą w końcową fazę. Sejm skierował projekt nowelizacji VAT do komisji finansów publicznych, która pozytywnie go zaopiniowała wraz z poprawkami.

Zakupy w sklepie stacjonarnym a reklamacja. Co może konsument?

Od wielu lat obowiązuje ustawa o prawach konsumenta. W wyniku implementowania do polskiego systemu prawa regulacji unijnej, od 1 stycznia 2023 r. wprowadzono do tej ustawy bardzo ważne, korzystne dla konsumentów rozwiązania.

Ponad 650 tys. firm skorzystało z wakacji składkowych w pierwszym półroczu

Zakład Ubezpieczeń Społecznych informuje, że w pierwszym półroczu 2025 r. z wakacji składkowych skorzystało 657,5 tys. przedsiębiorców. Gdzie można znaleźć informacje o uldze?

Vibe coding - czy AI zredukuje koszty tworzenia oprogramowania, a programiści będą zbędni?

Kiedy pracowałem wczoraj wieczorem nad newsletterem, do szablonu potrzebowałem wołacza imienia – chciałem, żeby mail zaczynał się od “Witaj Marku”, zamiast „Witaj Marek”. W Excelu nie da się tego zrobić w prosty sposób, a na ręczne przerobienie wszystkich rekordów straciłbym długie godziny. Poprosiłem więc ChatGPT o skrypt, który zrobi to za mnie. Po trzech sekundach miałem działający kod, a wołacze przerobiłem w 20 minut. Więcej czasu zapewne zajęłoby spotkanie, na którym zleciłbym komuś to zadanie. Czy coraz więcej takich zadań nie będzie już wymagać udziału człowieka?

REKLAMA

Wellbeing, który naprawdę działa. Arłamów Business Challenge 2025 pokazuje, jak budować silne organizacje w czasach kryzysu zaangażowania

Arłamów, 30 czerwca 2025 – „Zaangażowanie pracowników w Polsce wynosi jedynie 8%. Czas przestać mówić o benefitach i zacząć praktykować realny well-doing” – te słowa Jacka Santorskiego, psychologa biznesu i społecznego, wybrzmiały wyjątkowo mocno w trakcie tegorocznej edycji Arłamów Business Challenge.

Nie uczą się i nie pracują. Polscy NEET często są niewidzialni dla systemu

Jak pokazuje najnowszy raport Polskiej Agencji Rozwoju Przedsiębiorczości, około 10% młodych Polaków nie uczy się ani nie pracuje. Kim są polscy NEET i dlaczego jest to realny problem społeczny?

Polska inwestycyjna zapaść – co hamuje rozwój i jak to zmienić?

Od 2015 roku stopa inwestycji w Polsce systematycznie spada. Choć może się to wydawać abstrakcyjnym wskaźnikiem makroekonomicznym, jego skutki odczuwamy wszyscy – wolniejsze tempo wzrostu gospodarczego, mniejszy przyrost zamożności, trudniejsza pogoń za Zachodem. Dlaczego tak się dzieje i czy można to odwrócić? O tym rozmawiali Szymon Glonek oraz dr Anna Szymańska z Polskiego Instytutu Ekonomicznego.

Firma za granicą jako narzędzie legalnej optymalizacji podatkowej. Fakty i mity

W dzisiejszych czasach, gdy przedsiębiorcy coraz częściej stają przed koniecznością konkurowania na globalnym rynku, pojęcie optymalizacji podatkowej staje się jednym z kluczowych elementów strategii biznesowej. Wiele osób kojarzy jednak przenoszenie firmy za granicę głównie z próbą unikania podatków lub wręcz z działaniami nielegalnymi. Tymczasem, właściwie zaplanowana firma za granicą może być w pełni legalnym i etycznym narzędziem zarządzania obciążeniami fiskalnymi. W tym artykule obalimy popularne mity, przedstawimy fakty, wyjaśnimy, które rozwiązania są legalne, a które mogą być uznane za agresywną optymalizację. Odpowiemy też na kluczowe pytanie: czy polski przedsiębiorca faktycznie zyskuje, przenosząc działalność poza Polskę?

REKLAMA

5 sprawdzonych metod pozyskiwania klientów B2B, które działają w 2025 roku

Pozyskiwanie klientów biznesowych w 2025 roku wymaga elastyczności, innowacyjności i umiejętnego łączenia tradycyjnych oraz nowoczesnych metod sprzedaży. Zmieniające się preferencje klientów, rozwój technologii i rosnące znaczenie relacji międzyludzkich sprawiają, że firmy muszą dostosować swoje strategie, aby skutecznie docierać do nowych odbiorców. Dobry prawnik zadba o zgodność strategii z przepisami prawa oraz zapewni ochronę interesów firmy. Oto pięć sprawdzonych metod, które pomogą w pozyskiwaniu klientów w obecnym roku.

Family Business Future Summit - podsumowanie po konferencji

Pod koniec kwietnia niniejszego roku, odbyła się druga edycja wydarzenia Family Business Future Summit, które dedykowane jest przedsiębiorczości rodzinnej. Stolica Warmii i Mazur przez dwa dni gościła firmy rodzinne z całej Polski, aby esencjonalnie, inspirująco i innowacyjne opowiadać i rozmawiać o sukcesach oraz wyzwaniach stojących przed pionierami polskiej przedsiębiorczości.

REKLAMA