Kategorie

Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018

Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018 /Fot. Fotolia
Kontrolowanie podmiotu przetwarzającego jako uprawnienie administratora danych osobowych - RODO 2018 /Fot. Fotolia
Fotolia
Uregulowanie relacji pomiędzy administratorem a podmiotem przetwarzającym dane (popularnym procesorem) współcześnie stało się jedną z podstawowych czynności, które sam administrator musi uwzględnić w systemie ochrony danych w swojej organizacji. Liczne audyty pokazują, że w dzisiejszych czasach, w znacznej mniejszości pozostają podmioty, które z całą odpowiedzialnością mogą stwierdzić, że nie korzystają z usług podmiotów przetwarzających dane na ich zlecenie. W dużej części przypadków administratorzy ci nie są świadomi, że w relacji z kontrahentami dochodzi do powierzenia danych w rozumieniu przepisów o ochronie danych osobowych.
Reklama

Autorzy przepisów unijnego rozporządzenia o ochronie danych osobowych (RODO), dostrzegli ten trend, co poskutkowała znacznie bardziej rygorystycznym podejściem do kwestii powierzenia przetwarzania danych osobowych, nakładając na podmioty po obu stronach tej relacji liczne obowiązki, ale również prawa. W niniejszym artykule, skupimy się w szczególności na uprawnieniu administratora do inspekcji podmiotu przetwarzającego.

Na wstępie tytułem przypomnienia wskażmy kim tak naprawdę jest podmiot przetwarzający (procesor). Zgodnie z definicją zawarta w art. 4 pkt 8 RODO, podmiotem przetwarzającym jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Z przywołanej definicji wynika, że podmiot przetwarzający działa jedynie na zlecenie administratora, który faktycznie decyduje o celach i sposobach przetwarzania danych osobowych. Potwierdza to również art. 29 RODO, wskazujący, iż procesor przetwarza je jedynie wyłącznie na polecenie administratora, z wyjątkiem sytuacji gdy obowiązek przetwarzania wynika z obowiązujących przepisów prawa. Za klasyczne przykłady podmiotów przetwarzających należy uznać: biuro księgowe, zewnętrzny call center, firmy archiwizujące dokumenty, partnerzy świadczący usługi techniczne (np. rozwijanie i utrzymywanie systemów informatycznych i serwisów internetowych), agencje marketingowe, podmioty zewnętrzne odpowiedzialne za prowadzenie spraw kadrowo płacowych.

Całość relacji łączącej administratora z podmiotem przetwarzającym winna być unormowana w ramach umowy powierzenia przetwarzania danych, której to treść została szczegółowo uregulowana w obowiązujących przepisach unijnego rozporządzenia. Kluczowy w tym zakresie jest art. 28 RODO wskazujący jakie dokładnie kwestie winny stanowić przedmiot uzgodnień pomiędzy stronami takiej umowy. Do katalogu wymienionego w przywołanym wchodzi również obowiązek podmiotu przetwarzającego polegający na umożliwieniu administratorowi przeprowadzenia audytu w jego organizacji.

Polecamy: Pakiet żółtych książek - Podatki 2018

Reklama

Należy pamiętać, że art. 28 RODO, przewiduje obowiązki również po stronie samego administratora, który to zobowiązany jest do korzystania z jedynie z tego typu podmiotów, które gwarantują wdrożenia odpowiednich środków technicznych i organizacyjnych, zapewniających, że przetwarzani spełnia wymogi RODO oraz chroni prawa osób, których dane są przetwarzane. W tym zakresie bez wątpienia pomocne może być uprawnienie administratora do audytu podmiotu przetwarzającego dane w jego imieniu.

Przepisy RODO przewidują po stronie podmiotu przetwarzającego alternatywne działanie pozwalającą na wykazanie stosowania środków gwarantujących bezpieczeństwo danych oraz przestrzegania przepisów unijnego rozporządzenia. Mowa tutaj o branżowych kodeksach postępowania oraz certyfikacji, o których traktują odpowiednio art. 40 oraz 42 RODO. Z całą stanowczością należy stwierdzić, że nawet w przypadku posiadania przez procesora jednego z powyższych dokumentów, nie można wykluczyć aby sprawdzenia (audyty) ze strony administratora nie były potrzebne np. w sytuacji zaistnienia zdarzenia naruszającego ochronę danych osobowych podlegającego obowiązkowemu zgłoszeniu do organu nadzorczego.

Jak wynika z powyższego, samo prawo do audytowania podmiotu przetwarzającego nie powinno budzić żadnych wątpliwości. Zastanawiać może jednak zakres przeprowadzanego audytu. Jak już wskazano, podmiot przetwarzający udostępnia administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z przepisu art. 28 ust. 2, 3 oraz 4 RODO. Sprawdzenie może zatem dotyczyć następujących informacji:

  • Czy podmiot przetwarzający korzysta z podwykonawców przetwarzających dane powierzone przez administratora na zasadach określonych pomiędzy stronami oraz zgodne z art. 28 ust. 2 i 4? (w szczególności, czy umowy podpisywane z podwykonawcami w sposób odpowiedni regulują kwestie związane z przetwarzaniem danych administratora)
  • Czy podmiot przetwarzający wdrożył odpowiednie środki techniczne i organizacyjne, które umożliwiają procesorowi wsparcie administratora w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie realizacji ich praw wynikających z RODO?
  • Czy osoby biorące udział przy przetwarzaniu zostały zobowiązane do zachowania tajemnicy?
  • Czy podmiot przetwarzający wdrożył mechanizmy/procedury, umożliwiające bezzwłoczne zgłoszenie naruszenia bezpieczeństwa danych osobowych?
  • Czy dane nie są przekazywane przez podmiot przetwarzający do państw trzecich?

Zobacz: RODO w firmie

Mając na względzie obowiązek administratora wynikający z art. 28 ust. 1 RODO, nie bez znaczenia winny również pozostawać następujące informacje:

  • Czy podmiot przetwarzający stosuje fizyczne zabezpieczenia pomieszczeń/obszarów przetwarzania danych osobowych przed dostępem osób nieuprawnionych?
  • Czy podmiot przetwarzający nadaje upoważnienia do przetwarzania danych osobowych?
  • Czy podmiot przetwarzający prowadzi dokumentacje ochrony danych osobowych?
  • Czy podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania?
  • Czy podmiot przetwarzający powołał inspektora ochrony danych?

Należy wskazać, że w ramach kształtowania się praktyki w stosowaniu przepisów RODO, popularne staje się regulowanie w ramach umowy powierzenia uprawnienia po stronie administratora do przeprowadzenia audytu również u podprocesorów. Tendencja do uregulowania tego zagadnienia w ramach umowy wynika prawdopodobnie z treści art. 28 ust. 4 RODO. Zgodnie z nim podmiot przetwarzający może podpowierzyć dane osobowe jedynie na podstawie umowy zawartej ze swoim podwykonawca, której treść zapewniać będzie stosowanie przez podwykonawcę środków gwarantujących przetwarzanie zgodnie z wymogami RODO. W interesie administratora pozostaje zatem zapewnienie sobie możliwości przeprowadzenia audytu u podprocesora, w celu utrzymania pełnej kontroli nad przetwarzanymi przez niego danymi osobowymi.

Kolejnym coraz popularniejszym działaniem w zakresie konstruowania umów powierzenia przetwarzania danych pomiędzy administratorem a podmiotem przetwarzającym, jest wprowadzanie postanowień, mających na celu nic innego jak „zniechęcenie” administratora do skorzystania z jego uprawnień w zakresie audytowania podmiotu przetwarzającego. Przykładem takiego działania jest żądanie stosownej kwoty tytułem opłaty za sam fakt przeprowadzenia sprawdzenia. Podkreślić trzeba, że nie chodzi w tym miejscu o pokrycie kosztów poniesionych przez procesora w zw. z przeprowadzanym audytem (np. udział pracowników procesora w czynnościach audytowych), co można uznać za rozwiązanie dopuszczalne i uzasadnione. Mowa jest w tym miejscu o postanowieniach przewidujących z góry określoną kwotę kilkudziesięciu tysięcy złotych, za sam fakt przeprowadzenia audytu, narzucanych przez organizacje mające silną pozycję na rynku.

Na zakończenie należy również zwrócić uwagę, że istotnym elementem uprawnienia do audytowania podmiotu przetwarzającego jest to, że nie musi być ono wykonane bezpośrednio przez samego administratora lub jego pracownika. W przypadku, w którym administrator nie czuje się na siłach w aspekcie sprawdzenia podmiotu przetwarzającego lub nie dysponuje wystarczającymi zasobami kadrowymi oraz czasowymi do podjęcia takich działań, racjonalnym działaniem jest skorzystanie z wyspecjalizowanego podmiotu zewnętrznego. Z art. 28 ust. 3 lit. h RODO wprost bowiem wynika, że podmiot przetwarzający ma umożliwić audyt administratorowi lub audytorowi upoważnionemu przez administratora. Brak jest zatem przeciwwskazań aby w tym zakresie, administrator mógł skorzystać z podmiotów zewnętrznych specjalizujących się w prowadzeniu działań audytowych.

Autor: Adw. Łukasz Pociecha, ekspert ds. ochrony danych, ODO 24

Dowiedz się więcej z naszej publikacji
Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu. Obowiązki biur rachunkowych
Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu. Obowiązki biur rachunkowych
Tylko teraz
89,00 zł
99,00
Przejdź do sklepu
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Moja firma
    1 sty 2000
    31 lip 2021
    Zakres dat:
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail

    Firma w mediach. Na czym polegają skuteczne media relations?

    Firma w mediach. Ogromna konkurencja rynkowa oraz wysokie wymagania ze strony samych konsumentów niejako wymuszają na biznesach cykliczną obecność w mediach. Aby regularnie pojawiać się na łamach prasy, tytułów online czy platformach influencerów należy wyjątkowo poważnie potraktować kwestię kontaktu z poszczególnymi redakcjami. W jaki sposób? Odpowiedzią są skuteczne działania media relations.

    Prawo, a zakłady bukmacherskie!

    2017 rok to przełomowa data w historii polskiej branży zakładów bukmacherskich. Właśnie wtedy weszła w życie nowelizacja ustawy o grach hazardowych, którą wprowadziło Prawo i Sprawiedliwość. Co zmieniło się po tej dacie pod kątem prawnym i jak było wcześniej?

    Test: Peugeot 508 SW PSE, czyli francuskie AMG w akcji

    Test: Peugeot 508 PSE, czyli napęd na cztery koła, 360 koni mechanicznych i hybryda plug-in. W skrócie francuskie AMG spisało się na medal.

    Ile lat wstecz sprawdza UFG?

    Ile lat wstecz sprawdza UFG? Czyli za ile lat kierowca może otrzymać karę za brak ubezpieczenia OC? Postanowiliśmy to sprawdzić.

    Jak uniknąć regresu ubezpieczeniowego?

    Jak uniknąć regresu ubezpieczeniowego? Jest kilka zasad, o których kierowca powinien pamiętać podczas zdarzenia drogowego. Dziś je przypomnimy.

    30% Club Poland: „Różnorodność we władzach to wymierne korzyści spółki” [PODCAST]

    Dane dowodzą, że zróżnicowane zespoły są bardziej efektywne. Ale czy faktycznie tak jest? Czy firma, która w swojej strategii stawia na różnorodność może liczyć na wymierne korzyści?

    Bezpieczny zakup samochodu używanego: co oznacza?

    Bezpieczny zakup samochodu używanego nie zawsze jest łatwy. Szczególnie że sprzedający ukrywają informacje, a kupujący mają ograniczone zaufanie.

    Wyższe grzywny za wykroczenia drogowe

    Podwyższenie maksymalnej wysokości grzywny za wykroczenia drogowe do 30 tys. zł zakłada projekt nowelizacji Prawa o ruchu drogowym, przyjęty przez rząd.

    Ceny mieszkań w Europie rosną szybciej niż w Polsce

    Ceny mieszkań w Europie. Ceny mieszkań oderwały się od fundamentów? Szybciej w Europie niż w Polsce – sugerują dane Eurostatu. W Polsce przez ostatnie lata ceny rosły tylko trochę szybciej niż dochody ludności. W państwach Europy Zachodniej dynamika była nawet kilkukrotnie wyższa.

    Wynajem domów w Polsce

    Wynajem domów. Wynajem domów w Polsce stanowi około 3% - 5% rynku najmu, ale jest ciekawym rozwiązaniem. Osoby zastanawiające się nad wynajmem większego mieszkania, powinny wziąć pod uwagę również dom, bo stawki czynszów za 1 mkw. są konkurencyjne. Na popularność wynajmu domów w innych krajach wpływa m.in. udział budynków jednorodzinnych w zasobie mieszkaniowym i wskaźnik urbanizacji.

    Studencie - nie daj się oszukać. Jak bezpiecznie wynająć mieszkanie, gdy sezon w pełni

    Wynajem mieszkania - studenci. Okres wakacji aż do września to typowy sezon najmu. Wiele osób stara się zaplanować na ten czas zmianę miejsca zamieszkania. Jest zazwyczaj trochę więcej wolnego, łatwiej o urlop w pracy, jest też korzystniej ze względu na zmianę szkoły dla dzieci. Równocześnie w tym samym czasie na rynku pojawiają się osoby studiujące. Młodzież rozpoczynająca studia w nowym mieście, studenci wyższych lat zmieniają lokum. Kwestie towarzyskie, uczuciowe czy chęć uzyskania większego komfortu - to najczęstsze przyczyny zmiany kwatery przez studentów.

    Kiedy warto prowadzić działalność w formie prostej spółki akcyjnej

    Od 1 lipca 2021 r. przedsiębiorcy mogą zacząć korzystać z nowej formy prowadzenia działalności, jaką jest prosta spółka akcyjna (PSA). W opracowaniu przedstawiamy, dla jakich przedsiębiorców taka forma prowadzenia działalności może być korzystna.

    Najpopularniejsze rodzaje napędów [NOWE DANE]

    Stowarzyszenie ACEA opublikowało najświeższe dane na temat najpopularniejszych rodzajów napędów. Jakie samochody wybierają kierowcy w Polsce?

    Ekspres kapsułkowy czy ciśnieniowy – który i dla kogo sprawdzi się lepiej?

    Ostatnimi czasy picie kawy przeniosło się z kawiarni pod strzechy. Nic dziwnego więc, że wiele osób stoi przed niezwykle trudnym wyborem – jaki ekspres do domu wybrać? Wśród wielu firm i modeli łatwo się zagubić. Jednak nie obawiajcie się! Odpowiadając na kilka prostych pytań, możemy łatwo stwierdzić, jaki ekspres będzie dla nas odpowiedni.

    Firmy szukają nowych pracowników

    Firmy szukają coraz więcej nowych pracowników. Liczba ofert pracy w urzędach pracy rośnie. Jakie są przyczyny?

    Dostępność infrastruktury miejskiej dla niepełnosprawnych - raport NIK

    Dostępność infrastruktury miejskiej dla niepełnosprawnych. Z przeprowadzonej przez Delegaturę Najwyższej Izby Kontroli w Gdańsku kontroli wynika, że miasta Gdynia, Kartuzy i Tczew inwestowały w infrastrukturę miejską, jednak nie w pełni zapewniły dostęp do niej osobom z utrudnionym poruszaniem się. Analizowały potrzeby i konsultowały je z mieszkańcami, jednak nie potrafiły egzekwować właściwych rekomendacji. Każda ze zbadanych przez NIK inwestycji miała jakąś przeszkodę, utrudniającą samodzielne przemieszczanie się po mieście.

    Ilu Polaków mieszka w domach jednorodzinnych a ilu w blokach?

    Dom jednorodzinny a mieszkanie w bloku. Marzenia o wyprowadzce z bloku do domu nie są w Polsce nowością. Już dziś w domach jednorodzinnych mieszka 55% rodaków – wynika z danych Eurostatu. Problem w tym, aby decyzję o wyprowadzce podjąć świadomie.

    Nie tylko negatywne skutki pandemii? [BADANIE]

    Według co czwartego Polaka pandemia przyniosła tyle samo następstw pozytywnych, co negatywnych. Tak wynika z badania zrealizowanego dla Rejestru Dłużników BIG InforMonitor.

    Kooperatywy mieszkaniowe - projekt ustawy w konsultacjach

    Kooperatywy mieszkaniowe. Projekt ustawy regulujący tworzenie kooperatyw mieszkaniowych zamieszczono 22 lipca 2021 r. na stronach Rządowego Centrum Legislacji i skierowano do konsultacji publicznych. Jego celem jest upowszechnienie kooperatyw mieszkaniowych, a przez to zwiększenie dostępności mieszkań. W projekcie zrezygnowano niestety z propozycji ulgi podatkowej dla członków kooperatywy mieszkaniowej.

    Mieszkanie Plus znów w ogniu politycznego sporu. Co to oznacza dla najemców?

    Mieszkanie Plus - Koalicja Obywatelska domaga się zwiększenia ochrony najemców programu. Jednak objęci nią byliby także najemcy mieszkań oferowanych przez prywatne firmy i fundusze. Istnieje ryzyko, że więcej by na tym stracili niż zyskali.

    Jakie są długi spółek giełdowych w 2021 r.?

    Z danych Krajowego Rejestru Długów wynika, iż zmniejszyło się zadłużenie spółek notowanych na giełdzie. Ile wynosi obecnie?

    Branża opakowań rośnie dzięki e-commerce [BADANIE]

    Pomimo wzrostu cen surowców branża opakowań rośnie w rekordowym tempie. Ważnym impulsem rozwoju pozostaje e-commerce.

    Społeczne agencje najmu od 23 lipca. Kto i jak może skorzystać z SAN?

    Społeczne agencje najmu. 23 lipca 2021 roku weszła w życie nowelizacja ustawy o niektórych formach popierania budownictwa mieszkaniowego. Dzięki nowym przepisom mogą już powstawać społeczne agencje najmu (SAN) – podmioty pośredniczące między właścicielami mieszkań na wynajem i osobami, którym dochody lub sytuacja życiowa utrudniają najem mieszkania w warunkach rynkowych. Kto i jak może skorzystać na działalności SAN?

    Ważny termin dla najemców centrów handlowych

    Covidowe prolongaty umów najmu można anulować tylko do 6 sierpnia 2021 r. Co z najemcami, którzy płacili czynsze?

    Fotowoltaika - skąd wziąć pieniądze?

    Fotowoltaika - skąd wziąć pieniądze na inwestycję? Z jakich programów korzystają Polacy? Czy fotowoltaika to oszczedności?