REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak odróżnić współadmistrowanie od powierzenia przetwarzania?

Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock
Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock

REKLAMA

REKLAMA

Przed wejściem w życie RODO pojęcie współadministrowania nie funkcjonowało. Wszelkie wspólne przedsięwzięcia i udostępnianie danych rozważano pod kątem powierzenia przetwarzania. Wiele organizacji wciąż nie jest pewnych, w jakich okolicznościach zawarcie danego rodzaju umowy będzie właściwe, a w jakich – błędne. W tym artykule wskazujemy kryteria, które warto znać i stosować.

Czym jest współadministrowanie, a czym – powierzenie przetwarzania?

REKLAMA

Współadministrowanie oznacza, że co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych (art. 26 ust. 1 RODO). Klasycznym przykładem współadministrowania jest sytuacja, w której kilka podmiotów organizuje wspólne przedsięwzięcie lub współdzieli określony zasób, np. system informatyczny, zgodnie określając sposób jego zabezpieczenia oraz cele, w jakich będzie wykorzystywany.

REKLAMA

Natomiast powierzenie przetwarzania odbywa się, gdy podmiot przetwarzający (osoba fizyczna, osoba prawna, organ publiczny lub jednostka) przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 i art. 28 RODO). Prostym przykładem powierzenia przetwarzania jest skorzystanie z usług firmy zewnętrznej, zajmującej się przechowywaniem danych (np. archiwum, usługi chmurowe) lub ich usuwaniem (firma utylizująca dokumenty i nośniki). Nie ma tutaj wspólnego ustalania celów ani sposobów – cele należą do administratora, a podmiot przetwarzający jedynie świadczy usługę, z której administrator może we własnych celach skorzystać.

W obu przypadkach występuje obowiązek zawarcia odpowiednich umów (art. 26 i 28 RODO). Identyfikacja współadministrowania wiąże się także z wymogiem wskazania współadministratorów w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a RODO), a także w klauzulach informacyjnych (art. 13 i 14 RODO), przy których użyciu najłatwiej jest spełnić obowiązek poinformowania o zasadniczej treści uzgodnień między współadministratorami (art. 26 ust. 2 RODO). Z kolei w razie powierzenia przetwarzania administrator powinien być w stanie wykazać, dlaczego uznał, że podmiot przetwarzający gwarantuje spełnienie wymogów RODO (art. 28 ust. 1 RODO).

Polecamy: Kodeks pracy 2019 - komentarz

Jakie są funkcje współadministrowania, a jakie – powierzenia przetwarzania?

Najlepszym sposobem na nabycie umiejętności odróżniania współadministrowania od powierzenia przetwarzania jest zrozumienie odmiennych funkcji, jakie pełnią te dwie konstrukcje prawne.

Dalszy ciąg materiału pod wideo

REKLAMA

Powierzenie przetwarzania zabezpiecza interesy administratora, który dla osiągnięcia swoich celów decyduje się korzystać z usług zewnętrznych podmiotów. Wówczas administrator zwykle nie ma fizycznej kontroli nad danymi osobowymi – nie konfiguruje zasobów, nie zna pracowników, a często nawet nie zna dokładnego miejsca, gdzie dane osobowe są przechowywane – w odróżnieniu od sytuacji, gdy dane przetwarzają jego wewnętrzni pracownicy. Umowa powierzenia przetwarzania jest wtedy niezbędna, aby administrator mógł dochodzić ewentualnej odpowiedzialności za działania niezgodne z jego poleceniem od zewnętrznego podmiotu.

Organizacja założona pięćdziesiąt lat temu nie ma miejsca na przechowywanie akt osobowych byłych pracowników. W związku z tym zleca to firmie archiwizującej. Dzięki umowie powierzenia przetwarzania pracodawca zachowuje kontrolę nad danymi i w razie potrzeby może dochodzić od firmy archiwizującej odpowiedzialności umownej.

Współadministrowanie zabezpiecza interesy każdego z administratorów, ponieważ umowa o podziale odpowiedzialności współadministratorów jasno wskazuje, za jaki zakres odpowiada każdy z nich. Przykładowo współadministratorzy mogą ustalić, że odpowiedzialność za realizację wymogów RODO spoczywa na tym współadministratorze:

  1. w zakresie ustalania celu, zakresu i odbiorców przetwarzanych danych – w którego imieniu jest zawierana lub obsługiwana dana umowa,
  2. w zakresie zapewnienia technicznych i organizacyjnych środków bezpieczeństwa – do którego należą zasoby przetwarzające dane osobowe,
  3. w zakresie realizacji praw osób, których dane dotyczą – który jest w stanie takie żądanie zrealizować,
  4. w zakresie zbierania zgód na przetwarzanie danych oraz spełniania obowiązku informacyjnego – który jako pierwszy pozyskuje dane osobowe.

Mimo różnych definicji i funkcji powierzenia przetwarzania i współadministrowania, granica między tymi pojęciami może się zamazywać – zwłaszcza w grupie kapitałowej, gdzie występuje wiele przepływów danych, wspólnych usług czy systemów. Ustalenie, czy mamy do czynienia z powierzeniem przetwarzania, czy ze współadministrowaniem, zależy od spełnienia kryteriów, które wyjaśniamy poniżej.

Kryterium 1: faktyczna kontrola nad ustalaniem celów i sposobów przetwarzania

Zarówno powierzenie przetwarzania, jak i współadministrowanie występują wtedy, gdy spełnione są warunki ich definicji. Możliwa jest sytuacja, w której zawarto nieprawidłową umowę – tzn. mimo zawarcia umowy powierzenia przetwarzania w praktyce występuje współadministrowanie lub na odwrót.

Jeżeli dwóch lub więcej administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni współadministratorami niezależnie od tego, czy została zawarta odpowiednia umowa. Podobnie gdy jeden podmiot przetwarza dane w imieniu drugiego, to jest on podmiotem przetwarzającym niezależnie od tego, czy została zawarta odpowiednia umowa. Przy czym brak takich umów stanowi niezgodność z RODO.

Z powyższego wynika – i taki jest też pogląd dominujący – że istnienie powierzenia przetwarzania lub współadministrowania stwierdza się na podstawie odpowiedzi na pytanie, kto faktycznie decyduje o celach i środkach przetwarzania danych (kto ma faktyczną kontrolę i może wydawać polecenia).

Grupa Robocza art. 29 ds. ochrony danych (zastąpiona przez Europejską Radę Ochrony Danych) zawarła w swojej opinii 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający” (00264/10/PL WP169) następujące przykłady współadministrowania i powierzenia przetwarzania.

Przykład współadministrowania: Przedsiębiorstwo rekrutacyjne świadczy na rzecz pracodawcy usługę globalnego dopasowania, szukając kandydatów w całej swojej bazie danych – nie tylko wśród CV skierowanych do pracodawcy.

Przykład powierzenia przetwarzania: Przedsiębiorstwo rekrutacyjne zamieszcza ogłoszenie o pracę i prowadzi rekrutację w imieniu pracodawcy – tylko na podstawie odpowiedzi na to konkretne ogłoszenie.

Jak wynika z powyższych przykładów, nawet jeśli przedsiębiorstwo rekrutacyjne prowadzi rekrutację dla pracodawcy (tzn. w celach pracodawcy), to w razie wykorzystania przy rekrutacji szerokiej bazy przedsiębiorstwa rekrutacyjnego mamy do czynienia ze współadministrowaniem. Wynika to z faktu, że faktycznie o celach i środkach przetwarzania decyduje również przedsiębiorstwo rekrutacyjne (w zakresie własnej bazy kandydatów).

Kryterium 2: wspólne przedsięwzięcie

Gdy występują wątpliwości, kto faktycznie decyduje o celach i sposobach przetwarzania danych, warto zadać pomocnicze pytanie: czyje cele będą realizowane? Jeśli cele będą wspólne albo przynajmniej będą występować obok siebie, ale w ramach jednego przedsięwzięcia, to najprawdopodobniej mamy do czynienia ze współadministrowaniem. Ilustrują to poniższe przykłady.

Przykład współadministrowania: „Za pośrednictwem platformy internetowej Twoja organizacja oferuje usługi opieki nad dziećmi. Jednocześnie Twoja organizacja ma umowę z inną spółką, która pozwala Ci oferować dodatkowe usługi. Usługi te umożliwiają rodzicom nie tylko wybór opiekunki, ale także wypożyczenie gier lub DVD, które opiekunka ze sobą zabierze. Obie spółki biorą udział w technicznej konfiguracji strony internetowej. W tym przykładzie obie spółki zdecydowały się użyć platformy w dwóch celach (usługi opieki oraz wypożyczanie gier lub DVD), i często będą dzielić się nazwiskami klientów. Spółki są współadministratorami, ponieważ nie tylko uzgodniły połączoną ofertę, ale też projektują i wykorzystują wspólną platformę internetową”.

Przykład powierzenia przetwarzania: „Browar zatrudnia wielu pracowników. Podpisuje kontrakt z firmą płacową, aby wypłacać wynagrodzenie. Browar wskazuje firmie płacowej, kiedy wynagrodzenie powinno być wypłacane, kiedy pracownik odchodzi, kiedy otrzymuje podwyżkę, a także dostarcza wszystkie inne szczegóły do odcinka wynagrodzenia oraz wypłaty. Firma płacowa dostarcza system informatyczny i przechowuje dane pracowników. Browar jest administratorem danych, zaś firma płacowa – podmiotem przetwarzającym”. W tym przypadku, firma płacowa realizuje cele pracodawcy, ponieważ na tym polega jej usługa.

Źródło przykładów: strona internetowa Komisji Europejskiej.

Kryterium 3: współdzielenie zasobów

Największą pewność przy identyfikacji współadministrowania osiągamy, gdy przynajmniej dwa podmioty wspólnie decydują zarówno o celach, jak i o sposobach przetwarzania danych. Jak czytamy w opinii 1/2010 Grupy Roboczej art. 29: „W kontekście wspólnej kontroli udział stron we wspólnym określaniu celów i sposobów może jednak przyjąć różne formy i nie musi być równo rozłożony. W przypadku wielu podmiotów mogą one być bardzo ściśle ze sobą powiązane (mając, na przykład, wspólne wszystkie cele i sposoby przetwarzania) lub pozostawać w luźniejszych stosunkach (na przykład, mając tylko wspólne cele lub wspólne sposoby przetwarzania bądź ich część)”. Zgodnie z przedstawionym rozumowaniem można rozróżnić następujące sytuacje.

Przykład współadministrowania: Dwa podmioty prowadzą wspólną bazę danych, o której zabezpieczeniu wspólnie decydują, ale którą każdy z nich wykorzystuje we własnych celach.

Przykład powierzenia przetwarzania: Spółka A decyduje się wykorzystać do obsługi swoich klientów system informatyczny, udostępniany przez inną spółkę z tej samej grupy kapitałowej – spółkę B. Dane osobowe są zapisywane na serwerach spółki B, przy czym spółka B nie ingeruje w ich treść ani nie wykorzystuje ich we własnych celach. W tej sytuacji spółka B jest podmiotem przetwarzającym.

Podsumowanie

Zrozumienie definicji oraz funkcji powierzenia przetwarzania i współadministrowania jest kluczowe dla ustalenia, z którą konstrukcją prawną mamy do czynienia. W razie wątpliwości powinniśmy zbadać, kto ma faktyczną kontrolę nad danymi, w czyich celach dane są przetwarzane oraz czy nie występuje przetwarzanie danych na wspólnych zasobach. Jeśli w którymś z przypadków decyzyjne okazują się przynajmniej dwa podmioty, to najprawdopodobniej mamy do czynienia ze współadministrowaniem.

Precyzyjne odróżnienie współadministrowania od powierzenia przetwarzania ułatwiłyby dodatkowe wytyczne oraz orzecznictwo sądów i organów nadzorczych. Niemniej dla organu nadzorczego badającego zgodność z RODO najistotniejsze będzie ustalenie, kto jest formalnie odpowiedzialny za dane operacje przetwarzania, a także czy dane były przetwarzane i udostępniane na ważnej podstawie prawnej. Brak jakiejkolwiek analizy i umowy będzie o wiele większą niezgodnością niż nieprawidłowa interpretacja przepisów i zawarcie niewłaściwego rodzaju umowy.

Autor: Dr Paweł Mielniczek, Ekspert ds. ochrony danych, ODO 24

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    KPO: Od 6 maja 2024 r. można składać wnioski na dotacje dla branży HoReCa - hotelarskiej, gastronomicznej, cateringowej, turystycznej i hotelarskiej

    Nabór wniosków na dotacje dla branży hotelarskiej, gastronomicznej i cateringowej oraz turystycznej i kulturalnej w ramach Krajowego Planu Odbudowy ogłoszono w kwietniu 2024 r. Wnioski będzie można składać od 6 maja 2024 r. do 5 czerwca 2024 r.

    Ile pracuje mikro- i mały przedsiębiorca? 40-60 godzin tygodniowo, bez zwolnień lekarskich i urlopów

    Przeciętny mikroprzedsiębiorca poświęca dużo więcej czasu na pracę niż przeciętny pracownik etatowy. Wielu przedsiębiorców nie korzysta ze zwolnień lekarskich i nie było na żadnym urlopie. Chociaż mikroprzedsiębiorcy zwykle zarabiają na poziomie średniej krajowej albo trochę więcej, to są zdecydowanie bardziej oszczędni niż większość Polaków.

    Duży wzrost cyberataków na świecie!

    Aż 28 proc. O tyle procent wzrosła liczba ataków cyberprzestępców. Hakerzy stawiają także na naukę i badania oraz sektor administracyjno-wojskowy. W Europie liczba ataków ransomware wzrosła o 64 proc. Jest się czego obawiać. 

    Nie zrobisz zakupów w swoim ulubionym sklepie osiedlowym, bo powrót VAT na żywność doprowadzi go do bankructwa

    Po ponad dwóch latach przerwy powrócił 5-procentowy VAT na żywność. Sieci dyskontów, które toczą wojnę o klientów, kuszą obietnicą, że cen nie podniosą, bo podatek wezmą na siebie. Korzystna dla klientów zapowiedź może okazać się zabójcza dla i tak słabnących i znikających z rynku małych sklepów.

    REKLAMA

    Windykacja należności krok po kroku

    Windykacja należności krok po kroku czyli jak odzyskać swoje pieniądze? Pierwszym krokiem jest windykacja przedsądowa. Co zrobić, aby windykacja była skuteczna już na tym etapie?

    Praca tymczasowa: Liczy się wynagrodzenie, lokalizacja miejsca pracy, czas trwania rekrutacji i szansa na stałą pracę

    Praca tymczasowa to nie tylko opcja dla studentów – najwięcej pracowników stanowią osoby w przedziale wiekowym 25-44 lata. Pracownicy tymczasowi przy wyborze oferty pracy najczęściej zwracają uwagę na wysokość wynagrodzenia, lokalizację miejsca pracy oraz szansę na stałe zatrudnienie, a także szybkość procesu rekrutacji.

    Uwaga! Zbyt częste zmienianie hasła ułatwia cyberataki

    Czy trzeba zmieniać hasło co miesiąc? Okazuje się, że zbyt częsta zmiana hasła ułatwia cyberataki. Wskazania do zmiany hasła przez pracowników po czasie od 30 do 90 dni powinny się zmienić. Kiedy zmiana hasła jest konieczna?

    Cyfrowa współpraca księgowych i przedsiębiorców

    Postęp w zakresie rozwiązań technologicznych oraz innowacje w sposobie komunikacji pomiędzy urzędami i podmiotami zmieniają sposób prowadzenia przedsiębiorstw - w szczególności małych i mikrofirm. Równocześnie szybka adopcja rozwiązań technologicznych sprawia, że cyfryzacja sektora publicznego - także na linii obywatel - urząd w kontekście przykładowo cyfrowych rozliczeń podatkowych – nabiera rozpędu i będzie coraz intensywniej dotykać również inne powiązane z nią sektory i branże. 

    REKLAMA

    Jak hakerzy wyciągają nasze dane? Uważaj na aktualizacje!

    Hakerzy nie próżnują i wciąż szukają nowych sposobów na wyciągnięcie danych. Wykorzystują pliki wirtualnego dysku twardego (VHD) do dostarczania wirusa - trojana zdalnego dostępu (RAT) Remcos. W Polsce szczególnie groźne są fałszywe aktualizacje. 

    Firmy przemysłowe stawiają na AI

    Większość firm (83 proc.) z sektora przemysłowego planuje zainwestować w sztuczną inteligencję w 2024 r. Tak wynika z najnowszego raportu "State of Smart Manufacturing". 

    REKLAMA