REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak odróżnić współadmistrowanie od powierzenia przetwarzania?

Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock
Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock

REKLAMA

REKLAMA

Przed wejściem w życie RODO pojęcie współadministrowania nie funkcjonowało. Wszelkie wspólne przedsięwzięcia i udostępnianie danych rozważano pod kątem powierzenia przetwarzania. Wiele organizacji wciąż nie jest pewnych, w jakich okolicznościach zawarcie danego rodzaju umowy będzie właściwe, a w jakich – błędne. W tym artykule wskazujemy kryteria, które warto znać i stosować.

Czym jest współadministrowanie, a czym – powierzenie przetwarzania?

REKLAMA

Współadministrowanie oznacza, że co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych (art. 26 ust. 1 RODO). Klasycznym przykładem współadministrowania jest sytuacja, w której kilka podmiotów organizuje wspólne przedsięwzięcie lub współdzieli określony zasób, np. system informatyczny, zgodnie określając sposób jego zabezpieczenia oraz cele, w jakich będzie wykorzystywany.

REKLAMA

Natomiast powierzenie przetwarzania odbywa się, gdy podmiot przetwarzający (osoba fizyczna, osoba prawna, organ publiczny lub jednostka) przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 i art. 28 RODO). Prostym przykładem powierzenia przetwarzania jest skorzystanie z usług firmy zewnętrznej, zajmującej się przechowywaniem danych (np. archiwum, usługi chmurowe) lub ich usuwaniem (firma utylizująca dokumenty i nośniki). Nie ma tutaj wspólnego ustalania celów ani sposobów – cele należą do administratora, a podmiot przetwarzający jedynie świadczy usługę, z której administrator może we własnych celach skorzystać.

W obu przypadkach występuje obowiązek zawarcia odpowiednich umów (art. 26 i 28 RODO). Identyfikacja współadministrowania wiąże się także z wymogiem wskazania współadministratorów w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a RODO), a także w klauzulach informacyjnych (art. 13 i 14 RODO), przy których użyciu najłatwiej jest spełnić obowiązek poinformowania o zasadniczej treści uzgodnień między współadministratorami (art. 26 ust. 2 RODO). Z kolei w razie powierzenia przetwarzania administrator powinien być w stanie wykazać, dlaczego uznał, że podmiot przetwarzający gwarantuje spełnienie wymogów RODO (art. 28 ust. 1 RODO).

Polecamy: Kodeks pracy 2019 - komentarz

Jakie są funkcje współadministrowania, a jakie – powierzenia przetwarzania?

Najlepszym sposobem na nabycie umiejętności odróżniania współadministrowania od powierzenia przetwarzania jest zrozumienie odmiennych funkcji, jakie pełnią te dwie konstrukcje prawne.

Dalszy ciąg materiału pod wideo

REKLAMA

Powierzenie przetwarzania zabezpiecza interesy administratora, który dla osiągnięcia swoich celów decyduje się korzystać z usług zewnętrznych podmiotów. Wówczas administrator zwykle nie ma fizycznej kontroli nad danymi osobowymi – nie konfiguruje zasobów, nie zna pracowników, a często nawet nie zna dokładnego miejsca, gdzie dane osobowe są przechowywane – w odróżnieniu od sytuacji, gdy dane przetwarzają jego wewnętrzni pracownicy. Umowa powierzenia przetwarzania jest wtedy niezbędna, aby administrator mógł dochodzić ewentualnej odpowiedzialności za działania niezgodne z jego poleceniem od zewnętrznego podmiotu.

Organizacja założona pięćdziesiąt lat temu nie ma miejsca na przechowywanie akt osobowych byłych pracowników. W związku z tym zleca to firmie archiwizującej. Dzięki umowie powierzenia przetwarzania pracodawca zachowuje kontrolę nad danymi i w razie potrzeby może dochodzić od firmy archiwizującej odpowiedzialności umownej.

Współadministrowanie zabezpiecza interesy każdego z administratorów, ponieważ umowa o podziale odpowiedzialności współadministratorów jasno wskazuje, za jaki zakres odpowiada każdy z nich. Przykładowo współadministratorzy mogą ustalić, że odpowiedzialność za realizację wymogów RODO spoczywa na tym współadministratorze:

  1. w zakresie ustalania celu, zakresu i odbiorców przetwarzanych danych – w którego imieniu jest zawierana lub obsługiwana dana umowa,
  2. w zakresie zapewnienia technicznych i organizacyjnych środków bezpieczeństwa – do którego należą zasoby przetwarzające dane osobowe,
  3. w zakresie realizacji praw osób, których dane dotyczą – który jest w stanie takie żądanie zrealizować,
  4. w zakresie zbierania zgód na przetwarzanie danych oraz spełniania obowiązku informacyjnego – który jako pierwszy pozyskuje dane osobowe.

Mimo różnych definicji i funkcji powierzenia przetwarzania i współadministrowania, granica między tymi pojęciami może się zamazywać – zwłaszcza w grupie kapitałowej, gdzie występuje wiele przepływów danych, wspólnych usług czy systemów. Ustalenie, czy mamy do czynienia z powierzeniem przetwarzania, czy ze współadministrowaniem, zależy od spełnienia kryteriów, które wyjaśniamy poniżej.

Kryterium 1: faktyczna kontrola nad ustalaniem celów i sposobów przetwarzania

Zarówno powierzenie przetwarzania, jak i współadministrowanie występują wtedy, gdy spełnione są warunki ich definicji. Możliwa jest sytuacja, w której zawarto nieprawidłową umowę – tzn. mimo zawarcia umowy powierzenia przetwarzania w praktyce występuje współadministrowanie lub na odwrót.

Jeżeli dwóch lub więcej administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni współadministratorami niezależnie od tego, czy została zawarta odpowiednia umowa. Podobnie gdy jeden podmiot przetwarza dane w imieniu drugiego, to jest on podmiotem przetwarzającym niezależnie od tego, czy została zawarta odpowiednia umowa. Przy czym brak takich umów stanowi niezgodność z RODO.

Z powyższego wynika – i taki jest też pogląd dominujący – że istnienie powierzenia przetwarzania lub współadministrowania stwierdza się na podstawie odpowiedzi na pytanie, kto faktycznie decyduje o celach i środkach przetwarzania danych (kto ma faktyczną kontrolę i może wydawać polecenia).

Grupa Robocza art. 29 ds. ochrony danych (zastąpiona przez Europejską Radę Ochrony Danych) zawarła w swojej opinii 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający” (00264/10/PL WP169) następujące przykłady współadministrowania i powierzenia przetwarzania.

Przykład współadministrowania: Przedsiębiorstwo rekrutacyjne świadczy na rzecz pracodawcy usługę globalnego dopasowania, szukając kandydatów w całej swojej bazie danych – nie tylko wśród CV skierowanych do pracodawcy.

Przykład powierzenia przetwarzania: Przedsiębiorstwo rekrutacyjne zamieszcza ogłoszenie o pracę i prowadzi rekrutację w imieniu pracodawcy – tylko na podstawie odpowiedzi na to konkretne ogłoszenie.

Jak wynika z powyższych przykładów, nawet jeśli przedsiębiorstwo rekrutacyjne prowadzi rekrutację dla pracodawcy (tzn. w celach pracodawcy), to w razie wykorzystania przy rekrutacji szerokiej bazy przedsiębiorstwa rekrutacyjnego mamy do czynienia ze współadministrowaniem. Wynika to z faktu, że faktycznie o celach i środkach przetwarzania decyduje również przedsiębiorstwo rekrutacyjne (w zakresie własnej bazy kandydatów).

Kryterium 2: wspólne przedsięwzięcie

Gdy występują wątpliwości, kto faktycznie decyduje o celach i sposobach przetwarzania danych, warto zadać pomocnicze pytanie: czyje cele będą realizowane? Jeśli cele będą wspólne albo przynajmniej będą występować obok siebie, ale w ramach jednego przedsięwzięcia, to najprawdopodobniej mamy do czynienia ze współadministrowaniem. Ilustrują to poniższe przykłady.

Przykład współadministrowania: „Za pośrednictwem platformy internetowej Twoja organizacja oferuje usługi opieki nad dziećmi. Jednocześnie Twoja organizacja ma umowę z inną spółką, która pozwala Ci oferować dodatkowe usługi. Usługi te umożliwiają rodzicom nie tylko wybór opiekunki, ale także wypożyczenie gier lub DVD, które opiekunka ze sobą zabierze. Obie spółki biorą udział w technicznej konfiguracji strony internetowej. W tym przykładzie obie spółki zdecydowały się użyć platformy w dwóch celach (usługi opieki oraz wypożyczanie gier lub DVD), i często będą dzielić się nazwiskami klientów. Spółki są współadministratorami, ponieważ nie tylko uzgodniły połączoną ofertę, ale też projektują i wykorzystują wspólną platformę internetową”.

Przykład powierzenia przetwarzania: „Browar zatrudnia wielu pracowników. Podpisuje kontrakt z firmą płacową, aby wypłacać wynagrodzenie. Browar wskazuje firmie płacowej, kiedy wynagrodzenie powinno być wypłacane, kiedy pracownik odchodzi, kiedy otrzymuje podwyżkę, a także dostarcza wszystkie inne szczegóły do odcinka wynagrodzenia oraz wypłaty. Firma płacowa dostarcza system informatyczny i przechowuje dane pracowników. Browar jest administratorem danych, zaś firma płacowa – podmiotem przetwarzającym”. W tym przypadku, firma płacowa realizuje cele pracodawcy, ponieważ na tym polega jej usługa.

Źródło przykładów: strona internetowa Komisji Europejskiej.

Kryterium 3: współdzielenie zasobów

Największą pewność przy identyfikacji współadministrowania osiągamy, gdy przynajmniej dwa podmioty wspólnie decydują zarówno o celach, jak i o sposobach przetwarzania danych. Jak czytamy w opinii 1/2010 Grupy Roboczej art. 29: „W kontekście wspólnej kontroli udział stron we wspólnym określaniu celów i sposobów może jednak przyjąć różne formy i nie musi być równo rozłożony. W przypadku wielu podmiotów mogą one być bardzo ściśle ze sobą powiązane (mając, na przykład, wspólne wszystkie cele i sposoby przetwarzania) lub pozostawać w luźniejszych stosunkach (na przykład, mając tylko wspólne cele lub wspólne sposoby przetwarzania bądź ich część)”. Zgodnie z przedstawionym rozumowaniem można rozróżnić następujące sytuacje.

Przykład współadministrowania: Dwa podmioty prowadzą wspólną bazę danych, o której zabezpieczeniu wspólnie decydują, ale którą każdy z nich wykorzystuje we własnych celach.

Przykład powierzenia przetwarzania: Spółka A decyduje się wykorzystać do obsługi swoich klientów system informatyczny, udostępniany przez inną spółkę z tej samej grupy kapitałowej – spółkę B. Dane osobowe są zapisywane na serwerach spółki B, przy czym spółka B nie ingeruje w ich treść ani nie wykorzystuje ich we własnych celach. W tej sytuacji spółka B jest podmiotem przetwarzającym.

Podsumowanie

Zrozumienie definicji oraz funkcji powierzenia przetwarzania i współadministrowania jest kluczowe dla ustalenia, z którą konstrukcją prawną mamy do czynienia. W razie wątpliwości powinniśmy zbadać, kto ma faktyczną kontrolę nad danymi, w czyich celach dane są przetwarzane oraz czy nie występuje przetwarzanie danych na wspólnych zasobach. Jeśli w którymś z przypadków decyzyjne okazują się przynajmniej dwa podmioty, to najprawdopodobniej mamy do czynienia ze współadministrowaniem.

Precyzyjne odróżnienie współadministrowania od powierzenia przetwarzania ułatwiłyby dodatkowe wytyczne oraz orzecznictwo sądów i organów nadzorczych. Niemniej dla organu nadzorczego badającego zgodność z RODO najistotniejsze będzie ustalenie, kto jest formalnie odpowiedzialny za dane operacje przetwarzania, a także czy dane były przetwarzane i udostępniane na ważnej podstawie prawnej. Brak jakiejkolwiek analizy i umowy będzie o wiele większą niezgodnością niż nieprawidłowa interpretacja przepisów i zawarcie niewłaściwego rodzaju umowy.

Autor: Dr Paweł Mielniczek, Ekspert ds. ochrony danych, ODO 24

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Jaki model logistyczny wybrać dla swojego sklepu internetowego?

Zakładając sklep internetowy, staniesz przed wyzwaniem organizacji całej jego logistyki. Zanim zaczniesz działalność, będziesz musiał zdecydować, gdzie magazynować swoje towary, z jakimi kurierami współpracować i jak obsługiwać zwroty od klientów. Pochłonie to mnóstwo cennego czasu i spory kapitał. W dzisiejszych czasach możesz tego jednak uniknąć. W jaki sposób? Poznaj najciekawsze modele logistyczne dla e-commerce!

Dobrzy w teorii. Dlaczego nie potrafimy odpoczywać i jak to zmienić?

Potrzeba regeneracji wydaje się oczywista dla każdego, kto funkcjonuje w naprzemiennym cyklu, w którym wysiłek absorbujący przeważającą część naszych aktywności przeplata się z czasem wolnym. Skąd zatem trudność w świadomym uwzględnianiu potrzeby wypoczynku i planowaniu przerw w zawodowym funkcjonowaniu?

Inflacja już niestraszna firmom. Obawia się jej dwa razy mniej firm niż rok temu

W rok o połowę zmalała liczba małych i średnich firm, które boją się, że inflacja może zagrozić ich biznesom. Obecnie to zaledwie co czwarte przedsiębiorstwo. Zaskakujące są jednak branże, w których te obawy są największe. Inflacja straciła też rangę najpoważniejszej obawy.

Startup - jak uzyskać ochronę patentową, ochronę znaku towarowego i prawa autorskie?

W startupach najważniejszy jest pomysł. Jak go chronić i zabezpieczyć się przed nieuprawnionym wykorzystywaniem dzieła i pobierania wynagrodzenia za korzystanie z niego przez podmioty trzecie? Jak uzyskać ochronę patentową, ochronę znaku towarowego i prawa autorskie? Dlaczego tak ważna jest umowa o zachowaniu poufności?

REKLAMA

Spółki: Premia za kontrolę w Polsce w latach 2019-2023 spadła do poziomu 13,6 proc.

Ostatnie lata przyniosły spadek aktywności na rynku wezwań w Polsce. Coraz częściej inwestorzy decydują się na ogłoszenie wezwania z zamiarem wycofania akcji spółki z obrotu giełdowego, gdy już uzyskają kontrolny pakiet akcji – wynika z najnowszej analizy KPMG, która objęła 133 wezwań do sprzedaży akcji spółek notowanych na Giełdzie Papierów Wartościowych w Warszawie w latach 2019-2023.

Firmy będą szukać specjalistów. Jakich?

Z raportu „Barometr Polskiego Rynku Pracy” Personnel Service wynika, że polskie firmy chcą poszukiwać specjalistów od automatyzacji i sztucznej inteligencji. 

Rachunki za prąd w firmie: kto musi płacić za energię elektryczną nawet trzy razy więcej niż cena giełdowa, jak tego uniknąć na przyszłość

Kryzys energetyczny wywołany przez agresję Rosji na Ukrainę doprowadził do gigantycznego wzrostu cen prądu. Wiele małych firm w obawie przed dalszym wzrostem cen zawarło wieloletnie umowy ze stałą ceną na rekordowym poziomie. To one najbardziej ucierpią na uwolnieniu cen energii.

Stare pytania, nowe odpowiedzi. Zmiana podejścia do pożądanych kompetencji menedżerskich

Obecnie organizacje nie są zainteresowane rozwojem konkretnych umiejętności liderskich ani pozyskiwaniem wiedzy, którą łatwo dziś zdobyć. Żyjemy w czasach, w których ciężko jest zaplanować długofalową strategię, dlatego wzrasta znaczenie umiejętności płynnego poruszania się w zmieniających się okolicznościach, tzw. strategizing.

REKLAMA

Wyróżniaj się bo zginiesz: o sukcesie sklepu internetowego decydują nie tylko atrakcyjne towary w dobrej cenie

W sklepie internetowym, zupełnie inaczej niż w tradycyjnym sklepie, wiarygodność osiąga się lub nie już poprzez sam wygląd aplikacji zakupowej. Bez niej nie wyróżniający się z tysięcy inny e-sklep nie odniesie sukcesu nawet oferując bardzo konkurencyjne produkty.

Restauracje ustępują miejsca barom szybkiej obsługi i sklepowej gastronomii, bo takie są wybory „zetek”

Na naszych oczach dzieje się prawdziwa rewolucja w gastronomii. Restauracje, ledwie się odbudowały po pandemii, przegrywają z barami szybciej obsługi i cateringiem, a teraz jeszcze poważnym graczem na rynku staje się gastronomia sklepowa. Wszystko to za sprawą najmłodszych klientów, którzy chcą żyć po amerykańsku.

REKLAMA