Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak odróżnić współadmistrowanie od powierzenia przetwarzania?

Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock
Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock
Przed wejściem w życie RODO pojęcie współadministrowania nie funkcjonowało. Wszelkie wspólne przedsięwzięcia i udostępnianie danych rozważano pod kątem powierzenia przetwarzania. Wiele organizacji wciąż nie jest pewnych, w jakich okolicznościach zawarcie danego rodzaju umowy będzie właściwe, a w jakich – błędne. W tym artykule wskazujemy kryteria, które warto znać i stosować.

Czym jest współadministrowanie, a czym – powierzenie przetwarzania?

Współadministrowanie oznacza, że co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych (art. 26 ust. 1 RODO). Klasycznym przykładem współadministrowania jest sytuacja, w której kilka podmiotów organizuje wspólne przedsięwzięcie lub współdzieli określony zasób, np. system informatyczny, zgodnie określając sposób jego zabezpieczenia oraz cele, w jakich będzie wykorzystywany.

Natomiast powierzenie przetwarzania odbywa się, gdy podmiot przetwarzający (osoba fizyczna, osoba prawna, organ publiczny lub jednostka) przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 i art. 28 RODO). Prostym przykładem powierzenia przetwarzania jest skorzystanie z usług firmy zewnętrznej, zajmującej się przechowywaniem danych (np. archiwum, usługi chmurowe) lub ich usuwaniem (firma utylizująca dokumenty i nośniki). Nie ma tutaj wspólnego ustalania celów ani sposobów – cele należą do administratora, a podmiot przetwarzający jedynie świadczy usługę, z której administrator może we własnych celach skorzystać.

W obu przypadkach występuje obowiązek zawarcia odpowiednich umów (art. 26 i 28 RODO). Identyfikacja współadministrowania wiąże się także z wymogiem wskazania współadministratorów w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a RODO), a także w klauzulach informacyjnych (art. 13 i 14 RODO), przy których użyciu najłatwiej jest spełnić obowiązek poinformowania o zasadniczej treści uzgodnień między współadministratorami (art. 26 ust. 2 RODO). Z kolei w razie powierzenia przetwarzania administrator powinien być w stanie wykazać, dlaczego uznał, że podmiot przetwarzający gwarantuje spełnienie wymogów RODO (art. 28 ust. 1 RODO).

Polecamy: Kodeks pracy 2019 - komentarz

Jakie są funkcje współadministrowania, a jakie – powierzenia przetwarzania?

Najlepszym sposobem na nabycie umiejętności odróżniania współadministrowania od powierzenia przetwarzania jest zrozumienie odmiennych funkcji, jakie pełnią te dwie konstrukcje prawne.

Powierzenie przetwarzania zabezpiecza interesy administratora, który dla osiągnięcia swoich celów decyduje się korzystać z usług zewnętrznych podmiotów. Wówczas administrator zwykle nie ma fizycznej kontroli nad danymi osobowymi – nie konfiguruje zasobów, nie zna pracowników, a często nawet nie zna dokładnego miejsca, gdzie dane osobowe są przechowywane – w odróżnieniu od sytuacji, gdy dane przetwarzają jego wewnętrzni pracownicy. Umowa powierzenia przetwarzania jest wtedy niezbędna, aby administrator mógł dochodzić ewentualnej odpowiedzialności za działania niezgodne z jego poleceniem od zewnętrznego podmiotu.

Organizacja założona pięćdziesiąt lat temu nie ma miejsca na przechowywanie akt osobowych byłych pracowników. W związku z tym zleca to firmie archiwizującej. Dzięki umowie powierzenia przetwarzania pracodawca zachowuje kontrolę nad danymi i w razie potrzeby może dochodzić od firmy archiwizującej odpowiedzialności umownej.

Współadministrowanie zabezpiecza interesy każdego z administratorów, ponieważ umowa o podziale odpowiedzialności współadministratorów jasno wskazuje, za jaki zakres odpowiada każdy z nich. Przykładowo współadministratorzy mogą ustalić, że odpowiedzialność za realizację wymogów RODO spoczywa na tym współadministratorze:

  1. w zakresie ustalania celu, zakresu i odbiorców przetwarzanych danych – w którego imieniu jest zawierana lub obsługiwana dana umowa,
  2. w zakresie zapewnienia technicznych i organizacyjnych środków bezpieczeństwa – do którego należą zasoby przetwarzające dane osobowe,
  3. w zakresie realizacji praw osób, których dane dotyczą – który jest w stanie takie żądanie zrealizować,
  4. w zakresie zbierania zgód na przetwarzanie danych oraz spełniania obowiązku informacyjnego – który jako pierwszy pozyskuje dane osobowe.

Mimo różnych definicji i funkcji powierzenia przetwarzania i współadministrowania, granica między tymi pojęciami może się zamazywać – zwłaszcza w grupie kapitałowej, gdzie występuje wiele przepływów danych, wspólnych usług czy systemów. Ustalenie, czy mamy do czynienia z powierzeniem przetwarzania, czy ze współadministrowaniem, zależy od spełnienia kryteriów, które wyjaśniamy poniżej.

Kryterium 1: faktyczna kontrola nad ustalaniem celów i sposobów przetwarzania

Zarówno powierzenie przetwarzania, jak i współadministrowanie występują wtedy, gdy spełnione są warunki ich definicji. Możliwa jest sytuacja, w której zawarto nieprawidłową umowę – tzn. mimo zawarcia umowy powierzenia przetwarzania w praktyce występuje współadministrowanie lub na odwrót.

Jeżeli dwóch lub więcej administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni współadministratorami niezależnie od tego, czy została zawarta odpowiednia umowa. Podobnie gdy jeden podmiot przetwarza dane w imieniu drugiego, to jest on podmiotem przetwarzającym niezależnie od tego, czy została zawarta odpowiednia umowa. Przy czym brak takich umów stanowi niezgodność z RODO.

Z powyższego wynika – i taki jest też pogląd dominujący – że istnienie powierzenia przetwarzania lub współadministrowania stwierdza się na podstawie odpowiedzi na pytanie, kto faktycznie decyduje o celach i środkach przetwarzania danych (kto ma faktyczną kontrolę i może wydawać polecenia).

Grupa Robocza art. 29 ds. ochrony danych (zastąpiona przez Europejską Radę Ochrony Danych) zawarła w swojej opinii 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający” (00264/10/PL WP169) następujące przykłady współadministrowania i powierzenia przetwarzania.

Przykład współadministrowania: Przedsiębiorstwo rekrutacyjne świadczy na rzecz pracodawcy usługę globalnego dopasowania, szukając kandydatów w całej swojej bazie danych – nie tylko wśród CV skierowanych do pracodawcy.

Przykład powierzenia przetwarzania: Przedsiębiorstwo rekrutacyjne zamieszcza ogłoszenie o pracę i prowadzi rekrutację w imieniu pracodawcy – tylko na podstawie odpowiedzi na to konkretne ogłoszenie.

Jak wynika z powyższych przykładów, nawet jeśli przedsiębiorstwo rekrutacyjne prowadzi rekrutację dla pracodawcy (tzn. w celach pracodawcy), to w razie wykorzystania przy rekrutacji szerokiej bazy przedsiębiorstwa rekrutacyjnego mamy do czynienia ze współadministrowaniem. Wynika to z faktu, że faktycznie o celach i środkach przetwarzania decyduje również przedsiębiorstwo rekrutacyjne (w zakresie własnej bazy kandydatów).

Kryterium 2: wspólne przedsięwzięcie

Gdy występują wątpliwości, kto faktycznie decyduje o celach i sposobach przetwarzania danych, warto zadać pomocnicze pytanie: czyje cele będą realizowane? Jeśli cele będą wspólne albo przynajmniej będą występować obok siebie, ale w ramach jednego przedsięwzięcia, to najprawdopodobniej mamy do czynienia ze współadministrowaniem. Ilustrują to poniższe przykłady.

Przykład współadministrowania: „Za pośrednictwem platformy internetowej Twoja organizacja oferuje usługi opieki nad dziećmi. Jednocześnie Twoja organizacja ma umowę z inną spółką, która pozwala Ci oferować dodatkowe usługi. Usługi te umożliwiają rodzicom nie tylko wybór opiekunki, ale także wypożyczenie gier lub DVD, które opiekunka ze sobą zabierze. Obie spółki biorą udział w technicznej konfiguracji strony internetowej. W tym przykładzie obie spółki zdecydowały się użyć platformy w dwóch celach (usługi opieki oraz wypożyczanie gier lub DVD), i często będą dzielić się nazwiskami klientów. Spółki są współadministratorami, ponieważ nie tylko uzgodniły połączoną ofertę, ale też projektują i wykorzystują wspólną platformę internetową”.

Przykład powierzenia przetwarzania: „Browar zatrudnia wielu pracowników. Podpisuje kontrakt z firmą płacową, aby wypłacać wynagrodzenie. Browar wskazuje firmie płacowej, kiedy wynagrodzenie powinno być wypłacane, kiedy pracownik odchodzi, kiedy otrzymuje podwyżkę, a także dostarcza wszystkie inne szczegóły do odcinka wynagrodzenia oraz wypłaty. Firma płacowa dostarcza system informatyczny i przechowuje dane pracowników. Browar jest administratorem danych, zaś firma płacowa – podmiotem przetwarzającym”. W tym przypadku, firma płacowa realizuje cele pracodawcy, ponieważ na tym polega jej usługa.

Źródło przykładów: strona internetowa Komisji Europejskiej.

Kryterium 3: współdzielenie zasobów

Największą pewność przy identyfikacji współadministrowania osiągamy, gdy przynajmniej dwa podmioty wspólnie decydują zarówno o celach, jak i o sposobach przetwarzania danych. Jak czytamy w opinii 1/2010 Grupy Roboczej art. 29: „W kontekście wspólnej kontroli udział stron we wspólnym określaniu celów i sposobów może jednak przyjąć różne formy i nie musi być równo rozłożony. W przypadku wielu podmiotów mogą one być bardzo ściśle ze sobą powiązane (mając, na przykład, wspólne wszystkie cele i sposoby przetwarzania) lub pozostawać w luźniejszych stosunkach (na przykład, mając tylko wspólne cele lub wspólne sposoby przetwarzania bądź ich część)”. Zgodnie z przedstawionym rozumowaniem można rozróżnić następujące sytuacje.

Przykład współadministrowania: Dwa podmioty prowadzą wspólną bazę danych, o której zabezpieczeniu wspólnie decydują, ale którą każdy z nich wykorzystuje we własnych celach.

Przykład powierzenia przetwarzania: Spółka A decyduje się wykorzystać do obsługi swoich klientów system informatyczny, udostępniany przez inną spółkę z tej samej grupy kapitałowej – spółkę B. Dane osobowe są zapisywane na serwerach spółki B, przy czym spółka B nie ingeruje w ich treść ani nie wykorzystuje ich we własnych celach. W tej sytuacji spółka B jest podmiotem przetwarzającym.

Podsumowanie

Zrozumienie definicji oraz funkcji powierzenia przetwarzania i współadministrowania jest kluczowe dla ustalenia, z którą konstrukcją prawną mamy do czynienia. W razie wątpliwości powinniśmy zbadać, kto ma faktyczną kontrolę nad danymi, w czyich celach dane są przetwarzane oraz czy nie występuje przetwarzanie danych na wspólnych zasobach. Jeśli w którymś z przypadków decyzyjne okazują się przynajmniej dwa podmioty, to najprawdopodobniej mamy do czynienia ze współadministrowaniem.

Precyzyjne odróżnienie współadministrowania od powierzenia przetwarzania ułatwiłyby dodatkowe wytyczne oraz orzecznictwo sądów i organów nadzorczych. Niemniej dla organu nadzorczego badającego zgodność z RODO najistotniejsze będzie ustalenie, kto jest formalnie odpowiedzialny za dane operacje przetwarzania, a także czy dane były przetwarzane i udostępniane na ważnej podstawie prawnej. Brak jakiejkolwiek analizy i umowy będzie o wiele większą niezgodnością niż nieprawidłowa interpretacja przepisów i zawarcie niewłaściwego rodzaju umowy.

Autor: Dr Paweł Mielniczek, Ekspert ds. ochrony danych, ODO 24

Reklama
Zaktualizuj swoją wiedzę z naszymi publikacjami i szkoleniami
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Kolejny miesiąc spadku sprzedaży detalicznej. Czego kupujemy najmniej?

    Sprzedaż detaliczna spadła drugi miesiąc z rzędu, najbardziej paliw, mebli oraz prasy - wskazał Polski Instytut Ekonomiczny we wtorek komentując dane GUS. Dodano, że wzrosła sprzedaż odzieży, samochodów oraz farmaceutyków; większa jest też produkcja budowlana.

    Land Rover Classic Defender 90 z Lego. Tańszy, ale nie tani sposób na marzenia

    Land Rover Classic Defender 90 z Lego trafi do sprzedaży 1 kwietnia 2023 roku. Auto po złożeniu wygląda po prostu cudownie! Niestety model będzie kosztować 1149,99 zł.

    Polskie drogi są dziurawe. Nawet 40 proc. wymaga remontu!

    Polskie drogi są dziurawe. Jak duża jest skala zjawiska? Potężna! Nawet 9000 km jezdni w naszym kraju pilnie wymaga remontu.

    BMW serii 5 G60. Wersja M5 będzie... elektryczna! Piekło zamarzło?

    BMW serii 5 G60 szykuje się do rynkowego debiutu. Marka przekazuje zatem pierwsze informacje o modelu. A te brzmią dość rewolucyjnie.

    Elektryczne ciężarówki w Polsce? DHL kupiło właśnie pięć Volvo FM Electric

    Elektryczne ciężarówki w Polsce? Powoli stają się elementem drogowego krajobrazu. A zakupy DHL nie ograniczają się do pięciu Volvo FM Electric.

    Kręci nas recykling. Oponeo i druga odsłona jego akcji

    Kręci nas recykling? Oponeo ma zamiar dokładnie dziś odpalić drugą edycję swojej akcji. W jej ramach będzie sprzątać odpady i sadzić drzewa.

    Analiza: znaczny wzrost cen złota ma związek z obligacjami USA

    W poniedziałek cena złota przebiła poziom 2 tys. dolarów za uncję. Zdaniem eksperta Tomasza Niewińskiego to efekt spadku zaufania w sektorze bankowym oraz przekonania rynku, że Fed w obliczu ryzyka kryzysu finansowego przestanie podwyższać stopy.

    Wdrożenie: Czym jest onboarding w firmie?

    Już sam fakt, że nie mamy w języku polskim dobrego tłumaczenia słowa “onboarding”, wiele mówi o podejściu do przyjmowania nowych pracowników. Najbliższy ekwiwalent to “wdrożenie”, ale ten termin brzmi technicznie, a nowa osoba w firmie nie jest maszyną, którą można szybko ustawić.

    Ranking: Warszawa najlepszą destynacją turystyczną i biznesową

    Zagraniczni turyści oraz firmy dostrzegają potencjał Warszawy. Miasto zwyciężyło w rankingu European Best Destination 2023 oraz znalazło się na szóstej pozycji w globalnym zestawieniu najlepszych miejsc do podróży biznesowych. 

    Inflacja zmienia nawyki. 60% oszczędza na jedzeniu, 40% kupuje tańsze produkty

    W Polsce trwa konsumencka recesja, czyli spadek wydatków gospodarstw domowych. Inflacja sprawiła, że klienci przewartościowali swoje potrzeby i ostrożniej podejmują decyzje zakupowe. Z badania wynika, że 64% klientów sklepów deklaruje zakup tylko tych produktów, które na pewno wykorzysta, a 38% twierdzi, że „mniej znaczy więcej” – osoby te podkreślają, że nie potrzebują wszystkich rzeczy, które wcześniej wydawały się dla nich niezbędne. 

    Światło dzienne w mieszkaniu – same korzyści. Jak poprawić dostęp do światła dziennego?

    Większość Polaków zauważa poprawę samopoczucia w pomieszczeniach dobrze doświetlonych światłem dziennym, a połowa wskazuje na pogorszenie nastroju, gdy go brakuje. Jednocześnie co trzeci Polak uważa, że nie ma odpowiedniego dostępu do naturalnego światła w swoim domu - to wyniki najnowszych badań ARC Rynek i Opinia na zlecenie VELUX Polska. Tymczasem światło naturalne ma bardzo duży wpływ na nasze zdrowie psychiczne i poczucie szczęścia. Warto o tym pamiętać choćby z okazji obchodzonego 20 marca Międzynarodowego Dnia Szczęścia.

    Kasoterminale online i wirtualne kasy fiskalne, czyli nowe rozwiązania dla małych i średnich firm

    Kasoterminale online i wirtualne kasy fiskalne dla firm. Dynamiczny rozwój technologii oraz branży e-commerce otworzył nowe możliwości, usprawniając prowadzenie biznesu w Polsce. W 2020 roku zostały wprowadzone przepisy dotyczące kas wirtualnych. Przepisy te określają m.in. wymagania, jakie muszą spełniać kasy wirtualne oraz ich operatorzy w celu zapewnienia bezpieczeństwa i ochrony interesów klientów. W ślad za tymi przepisami niektórzy z dostawców rozwiązań fiskalno-płatniczych dopasowali swoją ofertę do nowych regulacji, oferując nowoczesne kasy wirtualne.

    Jak ogrzewane są polskie domy? RAPORT

    Jak ogrzewane są polskie domy? W Polsce od kilku lat można zaobserwować zmianę rodzaju stosowanych systemów centralnego ogrzewania. Odnotowano, że coraz rzadziej w nowych domach montowane są piece gazowe. Blisko 50% inwestorów w 2022 roku wybrało pompę ciepła jako centralną jednostkę instalacji grzewczej – wynika z Raportu o budowie domów w Polsce, przygotowanego przez Oferteo.pl. 

    Średnia płaca 2023. Dane z lutego pokazują wzrost

    Średnia płaca w lutym 2023. Przeciętne wynagrodzenie uległo zwiększeniu w stosunku do stycznia o 181,60 PLN do 7065,56 PLN, tj. o 2,6%.

    Hortiterapia sposobem na stres dziecięcy. Czym jest terapia ogrodnicza i jak ją stosować?

    Hortiterapię warto stosować bez względu na to czy mieszkamy na wsi, czy w mieście, w bloku, czy w domu z ogrodem. Rośliny możemy uprawiać na balkonie, w mieszkaniu na parapecie czy właśnie w ogrodzie.

    „Dokapitalizowanie” spółki komandytowej

    W związku z przejściowymi problemami finansowymi spółki komandytowej wspólnicy mogą ją wspomóc finansowo na kilka sposobów, co pozwoli na jej przetrwanie w niesprzyjającym okresie.

    Jak bezpiecznie kupić używany samochód? Oto kilka zasad

    Przy zakupie samochodu używanego najważniejsza jest weryfikacja stanu technicznego, sprawdzenie stanu prawnego i jego pochodzenie. Zgromadzone informacje powinny pomóc w zbiciu ceny.

    Jak przyłączyć źródła odnawialne do sieci?

    O zielonej energii mówimy dziś jako o integralnym i jednym z kluczowych elementów składających się na strategię zrównoważonego rozwoju. Korzystanie ze źródeł odnawialnych i ich planowanie wpływa na zmianę modeli konsumpcyjnych. Odbiorcy chcą, a poniekąd z biegiem czasu muszą, zwiększać w swoim miksie energetycznym udział zielonej energii, która niewątpliwie jest przyszłością. Z czym mierzą się w Polsce ci, którzy już dziś chcą dynamizować rynek zielonej energii od strony wytwórczej? 

    Akcje, obligacje, giełda, rynek kapitałowy – komentarz rynkowy - marzec 2023 r.

    Z rozszerzonego, lutowego komentarza rynkowego opracowanego przez Ekspertów VIG/C-QUADRAT TFI dowiedzą się Państwo: 
    - jaki wpływ na sytuację rynkową wywarły ostatnie komunikaty banków centralnych oraz polityka pieniężna Chin,
    - jak kształtują się kluczowe wskaźniki ekonomiczne, 
    - dlaczego krajowy rynek akcji ponownie dzieli się na dwie prędkości, 
    - jakie są dalsze perspektywy dla obligacji.
    Poniżej prezentujemy wybrane informacje z tego raportu.

    Inflacja bazowa z początku 2023 r. jest już znana. Jakie wnioski?

    Inflacja bazowa w styczniu i lutym 2023 roku jest już znana. Jakie wnioski można wyciągnąć na przyszłość? 

    Nowe technologie w miejscu pracy, obawy o inwigilację

    2,5 kwintyliona – tyle bajtów danych przybywa na świecie każdego dnia. Dużą część z nich wytwarzają i przetwarzają firmy. Analiza danych pozwala na podejmowanie lepszych decyzji biznesowych oraz na obniżenie kosztów operacyjnych. Przedsiębiorstwa zyskują zatem na zarządzaniu opartym na cyfrowej informacji. Czy tak samo zyskują pracownicy?

    Średnie wynagrodzenie niższe o ponad 1000 zł według siły nabywczej

    5814,16 zł brutto - tyle wynosi realna siła nabywcza średniego wynagrodzenia w sektorze przedsiębiorstw, określona przez GUS na 6883,96 zł.

    Płatności odroczone za zabiegi zdrowotne coraz popularniejsze

    Od początku 2023 roku z płatności odroczonych za zabiegi i usługi zdrowotne miesięcznie korzysta już średnio 3,5 tys. osób. To znaczący wzrost w porównaniu z 2022 rokiem.

    6 proc. średnich i dużych firm może zakończyć działalność z powodu wysokich cen energii

    6 proc. średnich i dużych firm rozważa lub już podjęło decyzję o zakończeniu działalności przedsiębiorstwa z powodu wysokich cen energii, a 26 proc. takich firm uważa, że wzrost kosztów energii stanowi zagrożenie dla ich dalszego istnienia - wynika z badania przeprowadzonego przez EY.

    Pechowy kolor samochodu, czyli kolory o największej szkodowości

    Pechowy kolor samochodu? Dziś mamy listę kolorów aut z największym ryzykiem szkody. Zestawienie jest naprawdę ciekawe.