REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak odróżnić współadmistrowanie od powierzenia przetwarzania?

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock
Jak odróżnić współadmistrowanie od powierzenia przetwarzania? /Fot. Shutterstock

REKLAMA

REKLAMA

Przed wejściem w życie RODO pojęcie współadministrowania nie funkcjonowało. Wszelkie wspólne przedsięwzięcia i udostępnianie danych rozważano pod kątem powierzenia przetwarzania. Wiele organizacji wciąż nie jest pewnych, w jakich okolicznościach zawarcie danego rodzaju umowy będzie właściwe, a w jakich – błędne. W tym artykule wskazujemy kryteria, które warto znać i stosować.

Czym jest współadministrowanie, a czym – powierzenie przetwarzania?

REKLAMA

Współadministrowanie oznacza, że co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych (art. 26 ust. 1 RODO). Klasycznym przykładem współadministrowania jest sytuacja, w której kilka podmiotów organizuje wspólne przedsięwzięcie lub współdzieli określony zasób, np. system informatyczny, zgodnie określając sposób jego zabezpieczenia oraz cele, w jakich będzie wykorzystywany.

REKLAMA

Natomiast powierzenie przetwarzania odbywa się, gdy podmiot przetwarzający (osoba fizyczna, osoba prawna, organ publiczny lub jednostka) przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 i art. 28 RODO). Prostym przykładem powierzenia przetwarzania jest skorzystanie z usług firmy zewnętrznej, zajmującej się przechowywaniem danych (np. archiwum, usługi chmurowe) lub ich usuwaniem (firma utylizująca dokumenty i nośniki). Nie ma tutaj wspólnego ustalania celów ani sposobów – cele należą do administratora, a podmiot przetwarzający jedynie świadczy usługę, z której administrator może we własnych celach skorzystać.

W obu przypadkach występuje obowiązek zawarcia odpowiednich umów (art. 26 i 28 RODO). Identyfikacja współadministrowania wiąże się także z wymogiem wskazania współadministratorów w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a RODO), a także w klauzulach informacyjnych (art. 13 i 14 RODO), przy których użyciu najłatwiej jest spełnić obowiązek poinformowania o zasadniczej treści uzgodnień między współadministratorami (art. 26 ust. 2 RODO). Z kolei w razie powierzenia przetwarzania administrator powinien być w stanie wykazać, dlaczego uznał, że podmiot przetwarzający gwarantuje spełnienie wymogów RODO (art. 28 ust. 1 RODO).

Polecamy: Kodeks pracy 2019 - komentarz

Jakie są funkcje współadministrowania, a jakie – powierzenia przetwarzania?

Najlepszym sposobem na nabycie umiejętności odróżniania współadministrowania od powierzenia przetwarzania jest zrozumienie odmiennych funkcji, jakie pełnią te dwie konstrukcje prawne.

Dalszy ciąg materiału pod wideo

REKLAMA

Powierzenie przetwarzania zabezpiecza interesy administratora, który dla osiągnięcia swoich celów decyduje się korzystać z usług zewnętrznych podmiotów. Wówczas administrator zwykle nie ma fizycznej kontroli nad danymi osobowymi – nie konfiguruje zasobów, nie zna pracowników, a często nawet nie zna dokładnego miejsca, gdzie dane osobowe są przechowywane – w odróżnieniu od sytuacji, gdy dane przetwarzają jego wewnętrzni pracownicy. Umowa powierzenia przetwarzania jest wtedy niezbędna, aby administrator mógł dochodzić ewentualnej odpowiedzialności za działania niezgodne z jego poleceniem od zewnętrznego podmiotu.

Organizacja założona pięćdziesiąt lat temu nie ma miejsca na przechowywanie akt osobowych byłych pracowników. W związku z tym zleca to firmie archiwizującej. Dzięki umowie powierzenia przetwarzania pracodawca zachowuje kontrolę nad danymi i w razie potrzeby może dochodzić od firmy archiwizującej odpowiedzialności umownej.

Współadministrowanie zabezpiecza interesy każdego z administratorów, ponieważ umowa o podziale odpowiedzialności współadministratorów jasno wskazuje, za jaki zakres odpowiada każdy z nich. Przykładowo współadministratorzy mogą ustalić, że odpowiedzialność za realizację wymogów RODO spoczywa na tym współadministratorze:

  1. w zakresie ustalania celu, zakresu i odbiorców przetwarzanych danych – w którego imieniu jest zawierana lub obsługiwana dana umowa,
  2. w zakresie zapewnienia technicznych i organizacyjnych środków bezpieczeństwa – do którego należą zasoby przetwarzające dane osobowe,
  3. w zakresie realizacji praw osób, których dane dotyczą – który jest w stanie takie żądanie zrealizować,
  4. w zakresie zbierania zgód na przetwarzanie danych oraz spełniania obowiązku informacyjnego – który jako pierwszy pozyskuje dane osobowe.

Mimo różnych definicji i funkcji powierzenia przetwarzania i współadministrowania, granica między tymi pojęciami może się zamazywać – zwłaszcza w grupie kapitałowej, gdzie występuje wiele przepływów danych, wspólnych usług czy systemów. Ustalenie, czy mamy do czynienia z powierzeniem przetwarzania, czy ze współadministrowaniem, zależy od spełnienia kryteriów, które wyjaśniamy poniżej.

Kryterium 1: faktyczna kontrola nad ustalaniem celów i sposobów przetwarzania

Zarówno powierzenie przetwarzania, jak i współadministrowanie występują wtedy, gdy spełnione są warunki ich definicji. Możliwa jest sytuacja, w której zawarto nieprawidłową umowę – tzn. mimo zawarcia umowy powierzenia przetwarzania w praktyce występuje współadministrowanie lub na odwrót.

Jeżeli dwóch lub więcej administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni współadministratorami niezależnie od tego, czy została zawarta odpowiednia umowa. Podobnie gdy jeden podmiot przetwarza dane w imieniu drugiego, to jest on podmiotem przetwarzającym niezależnie od tego, czy została zawarta odpowiednia umowa. Przy czym brak takich umów stanowi niezgodność z RODO.

Z powyższego wynika – i taki jest też pogląd dominujący – że istnienie powierzenia przetwarzania lub współadministrowania stwierdza się na podstawie odpowiedzi na pytanie, kto faktycznie decyduje o celach i środkach przetwarzania danych (kto ma faktyczną kontrolę i może wydawać polecenia).

Grupa Robocza art. 29 ds. ochrony danych (zastąpiona przez Europejską Radę Ochrony Danych) zawarła w swojej opinii 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający” (00264/10/PL WP169) następujące przykłady współadministrowania i powierzenia przetwarzania.

Przykład współadministrowania: Przedsiębiorstwo rekrutacyjne świadczy na rzecz pracodawcy usługę globalnego dopasowania, szukając kandydatów w całej swojej bazie danych – nie tylko wśród CV skierowanych do pracodawcy.

Przykład powierzenia przetwarzania: Przedsiębiorstwo rekrutacyjne zamieszcza ogłoszenie o pracę i prowadzi rekrutację w imieniu pracodawcy – tylko na podstawie odpowiedzi na to konkretne ogłoszenie.

Jak wynika z powyższych przykładów, nawet jeśli przedsiębiorstwo rekrutacyjne prowadzi rekrutację dla pracodawcy (tzn. w celach pracodawcy), to w razie wykorzystania przy rekrutacji szerokiej bazy przedsiębiorstwa rekrutacyjnego mamy do czynienia ze współadministrowaniem. Wynika to z faktu, że faktycznie o celach i środkach przetwarzania decyduje również przedsiębiorstwo rekrutacyjne (w zakresie własnej bazy kandydatów).

Kryterium 2: wspólne przedsięwzięcie

Gdy występują wątpliwości, kto faktycznie decyduje o celach i sposobach przetwarzania danych, warto zadać pomocnicze pytanie: czyje cele będą realizowane? Jeśli cele będą wspólne albo przynajmniej będą występować obok siebie, ale w ramach jednego przedsięwzięcia, to najprawdopodobniej mamy do czynienia ze współadministrowaniem. Ilustrują to poniższe przykłady.

Przykład współadministrowania: „Za pośrednictwem platformy internetowej Twoja organizacja oferuje usługi opieki nad dziećmi. Jednocześnie Twoja organizacja ma umowę z inną spółką, która pozwala Ci oferować dodatkowe usługi. Usługi te umożliwiają rodzicom nie tylko wybór opiekunki, ale także wypożyczenie gier lub DVD, które opiekunka ze sobą zabierze. Obie spółki biorą udział w technicznej konfiguracji strony internetowej. W tym przykładzie obie spółki zdecydowały się użyć platformy w dwóch celach (usługi opieki oraz wypożyczanie gier lub DVD), i często będą dzielić się nazwiskami klientów. Spółki są współadministratorami, ponieważ nie tylko uzgodniły połączoną ofertę, ale też projektują i wykorzystują wspólną platformę internetową”.

Przykład powierzenia przetwarzania: „Browar zatrudnia wielu pracowników. Podpisuje kontrakt z firmą płacową, aby wypłacać wynagrodzenie. Browar wskazuje firmie płacowej, kiedy wynagrodzenie powinno być wypłacane, kiedy pracownik odchodzi, kiedy otrzymuje podwyżkę, a także dostarcza wszystkie inne szczegóły do odcinka wynagrodzenia oraz wypłaty. Firma płacowa dostarcza system informatyczny i przechowuje dane pracowników. Browar jest administratorem danych, zaś firma płacowa – podmiotem przetwarzającym”. W tym przypadku, firma płacowa realizuje cele pracodawcy, ponieważ na tym polega jej usługa.

Źródło przykładów: strona internetowa Komisji Europejskiej.

Kryterium 3: współdzielenie zasobów

Największą pewność przy identyfikacji współadministrowania osiągamy, gdy przynajmniej dwa podmioty wspólnie decydują zarówno o celach, jak i o sposobach przetwarzania danych. Jak czytamy w opinii 1/2010 Grupy Roboczej art. 29: „W kontekście wspólnej kontroli udział stron we wspólnym określaniu celów i sposobów może jednak przyjąć różne formy i nie musi być równo rozłożony. W przypadku wielu podmiotów mogą one być bardzo ściśle ze sobą powiązane (mając, na przykład, wspólne wszystkie cele i sposoby przetwarzania) lub pozostawać w luźniejszych stosunkach (na przykład, mając tylko wspólne cele lub wspólne sposoby przetwarzania bądź ich część)”. Zgodnie z przedstawionym rozumowaniem można rozróżnić następujące sytuacje.

Przykład współadministrowania: Dwa podmioty prowadzą wspólną bazę danych, o której zabezpieczeniu wspólnie decydują, ale którą każdy z nich wykorzystuje we własnych celach.

Przykład powierzenia przetwarzania: Spółka A decyduje się wykorzystać do obsługi swoich klientów system informatyczny, udostępniany przez inną spółkę z tej samej grupy kapitałowej – spółkę B. Dane osobowe są zapisywane na serwerach spółki B, przy czym spółka B nie ingeruje w ich treść ani nie wykorzystuje ich we własnych celach. W tej sytuacji spółka B jest podmiotem przetwarzającym.

Podsumowanie

Zrozumienie definicji oraz funkcji powierzenia przetwarzania i współadministrowania jest kluczowe dla ustalenia, z którą konstrukcją prawną mamy do czynienia. W razie wątpliwości powinniśmy zbadać, kto ma faktyczną kontrolę nad danymi, w czyich celach dane są przetwarzane oraz czy nie występuje przetwarzanie danych na wspólnych zasobach. Jeśli w którymś z przypadków decyzyjne okazują się przynajmniej dwa podmioty, to najprawdopodobniej mamy do czynienia ze współadministrowaniem.

Precyzyjne odróżnienie współadministrowania od powierzenia przetwarzania ułatwiłyby dodatkowe wytyczne oraz orzecznictwo sądów i organów nadzorczych. Niemniej dla organu nadzorczego badającego zgodność z RODO najistotniejsze będzie ustalenie, kto jest formalnie odpowiedzialny za dane operacje przetwarzania, a także czy dane były przetwarzane i udostępniane na ważnej podstawie prawnej. Brak jakiejkolwiek analizy i umowy będzie o wiele większą niezgodnością niż nieprawidłowa interpretacja przepisów i zawarcie niewłaściwego rodzaju umowy.

Autor: Dr Paweł Mielniczek, Ekspert ds. ochrony danych, ODO 24

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Polska inwestycyjna zapaść – co hamuje rozwój i jak to zmienić?

Od 2015 roku stopa inwestycji w Polsce systematycznie spada. Choć może się to wydawać abstrakcyjnym wskaźnikiem makroekonomicznym, jego skutki odczuwamy wszyscy – wolniejsze tempo wzrostu gospodarczego, mniejszy przyrost zamożności, trudniejsza pogoń za Zachodem. Dlaczego tak się dzieje i czy można to odwrócić? O tym rozmawiali Szymon Glonek oraz dr Anna Szymańska z Polskiego Instytutu Ekonomicznego.

Firma za granicą jako narzędzie legalnej optymalizacji podatkowej. Fakty i mity

W dzisiejszych czasach, gdy przedsiębiorcy coraz częściej stają przed koniecznością konkurowania na globalnym rynku, pojęcie optymalizacji podatkowej staje się jednym z kluczowych elementów strategii biznesowej. Wiele osób kojarzy jednak przenoszenie firmy za granicę głównie z próbą unikania podatków lub wręcz z działaniami nielegalnymi. Tymczasem, właściwie zaplanowana firma za granicą może być w pełni legalnym i etycznym narzędziem zarządzania obciążeniami fiskalnymi. W tym artykule obalimy popularne mity, przedstawimy fakty, wyjaśnimy, które rozwiązania są legalne, a które mogą być uznane za agresywną optymalizację. Odpowiemy też na kluczowe pytanie: czy polski przedsiębiorca faktycznie zyskuje, przenosząc działalność poza Polskę?

5 sprawdzonych metod pozyskiwania klientów B2B, które działają w 2025 roku

Pozyskiwanie klientów biznesowych w 2025 roku wymaga elastyczności, innowacyjności i umiejętnego łączenia tradycyjnych oraz nowoczesnych metod sprzedaży. Zmieniające się preferencje klientów, rozwój technologii i rosnące znaczenie relacji międzyludzkich sprawiają, że firmy muszą dostosować swoje strategie, aby skutecznie docierać do nowych odbiorców. Dobry prawnik zadba o zgodność strategii z przepisami prawa oraz zapewni ochronę interesów firmy. Oto pięć sprawdzonych metod, które pomogą w pozyskiwaniu klientów w obecnym roku.

Family Business Future Summit - podsumowanie po konferencji

Pod koniec kwietnia niniejszego roku, odbyła się druga edycja wydarzenia Family Business Future Summit, które dedykowane jest przedsiębiorczości rodzinnej. Stolica Warmii i Mazur przez dwa dni gościła firmy rodzinne z całej Polski, aby esencjonalnie, inspirująco i innowacyjne opowiadać i rozmawiać o sukcesach oraz wyzwaniach stojących przed pionierami polskiej przedsiębiorczości.

REKLAMA

Fundacja rodzinna po dwóch latach – jak zmienia się myślenie o sukcesji?

Jeszcze kilka lat temu o sukcesji w firmach mówiło się niewiele. Przedsiębiorcy odsuwali tę kwestię na później, często z uwagi na brak gotowości, aby się z nią zmierzyć. Mówienie o śmierci właściciela, przekazaniu firmy i zabezpieczeniu rodziny wciąż należało do tematów „na później”.

Potencjał 33 GW z wiatraków na polskim morzu. To 57% zapotrzebowania kraju na energię. Co dalej z farmami wiatrowymi w 2026 i 2027 r.

Polski potencjał na wytwarzanie energii elektrycznej z wiatraków na morzu (offshore) wynosi 33 GW. To aż 57% rocznego zapotrzebowania kraju na energię. W 2026 i 2027 r. powstaną nowe farmy wiatrowe Baltic Power i Baltica 2. Jak zmieniają się przepisy? Co dalej?

Jak zwiększyć rentowność biura rachunkowego bez dodatkowych wydatków?

Branża księgowa to jedna z dziedzin, w których wynagrodzenie za świadczone usługi często jest mocno niedoszacowane, mimo tego, że błędy w księgowości mogą skutkować bardzo poważnymi konsekwencjami dla przedsiębiorców. W związku z tak doniosłą rolą biur rachunkowych powinny one dbać o poziom rentowności, który pozwoli właścicielom skupić się na podnoszeniu jakości świadczonych usług oraz większego spokoju, co niewątpliwie pozytywnie wpływa na dobrostan właścicieli biur oraz ich pracowników.

Samozatrudnieni i małe firmy w odwrocie? wzrasta liczba likwidowanych i zawieszanych działalności gospodarczych, co się dzieje

Według znawców tematu, czynniki decydujące ostatnio o likwidacji takich firm nie różnią się od tych sprzed roku. Znaczenie mają m.in. koszty prowadzenia biznesu, w tym składki zusowskie, a także oczekiwania finansowe pracowników.

REKLAMA

Szybki wzrost e-commerce mocno zależny od rozwoju nowych technologii: co pozwoli na zwiększenie zainteresowania zakupami online ze strony klientów

E-commerce czyli zakupy internetowe przestają być jedynie wygodną alternatywą dla handlu tradycyjnego – stają się doświadczeniem, którego jakość wyznaczają nie tylko oferta i cena, lecz także szybkość, elastyczność i przewidywalność dostawy oraz prostota ewentualnego zwrotu.

Przedsiębiorczość w Polsce ma się dobrze, mikroprzedsiębiorstwa minimalizując ryzyko działalności gospodarczej coraz częściej zaczynają od franczyzy

Najliczniejszą grupę firm zarejestrowanych w Polsce stanowią mikroprzedsiębiorstwa, a wśród nich ponad 87 tys. to podmioty działające w modelu franczyzowym. Jak zwracają uwagę ekonomiści ze Szkoły Głównej Handlowej, Polska jest liderem franczyzy w Europie Środkowo-Wschodniej.

REKLAMA