Jak odróżnić współadmistrowanie od powierzenia przetwarzania?

Czym jest współadministrowanie, a czym – powierzenie przetwarzania?

Współadministrowanie oznacza, że co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych (art. 26 ust. 1 RODO). Klasycznym przykładem współadministrowania jest sytuacja, w której kilka podmiotów organizuje wspólne przedsięwzięcie lub współdzieli określony zasób, np. system informatyczny, zgodnie określając sposób jego zabezpieczenia oraz cele, w jakich będzie wykorzystywany.

Natomiast powierzenie przetwarzania odbywa się, gdy podmiot przetwarzający (osoba fizyczna, osoba prawna, organ publiczny lub jednostka) przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 i art. 28 RODO). Prostym przykładem powierzenia przetwarzania jest skorzystanie z usług firmy zewnętrznej, zajmującej się przechowywaniem danych (np. archiwum, usługi chmurowe) lub ich usuwaniem (firma utylizująca dokumenty i nośniki). Nie ma tutaj wspólnego ustalania celów ani sposobów – cele należą do administratora, a podmiot przetwarzający jedynie świadczy usługę, z której administrator może we własnych celach skorzystać.

W obu przypadkach występuje obowiązek zawarcia odpowiednich umów (art. 26 i 28 RODO). Identyfikacja współadministrowania wiąże się także z wymogiem wskazania współadministratorów w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a RODO), a także w klauzulach informacyjnych (art. 13 i 14 RODO), przy których użyciu najłatwiej jest spełnić obowiązek poinformowania o zasadniczej treści uzgodnień między współadministratorami (art. 26 ust. 2 RODO). Z kolei w razie powierzenia przetwarzania administrator powinien być w stanie wykazać, dlaczego uznał, że podmiot przetwarzający gwarantuje spełnienie wymogów RODO (art. 28 ust. 1 RODO).

Polecamy: Kodeks pracy 2019 - komentarz

Jakie są funkcje współadministrowania, a jakie – powierzenia przetwarzania?

Najlepszym sposobem na nabycie umiejętności odróżniania współadministrowania od powierzenia przetwarzania jest zrozumienie odmiennych funkcji, jakie pełnią te dwie konstrukcje prawne.

Powierzenie przetwarzania zabezpiecza interesy administratora, który dla osiągnięcia swoich celów decyduje się korzystać z usług zewnętrznych podmiotów. Wówczas administrator zwykle nie ma fizycznej kontroli nad danymi osobowymi – nie konfiguruje zasobów, nie zna pracowników, a często nawet nie zna dokładnego miejsca, gdzie dane osobowe są przechowywane – w odróżnieniu od sytuacji, gdy dane przetwarzają jego wewnętrzni pracownicy. Umowa powierzenia przetwarzania jest wtedy niezbędna, aby administrator mógł dochodzić ewentualnej odpowiedzialności za działania niezgodne z jego poleceniem od zewnętrznego podmiotu.