Powierzenie przetwarzania danych i umowa z procesorem. Co trzeba wiedzieć?

Na początku wyjaśnijmy, kim właściwie jest podmiot przetwarzający. Został on zdefiniowany w art. 4 pkt 8 rozporządzenia RODO, jako osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Takim podmiotem może być np. biuro rachunkowe zajmujące się kadrami czy firma kurierska, która realizuje zamówienia na zlecenie właściciela sklepu internetowego.

Warto pamiętać, że dopuszczalny zakres działań procesora zawsze będzie określał administrator, ponieważ to on definiuje cele i sposoby przetwarzania danych. Podmiot przetwarzający nigdy nie powinno poza te granice wykroczyć, co więcej, może dokonywać przetwarzania wyłącznie w zakresie określonym w zawartej z administratorem umowie lub innym instrumencie prawnym. Przekroczenie umownych granic wiąże się z ryzykiem powstania odpowiedzialności.

Na marginesie warto zwrócić uwagę, że koncepcja powierzenia przetwarzania danych osobowych nie jest całkowicie nowa. Pojawiła się już w ustawie o ochronie danych osobowych. Unijny ustawodawca znacząco rozbudował jednak tę konstrukcję.

Od umowy powierzenia należy odróżnić upoważnienie. O ile kontrakt powierzenia zawiera się z podmiotem pozostającym na zewnątrz danej organizacji, upoważnienie jest udzielane osobom operującym wewnątrz danej struktury, a zatem pracownikom, ale też współpracownikom działającym na podstawie umowy cywilnoprawnej lub pozostającym w stosunku B2B. Prawo do udzielenia upoważnienia wynika z art. 29 RODO.

Upoważnienie jest udzielane przez administratora i ma na celu legalizację przetwarzania danych osobowych przez osobę, która takie kompetencje otrzymała. Warto pamiętać, aby upoważnienia udzielać zawsze na piśmie, szczególnie jeśli chodzi o sposoby przetwarzania danych osobowych i obowiązki podmiotu przetwarzającego dla administratora danych i odpowiedzialności podmiotu przetwarzającego jak i realizowanie obowiązków informacyjnych. Taki dokument czyni zadość zasadzie rozliczalności w razie kontroli organu nadzorczego. W treści upoważnienia powinny znaleźć się przynajmniej następujące informacje:

• data udzielenia upoważnienia – dzięki temu można ocenić, czy czynności pracownika mające na celu przetwarzanie danych nie są dokonywane przed udzieleniem upoważnienia;
• dokładne określenie osoby upoważnionej – wskazanie imienia, nazwiska, numeru PESEL, a w przypadku współpracowników B2B również nazwy firmy;
• wskazanie zakresu upoważnienia oraz podstawy prawnej działania administratora – zakres nie może być szerszy niż ten, w jakim przetwarzania dokonuje sam administrator. Dokumencie należy określić dane jakie mogą być przetwarzane przez pracownika;
• czas trwania upoważnienia i warunki jego odwołania;
• wskazanie, że osoba upoważniona jest zobowiązana do zachowania w tajemnicy wszelkich informacji, jakie zdobyła w związku z przetwarzaniem danych;
• wskazanie podmiotu upoważniającego wraz z podpisem osoby uprawnionej do jego reprezentacji (np. członkowie zarządu w spółce z o.o.).

Dla zachowania zasady przejrzystości administrator powinien zadbać o prowadzenie rejestru upoważnień. Dzięki temu nie będzie wątpliwości, który z pracowników może podejmować takie działania i w jakim zakresie.

Wspomniany już wcześniej motyw 81 oraz art. 28 ust. 3 RODO wymienia szereg elementów, które powinny znaleźć się w umowie z procesorem. Należy do nich zaliczyć przede wszystkim:

• wskazanie, że przetwarzanie danych osobowych następuje na udokumentowane polecenia administratora, chyba że działanie wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego, któremu podlega podmiot przetwarzający;
• zapewnienie, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu obowiązkowi ustawowemu w tym zakresie;
• podjęcia przez podmiot przetwarzający obowiązków związanych z zachowaniem bezpieczeństwa i integralności danych osobowych (czyli jakie działania wdraża, aby te dane były bezpieczne);
• zobowiązanie procesora, że w razie korzystania z usługi podpowierzenia podprocesor wypełnia niezbędne gwarancje bezpieczeństwa;
• oświadczenie procesora, że posiada on niezbędne środki techniczne oraz organizacyjne, aby wspierać administratora w realizacji jego obowiązków względem osób, których dane dotyczą (np. poprzez zawiadamianie o naruszeniach ich praw lub wolności);
• los danych osobowych po zakończeniu współpracy – w zależności od decyzji administratora dane te powinny zostać usunięte albo zwrócone z jednoczesnym skasowaniem wszystkich ich kopii, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie;
• obowiązek podmiotu przetwarzającego do udostępniania administratorowi wszelkich danych niezbędnych do realizacji obligacji ciążących na procesorze, a także umożliwienie przeprowadzenia audytu przez podmiot wytypowany przez administratora.

W umowie o powierzenie przetwarzania należy też precyzyjnie określić:

• podmioty ADO i procesora;
• zakres danych, cel ich przetwarzania oraz kategorie podmiotów, które mogą te operacje przeprowadzać;
• zasady kontroli działań procesora przez podmiot przetwarzający.

Oczywiście powyższe wyliczenie to jedynie niezbędne minimum treści. W praktyce warto zadbać m.in. o wprowadzenie takich elementów, jak:

• zakaz zawierania umów subprocessingu, chyba że administrator godzi się na taką ewentualność lub przynajmniej ograniczenie tej opcji poprzez wprowadzenie możliwości oceny przez administratora kompetencji podprocesora;
• kary umowne za niedochowanie obowiązków przez podmiot przetwarzający (bardzo ważne jest dokładne określenie jego obowiązków, np. poprzez wskazanie konkretnych procesów, standardów lub certyfikatów, które mają zostać wdrożone).

Choć unijny ustawodawca opracował zestaw standardowych klauzul dotyczących m.in. powierzenia przetwarzania danych osobowych, należy podchodzić do nich z dużą ostrożnością. Każdorazowo specyfika współpracy między administratorem a procesorem będzie wyglądała nieco inaczej, dlatego warto rozważyć przygotowanie takiej umowy kancelarii prawnej.

Administrator ochrony danych nie ponosi odpowiedzialności za działania lub zaniechania podmiotu przetwarzającego, który ponosi odpowiedzialność samodzielnie. W przypadku sub-processingu zastosowanie znajdzie jednak art. 28 ust. 4 RODO in fine. Stanowi on, że w sytuacji, kiedy „ten inny podmiot przetwarzający” (czyli podprocesor) nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec administratora spoczywa na pierwotnym podmiocie przetwarzającym. Co to oznacza w praktyce? Mianowicie, że podmiot przetwarzający – o ile w ogóle chce scedować ciążące na nim obowiązki – powinien to robić bardzo ostrożnie.

Odpowiedzialność cywilnoprawna podmiotu przetwarzającego wynika z art. 82 ust. 1 RODO i obejmuje zarówno szkodę majątkowo, jak i niemajątkową. Przepisy przewidują możliwość wyłączenia tej odpowiedzialności, ale procesor musi w tym celu wykazać, że w żaden sposób nie ponosi on winy za zdarzenie, które doprowadziło do powstania szkody. Jeżeli za powstanie szkody odpowiedzialnych jest kilka podmiotów przetwarzających, ich odpowiedzialność jest solidarna. Niezależnie od odpowiedzialności cywilnoprawnej na podmiot przetwarzający może zostać nałożona kara administracyjna, analogicznie jak na administratora.