Aktualności

Kontrola Procesora przez Administratora Danych Osobowych

Kontrola Procesora przez Administratora Danych Osobowych

 

W poniższym artykule przybliżę Państwu jeden z obowiązków spoczywający na administratorze danych osobowych, związany z powierzeniem danych osobowych podmiotowi zewnętrznemu. Z mojego audytorskiego doświadczenia wynika, iż bardzo często pomijany jest obowiązek weryfikacji podmiotu przed podpisaniem umowy powierzenia, jak również monitorowania przestrzegania przez ten podmiot przepisów Rozporządzenia o ochronie danych osobowych (dalej: RODO) oraz warunków współpracy zawartych w umowie powierzenia.

Tytułem przypomnienia wskażmy kim jest podmiot przetwarzający (zwany także procesorem). Zgodnie z definicją wskazaną w art. 4 pkt 8 RODO, podmiotem przetwarzającym jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane w imieniu administratora. Podmiot przetwarzający działa wyłącznie na zlecenie administratora, który to decyduje o celach i sposobach przetwarzania danych osobowych. Powyższe, potwierdza także art. 29 RODO, który to stanowi, że podmiot przetwarzający przetwarza dane wyłącznie na polecenie administratora, z wyjątkiem sytuacji, gdy obowiązek przetwarzania wynika z obowiązujących przepisów prawa. Jako przykłady procesorów możemy wskazać takie podmioty jak: biuro księgowe, podmioty świadczące usługi techniczne (systemy informatyczne, serwisy internetowe), agencje marketingowe, firmy zajmujące się archiwizacją lub niszczeniem dokumentów, podmioty zewnętrzne prowadzące sprawy kadrowo-płacowe.

Kluczowym w tym zakresie jest art. 28 RODO, który wskazuje, że „Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.” Jak zatem widzimy, administrator ma obowiązek weryfikacji podmiotu, któremu zamierza powierzyć dane osobowe. Samo podpisanie umowy powierzenia, bez weryfikacji podmiotu nie zapewni zgodności przetwarzania z art. 28 ust. 1 RODO. W tym miejscu należy wspomnieć także o roli inspektora ochrony danych (jeżeli został powołany przez administratora). Trzeba pamiętać, że należy go włączyć w fazie początkowej procesu wyboru podmiotu przetwarzającego. Niestety zdarza się, iż rola inspektora zostaje ograniczona tylko do zaopiniowania gotowej umowy powierzenia, co w sposób jednoznaczny narusza jego kompetencje wynikające z art. 39 RODO.

A zatem jak monitorować podmiot przetwarzający?

Podmiot przetwarzający powinien być kontrolowany przez administratora za pomocą audytów i inspekcji. Powyższe, rekomenduje także Prezes Urzędu Ochrony Danych Osobowych wskazując, iż przeprowadzanie audytów w tym inspekcji, wynika z art. 28 ust. 3 lit. h RODO, a ten przepis prawa daje administratorowi prawne narzędzie, które może zapewnić, że proces przetwarzania jest zgodny z wymaganiami RODO. Pamiętajmy także, że przeprowadzenie przez administratora audytów oraz inspekcji jest traktowane jako jeden z istotniejszych środków bezpieczeństwa wynikającego z art. 32 ust. 1 RODO, a brak realizacji ww. obowiązków skutkuje naruszeniem art. 25 ust. 1 RODO. W związku z powyższym, uznać należy, że przeprowadzanie audytów u podmiotu przetwarzającego nie jest tylko jego uprawnieniem, jest jego obowiązkiem. Co więcej administrator zobligowany jest do regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Wszelkie operacje audytujące, które chcemy przeprowadzić w podmiocie przetwarzającym powinny być ujęte w umowie powierzenia danych, należy przede wszystkim dokładnie określić zakresy przyszłych audytów i inspekcji. Sprawdzenie może dotyczyć m. in. następujących informacji:

  • Czy podmiot przetwarzający korzysta z podwykonawców przetwarzających dane powierzone przez administratora, a w szczególności czy umowy podpisane z podwykonawcami w odpowiedni sposób regulują kwestie związane z przetwarzaniem danych administratora?

  • Czy podmiot przetwarzający stosuje fizyczne zabezpieczenia pomieszczeń (obszarów przetwarzania danych osobowych) przed dostępem osób nieuprawnionych?

  • Czy podmiot przetwarzający nadaje upoważnienia do przetwarzania danych osobowych oraz czy osoby biorące udział w procesie przetwarzania danych zostały zobowiązane do zachowania tajemnicy?

  • Czy podmiot przetwarzający wdrożył odpowiednie procedury umożliwiające bezzwłoczne i prawidłowe zgłoszenie naruszenia bezpieczeństwa danych osobowych?

  • Czy powierzone dane nie są przekazywane przez podmiot przetwarzający do państw trzecich?

  • Czy podmiot przetwarzający prowadzi dokumentacje ochrony danych osobowych, w tym rejestr kategorii czynności przetwarzania?

  • Czy podmiot przetwarzający powołał inspektora ochrony danych?

Zauważyć należy, że umieszczanie w umowie powierzenia zapisów dotyczących tylko przepisów RODO jest zbyt ogólnikowe i niewystarczalne, a samo oświadczenie procesora o spełnianiu wymogów RODO jak np.: wypełnienie listy kontrolnej jest niewystarczające by uznać, że podmiot spełnia wymagania prawne. Również długotrwała współpraca administratora z procesorem bez stosownych audytów i inspekcji nie gwarantuje, że podmiot przetwarzający realizuje w sposób właściwy zadania wynikające z przepisów prawa oraz z umowy powierzenia. Ponadto, ogromne znaczenie w tym procesie ma przestrzeganie zasady rozliczności, która to pozwoli nam w przypadku kontroli organu nadzorczego wykazać, iż przeprowadziliśmy weryfikacje podmiotu przed podpisaniem umowy powierzenia danych, jak również monitorujemy ten podmiot w trakcje wykonywania umowy.

Zapraszam, także Państwa do zapoznania się z artykułem zamieszczonym na stronie Urzędu Ochrony Danych Osobowych – „Rekordowa kara dla administratora za naruszenie ochrony danych”: DKN.5130.2215.2020

 

Sylwester Krawczyk
Inspektor Ochrony Danych
Audytor wewnętrzny ISO 27001