W poni\u017cszym artykule przybli\u017c\u0119 Pa\u0144stwu jeden z obowi\u0105zk\u00f3w spoczywaj\u0105cy na\u00a0administratorze danych osobowych, zwi\u0105zany z powierzeniem danych osobowych podmiotowi zewn\u0119trznemu. Z\u00a0mojego audytorskiego do\u015bwiadczenia wynika, i\u017c bardzo cz\u0119sto pomijany jest obowi\u0105zek weryfikacji podmiotu przed podpisaniem umowy powierzenia, jak r\u00f3wnie\u017c monitorowania przestrzegania przez ten podmiot przepis\u00f3w Rozporz\u0105dzenia o ochronie danych osobowych (dalej: RODO) oraz warunk\u00f3w wsp\u00f3\u0142pracy zawartych w umowie powierzenia. <\/span><\/p>\n Tytu\u0142em przypomnienia wska\u017cmy kim jest podmiot przetwarzaj\u0105cy (zwany tak\u017ce procesorem). Zgodnie z definicj\u0105 wskazan\u0105 w art. 4 pkt 8 RODO, podmiotem przetwarzaj\u0105cym jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, kt\u00f3ry przetwarza dane w imieniu administratora<\/i>. Podmiot przetwarzaj\u0105cy dzia\u0142a wy\u0142\u0105cznie na zlecenie administratora, kt\u00f3ry to\u00a0decyduje o celach i sposobach przetwarzania danych osobowych. Powy\u017csze, potwierdza tak\u017ce art. 29 RODO, kt\u00f3ry to stanowi, \u017ce podmiot przetwarzaj\u0105cy przetwarza dane wy\u0142\u0105cznie na\u00a0polecenie administratora, z wyj\u0105tkiem sytuacji, gdy obowi\u0105zek przetwarzania wynika z\u00a0obowi\u0105zuj\u0105cych przepis\u00f3w prawa. Jako przyk\u0142ady procesor\u00f3w mo\u017cemy wskaza\u0107 takie podmioty jak: biuro ksi\u0119gowe, podmioty \u015bwiadcz\u0105ce us\u0142ugi techniczne (systemy informatyczne, serwisy internetowe), agencje marketingowe, firmy zajmuj\u0105ce si\u0119 archiwizacj\u0105 lub niszczeniem dokument\u00f3w, podmioty zewn\u0119trzne prowadz\u0105ce sprawy kadrowo-p\u0142acowe. <\/span><\/p>\n Kluczowym w tym zakresie jest art. 28 RODO, kt\u00f3ry wskazuje, \u017ce \u201eJ<\/i>e\u017celi przetwarzanie ma by\u0107 dokonywane w imieniu administratora, korzysta on wy\u0142\u0105cznie z us\u0142ug takich podmiot\u00f3w przetwarzaj\u0105cych, kt\u00f3re zapewniaj\u0105 wystarczaj\u0105ce gwarancje wdro\u017cenia odpowiednich \u015brodk\u00f3w technicznych i organizacyjnych, by przetwarzanie spe\u0142nia\u0142o wymogi niniejszego rozporz\u0105dzenia i\u00a0chroni\u0142o prawa os\u00f3b, kt\u00f3rych dane dotycz\u0105<\/u><\/i>.<\/i>\u201d Jak zatem widzimy, administrator ma obowi\u0105zek weryfikacji podmiotu, kt\u00f3remu zamierza powierzy\u0107 dane osobowe. Samo podpisanie umowy powierzenia, bez weryfikacji podmiotu nie zapewni zgodno\u015bci przetwarzania z art. 28 ust. 1 RODO. W tym miejscu nale\u017cy wspomnie\u0107 tak\u017ce o roli inspektora ochrony danych (je\u017celi zosta\u0142 powo\u0142any przez administratora). Trzeba pami\u0119ta\u0107, \u017ce nale\u017cy go\u00a0w\u0142\u0105czy\u0107 w fazie pocz\u0105tkowej procesu wyboru podmiotu przetwarzaj\u0105cego. Niestety zdarza si\u0119, i\u017c rola inspektora zostaje ograniczona tylko do\u00a0zaopiniowania gotowej umowy powierzenia, co\u00a0w\u00a0spos\u00f3b jednoznaczny narusza jego kompetencje wynikaj\u0105ce z art. 39 RODO.<\/span><\/p>\n A zatem jak monitorowa\u0107 podmiot przetwarzaj\u0105cy?<\/span><\/p>\n Podmiot przetwarzaj\u0105cy powinien by\u0107 kontrolowany przez administratora za pomoc\u0105 audyt\u00f3w i\u00a0inspekcji. Powy\u017csze, rekomenduje tak\u017ce Prezes Urz\u0119du Ochrony Danych Osobowych wskazuj\u0105c, i\u017c\u00a0przeprowadzanie audyt\u00f3w w tym inspekcji, wynika z art. 28 ust. 3 lit. h RODO, <\/i>a ten przepis prawa daje administratorowi prawne narz\u0119dzie, kt\u00f3re mo\u017ce zapewni\u0107, \u017ce proces przetwarzania jest zgodny z wymaganiami RODO. Pami\u0119tajmy tak\u017ce, \u017ce przeprowadzenie przez administratora audyt\u00f3w oraz inspekcji jest traktowane jako jeden z istotniejszych \u015brodk\u00f3w bezpiecze\u0144stwa wynikaj\u0105cego z art. 32 ust. 1 RODO, a brak realizacji ww. obowi\u0105zk\u00f3w skutkuje naruszeniem art. 25 ust. 1 RODO. W zwi\u0105zku z powy\u017cszym, uzna\u0107 nale\u017cy, \u017ce przeprowadzanie audyt\u00f3w u podmiotu przetwarzaj\u0105cego nie jest tylko jego uprawnieniem, jest jego obowi\u0105zkiem. Co wi\u0119cej administrator zobligowany jest do regularnego testowania, mierzenia i oceniania skuteczno\u015bci \u015brodk\u00f3w technicznych i organizacyjnych maj\u0105cych zapewni\u0107 bezpiecze\u0144stwo przetwarzania. <\/span><\/p>\n Wszelkie operacje audytuj\u0105ce, kt\u00f3re chcemy przeprowadzi\u0107 w podmiocie przetwarzaj\u0105cym powinny by\u0107 uj\u0119te w umowie powierzenia danych, nale\u017cy przede wszystkim dok\u0142adnie okre\u015bli\u0107 zakresy przysz\u0142ych audyt\u00f3w i inspekcji. Sprawdzenie mo\u017ce dotyczy\u0107 m. in. nast\u0119puj\u0105cych informacji: <\/span><\/p>\n Czy podmiot przetwarzaj\u0105cy korzysta z podwykonawc\u00f3w przetwarzaj\u0105cych dane powierzone przez administratora, a w szczeg\u00f3lno\u015bci czy umowy podpisane z\u00a0podwykonawcami w odpowiedni spos\u00f3b reguluj\u0105 kwestie zwi\u0105zane z przetwarzaniem danych administratora?<\/span><\/p>\n<\/li>\n Czy podmiot przetwarzaj\u0105cy stosuje fizyczne zabezpieczenia pomieszcze\u0144 (obszar\u00f3w przetwarzania danych osobowych) przed dost\u0119pem os\u00f3b nieuprawnionych?<\/span><\/p>\n<\/li>\n Czy podmiot przetwarzaj\u0105cy nadaje upowa\u017cnienia do przetwarzania danych osobowych oraz czy osoby bior\u0105ce udzia\u0142 w procesie przetwarzania danych zosta\u0142y zobowi\u0105zane do\u00a0zachowania tajemnicy?<\/span><\/p>\n<\/li>\n Czy podmiot przetwarzaj\u0105cy wdro\u017cy\u0142 odpowiednie procedury umo\u017cliwiaj\u0105ce bezzw\u0142oczne i\u00a0prawid\u0142owe zg\u0142oszenie naruszenia bezpiecze\u0144stwa danych osobowych?<\/span><\/p>\n<\/li>\n Czy powierzone dane nie s\u0105 przekazywane przez podmiot przetwarzaj\u0105cy do pa\u0144stw trzecich?<\/span><\/p>\n<\/li>\n Czy podmiot przetwarzaj\u0105cy prowadzi dokumentacje ochrony danych osobowych, w tym rejestr kategorii czynno\u015bci przetwarzania?<\/span><\/p>\n<\/li>\n Czy podmiot przetwarzaj\u0105cy powo\u0142a\u0142 inspektora ochrony danych? <\/span><\/p>\n<\/li>\n<\/ul>\n Zauwa\u017cy\u0107 nale\u017cy, \u017ce umieszczanie w umowie powierzenia zapis\u00f3w dotycz\u0105cych tylko przepis\u00f3w RODO jest zbyt og\u00f3lnikowe i niewystarczalne, a samo o\u015bwiadczenie procesora o spe\u0142nianiu wymog\u00f3w RODO jak np.: wype\u0142nienie listy kontrolnej jest niewystarczaj\u0105ce by uzna\u0107, \u017ce podmiot spe\u0142nia wymagania prawne. R\u00f3wnie\u017c d\u0142ugotrwa\u0142a wsp\u00f3\u0142praca administratora z procesorem bez stosownych audyt\u00f3w i inspekcji nie gwarantuje, \u017ce podmiot przetwarzaj\u0105cy realizuje w spos\u00f3b w\u0142a\u015bciwy zadania wynikaj\u0105ce z przepis\u00f3w prawa oraz z umowy powierzenia. Ponadto, ogromne znaczenie w tym procesie ma przestrzeganie zasady rozliczno\u015bci, kt\u00f3ra to pozwoli nam w\u00a0przypadku kontroli organu nadzorczego wykaza\u0107, i\u017c przeprowadzili\u015bmy weryfikacje podmiotu przed podpisaniem umowy powierzenia danych, jak r\u00f3wnie\u017c monitorujemy ten podmiot w trakcje wykonywania umowy.<\/span><\/p>\n Zapraszam, tak\u017ce Pa\u0144stwa do zapoznania si\u0119 z artyku\u0142em zamieszczonym na stronie Urz\u0119du Ochrony Danych Osobowych \u2013 \u201eRekordowa kara dla administratora za naruszenie ochrony danych\u201d:\u00a0DKN.5130.2215.2020<\/a><\/span><\/p>\n \u00a0<\/span><\/p>\n\n