Source: http://www.abi-expert.pl/wydania/kwiecien-czerwiec-2019/art,2382,realizacja-praw-osob-w-umowach-powierzenia.html
Timestamp: 2019-06-18 01:41:42+00:00
Document Index: 44255136

Matched Legal Cases: ['art. 28', 'art. 12', 'art. 13', 'art. 15', 'art. 34', 'art. 13', 'art. 14']

Realizacja praw osób w umowach powierzenia
21-05-2019 Autor: Weronika Kowalik
Odpowiadanie na żądania oraz realizacja praw osób, których dane są przetwarzane, to jeden z obowiązków administratora. Jego spełnianie warto przemyśleć przy zawieraniu umów powierzenia przetwarzania danych. Trzeba i warto w nich zawrzeć zapisy zobowiązujące podmiot przetwarzający do świadczenia na rzecz administratora pomocy w tym zakresie.
O ile administrator decyduje o tym, że podmiot przetwarzający ma mu pomagać wywiązywać się z obowiązku realizacji praw osób, o tyle powinien uregulować te kwestie w umowie powierzenia przetwarzania danych osobowych. To, czy w procesie przetwarzania danych osobowych administrator polega wyłącznie na włas­nym personelu, bezpośrednio mu podległym, działającym pod jego bezpośrednim zwierzchnictwem, czy korzysta z usług innych podmiotów, zależy od jego samodzielnej i suwerennej decyzji. Zgodnie z rodo podmiotem przetwarzającym może być osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, zaś powierzenie przetwarzania oznacza wykonywanie operacji na danych osobowych w imieniu administratora.
Nowością bez wątpienia jest to, że w przepisach wprost wskazano, iż administrator decydujący, że przetwarzanie danych ma być wykonywane w jego imieniu, może korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia i chroniło prawa osób, których dane dotyczą (art. 28 ust. 1 rodo).
Ochrona praw osób ma następować wtedy, gdy przetwarzanie będzie polegało na wykonywaniu operacji na danych posiadanych przez administratora i powierzonych do przetwarzania podmiotowi przetwarzającemu. Wymagana jest ona także wtedy, gdy przedmiotem powierzenia jest np. legalne zgromadzenie danych przez podmiot przetwarzający na polecenie administratora i ich dalsze przetwarzanie w jego imieniu. Takie sytuacje często mają miejsce, gdy zlecane jest pozyskanie danych potencjalnych przyszłych klientów, których dane mają być następnie przetwarzane w celach marketingowych. Znaczenie realizacji praw osób jest tym istotniejsze, gdy proces przetwarzania danych osobowych, nawiązanie relacji z osobą następuje poprzez podmiot przetwarzający, w imieniu administratora. W takiej sytuacji w interesie administratora leży takie ukształtowanie postanowień umowy powierzenia i ich późniejsza realizacja, aby nie uchybić swoim obowiązkom, a w ich wypełnianiu mieć wsparcie podmiotu przetwarzającego.
Element procesu przetwarzania
Ochrona praw osób, których dane są przetwarzane, jest jednym z istotnych elementów każdego procesu przetwarzania. Także tego, który jest wykonywany w imieniu administratora przez podmiot przetwarzający i jego personel. Celem tych regulacji jest zagwarantowanie praw podmiotów danych, a więc zapewnienie im informacji o tym, że ich dane są przetwarzane, przez kogo, w jaki sposób, a także realnego wpływu na to przetwarzanie.
Przepisy rodo (rozdział III) ściśle wyznaczają zarówno zakres tych praw, jak i sposób ich wykonania.
Administrator ma nie tylko wiedzieć o tych prawach, ale przede wszystkim je respektować – zgodnie z przepisami ma m.in.:
podawać określone informacje;
zapewniać dostęp do danych;
usuwać dane;
ograniczać przetwarzanie czy uwzględniać prawo do sprzeciwu wobec profilowania albo przetwarzania w celach marketingowych.
Nie może być mu obojętne także, jak te prawa wykona.
Przejrzyste informowanie i komunikacja
Regulacje dotyczące praw osób otwiera, niezwykle ważna i nowa w porządku prawnym ochrony danych, norma dotycząca przejrzystego informowania i przejrzystej komunikacji (art. 12 rodo). Wymaga ona, by wszelkie informacje i komunikaty kierowane do osoby w związku z przetwarzaniem jej danych osobowych były zwięzłe, przejrzyste i zrozumiałe oraz sformułowane jasnym i prostym językiem. Odnosi się to zarówno do podawania informacji określonych w art. 13 i 14 rodo, jak i do prowadzenia wszelkiej komunikacji związanej z realizacją praw z art. 15–22 oraz z art. 34 rodo.
Realizacja podania informacji (obowiązku informacyjnego) z art. 13 i art. 14 rodo ma następować z inicjatywy administratora, nawet gdy przekazanie informacji następuje na jego zlecenie. Przedmiotem powierzenia może być także realizowanie podawania osobom, których dane są przetwarzane, np. w celach marketingowych, informacji w imieniu administratora przez podmiot przetwarzający.
Autorka jest dyrektorem Zespołu ds. Sektora Prywatnego w Urzędzie Ochrony Danych Osobowych.