Source: https://prawowmodzie.pl/umowy-powierzenia-pod-rodo/
Timestamp: 2020-08-15 07:39:52+00:00
Document Index: 5159699

Matched Legal Cases: ['art. 28', 'art. 28', 'art. 32', 'art. 28', 'art. 32', 'Art. 31', 'art. 36', 'art. 39']

Umowy powierzenia pod RODO - gdy udostępniasz dane osobowe - Prawo w modzie - Prawo dla kreatywnych
Analizie poddam dzisiaj umowę powierzenia pod RODO oraz wyjaśnię, czym jest owe powierzenie.
Możesz obejrzeć także nagranie wideo z mojego live – Kawka z prawnikiem #live nr 21
lub odsłuchać podcastu audio w swojej ulubionej aplikacji oraz poniżej:
[spreaker type=player resource=”episode_id=18408533″ width=”100%” height=”200px” theme=”light” playlist=”false” playlist-continuous=”false” autoplay=”false” live-autoplay=”false” chapters-image=”true” episode-image-position=”right” hide-logo=”false” hide-likes=”false” hide-comments=”false” hide-sharing=”false” hide-download=”true” ]
Powierzenie przetwarzania danych osobowych ma miejsce wtedy, gdy udostępniasz te dane komuś innemu, który przetwarza je w Twoim imieniu.
Podmiot, który decyduje o wykorzystaniu danych osobowych, jest ich administratorem. Możliwa jest sytuacja, gdy o wykorzystaniu danych decyduje dwóch lub więcej współadministratorów.
Z powierzeniem przetwarzania danych osobowych będziesz miał do czynienia wielokrotnie (np. w relacji z hostingodawcą, biurem księgowym). Jeżeli podmiot, któremu powierzasz dane, nie jest członkiem Twojego personelu, powinieneś zawrzeć z nim odpowiednią umowę.
Umowa powierzenia przetwarzania danych powinna w szczególności określać:
obowiązki podmiotu przetwarzającego (wymienia je art. 28 ust. 3 RODO).
Przed sporządzeniem umowy, dokładnie prześledź procesy związane z przetwarzaniem danych osobowych, jakie zachodzą w danej działalności.
Administratorem danych osobowych jest osoba, która zarządza danymi osobowymi. Zbiera je w sposób bezpośredni lub pośredni do swojej bazy. To często właśnie administratorowi danych udziela się zgody na przesyłanie informacji marketingowych. Administrator decyduje po co i kiedy wykorzysta dane osobowe, oraz w jakim zakresie.
Pojęcie administratora nie zmienia się w sposób znaczący pod rządami nowych przepisów Ogólnego rozporządzenia o ochronie danych (RODO lub po angielsku GDPR) w stosunku do tego, co obowiązuje na dzień dzisiejszy.
Jeżeli doszłoby do sytuacji, gdzie ten podmiot trzeci przekroczy zakres swoich uprawnień, stanie się niejako administratorem tych danych osobowych w zakresie, który nie dotyczy celu, jaki ustalił pierwotny administrator. Będzie ponosił odpowiedzialność za przetwarzanie tych danych tak, jak sam administrator. Podobnie byłoby przy sprzedaży danych osobowych.
W innym wypadku, gdy równocześnie, wspólnie i za porozumieniem zaczniecie z drugim podmiotem decydować o sposobie i celu korzystania z danych osobowych, będziecie współadministratorami. Jeżeli chcecie ułożyć taką relację, warto to zrobić w formie umowy. O tym Wam wkrótce z pewnością napiszę.
Kiedy powierzamy przetwarzanie danych osobowych
Sytuacji, gdzie administrator powierzy przetwarzanie danych osobowych, które sam zebrał jest bardzo wiele. Powierzenie wystąpić może w relacji m.in. z:
hostingodawcą/serwerownią,
biurem księgowym,
współpracownikami na umowach cywilnoprawnych,
Zależy to od sytuacji, czy dochodzi do przetwarzania danych osobowych przez tę osobę, czy dana osoba może zostać uznana za personel lub, czy mówimy o zewnętrznym podmiocie trzecim.
To właśnie z tym podmiotem trzecim administrator musi zawrzeć umowę powierzenia przetwarzania danych osobowych.
W sytuacji, gdy mówi się o pracownikach na umowach o pracę lub współpracownikach na umowach cywilnoprawnych, których można zakwalifikować jako personel administratora, można takiej osobie udzielić odpowiedniego upoważnienia – zamiast zawierać z nią odrębnej umowy powierzenia.
Umowa powierzenia – z czego się składa
Ogólne rozporządzenie o ochronie danych wskazuje szereg obowiązków, jakie musimy spełnić jako podmiot przetwarzający – a w związku z tym, jakie podstawowe elementy musi zawierać umowa powierzenia:
Zgodnie z art. 28 ust. 3 RODO umowa lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający:
podejmuje wszelkie środki bezpieczeństwa wymagane na mocy art. 32 (RODO);
przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w art. 28 ust. 2 i 4 (RODO);
uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32–36 (RODO);
Dodatkowo, w związku z obowiązkiem określonym w lit. h) powyżej podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii lub państwa członkowskiego o ochronie danych.
Jak widać powyżej, RODO nakłada znacznie więcej obowiązków na administratorów, jeżeli chodzi o konstrukcję samej umowy powierzenia. Dla zestawienia, poniżej przedstawiam z jakich elementów powinna składać się umowa powierzenia pod aktualnym prawem (Ustawa o ochronie danych osobowych na dzień: 16.02.2018):
Art. 31 UODO:
Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39 (UODO), oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a (UODO). W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.
Wspomniałem o minimalnych wymaganiach – otóż, RODO wskazuje zakres, który powinna obejmować umowa powierzenia, jednakże nic nie stoi na przeszkodzie, by umowa kształtowała w szerszy sposób, jeszcze bardziej szczegółowy zobowiązanie między administratorem a podmiotem, któremu powierzamy przetwarzanie danych osobowych.
Umowa powierzenia w praktyce
Wiedząc już z jakich elementów umowa powierzenia powinna się składać, wystarczy, że udzielisz odpowiedzi na następujące pytania np.:
jakie dane będę powierzał określonemu podmiotowi,
jakie działania podmiot ten będzie mógł prowadzić przy użyciu tych danych,
przez jaki czas będzie on mógł przetwarzać dane,
Sporządzenie umowy powierzenia wymaga zaznajomienia się z procesami zachodzącymi w danej działalności. Całe RODO, jak pewnie już wiesz, ma m.in. na celu uświadomienie przedsiębiorców pod kątem bezpieczeństwa oraz poznania problematyki przetwarzana danych osobowych.
Forma pisemna umowy powierzenia
W obowiązującym do maja br. stanie prawnym umowę powierzenia można zawrzeć wyłącznie w formie pisemnej. Pomimo tego wymogu, wielkie korporacje nie wysyłały oczywiście oryginalnych wersji umów do każdego swojego klienta tylko podpisane skany. Skan formą pisemną jednak nie jest.
RODO wychodzi naprzeciw użytkownikom Internetu. Umowę powierzenia można zawrzeć w formie pisemnej, w tym także elektronicznej. Pomimo tego, że w polskim ustawodawstwie mamy wskazanie formy elektronicznej, na formę elektroniczną pod RODO w tym wypadku trzeba patrzeć europejsko – czyli bardzo szeroko.
Kończąc – dane osobowe, umowa powierzenia oraz Ogólne rozporządzenie o ochronie danych to aspekty prowadzenia działalności, których nie można pominąć, jeżeli przetwarzacie dane osobowe w jakikolwiek sposób. Udostępniając podmiotom trzecim dane osobowe, które otrzymaliście od klientów należy odpowiednio zabezpieczyć poprzez zawarcie stosownej umowy powierzenia.