Source: http://www.abi-expert.pl/wydania/pazdziernikgrudzien-2017/art,1871,upowaznienie-do-przetwarzania-danych.html
Timestamp: 2017-12-15 19:42:22+00:00
Document Index: 79940584

Matched Legal Cases: ['art. 37', 'art. 39', 'art. 37', 'art. 29', 'art. 32', 'art. 37']

05-12-2017 Autor: Anna Matusiak-Wekiera
Administrator danych, wydając upoważnienie do przetwarzania danych osobowych, realizuje jeden ze swoich podstawowych obowiązków, jakim jest zabezpieczenie danych przed dostępem osób nieupoważnionych. Ustawodawca w art. 37 uodo przewiduje, że: „Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych”.
Mimo że przepisy uodo nie wskazują wprost treści oraz formy upoważnienia, w literaturze zgodnie uznaje się, że takie upoważnienie powinno mieć formę pisemną, podobnie jak ewidencja osób upoważnionych, którą administrator danych ma obowiązek prowadzić zgodnie z art. 39 uodo. W upoważnieniu należy określić informacje, które powinny znaleźć się w ewidencji osób upoważnionych, a zatem: imię i nazwisko osoby upoważnionej, datę nadania upoważnienia, datę ustania upoważnienia oraz jego zakres. Przy czym zakres danych może być rozumiany nie tylko jako kategoria przetwarzanych danych (np. imię, nazwisko, data urodzenia), ale również jako czynności, które mogą być wykonywane w ramach nadanego upoważnienia (np. usuwanie danych, zapisywanie, odczytywanie).
Podmiot działający z upoważnienia administratora – przepisy rodo
Przepisy rodo nie przewidują wprost odpowiednika art. 37 uodo, natomiast art. 29 rodo określa, że: „Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenia administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego”.
Prawodawca unijny w art. 32 ust. 4 rodo, dotyczącym bezpieczeństwa, nakłada zarówno na administratora, jak i podmiot przetwarzający obowiązek zapewnienia ograniczonego dostępu do danych osobowych wyłącznie do osób działających z upoważnienia procesora lub administratora, chyba że wymaga tego prawo UE lub prawo państwa członkowskiego. Przepisy rodo rozwiewają ewentualne wątpliwości dotyczące tego, kto wydaje upoważnienia do przetwarzania danych osobowych w przypadku powierzenia danych, co mogło mieć miejsce w związku z treścią art. 37 uodo określającego, że upoważnienie nadawane jest przez administratora danych. Rodo przewiduje bowiem nadanie upoważnienia zarówno przez administratora, jak i przez podmiot przetwarzający.
Autorka jest radcą prawnym, członkiem Komisji Ekspertów ds. reformy prawa ochrony danych osobowych w UE powołanej przy GIODO.