Source: http://blog.e-odo.pl/tag/powierzenie-przetwarzania/
Timestamp: 2019-05-20 01:22:53+00:00
Document Index: 13232039

Matched Legal Cases: ['art. 31', 'art 51', 'Art. 31', 'art. 31', 'art. 73', 'art. 74', 'art. 74', 'SA/Wa ']

powierzenie przetwarzania Archives - Ochrona Danych Osobowych w Praktyce
Umowa powierzenia – Na co zwrócić szczególną uwagę
23 lipca 2015 24 marca 2015 przez Łukasz Onysyk
Przygotowanie skutecznego systemu ochrony danych osobowych jest związane z przygotowaniem wielu różnych elementów. Niestety w przekonaniu większości społeczeństwa ochrona danych osobowych jest utożsamiana z zebraniem zgody na przetwarzanie danych osobowych lub obowiązkiem rejestracji zbioru danych. Wielokrotnie słyszeliśmy, podczas różnego rodzaju spotkań, że ktoś zebrał zgodę lub zarejestrował zbiór danych i w związku z powyższym spełnia wszystkie wymogi ustawy o ochronie danych osobowych. Takie podejście jest zbytnim uproszczeniem. Ochrona danych osobowych to nie tylko zgody i rejestracja ale o wiele więcej elementów jakie należy spełnić.
Jednym z wymagań wynikających z ustawy o ochronie danych osobowych jest konieczność zawarcia umów powierzenia przetwarzania danych w rozumieniu art. 31 ustawy o ochronie danych osobowych. Przytoczony artykuł stanowi, iż administrator danych może powierzyć innemu podmiotowi przetwarzanie danych osobowych. Należy zaznaczyć, iż to do obowiązków administratora danych należy zawarcie komentowanej umowy. W przypadku braku umowy powierzenia administrator danych może się narazić na zarzut przekazania danych osobie nieuprawnionej i odpowiedzialność karną z art 51 oraz 52 ustawy o ochronie danych osobowych. Nie ma obowiązku, aby umowa powierzenia została zawarta na odrębnym dokumencie. Nic nie stoi na przeszkodzie aby stanowiła część umowy głównej (oddzielny paragraf czy rozdział umowy głównej).
Ustawa o ochronie danych osobowych wskazuje wprost z jakich elementów powinna być złożona umowa powierzenia. Do jej obligatoryjnych elementów należy zaliczyć wskazanie zakresu oraz celu powierzenia przetwarzania.
Zakres (czyli jakie dane powierzamy) najlepiej aby był wskazany enumeratywnie, tak samo jak w przypadku zgłoszenia zbioru do GIODO. W umowie wskazujemy więc, że zakres powierzonych danych obejmuje np. : imię, nazwisko, numer telefonu itp. Co jednak zrobić w sytuacji kiedy nie wiemy jaki dokładnie będzie zakres powierzonych danych? Taka sytuacja może mieć miejsce kiedy np. zlecamy firmie trzeciej zniszczenie dokumentów zawierających danych osobowe i nie jesteśmy wstanie wskazać zamkniętego katalogu danych. Można wtedy w umowie powierzenia nawiązać do przedmiotu umowy głównej – np. poprzez umieszczenie w niej następującej treści: „ w zakresie niezbędnym do realizacji umowy o współpracy”.
Kolejnym elementem obligatoryjnym w umowie powierzenia jest wskazanie celu. W umowie powierzenia można wskazać więcej niż jeden cel powierzenia przetwarzania. Jeżeli np. firma zewnętrzna świadczy nam usługi outsourcingu kadr oraz usługi związane z archiwizacją dokumentacji, to nic nie stoi na przeszkodzie, aby obydwa te cele wskazać w jednej umowie powierzenia. Jeżeli wskazanie celu jest problematyczne z uwagi na skomplikowanie stosunku umownego, to również tutaj odwołałbym się do samej umowy o współpracy czyli – np. poprzez umieszczenie w niej następującej treści: „w celu niezbędnym do realizacji przedmiotu umowy o współpracy”.
Ostatnim obligatoryjnym elementem związanym z zawarciem poprawnej umowy powierzenia jest forma pisemna. Art. 31 ustawy o ochronie danych osobowych przewiduje wymóg zawarcia umowy powierzenia przetwarzania danych osobowych w formie pisemnej. Należy jednak podkreślić, iż komentowany przepis nie określa jednak skutków niedochowania formy pisemnej. Zgodnie ze stanowiskiem doktryny przyjmuje się, że w odniesieniu do formy zawierania umowy powierzenia należy stosować przepisy kodeksu cywilnego o formie czynności prawnych[1]. W mojej ocenie jest, to prawidłowe podejście, gdyż art. 31 ustawy o ochronie danych osobowych korzysta z pojęcia „umowy”, które jest definicją zaczerpniętą z prawa cywilnego. W związku z powyższym należy uznać, że do umowy, czyli dwustronnej czynności prawnej, należy stosować przepisy kodeksu cywilnego o formie czynności prawnych. Zgodnie zaś z art. 73 § 1 kodeksu cywilnego należy uznać, iż umowa powierzenia przetwarzanie danych osobowych zawarta w formie innej niż pisemna jest ważna, a zastrzeżenie formy w ustawie o ochronie danych osobowych zostało dokonane do celów dowodowych (o czym stanowi art. 74 § 1 kodeksu cywilnego). W tym miejscu należy jednak przytoczyć odmienne stanowisko GIODO w omawianej kwestii – konieczność zawarcia umowy powierzenia w formie pisemnej.[2] W mojej ocenie wskazane w sprawozdaniu stanowisko GIODO jest zbyt rygorystyczne i nie współgra z literalnym brzmieniem przepisów.[3]
Z dokonanej analizy wynika, iż do umowy powierzenia przetwarzania danych osobowych należy stosować przepisy kodeksu cywilnego, a te nie przewidują w omawianej sytuacji nieważności czynności prawnej w przypadku braku formy pisemnej. Należy również podkreślić, iż brak formy pisemnej pozostaje bez wpływu na kwestie dowodowe związane z samą umową. Postawiona teza wynika wprost z art. 74 § 1 kodeksu cywilnego stanowiącego, iż ograniczenia dowodowe nie dotyczą relacji pomiędzy przedsiębiorcami, a taka sytuacja ma miejsce w związku z zawieraniem umów powierzenia.
W umowie powierzenia warto również uwzględnić inne elementy niż wyłącznie cel i zakres. Do dobrych praktyk przy zawieraniu umów powierzenia można zaliczyć dodawanie postanowień związanych z prawem do przeprowadzenia kontroli u procesora (podmiot, któremu powierzono przetwarzanie danych). Warto również podkreślić, iż niektóre dokumenty branżowe wręcz obligują do tego administratora danych (np. Rekomendacja D). Do pozostałych postanowień dodatkowych jakie można uwzględnić w umowie powierzenia zaliczyłbym: sposób wydawania upoważnień, informowanie o kontroli GIODO, kary umowne za niezgodne z umową i ustawą o ochronie danych osobowych przetwarzanie powierzonych danych oraz uregulowanie kwestii związanych z dalszym podpowierzeniem przetwarzania danych.
[1] J. Barta, R. Markiewicz, Ochrona danych osobowych Komentarz, s. 464
[2] Sprawozdanie GIODO za rok 2003, s. 130
[3] Patrz orzeczenie WSA z 6 lutego 2007 r. II SA/Wa 1786/06
Kategorie procesorTagi obowiązki administratora danych, powierzenie przetwarzania, powierzenie przetwarzania danych osobowych, umowa powierzenia przetwarzaniaDodaj komentarz
Kategorie kodeks cywilnyTagi administrator danych, gwarancja, podstawa przetwarzania, powierzenie przetwarzania, udostępnienie danych3 komentarze
Kategorie ABI, kodeks spółek hanldowych, transfer danychTagi administrator danych, powierzenie przetwarzania, spółka, udostępnienie danychDodaj komentarz