Source: https://kruczekblog.pl/category/rodo/page/2/
Timestamp: 2020-08-03 17:23:17
Legal References Found: art. 28
 art. 28
 art. 17
 art. 4
 art. 12
 art. 15
 art. 6

Document Content:
RODO – Strona 2. – Kruczek – Blog Prawniczy
Jak weryfikować procesora?
Nie odkryjemy Ameryki, kiedy napiszemy, że administrator odpowiada za wybór podmiotu przetwarzającego. Taka odpowiedzialność wynika z art. 28 ust. 1 RODO. Bardzo często administrator ma bardzo wąskie pole do manewru, jeśli chodzi o wybór procesora czy też narzucenie mu „swojej woli” w zakresie postanowień umowy powierzenie. Niejednokrotnie to administrator jest w ekonomicznie o wiele słabszej pozycji aniżeli wielcy dostawcy usług (w szczególności ci międzynarodowi), z którymi nie tylko niemalże niemożliwe jest ustalenie indywidualnych warunków przetwarzania oraz obowiązków procesora, ale nawet zawarcie samej umowy powierzenia. Jednak dzisiaj nie o tym – przyjmijmy, że pozycja ADO i procesora jest w miarę równa i administrator rzeczywiście ma ekonomiczny i organizacyjny wpływ na określenie postanowień umowy powierzenia oraz wybór odpowiedniego procesora. Na co zwrócić uwagę?
Pierwszym krokiem powinna być sama weryfikacja biznesowa naszego kontrahenta. Musimy najpierw po prostu chcieć nawiązać z nim współpracę. Niby banał, ale każdorazowo, gdy zawieramy z kimś umowę zasięgamy opinii albo czytamy je w Internecie. Wbrew pozorom, takie opinie bardzo często mogą nam już coś powiedzieć o stosowaniu przez potencjalnego procesora wymogów RODO. Jeżeli w powtarzających się opiniach czytamy, że firma jest nierzetelna, dochodzi u niej do częstych awarii, braku dostępności usługi, to może nam to dać do myślenia, czy aby na pewno proces organizacyjny u naszego badanego procesora jest odpowiednio ułożony.
Drugi krok to już same negocjacje umowne. Z pewnością trzeba w nie wpleść sprawdzenie wiarygodności podwykonawcy jako procesora. Checklista z odpowiednimi pytaniami powinna spełnić tu swoją rolę w przeważającej części. RODO nie narzuca obowiązku prowadzenia takiej checklisty, ale na pewno będzie ona nie tylko jakąś podstawą do weryfikacji procesora, ale pomoże nam w pewnym stopniu spełnić zasadę rozliczalności przy jego wyborze. Jakie pytania zadać? Wachlarz pytań może być bardzo różny, ale powinien być nakierowany w pierwszej kolejności na to czy procesor w ogóle wie czym jest ochrona danych osobowych i czy w swojej organizacji wdrożył odpowiednie reguły. Pytaniem, które czasem warto zadać potencjalnemu procesorowi jest pytanie z gatunku pozornie bezsensownych np. „Czy w przypadku zaistnienia incydentu dotyczącego danych osobowych w organizacji stosowana jest procedura czy proces?” Bezsensowność tego pytania sprowadza się do takiego samego sensu (a w zasadzie jego braku) w pytaniu: „Co jest cięższe? Kilogram pierza czy kilogram gwoździ?” i tę bezsensowność przygotowany do stosowania RODO procesor powinien szybko wychwycić, a wręcz ją wytknąć. Odpowiedzi z gatunku: „Proces” albo „Procedura” bez głębszego uzasadnienia, mogą postawić pod znakiem zapytania, czy procesor zrozumiał, o co chodzi w pytaniu.
Jednak najistotniejsze są najpoważniejsze kwestie, tj. prowadzenie rejestru kategorii czynności przetwarzania, stosowanie technicznych i organizacyjnych zabezpieczeń (choć procesor nie ma obowiązku ich szczegółowego opisywania, jeżeli nie dochodzi jeszcze do zawarcia umowy), stosowanie upoważnień dla personelu, współpraca z dotychczasowymi administratorami przy odpowiadaniu na żądania osób, współpraca przy zgłaszaniu naruszeń. Uwaga praktyczna: z pewnością należy unikać takich procesorów, którzy od razu chwalą się tym, że zgłaszają naruszenia za administratora. Podmiot przetwarzający nie ma takiego prawa, gdyż to ADO jest zobowiązany do oceny i zgłoszenia naruszenia. Procesor ma jedynie powiadomić ADO o naruszeniu bez zbędnej zwłoki.
Newralgiczną kwestią może być też samo negocjowanie i zawieranie umowy powierzenia. Takie umowy powinni zwykle przygotowywać i sporządzać administratorzy, gdyż to głównie oni odpowiadają za ich treść i zabezpieczenie swoich praw i obowiązków w zgodzie z RODO. Nie ulega jednak wątpliwości, że przygotowany procesor powinien zwykle dysponować własnym, choćby wstępnym, wzorem umowy powierzenia. Rzecz jasna taki wzór nie powinien być przekuwany na umowę z każdym administratorem, jednak posiadanie takiego dokumentu może świadczyć o minimalnym świadomości po stronie analizowanego procesora. Warto także obserwować procesora przy negocjowaniu umowy. Jeżeli procesor np. nie zgadza się na wpisanie prawa audytu (które przecież jest wymagane przez art. 28 ust. 3 lit. h RODO), to powinna zapalić się nam, może jeszcze nie czerwona, ale przynajmniej pomarańczowa lampka. Podobnie rzecz ma się z podpowierzeniem. Negocjacje i ustalenia dotyczące wyrażenia zgody ogólnej bądź szczegółowej to dobra okazja do sprawdzenia czy procesor ma świadomość swojej odpowiedzialności za podpowierzenie. Jeżeli ustalamy, że zgoda będzie udzielana na konkretne podmioty podprzetwarzające wymienione w załączniku do umowy powierzenia, ale procesor nie chce ujawnić tych podmiotów, to być może warto rozejrzeć się za kimś, kto bardziej wie, jaka jest jego rola w łańcuchu przetwarzania.
Nie bagatelizujmy sprawdzania procesów przez zawarciem umowy podstawowej. Pamiętajmy, że administrator odpowiada za wybór procesora i błędny wybór może prowadzić do odpowiedzialności na gruncie RODO.
Administratorze! Czy na pewno usunąłeś moje dane? Swoisty RODOparadoks
Prawo do bycia zapomnianym czyli prawo do usunięcia danych – proste (teoretycznie) prawo podmiotu danych, które administrator musi wykonać, jeżeli zaszły ku temu podstawy prawnej z art. 17 RODO. Pojawia się jednak bardzo dziwna kwestia, która wydaje się być swoistym RODOparadoksem, a mianowicie charakteru samej obsługi praw podmiotu danych pod kątem definicji przetwarzania tych danych.
Przypomnijmy zatem, że zgodnie z art. 4 pkt 2 RODO: „przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.
Niewątpliwie przy obsłudze praw podmiotów danych administrator musi dokonać identyfikacji osoby, która występuje z konkretnym żądaniem. Jeżeli istnieją uzasadnione wątpliwości co do tożsamości osoby, administrator – w myśl art. 12 ust. 6 RODO – może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby. W przypadku wpłynięcia wniosku zawierające dane żądanie o wykonanie przez administratora prawa tej osoby, dochodzi do przekazania administratorowi danych tej osoby. Obsługa prawa na pewno będzie oznaczała przechowywanie tych danych, a dodatkowo może wymagać przeprowadzenia innych operacji przetwarzania.
Nie inaczej będzie w przypadku realizacji prawa do bycia zapomnianym. Administrator w celu identyfikacji osoby żądającej usunięcia jej danych osobowych, musi zebrać od niej jej dane i je przechowywać (przynajmniej przez pewien czas uzasadniający realizację tego prawa). W tym momencie pojawia się pytanie: czy należy również usunąć dane osoby żądającej usunięcia, które zostały przekazane w związku z identyfikacją tej osoby przy realizacji prawa? Na pierwszy rzut oka wydaje się, że tak, ponieważ usunięcie wymaga usunięcia wszystkich danych (oczywiście można dyskutować o kopiach zapasowych, skanach dokumentów, mailach itd., ale to już temat na inny wpis), jednak nie należy zapominać o zasadzie rozliczalności. Administrator ma obowiązek dokumentowania realizowania praw jednostki. W zasadzie powinien on zatem przechowywać potwierdzenia korespondencji z osobą, której dane dotyczą, a także dowody na faktyczną realizację jej praw. W korespondencji przecież znajdują się dane podane w celu identyfikacji. Całościowa realizacja prawa do bycia zapomnianym wymaga zatem teoretycznie usunięcia i tych danych, jednak z drugiej strony administrator musi przestrzegać zasady rozliczalności. Powstaje zatem dziwny klincz, którego RODO wprost nie rozstrzyga.
Prawodawca unijny wprowadza administratorów w swoisty paradoks stosowania RODO, który oczywiście zwiększa ryzyko stosowania tych przepisów. Rozwiązaniem mógłby być przepis, który wskazywałby wyraźnie, że operacje lub zestaw operacji wykonywanych na danych osobowych związany z realizacją praw z art. 15 – 22 RODO nie jest przetwarzaniem. Umożliwiłoby to swobodną realizację praw i jednocześnie spełnienie wymogu zasady rozliczalności. Tak długo jednak jak stosowanie prawa odnoszącego się do ochrony danych osobowych w Unii Europejskiej będzie miało na celu głównie (a właściwie wyłącznie) ochronę praw podmiotów danych z pominięciem interesów administratorów, tak długo na taką zmianę nie ma co liczyć.
Rozwiązaniem byłoby przyjęcie wykładni celowościowej, która zakłada, że dane związane z obsługą praw i przechowywane w tym celu muszą być dalej przechowywane (czyli przetwarzane) z uwagi na sprostanie zasadzie rozliczalności. Jednocześnie nie oznacza to, że dane nie zostały usunięte. W przypadku wysunięcia kolejnego żądania po usunięciu danych, np. żądania prawa dostępności (kiedy osoba chce się upewnić, że dane zostały usunięte), ponownie wpływają kolejne dane osobowe, które wymagają przechowywania z uwagi na realizację prawa dostępności. Oczywiście wtedy – przy zastosowaniu takiego podejścia celowościowego – należałoby odpowiedzieć, że Pana/Pani dane nie są już przetwarzane, gdyż zostały usunięte. Ten RODOparadoks jednak jeszcze pewnie długo nie pozwoli o sobie zapomnieć.
Dane w CEIDG jako dane osobowe
W treści uzasadnienia wyroku WSA wydanego sprawie BisNode Sąd poruszył bardzo ważną kwestię dotyczącą ochrony danych zgromadzonych w jawnych rejestrach, w szczególności w CEIDG.
Jaki jest problem? Otóż w CEIDG znajdują się dane przedsiębiorców prowadzących jednoosobowe działalności gospodarcze. Wśród tych danych część jest jawna a część nie. Wśród danych jawnych jest m.in. imię i nazwisko, adres prowadzenia działalności, NIP, REGON, czasem e-mail i telefon kontaktowy. Czy zatem te dane, z uwagi na fakt, że są jawne i dostępne nieograniczonemu kręgowi osób, nie stanowią danych osobowych? Na tak postawione pytanie należy odpowiedzieć przecząco. RODO w żadnym miejscu nie mówi, że fakt upublicznienia jakichkolwiek danych osobowych pozbawia je istoty bycia danymi osobowymi czy też należnej im ochrony. Dane zgromadzone w CEIDG są przetwarzane w oparciu o art. 6 ust. 1 lit. c (obowiązek prawny), natomiast nic nie stoi na przeszkodzie, aby te same dane (nawet pozyskane z takiego rejestru) były przetwarzane na innej podstawie prawnej i w innych celach. Spółka BisNode przetwarza dane z CEIDG w celach typowo komercyjnych. Cel nie jest zatem taki sam jak w przypadku przetwarzania tych danych w ramach CEIDG.
Inny przykład: ujawnienie danych osobowych (np. imienia i nazwiska) lekarza na stronie internetowej, na której można wyrażać opinie o lekarzach nie oznacza, że te dane tracą walor danych osobowych czy tez nie korzystają z ochrony. Każdorazowo należy patrzeć na charakter, kontekst i cel przetwarzania danych. W końcu te same dane osobowe bardzo często (a w obecnych czasach właściwie zawsze) są przetwarzane przez różnych administratorów. Fakt przetwarzania konkretnych danych przez jednego administratora, który je upublicznia nie może w żaden sposób pozbawiać tych danych ochrony. Wynika to nie tylko z przepisów o ochronie danych osobowych, ale również z zasad logiki. Przy przyjęciu odmiennego założenia cały system ochrony danych osobowych właściwie nie miałby sensu.