REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Wpływ RODO na wybór podwykonawców przez administratora

ekspert z zakresu ochrony danych osobowych
Wpływ RODO na wybór podwykonawców przez administratora/Fot. Shutterstock
Wpływ RODO na wybór podwykonawców przez administratora/Fot. Shutterstock

REKLAMA

REKLAMA

Jak RODO wpływa na wybór podwykonawców przez administratora? Czy zawsze istnieje relacja powierzenia przetwarzania danych osobowych?

Nie będzie przesady w stwierdzeniu, że zasadniczo każdy administrator korzysta z usług podmiotów przetwarzających albo prędzej czy później będzie z takich usług korzystał. Hosting, usługa pocztowa, zewnętrzne biuro rachunkowe, zewnętrzna obsługa informatyczna – te usługi z dużą dozą prawdopodobieństwa wywołają konieczność zawarcia umowy powierzenia przetwarzania danych osobowych.

REKLAMA

Podmiot przetwarzający

Czy jednak podwykonawstwo zawsze oznacza istnienie relacji powierzenia przetwarzania danych osobowych? W świetle art. 4 pkt 8) RODO[1] podmiot przetwarzający” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora”. Jeżeli planowane jest przetwarzanie - czyli np. zbieranie danych, przechowywanie, organizowanie, utrwalanie, niszczenie etc. – które ma nastąpić nie w imieniu własnym podwykonawcy, lecz w imieniu administratora, należy uznać, że występuje relacja powierzenia przetwarzania danych osobowych. Wywołuje to konieczność zawarcia umowy powierzenia przetwarzania danych osobowych. Wprawdzie art. 29 RODO dopuszcza określenie zasad ochrony danych osobowych w ramach relacji powierzenia w drodze nie tylko umowy, ale też na podstawie tzw. innego instrumentu prawnego, (które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora), najczęściej mamy jednak do czynienia z umową powierzenia przetwarzania danych osobowych.

Obowiązki administratora

REKLAMA

Umowa powierzenia powinna określać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora. Minimalną treść umowy powierzenia określa art. 28 ust. 3 RODO.

Wymóg zawarcia umowy powierzenia nie jest jednak jedynym, który dotyczy administratora w przypadku zaistnienia tego typu relacji. Art. 28 ust. 1 RODO nakłada bowiem na administratora dodatkowe obowiązki w zakresie weryfikacji podmiotu przetwarzającego. W myśl powołanego przepisu administrator powierzający przetwarzanie danych osobowych, korzysta wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.

Czy taka weryfikacja jest konieczna

Dalszy ciąg materiału pod wideo

Weryfikacja może polegać na zebraniu informacji od potencjalnego podmiotu przetwarzającego na temat stosowanych środków technicznych i organizacyjnych ochrony danych osobowych, ale powinna być procesem ciągłym, rozciągającym się także na etap realizacji umowy. Konieczność weryfikacji i uwzględnienie jej w postanowieniach umowy powierzenia nie powinny podlegać dyskusji. Pozytywny wynik takiej weryfikacji oznacza zdolność podmiotu przetwarzającego do zapewnienia ochrony danych osobowych na poziomie wymaganym przez RODO.

Spotykany w praktyce opór podwykonawcy co do poddania się takiej weryfikacji. oznacza często niezrozumienie wymogów, jakie na podmioty przetwarzające nakłada RODO, w tym także wiedzy o wynikających z RODO regulacjach kierowanych wprost do podmiotu przetwarzającego.

Jakie błędy popełnia administrator?

REKLAMA

Pierwszym błędem jest niewłączanie inspektorów ochrony danych lub osób odpowiedzialnych za przetwarzanie danych osobowych w organizacji w procesy przetwarzania danych osobowych albo pomijanie rekomendacji dotyczących gwarancji właściwej ochrony danych osobowych. Drugim - nieuwzględnienie wymogów ochrony danych osobowych przy wyborze podmiotów współpracujących oraz przy podejmowaniu ustaleń dotyczących udostępniania danych osobowych takim podmiotom. Trzecim - odkładanie w czasie momentu zawarcia umowy powierzenia przetwarzania danych osobowych. Przesuwanie „na później” momentu zawarcia takiej umowy może oznaczać niezawarcie jej w ogóle, a jednocześnie jest przetwarzaniem danych osobowych przez podmioty nieuprawnione. Kolejnym – niewyciągnięcie wniosków płynących z negocjacji treści umowy powierzenia z potencjalnym podmiotem przetwarzającym; jeśli podmiot przetwarzający kwestionuje obowiązki wynikające z RODO, np. z art. 28 RODO, nie może to oznaczać poważnego podejścia do zabezpieczeń, wymogów dotyczących dalszych podmiotów przetwarzających, obowiązków dokumentacyjnych, realizacji praw podmiotów danych etc.

Wreszcie, należałoby powiedzieć, że znajomość wymogów ochrony danych osobowych wynikających z RODO, jak i świadomość konieczności zawarcia umowy powierzenia powinny być obecnie standardem poświadczających właściwe podejście do wymogów ochrony danych osobowych. Brak dostatecznej weryfikacji podmiotu przetwarzającego lub negatywny wynik takiej weryfikacji, mogą oznaczać, że rozważany podwykonawca nie daje wystarczających gwarancji prawidłowego postępowania z danymi osobowymi.


[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Samochody do 300 000 zł lub 230 000 zł. PFRON. Niestety istotna jest kolejność zgłoszenia [Dopłaty dla osób niepełnosprawnych]

Wnioski są przyjmowane od 3 marca 2025 r. (start godz. 10). Po upływie terminu składania wniosków w danej turze naboru PFRON utworzy listę rankingową złożonych wniosków, ułożoną według sumy liczby punktów za spełnianie poszczególnych kryteriów. Niestety w dalszym ciągu decyduje kolejność zgłoszenia dla wniosków z taką samą liczbą punktów. Powoduje to, że pomimo, iż formalnie osoby niepełnosprawne nie muszą być złożone 3 marca, to i tak opłaca się je złożyć jak najwcześniej. Szkoda, że PFRON nie zmienił tego.

Komunikat: W 2025 r. dwa razy jednorazowa pomoc. Kwota 2671,44 zł. W 2024 r. skorzystało 12824 osób w tym 7896 kombatantów

W 2025 r. budżet UdSKiOR przeznaczony na wsparcie Kombatantów i Działaczy Opozycji Antykomunistycznej to 69,6 mln zł i będzie wyższy od 2024 r. o 68 proc. Podwyższy go dodatkowe 20 mln zł. na leczenie sanatoryjne, rehabilitację ambulatoryjną, aparaty słuchowe i pomoc finansową.

Jak rozliczyć w PIT działalność nierejestrowaną? Tak można obniżyć wysokość uzyskanego przychodu

Prowadzenie działalności nierejestrowanej cieszy się coraz większą popularnością. Jest tak między innymi dlatego, że wysokość przychodu, który można uzyskać zarobkując w tej formie, stale rośnie. Jednak czy wiesz, jak rozliczyć uzyskanie w tej sposób przychody w zeznaniu podatkowym?

Nie podwyższony lecz obniżony (!) wiek emerytalny dla mężczyzn po 25 latach pracy. Kolejna grupa zawodowa chce takiego przywileju

Tym razem straż miejska. Postulat objęcia jej obniżonym wiekiem emerytalnym trafił do rządu ze strony samorządowców za pośrednictwem posłów, którzy złożyli interpelację do Ministra Rodziny, Pracy i Polityki Społecznej w sprawie zmiany ustawy o strażach gminnych w zakresie uprawnień emerytalnych.

REKLAMA

W 2025 roku prawie 28 tys. złotych kary za złożenie informacji PIT-11 po terminie. Jeśli jesteś płatnikiem, nie zwlekaj z wysyłką

Płatnicy muszą wysłać PIT-11 do urzędów skarbowych. Ten formularz zawiera ważne informacje umożliwiające podatnikom dokonanie rocznego rozliczenia podatku. Są dwa kluczowe terminy na złożenie tej informacji. Za przekroczenie terminu grozi prawie 28 tys. złotych kary grzywny.

E-doręczenia 2025. Baza adresów elektronicznych [Pytania i odpowiedzi]

E-doręczenia 2025 - artykuł zawiera pytania i odpowiedzi dotyczące BAE czyli baza adresów elektronicznych. Czym e-doręczenia różnią się od ePUAP? Gdzie składa się wniosek o adres BAE? Czy osoba prowadząca działalność gospodarczą też musi mieć skrzynkę e-doręczeń?

Czy od kontenera trzeba zapłacić podatek od nieruchomości? Jeśli stoi na twojej działce, lepiej sprawdź, jak od 1 stycznia 2025 roku zmieniły się przepisy

Od 1 stycznia 2025 roku przepisy o podatku od nieruchomości zostały znowelizowane. Zmiany dotyczą między innymi opodatkowania budowli. Czy kontener jest budowlą i trzeba go opodatkować? Sprawdź, jak zmieniły się przepisy.

1200 zł świadczenia na dziecko w 2025 r. Od 1 lutego 2025 r. można składać wnioski na część kwoty

Od 1 lutego 2025 r. rozpocznie się przyjmowanie wniosków na jedno ze świadczeń przysługujących na dzieci w 2025 r. Gdzie należy składać wnioski? Kiedy złożyć poszczególne wnioski? Kiedy nastąpi wypłata świadczenia?

REKLAMA

Z czego składa się orzeczenie o niepełnosprawności? [Przykłady]

Orzeczenie o niepełnosprawności składa się z kilku ważnych elementów. Niektóre z nich mają istotny wpływ na zakres możliwej pomocy. Na zatem zwrócić szczególną uwagę?

Sankcja kredytu darmowego. Czy Sąd Najwyższy każe bankom zwracać kredytobiorcom odsetki, prowizje i opłaty?

Sąd Najwyższy w Polsce stoi przed wyzwaniem rozstrzygania jednego z najważniejszych zagadnień dotyczących tzw. sankcji kredytu darmowego. Ta instytucja, wynikająca z ustawy o kredycie konsumenckim, może przynieść znaczące zmiany zarówno dla kredytobiorców, jak i dla instytucji finansowych. W obliczu rosnącej liczby sporów między bankami a konsumentami, decyzja Sądu Najwyższego w sprawie o sygn. akt III CZP 3/25, zarejestrowanej 22 stycznia 2025 roku, nabiera szczególnego znaczenia.

REKLAMA