REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Outsourcing usług według RODO 2018

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
Outsourcing usług według RODO./ fot. Fotolia
Outsourcing usług według RODO./ fot. Fotolia
Fotolia

REKLAMA

REKLAMA

Każde przekazanie danych osobowych innemu podmiotowi musi być uzasadnione prawnie, w przeciwnym wypadku dojdzie do udostępnienia osobie nieupoważnionej, co może skutkować niebotyczną karą. Jest to także ogromne ryzyko biznesowe i wizerunkowe, dla podmiotu, który dokonał takiego udostępnienia.

Powierzenie danych – o co chodzi?

Do powierzenia dochodzi wtedy, gdy na zlecenie administratora danych, inny podmiot dokonuje operacji na danych osobowych. Podmiot, któremu dane są powierzane, nie staje się ich administratorem (chociaż ponosi odpowiedzialność tak samo, jak administrator), jedynie wykonuje operacje na danych, należących do administratora danych, w sposób i w celu ściśle przez niego określonym. Podmiot, któremu dane powierzono nie ma prawa ich wykorzystywać, do własnych celów (w szczególności dodawać ich do własnej bazy klientów/marketingowej oraz dalej udostępniać/sprzedawać). Powierzyć można dowolną czynność na danych od gromadzenia, przez edycję, przechowywanie, usunięcie.

REKLAMA

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Przykłady powierzenia danych:

  • Korzystanie z usług zewnętrznej księgowości/biura rachunkowego
  • Zewnętrzne usługi helpdesku
  • Korzystanie z usług zewnętrznego archiwum
  • Zewnętrzny dział prawny
  • Przeprowadzanie konkursów przez agencję reklamową na zlecenie klienta
  • Zewnętrzna obsługa BHP

Zasady powierzenia danych określał dotychczas art. 31 ustawy o ochronie danych osobowych. Zgodnie z nim, aby powierzenie było legalne i skuteczne, powinno zostać zawarte na piśmie. Podmiot, któremu powierzono dane, nie może przetwarzać ich w zakresie i celu szerszym, niż określony w umowie, ma także obowiązek zapewnienia odpowiednich środków technicznych i organizacyjnych, w szczególności opracować i wdrożyć dokumentację bezpieczeństwa. Ustawa daje administratorowi prawo kontrolowania podmiotu, któremu powierzył dane, pod kątem wywiązywania się przez niego z ustawowych i umownych obowiązków.

Problemy wynikające z aktualnych zasad powierzenia:

W praktyce okazuje się trudne lub niemożliwe zawarcie umowy na piśmie zwłaszcza, gdy dane są powierzane dużym koncernom. Obecne przepisy właściwie nie pozwalają na dalsze powierzenie danych (powierzyć może tylko administrator, a nie podmiot przetwarzający, nawet za zgodą ADO), a w praktyce jest to często stosowane rozwiązanie. Ustawa dopuszcza powierzenie danych bez zawarcia pisemnej umowy, jeżeli powierzenia dokonują podmioty publiczne (jest to zmiana, która została wprowadzona do ustawy po ogłoszeniu programu 500+). Zawarcie szczegółowej umowy, pozwala zabezpieczyć interes obu stron i określić warunki pracy na danych oraz zasady zobligowania do poufności oraz upoważnienia do przetwarzania danych pracowników podmiotu przetwarzającego. Są to obowiązki administratora danych, który na mocy umowy powierzenia (zazwyczaj) upoważnia do tych czynności podmiot przetwarzający, pozostawiając sobie prawo do regularnej kontroli w tym zakresie oraz bycia informowanym o każdej zmianie osób upoważnionych. Brak umowy powierzenia w praktyce utrudnia administratorowi danych wywiązanie się z tych obowiązków, bo musi je wykonać samodzielnie. W praktyce jest to bardzo trudne do zrealizowania i mam duże wątpliwości, czy podmioty, które skorzystały z przywileju nie zawierania pisemnej umowy powierzenia, wywiązują się ze swojego ustawowego obowiązku (czyli czy są w stanie zagwarantować powierzonym danym pełną rozliczalność).

Dalszy ciąg materiału pod wideo

Zobacz: Finanse

Co zmienia ogólne rozporządzenie o ochronie danych?

RODO dopuszcza zawarcie powierzenia w innej formie, w szczególności elektronicznie, jeżeli prawo krajowe lub unijne to dopuszcza (art. 28.3 RODO).

REKLAMA

RODO bardzo szczegółowo określa obowiązki podmiotu przetwarzającego. Musi on zapewnić przynajmniej taki sam poziom ochrony jak administrator danych, dokonywać regularnego szacowania ryzyka oraz być w stanie zapewnić ciągłość działania. Jest to duże ułatwienie dla obu stron, bo po pierwsze wiedzą co robić, po drugie wiedzą co powinno zawierać powierzenie.

Zgodnie z RODO (art. 28.3b) podmiot przetwarzający jest zobligowany upoważnić i zobligować do poufności swoich pracowników. Wreszcie reguluje i zezwala na dalsze powierzenie danych. Jest ono dopuszczalne o ile administrator danych wyrazi na to zgodę (art. 28.2). RODO wyraźne określa, że po zakończeniu świadczenia usługi podmiot przetwarzający ma obowiązek albo usunąć dane albo zwrócić je administratorowi (dotychczas należało to dopowiedzieć w umowie powierzenia).

W RODO nigdzie nie pojawia się hasło „powierzenie danych”, natomiast prawie na każdym kroku rozporządzenie określa obowiązki podmiotu przetwarzającego (czyli tego, któremu dane powierzono). Jest to bardzo pozytywna zmiana.

Co powinna zawierać umowa powierzenia danych zgodna z RODO?

Tak jak wspomniałam wcześniej, RODO dopuszcza różne formy powierzenia, w tym elektroniczne, jednakże wymaga uregulowania relacji pomiędzy administratorem oraz podmiotem powierzających. Umowa powierzenia, zgodna z RODO powinna zawierać co najmniej:

  1. Określenie administratora danych
  2. Określenie podmiotu przetwarzającego dane na zlecenie administratora
  3. Oświadczenie administratora danych, potwierdzające, że ma prawo decydować o celu i środkach przetwarzania powierzanych danych
  4. Przedmiot i czas trwania przetwarzania (umowy)
  5. Charakter i cel przetwarzania, rodzaj powierzanych danych danych osobowych oraz kategorie osób, których powierzenie dotyczy (czyli określenie jakie dane, w jakiej ilości, jakiej formie są powierzane).
  6. Oświadczenie podmiotu przetwarzającego, że posiada niezbędne, wymagana przepisami prawa środki ochrony fizycznej i organizacyjnej, mające na celu zapewnienie zgodności przetwarzania danych z przepisami, w szczególności że:
    1. Dokonał wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie powierzonych danych spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.
    2. Wdrożone środki są na poziomie co najmniej takim, jakiego wymaga art. 32 RODO oraz zostały dobrane i są stosowane w oparciu o prowadzoną analizę ryzyka i zagrożeń.
    3. Zapewnia regularne testowanie, mierzenie i ocenianie wdrożonych środków ochrony danych.
    4. Przeszkolił oraz zobligował do zachowania poufności personel, który będzie przetwarzał dane
    5. Informuje administratora o obowiązku przekazania, wynikającym z przepisów prawa, powierzonych danych do Państwa trzeciego lub organizacji międzynarodowej. W takiej sytuacji administrator ma prawo zrezygnować z powierzenia.
  7. Zasady dalszego powierzenia danych: czy ADO zgadza się na dalsze powierzenie. W przypadku zgody, komu dane będą powierzone oraz czy jest planowane dalsze powierzenie (obowiązek informowania ADO o każdym dalszym powierzeniu i pozyskanie jego zgody).
  8. Określenie odpowiedzialności podmiotu przetwarzającego za każde dalsze powierzenie, także za zawarcie odpowiedniej umowy oraz zapewnienie przez ten podmiot poziomu ochrony nie niższej, niż ten zapewniony przez podmiot przetwarzający.
  9. Obowiązek (w miarę możliwości) wsparcia przy wywiązywaniu się z obowiązków informacyjnych wobec podmiotu danych.
  10. Obowiązek usunięcia lub zwrócenia danych po zakończeniu przetwarzania.
  11. Prawo do bycia kontrolowanym przez ADO.
  12. Obowiązek niezwłocznego informowania ADO, o każdym naruszeniu lub podejrzeniu naruszenia poufności powierzonych danych.
Zapisz się na newsletter
Śledź na bieżąco nowe inicjatywy, projekty i ważne decyzje, które wpływają na Twoje życie codzienne. Zapisz się na nasz newsletter samorządowy.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Sektor publiczny
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Sytuacja na granicy polsko-niemieckiej. Ekspert: obustronna spirala działań pozornych. Kiedy Niemcy nie powinny odsyłać migranta do Polski?

To Niemcy rozpoczęli ten teatr polityczny na granicy z Polską, a teraz szefowie rządów Friedrich Merz i Donald Tusk wchodzą w spiralę działań pozornych - powiedział PAP Piotr Buras, dyrektor warszawskiego biura Europejskiej Rady Spraw Zagranicznych (ECFR) .

Przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu w JST. Najważniejsze informacje

System przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu dotyczy również jednostek samorządu terytorialnego. Z tego powodu są one objęte szeregiem obowiązków. Co trzeba wiedzieć o obowiązujących przepisach? Oto lista 10 najważniejszych informacji!

Od 1 września 2025 r. podwyżka o 8 i 16 zł za odbiór śmieci w Krakowie

Od 1 września w Krakowie wzrośnie opłata za odbiór śmieci posegregowanych: z 27 do 35 zł miesięcznie od jednego mieszkańca. W przypadku odpadów nieposegregowanych stawka zwiększy się z 54 do 70 zł od mieszkańca.

MKiŚ: wyznaczamy lasy społeczne z ograniczoną wycinką drzew. 158 tys. ha wokół 11 największych aglomeracji

Ministerstwo Klimatu i Środowiska poinformowało 2 lipca 2025 r., że zakończyło pierwszy etap projektu wyznaczania lasów społecznych wokół największych polskich miast. To przełomowy krok w kierunku zmiany podejścia do gospodarki leśnej - z naciskiem na potrzeby społeczne, zdrowotne i ekologiczne mieszkańców aglomeracji. O szczegółach w trakcie konferencji prasowej mówiła ministra klimatu i środowiska Paulina Hennig-Kloska oraz wiceminister klimatu i środowiska, główny konserwator przyrody Mikołaj Dorożała.

REKLAMA

Zmiany w opłatach za śmieci – będą nowe zasady segregacji, ulgi i kontrola deklaracji [PROJEKT MKiŚ]

W wykazie prac legislacyjnych pojawił się projekt nowelizacji ustawy o utrzymaniu czystości i porządku w gminach. Chodzi o zmiany w funkcjonowaniu systemu gospodarowania odpadami na poziomie gminnym, które w ocenie projektodawców będą odpowiadać na realne potrzeby JST oraz mieszkańców.

RPO: Dość "wrogich przejęć" między gminami. Potrzebna kontrola sądowa

Rzecznik Praw Obywatelskich apeluje do premiera Donalda Tuska o zawieszenie kontrowersyjnych decyzji dotyczących zmian granic gmin do czasu wprowadzenia nowych przepisów. Od lat brakuje skutecznej kontroli sądowej nad decyzjami Rady Ministrów, które prowadzą do konfliktów między samorządami.

Granica polsko-niemiecka. Polska wprowadza kontrole. Przedsiębiorcy mają 3 pytania

Czy Niemcy przerzucają imigrantów do Polski? Co z granicą polsko-niemiecką? Polska wprowadza kontrole graniczne w celu zapobiegania napływom nielegalnych migrantów. Co na to Niemcy?

Premier Tusk: po rekonstrukcji w rządzie będą wyłącznie przyzwoici ludzie; około 15 lipca zapadną decyzje personalne

W dniu 30 czerwca 2025 r. na konferencji prasowej Premier Donald Tusk zapowiedział, że około 15 lipca zaproponuje kształt rządu po rekonstrukcji. Rozmowy w tej sprawie są prowadzone z liderami koalicyjnych ugrupowań - PSL, Polski 2050 i Lewicy. Żyjemy w ustrojowym bałaganie, podważane są obiektywne kryteria prawne, dlatego chciałbym, by politycy kierowali się naturalnymi kryteriami, jak zdrowy rozsądek czy zwykła ludzka przyzwoitość, i tacy będą ministrowie po rekonstrukcji - mówił 27 czerwca 2025 r. na konferencji prasowej premier Donald Tusk.

REKLAMA

Nowelizacja specustawy powodziowej. Nowe zadania i obowiązki samorządów

Możliwość zamiany zniszczonych nieruchomości na lokale komunalne, obowiązek raportowania decyzji WZ, świadczenie lokalowe, premia powodziowa czy ułatwienia proceduralne w odbudowie zniszczonych domów i obiektów – to najważniejsze zmiany w specustawie powodziowej. Nowelizacja ustawy wzmacnia kompetencje JST, daje im nowe narzędzia, ale też nakłada dodatkowe obowiązki administracyjne i sprawozdawcze.

Czym różni się „odbiór” odpadów komunalnych z nieruchomości od „przyjmowania odpadów”

NSA przypomniał gminom, że ustawodawca rozróżnia pojęcia odbierania odpadów komunalnych od ich przyjmowania i wprowadza odrębnie różne sposoby oddawania odpadów. Co za tym idzie – mechanizmy nie mogą być traktowane jako formy zamienne, kształtowane według własnego uznania gminy.

REKLAMA