Kategorie

Outsourcing usług według RODO 2018

Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
Outsourcing usług według RODO./ fot. Fotolia
Outsourcing usług według RODO./ fot. Fotolia
Fotolia
Każde przekazanie danych osobowych innemu podmiotowi musi być uzasadnione prawnie, w przeciwnym wypadku dojdzie do udostępnienia osobie nieupoważnionej, co może skutkować niebotyczną karą. Jest to także ogromne ryzyko biznesowe i wizerunkowe, dla podmiotu, który dokonał takiego udostępnienia.

Powierzenie danych – o co chodzi?

Do powierzenia dochodzi wtedy, gdy na zlecenie administratora danych, inny podmiot dokonuje operacji na danych osobowych. Podmiot, któremu dane są powierzane, nie staje się ich administratorem (chociaż ponosi odpowiedzialność tak samo, jak administrator), jedynie wykonuje operacje na danych, należących do administratora danych, w sposób i w celu ściśle przez niego określonym. Podmiot, któremu dane powierzono nie ma prawa ich wykorzystywać, do własnych celów (w szczególności dodawać ich do własnej bazy klientów/marketingowej oraz dalej udostępniać/sprzedawać). Powierzyć można dowolną czynność na danych od gromadzenia, przez edycję, przechowywanie, usunięcie.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Przykłady powierzenia danych:

  • Korzystanie z usług zewnętrznej księgowości/biura rachunkowego
  • Zewnętrzne usługi helpdesku
  • Korzystanie z usług zewnętrznego archiwum
  • Zewnętrzny dział prawny
  • Przeprowadzanie konkursów przez agencję reklamową na zlecenie klienta
  • Zewnętrzna obsługa BHP

Zasady powierzenia danych określał dotychczas art. 31 ustawy o ochronie danych osobowych. Zgodnie z nim, aby powierzenie było legalne i skuteczne, powinno zostać zawarte na piśmie. Podmiot, któremu powierzono dane, nie może przetwarzać ich w zakresie i celu szerszym, niż określony w umowie, ma także obowiązek zapewnienia odpowiednich środków technicznych i organizacyjnych, w szczególności opracować i wdrożyć dokumentację bezpieczeństwa. Ustawa daje administratorowi prawo kontrolowania podmiotu, któremu powierzył dane, pod kątem wywiązywania się przez niego z ustawowych i umownych obowiązków.

Problemy wynikające z aktualnych zasad powierzenia:

W praktyce okazuje się trudne lub niemożliwe zawarcie umowy na piśmie zwłaszcza, gdy dane są powierzane dużym koncernom. Obecne przepisy właściwie nie pozwalają na dalsze powierzenie danych (powierzyć może tylko administrator, a nie podmiot przetwarzający, nawet za zgodą ADO), a w praktyce jest to często stosowane rozwiązanie. Ustawa dopuszcza powierzenie danych bez zawarcia pisemnej umowy, jeżeli powierzenia dokonują podmioty publiczne (jest to zmiana, która została wprowadzona do ustawy po ogłoszeniu programu 500+). Zawarcie szczegółowej umowy, pozwala zabezpieczyć interes obu stron i określić warunki pracy na danych oraz zasady zobligowania do poufności oraz upoważnienia do przetwarzania danych pracowników podmiotu przetwarzającego. Są to obowiązki administratora danych, który na mocy umowy powierzenia (zazwyczaj) upoważnia do tych czynności podmiot przetwarzający, pozostawiając sobie prawo do regularnej kontroli w tym zakresie oraz bycia informowanym o każdej zmianie osób upoważnionych. Brak umowy powierzenia w praktyce utrudnia administratorowi danych wywiązanie się z tych obowiązków, bo musi je wykonać samodzielnie. W praktyce jest to bardzo trudne do zrealizowania i mam duże wątpliwości, czy podmioty, które skorzystały z przywileju nie zawierania pisemnej umowy powierzenia, wywiązują się ze swojego ustawowego obowiązku (czyli czy są w stanie zagwarantować powierzonym danym pełną rozliczalność).

Zobacz: Finanse

Co zmienia ogólne rozporządzenie o ochronie danych?

RODO dopuszcza zawarcie powierzenia w innej formie, w szczególności elektronicznie, jeżeli prawo krajowe lub unijne to dopuszcza (art. 28.3 RODO).

RODO bardzo szczegółowo określa obowiązki podmiotu przetwarzającego. Musi on zapewnić przynajmniej taki sam poziom ochrony jak administrator danych, dokonywać regularnego szacowania ryzyka oraz być w stanie zapewnić ciągłość działania. Jest to duże ułatwienie dla obu stron, bo po pierwsze wiedzą co robić, po drugie wiedzą co powinno zawierać powierzenie.

Zgodnie z RODO (art. 28.3b) podmiot przetwarzający jest zobligowany upoważnić i zobligować do poufności swoich pracowników. Wreszcie reguluje i zezwala na dalsze powierzenie danych. Jest ono dopuszczalne o ile administrator danych wyrazi na to zgodę (art. 28.2). RODO wyraźne określa, że po zakończeniu świadczenia usługi podmiot przetwarzający ma obowiązek albo usunąć dane albo zwrócić je administratorowi (dotychczas należało to dopowiedzieć w umowie powierzenia).

W RODO nigdzie nie pojawia się hasło „powierzenie danych”, natomiast prawie na każdym kroku rozporządzenie określa obowiązki podmiotu przetwarzającego (czyli tego, któremu dane powierzono). Jest to bardzo pozytywna zmiana.

Co powinna zawierać umowa powierzenia danych zgodna z RODO?

Tak jak wspomniałam wcześniej, RODO dopuszcza różne formy powierzenia, w tym elektroniczne, jednakże wymaga uregulowania relacji pomiędzy administratorem oraz podmiotem powierzających. Umowa powierzenia, zgodna z RODO powinna zawierać co najmniej:

  1. Określenie administratora danych
  2. Określenie podmiotu przetwarzającego dane na zlecenie administratora
  3. Oświadczenie administratora danych, potwierdzające, że ma prawo decydować o celu i środkach przetwarzania powierzanych danych
  4. Przedmiot i czas trwania przetwarzania (umowy)
  5. Charakter i cel przetwarzania, rodzaj powierzanych danych danych osobowych oraz kategorie osób, których powierzenie dotyczy (czyli określenie jakie dane, w jakiej ilości, jakiej formie są powierzane).
  6. Oświadczenie podmiotu przetwarzającego, że posiada niezbędne, wymagana przepisami prawa środki ochrony fizycznej i organizacyjnej, mające na celu zapewnienie zgodności przetwarzania danych z przepisami, w szczególności że:
    1. Dokonał wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie powierzonych danych spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.
    2. Wdrożone środki są na poziomie co najmniej takim, jakiego wymaga art. 32 RODO oraz zostały dobrane i są stosowane w oparciu o prowadzoną analizę ryzyka i zagrożeń.
    3. Zapewnia regularne testowanie, mierzenie i ocenianie wdrożonych środków ochrony danych.
    4. Przeszkolił oraz zobligował do zachowania poufności personel, który będzie przetwarzał dane
    5. Informuje administratora o obowiązku przekazania, wynikającym z przepisów prawa, powierzonych danych do Państwa trzeciego lub organizacji międzynarodowej. W takiej sytuacji administrator ma prawo zrezygnować z powierzenia.
  7. Zasady dalszego powierzenia danych: czy ADO zgadza się na dalsze powierzenie. W przypadku zgody, komu dane będą powierzone oraz czy jest planowane dalsze powierzenie (obowiązek informowania ADO o każdym dalszym powierzeniu i pozyskanie jego zgody).
  8. Określenie odpowiedzialności podmiotu przetwarzającego za każde dalsze powierzenie, także za zawarcie odpowiedniej umowy oraz zapewnienie przez ten podmiot poziomu ochrony nie niższej, niż ten zapewniony przez podmiot przetwarzający.
  9. Obowiązek (w miarę możliwości) wsparcia przy wywiązywaniu się z obowiązków informacyjnych wobec podmiotu danych.
  10. Obowiązek usunięcia lub zwrócenia danych po zakończeniu przetwarzania.
  11. Prawo do bycia kontrolowanym przez ADO.
  12. Obowiązek niezwłocznego informowania ADO, o każdym naruszeniu lub podejrzeniu naruszenia poufności powierzonych danych.
Chcesz dowiedzieć się więcej, sięgnij po naszą publikację
Umowy o pracę – zawieranie i rozwiązywanie
Umowy o pracę – zawieranie i rozwiązywanie
Tylko teraz
Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Sektor publiczny
    1 sty 2000
    27 wrz 2021
    Zakres dat:
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail

    Whistleblowing – co z ustawą?

    Whistleblowing – co z ustawą? Czego nie wiemy o ustawie wdrażającej dyrektywę o sygnalistach? Czy warto na nią czekać?

    Zmiany dla nauczycieli - godziny karciane

    Godziny karciane wrócą do szkół? Zdaniem nauczycieli dojdzie do tego poprzez zwiększenie czasu pracy. Propozycje zmian przedstawiło MEiN.

    Co się musi znaleźć w aktach budynku?

    Dokumentacja techniczna budynku jest bardzo ważna. Przedstawiamy podstawowe informacje na jej temat i wyjaśniamy, czy może ona zostać odtworzona.

    6 dla nauczyciela - propozycje MEiN

    6 dla nauczyciela - propozycje MEiN. Ministerstwo Edukacji i Nauki przedstawiło propozycje zmian dla nauczycieli, w tym podwyżek wynagrodzeń. Nauczyciele mają jednak pracować więcej.

    Do 8 lat więzienia za zakażenie koronawirusem?

    Zakażenie koronawirusem. Wiceminister sprawiedliwości zapowiada wysokie kary, takie jak np. za zakażenie wirusem HIV. Sprawcy może grozić nawet 8 lat więzienia.

    Awans zawodowy nauczycieli - zmiany

    Awans zawodowy nauczycieli - zmiany. Zmniejszenie liczby stopni awansu zawodowego, egzamin na mianowanie oraz zmiany w urlopach dla nauczycieli - to niektóre propozycje MEiN.

    Podwyżki dla nauczycieli od 1 września 2022 r.

    Podwyżki dla nauczycieli od 1 września 2022 r. - ile wyniosą? Ministerstwo Edukacji i Nauki przedstawiło propozycję wynagrodzeń. Nauczyciel dyplomowany zarobi nawet 7750 zł.

    Trzecia dawka szczepionki na COVID-19

    Trzecia dawka szczepionki na COVID-19 – dla kogo? Jakim preparatem będzie można się zaszczepić?

    Darmowe przejazdy komunikacją w Dzień bez Samochodu - 22 września

    22 września w Dzień bez Samochodu darmowe przejazdy komunikacją zbiorową w Warszawie i w wielu innych miastach.

    Polski Ład - dochody gmin w 2022 r.

    Polski Ład. Wiceminister Finansów Sebastian Skuza zapewnia, że żadna gmina w 2022 nie będzie miała mniejszych dochodów niż prognozowała przed Polskim Ładem.

    Wynagrodzenia i zatrudnienie w samorządach

    Wynagrodzenia w samorządach - czy będą podwyżki w 2022 roku? Czy spodziewana jest redukcja etatów w urzędach?

    Stan wyjątkowy - do kiedy?

    Stan wyjątkowy - do kiedy? Czy stan nadzwyczajny przy granicy polsko-białoruskiej zostanie przedłużony?

    Podwyżki cen za wodę i ścieki 2021-2024

    Podwyżki cen za wodę i ścieki. Wiceszef Wód Polskich poinformował, że do regulatora trafiło ok. 2,6 tys. wniosków taryfowych od przedsiębiorstw wodno-kanalizacyjnych. W ponad 90 proc. przypadków przedsiębiorstwa zawnioskowano o podwyżki cen za wodę i ścieki. Propozycje nowych taryf są składane na trzy lata (2021-2024).

    4 fala COVID - kiedy lockdown?

    4 fala COVID - kiedy lockdown? Minister Zdrowia poinformował w jakiej sytuacji rząd będzie wprowadzał obostrzenia.

    Program Poznaj Polskę - do kiedy nabór wniosków?

    Program Poznaj Polskę - do kiedy nabór wniosków na dofinansowanie do wycieczek szkolnych? Program cieszy się bardzo dużym zainteresowaniem, są dodatkowe środki.

    Protest medyków 2021 [PODCAST]

    Protest medyków - jakie są postulaty protestujących? Jak wygląda obecnie praca w służbie zdrowia? Na te pytania, w rozmowie z Martą Zdanowską (Infor.pl) odpowiada ratownik medyczny, Jan Świtała. Zapraszamy do wysłuchania najnowszego podcastu "DGPtalk: Z pierwszej strony".

    Laboratoria Przyszłości - miliard na wyposażenie dla szkół

    Laboratoria Przyszłości - rusza największa rządowa inwestycja w nowoczesną edukację. Na co będzie można uzyskać wsparcie z programu?

    Whistleblowing – stan gotowości sektora publicznego

    Whistleblowing. Zostały trzy miesiące dni do wdrożenia systemów dla sygnalistów przez podmioty prawne w sektorze publicznym, a więc i jednostek samorządu terytorialnego oraz podmioty w sektorze prywatnym. Do dnia dzisiejszego, pomimo upływu blisko 22 miesięcy od dnia publikacji Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii, nie pojawił się nawet projekt ustawy implementującego ww. Dyrektywę do polskiego porządku prawnego.

    Brakuje nauczycieli - czy prawo do nauki jest zagrożone?

    Prawo do nauki może być zagrożone przez brak nauczycieli.

    Do kiedy wniosek o 300+?

    Wniosek o 300+ wciąż można złożyć. Do kiedy ZUS przyjmuje wnioski o "Dobry start" w 2021 r.?

    "Dla lasu, dla ludzi" - kampania społeczna Lasów Państwowych

    Lasy Państwowe przygotowały kampanię społeczną "Dla lasu, dla ludzi". Jakie są cele kampanii?

    Zaświadczenie o kontynuowaniu nauki do ZUS - ważny termin

    Zaświadczenie o kontynuowaniu nauki do ZUS to ważny dokument dla uczniów i studentów pobierających rentę rodzinną. Do kiedy należy go złożyć?

    Środki dla samorządów na działania edukacyjne

    Samorządy do 17 września 2021 r. mają otrzymać środki z rezerwy części oświatowej subwencji ogólnej na działania edukacyjne.

    Whistleblowing – czemu sygnaliści nie zgłaszają naruszeń?

    Whistleblowing. Kluczowym testem dla systemów będzie to czy wpłyną zgłoszenia od sygnalistów i jak na nie zareagujemy. Ilu pracowników jest gotowych zgłosić nadużycie w pracy? Dlaczego pracownicy nie powiadamiają swoich pracodawców o nadużyciach w pracy?

    Stan wyjątkowy w Polsce 2021 - czy jest zgodny z prawem? [PODCAST]

    2 września 2021 na części terytorium Polski wprowadzono stan wyjątkowy. Jest to odpowiedź polskich władz na, trwający od kilku tygodni, kryzys uchodźczy na granicy z Białorusią. Co to właściwie oznacza dla obywateli? Czy działania rządu są zgodne z prawem? Te kwestie w rozmowie z Martą Zdanowską (Infor.pl) wyjaśnia mec. Katarzyna Gajowniczek-Pruszyńska. Zapraszamy do wysłuchania najnowszego podcastu "DGPtalk: Z pierwszej strony".