RODO: Obowiązki podmiotów przetwarzających

Kontynuując rozważania dotyczące relacji między ADO (Administrator danych osobowych) a podmiotem przetwarzającym w niniejszym artykule przedstawię opinię Europejskiej Rady Ochrony Danych – EROD – z dnia 7 października br. w sprawie obowiązków Administratora wobec podmiotów przetwarzających i podprzetwarzających (dalsze powierzenie), czyli dla tych, którzy angażują podwykonawców usług w swojej działalności. Najczęściej myślimy tutaj o biurach księgowych i usługach IT lub marketingowych.

Angażując podmioty trzecie – zewnętrzne – do wykonywania określonych zadań, w myśl wydanej właśnie opinii ADO pozostaje niezmiennie odpowiedzialny za sposób i bezpieczeństwo przetwarzania danych osobowych w całym łańcuchu podmiotów, do których trafiają nasze dane osobowe.
Europejska Rada Ochrony Danych szczegółowo opisuje sposoby zarządzania relacjami w poszczególnych podmiotach przetwarzające powierzone dane osobowe. Zebrałem najważniejsze z nich:
A) ADO ma obowiązek weryfikacji sposobu i bezpieczeństwa przetwarzania danych przed ich powierzeniem. Należy sprawdzić, czy wszystkie podmioty, które będą przetwarzać dane osobowe, zapewniają wystarczające gwarancje ochrony danych osobowych. Weryfikacja musi być udokumentowana.
B) ADO musi mieć zidentyfikowane wszystkie podmioty przetwarzające dane osobowe, w tym podmioty dalszego przetwarzania. Przez zidentyfikowanie rozumie się znajomość nazwy i adresu podmiotów oraz osoby do kontaktu.
C) ADO musi posiadać dostęp do dokumentacji, która zapewnia o zgodności poziomu ochrony z wymogami Rozporządzenia (RODO).
D) Szczegółowość i intensywność weryfikacji procesów ochrony danych osobowych może się różnić w zależności od ryzyka dla praw i wolności osób.
E) Administrator nie ma obowiązku systematycznego weryfikowania umów / relacji między podmiotem przetwarzającym a podmiotem dalszego powierzenia. Jednak gdy zachodzi wysokie ryzyko dla praw i wolności osób, których dane są przetwarzane, może to być konieczne dla zgodności z zasadą rozliczalności w celach weryfikacji środków bezpieczeństwa.

Podsumowując: jeżeli Administrator danych osobowych korzysta z dostawców usług, którzy także korzystając z podwykonawców itd., to w myśl wydanej opinii, Administrator jest odpowiedzialny za zgodność z RODO czyli m.in. ochronę danych osobowych w całym łańcuchu wykonawców i podwykonawców, a odpowiedzialność ta nie rozkłada się ani nie regresuje, a spoczywa wyłącznie na Administratorze danych osobowych.

Czyli konkretnie mówiąc, jeśli przekazujesz dane swojego klienta firmie, która w twoim imieniu ma za zadanie wykonać wysyłkę twojej oferty do tego potencjalnego klienta, to ty jesteś odpowiedzialny za to, jak będą przetwarzane dane tego klienta. Co więcej: jeśli firma przez ciebie zatrudniona zleci to kolejnej firmie, to nadal jesteś odpowiedzialny za przetwarzanie danych twoich klientów w systemach kolejnej firmy.

Dokument źródłowy: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-222024-certain-obligations-following_en

Artur Majchrzycki – Inspektor Ochrony Danych, ekspert ds. ochrony danych osobowych, audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem Informacji zgodnego z ISO/IEC 27001.
Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl