Powierzenie przetwarzania danych osobowych w projektach IT

Realizacja projektu IT, czy to w formie świadczenia usług programistycznych, wykonania i wdrożenia systemu czy też wsparcia technicznego na podstawie SLA, praktycznie we wszystkich przypadkach łączy się z dostępem do danych zebranych przez klienta. Klient chcąc współpracować z programistą czy software house’m musi dać mu dostęp do swojej infrastruktury czy też systemu. A taka operacja łączy się zazwyczaj z dostępem do danych w nich zebranych.

Powierzenie przetwarzania danych

W takim wypadku dochodzi do powierzenia przetwarzania danych osobowych. Czym jest powierzenie przetwarzania danych osobowych? W największym skrócie jest to przetwarzanie danych osobowych przez podmiot trzeci (czyli tzw. podmiot przetwarzający lub procesor) w imieniu administratora. Oznacza to, że przy powierzeniu przetwarzania danych osobowych procesor przetwarza dane administratora aby zrealizować jakiś konkretny cel administratora. W przypadku projektów IT jest właśnie realizacja tego projektu.

Do powierzenia danych osobowych dochodzi także np. gdy korzystasz z:

1. usług hostingowych,
2. systemu do wystawiania faktur,
3. systemu typu CRM,
4. zewnętrznej księgowości,
5. systemu do wysyłki newslettera,
6. podwykonawców, którzy prowadzą działalność gospodarczą.

Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych jest zazwyczaj oddzielnym dokumentem. Natomiast zawsze jest związana z tzw. umową główną tj. np. umową wdrożeniową, umową na świadczenie usług programistycznych czy też SLA. Bez tej głównej umowy nie może dojść do powierzenia przetwarzania danych. Powierzenie następuje zawsze w wyniku jakiejś wcześniejszej umowy. Znajduje to zresztą odzwierciedlenie w samej umowie powierzenia przetwarzania danych osobowych. Najczęściej dodaje się następujące postanowienie:

“W celu wykonania umowy nr XYZ , z dnia XYZ roku, zawartej pomiędzy Administratorem a Procesorem (dalej: Umowa Główna), Administrator powierza Procesorowi dane osobowe do przetwarzania w trybie art. 28 Rozporządzenia, na zasadach określonych w niniejszej Umowie.”

Umowa powierzenia przetwarzania danych – przydatne definicje z RODO

Zanim przejdziemy do samej struktury umowy powierzenia przetwarzania danych osobowych warto uporządkować sobie definicje administratora, procesora, przetwarzania danych i powierzenia danych, którymi posłużyłem się wyżej. Zgodnie z ogólnym rozporządzeniem o ochronie danych (tzw. RODO):

1. administratorem jest osobę fizyczną lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych;
2. podmiotem przetwarzającym (procesorem) jest osobę fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora,
3. przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie,
4. powierzenie przetwarzania danych oznacza przetwarzanie danych przez podmiot przetwarzający (procesora) na wyraźne polecenie administratora aby zrealizować konkretny cel administratora.

W jakiej formie powinna być zawarta umowa powierzenia przetwarzania danych?

Umowa powierzenia może być zawarta zarówno w formie pisemnej jak i elektronicznej. Powinna zawierać takie elementy jak oznaczenie stron; cel, zakres i miejsce przetwarzania; zasady przetwarzania danych; informacje o możliwości podpowierzenia danych oraz informacje o odpowiedzialności. Procesor może przetwarzać dane tylko przez taki czas i w takim zakresie, na jaki mu pozwoli administrator.

Co musi zawierać umowa powierzenia?

Umowa powinna także stanowić w szczególności, że procesor:

1. przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora,
2. zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
3. podejmuje wszelkie środki wymagane na mocy art. 32 RODO,
4. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw,
5. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO;
6. po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie,
7. udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

Potrzebujesz mojego wsparcia? Napisz do mnie!