Powierzenie a udostępnianie danych osobowych

×

RODO nie wprowadza szczegółowej procedury regulującej udostępnianie danych osobowych, dlatego odpowiedzialność za prawidłowe ustalenie podstawy prawnej przetwarzania danych spoczywa na administratorze. Udostępnienie danych osobowych, jako jedna z form przetwarzania, może obejmować zarówno rozpowszechnianie danych osobowych, jak i inne sposoby ich przekazania.

Co w przypadku, gdy zachodzi konieczność przekazania danych osobowych przetwarzanych przez jednego przedsiębiorcę do drugiego (np. kontrahentowi, z którym podjął współpracę)? Czy wówczas koniecznie będzie powierzenie przetwarzania danych na podstawie np. umowy czy wystarczy wyłącznie udostępnić takie dane?

Na powyższe pytania znajdziesz odpowiedź w niniejszym artykule.

Czym jest przetwarzanie danych osobowych?

Przetwarzanie danych osobowych stanowi jedno z podstawowych pojęć w systemie ochrony danych osobowych uregulowanym w RODO. Zgodnie z art. 4 pkt 2 RODO. Zgonie z art. 4 pkt 2 RODO poprzez przetwarzanie należy rozumieć operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Zatem przetwarzanie danych obejmuje wszelkie operacje wykonywane na danych osobowych lub zestawach danych osobowych, zarówno w sposób zautomatyzowany, jak i niezautomatyzowany. W praktyce oznacza to bardzo szeroki katalog działań, takich jak zbieranie danych, ich przechowywanie, modyfikowanie, przeglądanie, wykorzystywanie, a także rozpowszechnianie lub udostępnianie danych osobowych.

Do przetwarzania danych osobowych zalicza się zatem każdą operację lub zestaw operacji wykonywanych na danych, pod warunkiem że dotyczą one danych identyfikujących osobę fizyczną. Kluczowe jest także to, aby czynności przetwarzania były realizowane na danych osobowych lub ich zbiorach oraz odbywały się w sposób zautomatyzowany bądź tradycyjny.

Podmioty występujące w procesie przekazywania danych

W systemie ochrony danych osobowych szczególne znaczenie mają podmioty biorące udział w procesie przetwarzania danych.

• administrator danych osobowych – definicja administratora została określona w art. 4 pkt 7 RODO. Zgodnie z tym przepisem administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka organizacyjna lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
• podmiot przetwarzający – definicja ta wynika z art. 4 pkt 8 RODO. Podmiot przetwarzający to osoba fizyczna lub prawna, organ publiczny, jednostka organizacyjna lub inny podmiot, który przetwarza dane osobowe w imieniu administratora, bez samodzielnego ustalania celów przetwarzania danych.

W praktyce prawidłowe zakwalifikowanie roli podmiotów uczestniczących w procesie przetwarzania danych osobowych ma kluczowe znaczenie dla zapewnienia zgodności z RODO, ponieważ determinuje zakres odpowiedzialności oraz wymagane podstawy prawne przetwarzania danych. Niewłaściwe rozróżnienie pomiędzy administratorem a podmiotem przetwarzającym może prowadzić do ryzyka regulacyjnego i organizacyjnego.

Czym jest powierzenie przetwarzania danych?

Z przepisu art. 28 ust 1. RODO wynika, że administrator danych osobowych może powierzyć przetwarzanie danych innemu (wybranemu) podmiotowi.

W szczególności przepis ten stanowi, iż Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.

Z powyższej regulacji wynika, że powierzenie przetwarzania jest zlecane przez administratora wybranemu profesjonalnemu podmiotowi w zakresie dokonania określonych czynności przetwarzania. Działania te są podejmowane przez podmiot przetwarzający w imieniu i na rzecz administratora.

Tym samym powierzenie jest niczym innym jak zleceniem przetwarzania danych osobowych, co do zasady profesjonalnemu podmiotowi.

Powierzenie przetwarzania danych osobowych powinno być traktowane jako element systemu zarządzania bezpieczeństwem informacji u administratora, ponieważ właściwy dobór podmiotu przetwarzającego oraz ustalenie szczegółowych zasad współpracy pozwala ograniczyć ryzyko naruszenia ochrony danych i zwiększa kontrolę nad procesem przetwarzania.

Udostępnianie danych osobowych – definicja

Choć czynność związana z udostępnianiem danych osobowych nie została zdefiniowana w RODO, to często ustawodawca odnosi się do tegoż działania w regulacjach. Przykładowo w powołanym wcześniej przepisie art. 4 pkt 2 RODO określającym znaczenie pojęcia przetwarzania danych wskazano, iż przetwarzaniem są operacje lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany taką jak m.in. innego rodzaju udostępnianie.

Za czynność udostępniania danych osobowych należy zatem uznać przekazanie danych do innego podmiotu, występującego wówczas w roli administratora danych, który będzie samodzielnie lub wspólnie z innymi ustalać cele i sposoby przetwarzania danych osobowych.

Podstawa prawna udostępniania danych

Przepis art. 6 RODO sformułuje podstawy prawnych przetwarzania danych osobowych, czyli wskazanie sytuacji, w których dokonywanie operacji na danych osobowych będzie dopuszczalne.

Odnosząc się tylko poglądowo do ustępu 1 komentowanego przepisu wskazano tzw. ogólne podstawy dopuszczalności przetwarzania danych, tj.:

• zgodę osoby, której dane dotyczą;
• wykonanie umowy;
• wypełnienie obowiązku prawnego ciążącego na administratorze;
• ochronę żywotnych interesów osoby, której dane dotyczą, lub innej osoby;
• wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej;
• prawnie uzasadnione interesy administratora lub strony trzeciej.

Udostępnianie danych osobowych musi zawsze opierać się na odpowiedniej podstawie prawnej. Oznacza to, że zarówno podmiot przekazujący dane, jak i podmiot je otrzymujący powinny mieć prawo do przetwarzania tych informacji zgodnie z RODO. Jeżeli udostępnienie danych następuje na podstawie zgody, osoba, której dane dotyczą, musi wiedzieć, komu i w jakim celu jej dane są przekazywane. Zgoda powinna być świadoma, dobrowolna i dotyczyć konkretnego zakresu danych.

W praktyce oznacza to, że administrator przekazujący dane musi mieć prawo do ich udostępnienia, a administrator otrzymujący dane powinien posiadać własną podstawę prawną do ich dalszego przetwarzania.

Procedura udostępniania danych osobowych

W przepisach RODO brak jest uregulowanej procedury udostępniania danych osobowych, co oznacza, że przepisy nie określają ani obowiązkowej formy, ani szczegółowej treści wniosku o udostępnienie danych osobowych.

Z praktyki wynika jednak, że dla zapewnienia bezpieczeństwa obrotu i celów dowodowych administratorzy danych stosują uporządkowaną procedurę udostępniania danych osobowych.

Procedura udostępniania danych osobowych – krok po kroku:

• ustalenie podstawy prawnej – administrator powinien zweryfikować, czy posiada podstawę prawną do udostępnienia danych osobowych, taką jak zgoda, obowiązek prawny, wykonanie umowy lub prawnie uzasadniony interes.
• określenie zakresu danych – należy udostępniać wyłącznie dane niezbędne do realizacji celu przekazania danych osobowych.
• weryfikacja odbiorcy danych – warto upewnić się, że podmiot otrzymujący dane posiada własną podstawę prawną do ich przetwarzania.
• dokumentowanie przekazania danych – w praktyce rekomenduje się sporządzanie protokołu udostępnienia danych osobowych lub zawieranie umów regulujących zasady przekazania danych.
• zastosowanie odpowiednich zabezpieczeń – przekazanie danych powinno odbywać się z wykorzystaniem środków technicznych i organizacyjnych zapewniających ochronę informacji.

Przykład:

Jeżeli przedsiębiorca współpracuje z biurem rachunkowym, może przekazać mu dane swoich klientów lub kontrahentów, ale powinien udostępnić tylko te informacje, które są potrzebne do prowadzenia księgowości. W praktyce oznacza to np. przekazanie danych z faktur, a nie wszystkich informacji o klientach firmy. Najczęściej biuro rachunkowe przetwarza dane na podstawie umowy powierzenia, ponieważ działa w imieniu przedsiębiorcy i wykonuje usługę księgową.

Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych została uregulowana w przepisie art. 28 RODO i jest stosowana w sytuacji, gdy podmiot przetwarzający działa w imieniu administratora danych. Oznacza to, że administrator zleca wykonanie określonych czynności przetwarzania danych, nie przekazując jednocześnie podmiotowi przetwarzającemu prawa do samodzielnego ustalania celów i sposobów przetwarzania danych osobowych.

Umowa powierzenia musi określać w szczególności przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. Podmiot przetwarzający jest zobowiązany do stosowania odpowiednich środków technicznych i organizacyjnych, przetwarzania danych wyłącznie na udokumentowane polecenie administratora oraz zapewnienia poufności i bezpieczeństwa danych.

Powierzenie przetwarzania danych a udostępnienie danych – porównanie

Należy odróżnić powierzenie przetwarzania danych od udostępniania danych osobowych. Udostępnienie danych następuje pomiędzy administratorami danych i oznacza przekazanie danych podmiotowi, który samodzielnie ustala cele i sposoby ich dalszego przetwarzania, podczas gdy powierzenie dotyczy sytuacji, gdy odbiorca danych działa jedynie na zlecenie administratora.

W praktyce niewłaściwe zakwalifikowanie relacji między podmiotami może prowadzić do naruszenia przepisów RODO oraz zwiększać ryzyko odpowiedzialności administracyjnej i cywilnej. Dlatego przed przekazaniem danych osobowych należy każdorazowo ocenić charakter współpracy i ustalić właściwy model przetwarzania danych.

Podsumowanie

Udostępnianie danych osobowych, w tym ich przekazanie innemu podmiotowi, to codzienność w działalności wielu przedsiębiorców. Rozpowszechnianie danych osobowych lub ich udostępnienie musi jednak zawsze opierać się na jednej z dopuszczalnych podstaw prawnych przetwarzania danych. Największe znaczenie praktyczne ma rozróżnienie pomiędzy udostępnianiem danych osobowych a powierzeniem przetwarzania. Wybór właściwego modelu współpracy, czy będzie to udostępnienie danych osobowych pomiędzy administratorami, czy powierzenie przetwarzania, pozwala ograniczyć ryzyko prawne oraz zapewnić zgodność z wymogami RODO.

Zasadniczymi różnicami pomiędzy powierzeniem a udostępnianiem danych osobowych są:

• osoba odbiorcy danych:
• inny administrator (udostępnienie);
• podmiot przetwarzający (powierzenie);
• podstawa przekazania:
• zazwyczaj jedna z przesłanek z przepisu art. 6 ust. 1 (udostępnienie);
• umowa powierzenia przetwarzania danych osobowych lub inny instrument prawny (powierzenie).