Obowiązek zabezpieczenia

Zgodnie z ustawą o ochronie danych osobowych, zleceniobiorca może przetwarzać dane wyłącznie "w celu" oraz "w zakresie" wskazanym w umowie. Umowa powinna zatem określać przynajmniej "zakres" danych osobowych, tj. rodzaj, kategorie danych, jakie mogą być przetwarzane przez zleceniobiorcę, oraz cel przetwarzania powierzonych danych osobowych (np. wykonanie wdrożenia systemu, czy określonych zadań w ramach prac wdrożeniowych). Przetwarzanie przez zleceniobiorcę danych osobowych w szerszym zakresie niż opisany w umowie lub w innych celach niż wskazane w umowie stanowi zarówno naruszenie umowy, jak i naruszenie przepisów ustawy.

Podmiot, któremu powierzono przetwarzanie danych osobowych na podstawie powyżej opisanej umowy, nie staje się administratorem danych. W konsekwencji, nie obciążają go obowiązki ustawowe skierowane wprost do administratora danych (np. obowiązek rejestracji zbioru danych). Ustawa zobowiązuje, jednak, taki podmiot do zabezpieczenia przetwarzania danych osobowych zgodnie z wymaganiami określonymi w ustawie oraz w rozporządzeniu wykonawczym. Podmiot przetwarzający dane osobowe zobowiązany będzie między innymi do ustanowienia administratora bezpieczeństwa informacji, prowadzenia ewidencji osób upoważnionych do przetwarzania danych oraz dokumentacji opisującej sposób przetwarzania i zabezpieczenia danych. Ustawa dopuszcza jednocześnie przeprowadzanie przez GIODO bezpośredniej kontroli zleceniobiorcy, w zakresie przetwarzania przez niego danych osobowych zgodnie z przepisami prawa.

W praktyce obrotu, umowa o powierzenie przetwarzania danych precyzuje zobowiązania zleceniobiorcy w zakresie zabezpieczenia danych osobowych, a także wprowadza prawo administratora danych do kontroli realizacji tychże zobowiązań przez zleceniobiorcę. Ponadto, często w praktyce się zdarza, że wykonawca realizując wdrożenie, może się posługiwać podwykonawcami. Umowa taka powinna zatem regulować również zasady dalszego powierzenia przetwarzania danych osobowych podwykonawcy.

Roman Bieda jest aplikantem radcowskim w kancelarii radców prawnych Maruta i Wspólnicy.