Michał Sztąberek – iSecure Sp. z o.o. – Jak współpracować z firmami zewnętrznymi przy przetwarzaniu danych osobowych, by robić to dobrze, a przede wszystkim zgodnie z prawem

1. Jak współpracowad z firmami
zewnętrznymi przy przetwarzaniu
danych osobowych
Michał Sztąberek
iSecure Sp. z o.o.

2. Dwa słowa o danych osobowych
Dane osobowe wszelkie informacje dotyczące zidentyfikowanej lub
możliwej do zidentyfikowania osoby fizycznej. Osobą
możliwą do zidentyfikowania jest osoba, której
tożsamośd można określid bezpośrednio lub pośrednio,
w szczególności przez powołanie się na numer
identyfikacyjny albo jeden lub kilka specyficznych
czynników określających jej cechy fizyczne,
fizjologiczne, umysłowe, ekonomiczne, kulturowe lub
społeczne. Ciekawostka: adres e-mail, adres IP
Przetwarzanie danych jakiekolwiek operacje wykonywane na danych
osobowych, takie jak zbieranie, utrwalanie,
przechowywanie, opracowywanie, zmienianie,
udostępnianie i usuwanie, a zwłaszcza te, które
wykonuje się w systemach informatycznych

3. Dwa słowa o danych osobowych
Administrator danych organ, jednostka organizacyjna, podmiot lub osoba
(ADO) decydująca o celach i środkach przetwarzania danych
osobowych. Administratorem danych będzie na
przykład firma będąca właścicielem bazy e-mailowej,
do której ma byd robiona wysyłka marketingowa
Procesor podmiot (inna firma), któremu ADO powierzył dane
osobowe w oparciu o pisemną umowę zgodnie z art.
31 ust. 1 ustawy o ochronie danych osobowych
(UODO)

4. Kiedy outsourcing przetwarzania danych
osobowych?
E-mail
marketing/kampania Hosting
SMS
Kadry i płace Rekrutacja
Windykacja Call Center

5. Powierzenie przetwarzania danych
ADO UMOWA PROCESOR

6. Powierzenie przetwarzania danych - wprowadzenie
Cechy ogólne umowy powierzenia przetwarzania danych
nie musi to byd odrębna umowa
postanowienia umowy powierzenia mogą byd inkorporowane do umowy
obowiązującej między ADO a procesorem, może to byd też np. załącznik
do takiej umowy
jest to umowa starannego działania – ma to znaczenie z punktu widzenia
oceny wykonania zobowiązao przez procesora
umowa powierzenia nie musi byd umową odpłatną, ale wówczas należy
to uregulowad w tej umowie
fakt zawarcia umowy powierzenia nie musi byd komunikowany osobie
fizycznej, o której dane chodzi

7. Powierzenie przetwarzania danych – elementy
obligatoryjne
umowa na piśmie
określenie celu
powierzenia danych
określenie zakresu
powierzenia danych
zabezpieczenie
danych

8. Powierzenie przetwarzania danych – elementy
obligatoryjne
Cel przetwarzania danych:
powinien byd wskazany w umowie wprost
może również wynikad z odwołania do innej umowy
cel zapisany w umowie powierzenia danych powinien byd
tożsamy z celem, dla którego ADO pozyskał dane

9. Powierzenie przetwarzania danych – elementy
obligatoryjne
Zakres przetwarzania danych
określa jakie dane osobowe ADO powierza procesorowi do przetwarzania
zakres danych należy wskazad przez określenie, jakie dane osobowe będą
przetwarzane np. imię, nazwisko, PESEL itd.
powinien określad zakres operacji wykonywanych na danych osobowych
np. wprowadzanie do systemu informatycznego, aktualizowanie (nowe
podejście GIODO do tematu)
można posłużyd się też określeniami ogólnymi np. informacje o stanie
zdrowia
musi byd zgodny z zasadą adekwatności

10. Powierzenie przetwarzania danych – elementy
obligatoryjne
Obowiązki procesora
stosowanie środków technicznych i organizacyjnych
zapewniających ochronę przetwarzania danych osobowych
odpowiednią do zagrożeo oraz kategorii danych będących
przedmiotem przetwarzania
przygotowanie i wdrożenie dokumentacji ochrony danych
osobowych
wyznaczenie administratora bezpieczeostwa informacji (ABI)
nadzorującego przestrzeganie zasad ochrony, chyba że
administrator danych sam wykonuje te czynności

11. Powierzenie przetwarzania danych – wymogi
fakultatywne
sposób
przetwarzania
danych kary umowne
forma przekazania
danych uprawnienia
kwestia kontrolne
zwrotu/usunięcia
danych
subprocesor

12. Outsourcing przetwarzania danych
Forma przetwarzania danych:
ma na celu doprecyzowanie sposobu przetwarzania
danych osobowych
w zasadzie można wskazad dwie formy przetwarzania:
forma papierowa i elektroniczna (może byd też i taka i
taka)
forma papierowa niekiedy może byd wymagana przez
przepisy prawa

13. Outsourcing przetwarzania danych
Sposób przetwarzania danych:
sposób przetwarzania danych powiązany jest z definicją
pojęcia „przetwarzania danych”
na podstawie ww. definicji doprecyzowujemy sposoby
przetwarzania danych przez procesora

14. Outsourcing przetwarzania danych
Zwrot/usunięcie powierzonych danych:
opisanie co ma się stad z danymi osobowymi po rozwiązaniu
umowy powierzenia przetwarzania danych
usunięcie lub anonimizacja danych – wskazanie odpowiedniej
procedury
zobowiązanie do sporządzenia protokołu zniszczenia
(usunięcia) danych lub ich anonimizacji
uregulowanie w jakim czasie procesor ma usunąd dane
osobowe, licząc od dnia wygaśnięcia umowy

15. Outsourcing przetwarzania danych
Uprawnienia kontrolne administratora danych:
kontrola dokumentów, urządzeo, pomieszczeo związanych z
przetwarzaniem danych osobowych przez procesora
wskazanie na czym będzie polegała kontrola przetwarzania danych
np. zawiadomienie procesora z wyprzedzeniem, kontrola ad hoc
wskazanie kto będzie mógł przeprowadzid kontrolę ze strony
administratora danych
określenie czasu trwania kontroli np. ilośd dni, godziny w którym
może byd przeprowadzana
kary umowne z tytułu nienależytego wykonania zobowiązania i
powstałej w związku z tym szkody

16. Outsourcing przetwarzania danych
Podpowierzenie danych (subprocesor):
brak wyraźnego przepisu zakazującego stosowanie
subpowierzenia
dopuszczalnośd subpowierzenia wnioskuje się również na
podstawie swobody działalności gospodarczej i swobody
kontraktowania
zapis o możliwości dalszego powierzenia danych w umowie
powierzenia np. pod warunkiem uzyskania zgody ze strony
ADO

17. Outsourcing przetwarzania danych
Odpowiedzialnośd procesora:
• odpowiedzialnośd administracyjna – możliwośd
przeprowadzenia kontroli przez GIODO, w tym wydanie decyzji
administracyjnej nakazującej np. zastosowanie dodatkowych
środków zabezpieczających
• odpowiedzialnośd karna osób administrujących powierzonymi
danymi osobowymi (pracownicy procesora)
• odpowiedzialnośd cywilnoprawna wynikająca z postanowieo
umowy

18. A czy Ty podpisałeś już
umowę powierzenia?

19. Dziękuję za uwagę
Michał Sztąberek
iSecure Sp. z o.o.
tel. (+48) 607 271 915
mail: michal.sztaberek@isecure.pl
www.isecure.pl