Administrator czy podmiot przetwarzający w rozumieniu RODO: jak rozpoznać, kto jest kim

Administrator decyduje, dlaczego i w jaki sposób przetwarzane są dane osobowe; podmiot przetwarzający przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń administratora (art. 4 ust. 7 i 8 RODO). Twoja rola opiera się na faktach, a nie na etykiecie w umowie, i określa, kto potrzebuje podstawy prawnej, kto odpowiada na żądania osób, których dane dotyczą, kto zgłasza naruszenie i kto ponosi odpowiedzialność w przypadku nieprawidłowości.

Jak odróżnić kontroler od procesora?

Zapytaj, kto decyduje, dlaczego dane są przetwarzane i, w zasadzie, w jaki sposób. Administrator określa cel i podstawowe środki przetwarzania; podmiot przetwarzający działa wyłącznie zgodnie z udokumentowanymi instrukcjami administratora i nie wykorzystuje danych do własnych celów.

Typowi przetwarzający: dostawca hostingu, biuro płac działające ściśle według instrukcji, usługa dostarczania poczty elektronicznej. Typowi administratorzy, nawet jeśli są zaangażowani przez inną stronę: księgowy przeprowadzający audyt ustawowy, prawnik prowadzący sprawę, służba medycyny pracy (arbodienst) wykonująca własne obowiązki zawodowe.

Czy umowa decyduje o Twojej roli?

Nie. Określenie się w umowie jako podmiot przetwarzający nie czyni Cię nim. Jeśli dostawca wykorzystuje dane do własnych celów, takich jak ulepszanie produktu, tworzenie profili lub marketing skierowany do osób, których dane dotyczą, jest administratorem danych w tym zakresie. Artykuł 28(10) RODO stanowi to wyraźnie: podmiot przetwarzający, który ustala cele i sposoby przetwarzania, jest traktowany jako administrator danych.

A co w sytuacji, gdy Ty i druga strona wspólnie ustalicie cele?

W takim przypadku jesteście Państwo współadministratorami zgodnie z art. 26 RODO. Musicie określić swoje obowiązki w porozumieniu, w szczególności w zakresie praw osób, których dane dotyczą, oraz obowiązków informacyjnych określonych w art. 13 i 14, a także udostępnić istotę tego porozumienia osobom, których dane dotyczą.

Współkontrola pojawia się częściej, niż organizacje się spodziewają. W sprawie Wirtschaftsakademie (C-210/16, 5 czerwca 2018 r.) Trybunał Sprawiedliwości UE uznał administratora fanpage'a na Facebooku za współadministratora danych wraz z Facebookiem. Zgodnie z art. 26 ust. 3 RODO osoba, której dane dotyczą, może dochodzić swoich praw wobec każdego ze współadministratorów, niezależnie od tego, na co wyraziła zgodę wewnętrznie.

Co musi zawierać umowa o przetwarzaniu?

Jeśli korzystasz z usług podmiotu przetwarzającego, zgodnie z art. 28 ust. 3 i 9 RODO, umowa pisemna jest obowiązkowa, a jej treść jest określona. Musi ona obejmować przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaje danych i kategorie osób, których dane dotyczą, a także Twoje instrukcje jako administratora.

Musi ona również obejmować kwestie poufności, środki bezpieczeństwa określone w artykule 32, warunki angażowania podmiotów przetwarzających, pomoc w zakresie wniosków osób, których dane dotyczą, oraz powiadamiania o naruszeniach, zwrot lub usunięcie danych na końcu, a także prawa do kontroli.

Gdzie zazwyczaj zaczynają się spory?

Dwie klauzule stwarzają najwięcej problemów. W przypadku podprzetwarzania, artykuł 28(2) RODO zezwala na ogólne pisemne upoważnienie, ale podmiot przetwarzający musi poinformować Cię o planowanych zmianach i dać Ci możliwość wniesienia sprzeciwu. W przypadku zwrotu lub usunięcia danych, uzgodnij, która z tych klauzul ma zastosowanie i w jakiej formie, przed zakończeniem relacji, a nie w trakcie sporu.

Trzecim punktem nacisku jest zgłoszenie naruszenia. Podmiot przetwarzający musi poinformować Cię o tym bez zbędnej zwłoki (art. 33 ust. 2); następnie masz 72 godziny na zgłoszenie naruszenia do holenderskiego organu ochrony danych (Autoriteit Persoonsgegevens) zgodnie z art. 33 ust. 1. Uzgodnij krótki termin wewnętrzny dla podmiotu przetwarzającego, na przykład 24 lub 48 godzin.

Kto ponosi odpowiedzialność, jeśli przetwarzanie pójdzie nie tak?

Zgodnie z art. 82(2) RODO, jako administrator danych ponosisz odpowiedzialność za szkody wyrządzone przetwarzaniem naruszającym RODO. Podmiot przetwarzający ponosi odpowiedzialność tylko wtedy, gdy nie dopełnił obowiązków, które RODO nakłada na podmioty przetwarzające, lub działał poza Twoimi zgodnymi z prawem instrukcjami lub wbrew nim.

Jeżeli obie strony uczestniczą w tym samym przetwarzaniu i odpowiadają za szkodę, każda z nich może ponosić odpowiedzialność za całą szkodę względem danej osoby (artykuł 82(4)). Strona, która zapłaciła, może następnie odzyskać część należną drugiej stronie (artykuł 82(5)), dlatego warto starannie wynegocjować klauzulę odszkodowawczą w umowie o przetwarzaniu.

Co powinieneś sprawdzić jako kontroler?

• Czy każdy dostawca przetwarzający Twoje dane osobowe podpisał umowę o przetwarzaniu danych, zgodną z artykułem 28(3).
• Czy dostawca wykorzystuje dane do własnych celów, co czyni go administratorem.
• Czy posiadasz listę podmiotów przetwarzających dane oraz procedurę umożliwiającą zgłaszanie sprzeciwów wobec zmian.
• Czy podmiot przetwarzający musi zgłaszać Ci naruszenia w ciągu ustalonej liczby godzin.
• Niezależnie od tego, czy masz umowy o wspólnym kontrolerze dla współdzielonych platform lub kampanii.

Co powinieneś sprawdzić jako przetwórca?

• Czy wykorzystujesz dane klientów wyłącznie zgodnie z udokumentowanymi instrukcjami, a nie na potrzeby własnego produktu lub analiz.
• Czy Twoi podprocesorzy mają takie same obowiązki jak Ty.
• Czy na koniec umowy będziesz mógł zwrócić lub usunąć dane w uzgodnionym formacie.
• Czy limit odpowiedzialności i odszkodowanie odzwierciedlają ograniczoną odpowiedzialność na mocy artykułu 82(2).

Co możemy dla Ciebie zrobić w zakresie ról kontrolera i podmiotu przetwarzającego?

Dzięki naszej praktyce prawniczej w zakresie IT możemy Ci pomóc na przykład:

• Mapujemy role każdej ze stron w łańcuchu danych dla każdej czynności przetwarzania.
• Przygotowujemy i weryfikujemy umowy dotyczące przetwarzania i porozumienia o wspólnym administratorze.
• Negocjujemy zasady podprzetwarzania, powiadamiania o naruszeniach i klauzule odpowiedzialności.
• Doradzamy w zakresie odpowiedzialności i możliwości dochodzenia roszczeń pomiędzy stronami w przypadku naruszenia danych.
• Przygotowujemy odpowiedzi na pytania Autoriteit Persoonsgegevens.

Podsumowanie

• Twoja rola opiera się na faktach, a nie na etykiecie zawartej w umowie: ten, kto decyduje o celu i niezbędnych środkach, jest administratorem.
• Jeżeli wspólnie z inną stroną ustalacie cele, jesteście współadministratorami i musicie udokumentować podział odpowiedzialności (artykuł 26 RODO).
• Pisemna umowa o przetwarzaniu danych osobowych zgodna z treścią artykułu 28(3) RODO jest obowiązkowa za każdym razem, gdy korzystasz z usług podmiotu przetwarzającego.
• Podmiot przetwarzający zgłasza Ci naruszenie bez zbędnej zwłoki; Ty powiadamiasz Autoriteit Persoonsgegevens w ciągu 72 godzin.
• Obie strony mogą odpowiadać za całość szkody wyrządzonej danej osobie, dlatego należy wynegocjować klauzulę odszkodowania przed jej podpisaniem.

PYTANIA I ODPOWIEDZI