UWAGA – od 25 maja 2018 roku poniższa treść stanie się częściowo nieaktualna.
Jeśli nie korzystacie z usług innych przedsiębiorców i wszystko w Waszej firmie robicie we własnym zakresie nie powierzacie przetwarzania danych osobowych, ale już jak np. korzystacie z zewnętrznych serwerów, co zapewne u wielu z Was ma miejsce, może się okazać, że powinniście zawrzeć z hostingodawcą umowę o powierzenie przetwarzania danych osobowych. Dotyczy to oczywiście tylko sytuacji, w której na zewnętrznym serwerze będziecie np. przechowywać dane osobowe.
Zgodnie z art. 31 ust. 1 ustawy o ochronie danych osobowych administrator danych, a więc Wy jako osoby/podmioty decydujące o celach i środkach przetwarzania danych osobowych, może, pod pewnymi warunkami, powierzyć przetwarzanie danych innemu podmiotowi.
Kiedy ma miejsce przetwarzanie danych?
Zgodnie z ustawą o ochronie danych osobowych przetwarzanie danych osobowych to:
„jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych”
Jak widzicie katalog czynności, które uznawane są przez ustawodawcę za przetwarzanie danych osobowych jest bardzo szeroki. Według mnie w każdym przypadku kiedy przechowujecie dane osobowe na zewnętrznych serwerach ma miejsce przetwarzanie danych osobowych przez hostingodawcę i powinniście podpisać z nim umowę o powierzenie przetwarzania danych osobowych.
Dlaczego warto podpisać umowę o powierzenie przetwarzania danych osobowych?
Przede wszystkim ze względu na współodpowiedzialność hostingodawcy za „wasze” dane osobowe przechowywane na jego serwerze, a także ich bezpieczeństwo.
Podmiot, któremu powierzacie dane osobowe jest obowiązany, jeszcze przed rozpoczęciem przetwarzania danych, podjąć odpowiednie, określone w ustawie o ochronie danych osobowych, środki zabezpieczające.
Ponadto procesor (podmiot przetwarzające dane) musi spełnić wymagania w zakresie podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, za co ponosi odpowiedzialność tak jak administrator danych osobowych (Pamiętajcie, że pomimo powierzenia przetwarzania danych osobowych innemu podmiotowi nadal jesteście administratorami danych osobowych i ponosicie za nie odpowiedzialność!)
Procesor ponosi również odpowiedzialność za przetwarzanie danych niezgodnie z zawartą z Wami umową o powierzenie danych osobowych.
Co istotne, jeśli Wasz hostingodawca nie wie o tym, że na jego serwerze są przechowywane dane osobowe – nie ponosi za nie odpowiedzialności w oparciu o ustawę o ochronie danych osobowych. Jak można przeczytać na stronie GIODO:
„Jeżeli podmiot udostępniający system (serwer) nie posiada wiedzy co do rodzaju danych przetwarzanych w tym systemie i nie powierzono mu danych w myśl art. 31 ustawy, to podlega on postanowieniom art. 14 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną i jego odpowiedzialność za przetwarzane dane jest ograniczona zgodnie z art. 12–15 tej ustawy.”
Jeśli macie podpisaną umowę o powierzenie przetwarzania danych osobowych nie ma wątpliwości, że procesor posiadał wiedzę o tym, że na jego serwerze utrzymujecie dane osobowe i ponosi wraz z Wami odpowiedzialność.
Umowa o powierzenie przetwarzania danych
Umowa o powierzenie przetwarzania danych powinna zostać zawarta na piśmie (Przeczytaj co to oznacza).
Ponadto powinien być w niej określony zakres oraz cel przetwarzania danych osobowych.
Nie wszystkie firmy hostingowe chcą zawierać takie umowy więc jeśli zależy Wam na takiej umowie, zanim zdecydujecie się na konkretnego usługodawcę, dowiedzcie się czy podpisze on z Wami umowę o powierzenie przetwarzania danych. Różna jest także praktyka firm w zakresie odpłatności za podpisanie takiej umowy, w niektórych trzeba za nią zapłacić.
