Powierzenie przetwarzania danych osobowych

• 1. zawrzeć z nami na piśmie umowę powierzenia przetwarzania danych osobowych;

  Rozwiń

  Artykuł 28 ust. 3 RODO stanowi:
  Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Ta umowa lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający:

  • przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora - co dotyczy też przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej - chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający; w takim przypadku przed rozpoczęciem przetwarzania podmiot przetwarzający informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;
  • zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
  • podejmuje wszelkie środki wymagane na mocy art. 32;
  • dprzestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w ust. 2 i 4;
  • biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III;
  • uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32-36;
  • po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
  • udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.
  
  W związku z obowiązkiem określonym w akapicie pierwszym lit. h) podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie niniejszego rozporządzenia lub innych przepisów Unii lub państwa członkowskiego o ochronie danych.

• 2. wdrożyć odpowiednie środki techniczne i organizacyjne, które będą spełniały wymogi RODO oraz chroniły prawa osób, których dane dotyczą;

  Rozwiń

  • W preambule RODO podkreślono, iż administrator danych powinien wybrać wyłącznie podmioty przetwarzające, które zapewniają wystarczające gwarancje, w szczególności, jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby, wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom przepisów RODO, w tym wymogom bezpieczeństwa przetwarzania.

• 3. prowadzić rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora;

• 4. zgłaszać NAM wszelkie przypadki naruszenia powierzanych przez NAS danych osobowych;

• 5. wyznaczyć inspektora ochrony danych osobowych w sytuacjach, gdy jest to obligatoryjne;

  Rozwiń

  Artykuł 37 RODO stanowi:
  Wyznaczenie inspektora ochrony danych:
  1. Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze, gdy:

  • przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
  • główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
  • główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10 RODO.

• 6. wyznaczyć swojego przedstawiciela w Unii Europejskiej w sytuacjach wskazanych w RODO;

  Rozwiń

  • Dotyczy to sytuacji, w których procesor nie będzie posiadać jednostki organizacyjnej w Unii, jednak czynności przetwarzania przez niego dokonywane wiążą się z oferowaniem towarów lub usług osobom, których dane dotyczą w Unii (niezależnie od tego, czy wymaga się od tych osób zapłaty) lub monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w Unii.

• 7. spełniać warunki określone w RODO dla przekazywania danych do państw trzecich;

  Rozwiń

  • Pamiętaj, iż procesor może przekazywać dane osobowe do państwa trzeciego wyłącznie na udokumentowane polecenie administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega procesor; w takim przypadku przed rozpoczęciem przetwarzania procesor informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.