podmiot przetwarzający

Podmiot przetwarzający to według art. 4 pkt 8 RODO osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora ^[1]. Administrator ustala cele i sposoby przetwarzania, a podmiot przetwarzający wykonuje czynności na jego rzecz ^[1]. Przykładami, które podaje Europejska Rada Ochrony Danych (EROD), są firma hostingowa przechowująca dane klienta i dostawca usług IT serwisujący jego systemy ^[2]. W żargonie zgodności bywa nazywany „procesorem”, ale ustawowy termin brzmi „podmiot przetwarzający”.

Kiedy firma jest podmiotem przetwarzającym

EROD w wytycznych 07/2020 wskazuje dwa warunki: podmiot przetwarzający jest odrębnym podmiotem wobec administratora i przetwarza dane osobowe w jego imieniu ^[2]. Rozstrzyga faktyczny układ ról, a nie nazwa umowy.

Wytyczne rozróżniają „istotne” i „nieistotne” sposoby przetwarzania. Istotne, takie jak rodzaj danych, czas przetwarzania, kategorie odbiorców i kategorie osób, należą do administratora ^[2]. Nieistotne, na przykład wybór sprzętu, oprogramowania czy szczegółowych środków bezpieczeństwa, może ustalać podmiot przetwarzający ^[2].

Granica jest ostra. Art. 28 ust. 10 RODO stanowi, że podmiot przetwarzający, który naruszy rozporządzenie przy określaniu celów i sposobów przetwarzania, jest uznawany za administratora w odniesieniu do tego przetwarzania ^[1].

Obowiązki

Administrator może korzystać tylko z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych ^[1]. Podstawą współpracy jest umowa powierzenia przetwarzania danych osobowych w formie pisemnej, w tym elektronicznej ^[1]. Art. 28 ust. 3 wymienia, co ma w niej być. Podmiot przetwarzający między innymi:

• przetwarza dane wyłącznie na udokumentowane polecenie administratora ^[1];
• zapewnia, że osoby upoważnione zobowiązały się do zachowania tajemnicy ^[1];
• stosuje środki bezpieczeństwa z art. 32 ^[1];
• pomaga administratorowi w realizacji praw osób, których dane dotyczą ^[1];
• po zakończeniu usługi usuwa albo zwraca dane i usuwa ich kopie ^[1];
• umożliwia administratorowi albo upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji ^[1].

Bezpieczeństwo i rejestr. Art. 32 nakłada obowiązek dobrania środków bezpieczeństwa do ryzyka wprost na administratora i podmiot przetwarzający ^[1]. Wymienia wśród nich m.in. pseudonimizację i szyfrowanie danych, zdolność do szybkiego przywrócenia dostępności danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń ^[1]. W praktyce oznacza to także sprawdzoną kopię zapasową (backup). Podmiot przetwarzający prowadzi też własny rejestr kategorii czynności przetwarzania, z danymi kontaktowymi każdego administratora i, gdy ma to zastosowanie, inspektora ochrony danych ^[1].

Dalsze powierzenie. Podmiot przetwarzający nie może korzystać z usług innego podmiotu przetwarzającego bez szczegółowej lub ogólnej pisemnej zgody administratora ^[1]. Za dalszego podwykonawcę odpowiada wobec administratora w pełni ^[1].

Kontrola. UODO wyjaśnia, że administrator jest zobowiązany do stałej kontroli, czy podmiot przetwarzający przetwarza dane zgodnie z prawem ^[4]. Postanowienia umowy ograniczające prawo administratora do audytu urząd uznaje za niezgodne z RODO ^[4].

Naruszenie ochrony danych

Art. 33 ust. 2 RODO nakazuje podmiotowi przetwarzającemu zgłosić naruszenie ochrony danych osobowych administratorowi bez zbędnej zwłoki po jego stwierdzeniu ^[1]. Administrator ocenia ryzyko i decyduje o zgłoszeniu do organu nadzorczego ^[3]. Ma na to w miarę możliwości 72 godziny od stwierdzenia naruszenia ^[3]. Przebieg pokazuje schemat poniżej.

RYS. 1Zgłoszenie naruszenia w łańcuchu powierzenia

Opóźnienie po stronie podmiotu przetwarzającego skraca czas administratora na zgłoszenie naruszenia, dlatego warto określić w umowie powierzenia konkretny termin powiadomienia.

W WordPressie

EROD podaje dwa przykłady, które pasują do obsługi stron. Firma hostingowa, która przechowuje dane klienta na swoich serwerach i nie przetwarza ich inaczej, jest podmiotem przetwarzającym, bo przechowywanie to również przetwarzanie ^[2]. Dostawca usług IT, który przy serwisie systemów nieuchronnie ma dostęp do danych osobowych, także jest podmiotem przetwarzającym, choć dostęp do danych nie jest celem usługi ^[2]. Na tej podstawie agencja utrzymująca sklep na WordPressie zwykle działa jako podmiot przetwarzający właściciela sklepu. Ostateczna kwalifikacja zależy jednak od faktycznego podziału ról.

Strona na WordPressie korzysta też z usług, które same przetwarzają dane odwiedzających: formularzy wysyłanych do systemu mailingowego, analityki, płatności. Dokumentacja WordPressa ostrzega, że narzędzie do tworzenia polityki prywatności zbiera informacje tylko z rdzenia i współpracujących wtyczek. Zewnętrzne usługi, na przykład systemy subskrypcji e-mail, mogą zbierać dane w sposób, którego to narzędzie nie wykryje ^[5]. Podobnie eksport i usuwanie danych osobowych w panelu obejmują tylko dane z WordPressa i współpracujących wtyczek ^[5]. Listę podmiotów przetwarzających trzeba więc ustalić samodzielnie, przeglądając wtyczki i integracje.

Z punktu widzenia bezpieczeństwa dostęp podwykonawcy do panelu to element powierzchni ataku. Konta agencji i hostingu powinny podlegać zasadzie najmniejszych uprawnień i być wyłączane po zakończeniu współpracy.

Kary i odpowiedzialność

Każda osoba, która poniosła szkodę w wyniku naruszenia RODO, może żądać odszkodowania od administratora lub podmiotu przetwarzającego ^[1]. Podmiot przetwarzający odpowiada za szkody tylko wtedy, gdy nie dopełnił obowiązków nałożonych bezpośrednio na podmioty przetwarzające albo działał poza zgodnymi z prawem instrukcjami administratora lub wbrew nim ^[1].

Naruszenie obowiązków z art. 25–39, w tym art. 28 i 32, podlega administracyjnej karze pieniężnej do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą ^[1]. RODO stosuje się od 25 maja 2018 roku ^[1]. Wytyczne EROD 07/2020 przyjęto w wersji ostatecznej 7 lipca 2021 roku ^[2].