Pytanie zadane w dniu 23.08.2018 r.
Mamy od 10 miesięcy zawartą umowę z wykonawcą w zakresie świadczenia usług na xxxx. W treści tej umowy Zamawiający przekazał wykonawcy dane osobowe (powierzyliśmy dane osobowe). Czy obecnie jest konieczność zawarcia umowy powierzenia przetwarzania danych osobowych? Jeżeli TAK – czy mamy to zrobić w formie aneksu do umowy czy też zawierając odrębną umowę?
Odpowiedź.
Nie wnikając w przedmiot zamówienia / rodzaj usługi, można wskazać, że zamawiający już 25 maja 2018 roku powinien zawrzeć stosowną umowę /aneks do umowy z wykonawcą w zakresie przetwarzania danych osobowych. Osobiście proponuję zawrzeć odrębna umowę z wykonawcą.
Jeżeli wykonawca (nazywanym czasami zamiennie procesorem) będzie/jest podmiotem przetwarzającym dane osobowe, które powierzył mu zamawiający, umowa powierzenia powinna między innymi odpowiadać wymaganiom art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. 119, s. 1) – dalej RODO.
Ponieważ administrator danych (zamawiający) ponosi odpowiedzialność za bezpieczeństwo powierzonych innemu podmiotowi danych, w związku z czym powinien mieć możliwość kontroli tego, czy podmiot, któremu dane powierzył, przetwarza je zgodnie z postanowieniami zawartej między nimi umowy. Powinien także zakreślić wykonawcy (procesorowi) szczegóły i zakres przetwarzania, okres do którego te przetwarzanie będzie możliwe.
Należy jednak zauważyć, aby nie mylić dwóch pojęć dotyczących opisanej sytuacji. Jedno z nich to przypadek, w którym zamawiający powierza dane osobowe którymi dysponuje jako administrator wykonawcy. Drugi przypadek ma miejsce wtedy, gdy zamawiający udostępnia dane osobowe którymi dysponuje jako administrator wykonawcy.
W pierwszym (umowa powierzenia) wykonawca będzie podmiotem przetwarzającym (nazywany inaczej procesorem), gdzie zakres obowiązków i szczegóły przetwarzania powinien zakreślić zamawiający w umowie przetwarzania (art. 28 RODO).
W drugim przypadku, udostępnienie danych osobowych wykonawcy powoduje, że będzie on „klasycznym” administratorem danych osobowych w rozumieniu RODO i nie jest wymagana umowa powierzenia. Przyjmując z treści zapytania (nie znam rodzaju i szczegółów realizowanej usługi) że w jej realizacji mamy do czynienia z powierzeniem danych osobowych wykonawcy, koniecznym jest zawarcie umowy powierzenia.