Czy dla sołtysa realizującego zadania publiczne, mającego dostęp do danych przy roznoszeniu korespondencji czy inkasowaniu podatku, wystarczy nadać upoważnienie czy trzeba również sporządzić z nim umowę powierzenia?
Charakterystyka powierzenia przetwarzania danych
Powierzenie przetwarzania danych osobowych to jeden z dwóch, obok udostępnienia, sposobów uprawnienia innego podmiotu do przetwarzania danych osobowych znajdujących się w posiadaniu konkretnego administratora danych. Umowa o powierzeniu przetwarzania danych osobowych powinna być zawarta w formie pisemnej lub elektronicznej. W treści umowy zawsze trzeba wskazać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora oraz pozostałe kwestie wyliczone w art. 28 ust. 3 RODO.
To zależy …
Generalnie wybór pomiędzy powierzeniem przetwarzania danych osobowych a upoważnieniem do ich przetwarzania sprowadza się do tego, czy administrator danych osobowych chce umożliwić ich przetwarzanie:
- przez inny podmiot prawa (sołtysa) – wówczas konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych;
- wewnątrz swojej struktury przez określone osoby (pracowników) – wówczas konieczne jest udzielenie imiennie tym osobom upoważnienia do przetwarzania danych osobowych.
Jeżeli więc konkretna osoba, która jest pracownikiem (lub pozostaje zatrudniona niepracowniczo – w przypadku umowy cywilnoprawnej, np. umowy zlecenia) administratora danych osobowych lub procesora (tj. podmiotu, któremu dane osobowe zostały powierzone) ma przetwarzać dane osobowe to powinna zostać do tego celu imiennie upoważniona. Z taką osobą nie zawiera się natomiast umowy powierzenia przetwarzania danych osobowych.
Ważne
Jeżeli nie zawarto umowy powierzenia przetwarzania albo nie upoważniono danej osoby do przetwarzania danych a mimo to doszło do przekazania danych osobowych to administrator danych może się narazić na zarzut przekazania danych osobie nieuprawnionej i wynikającą z tego tytułu odpowiedzialność cywilną lub karną a także na nałożenie administracyjnej kary pieniężnej. Dlatego powinien zawrzeć z taką osobą umowę powierzenia przetwarzania danych osobowych.
Podstawa prawna
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE.L nr 119, str. 1) – art. 28, art. 29.
Marcin Sarna
Agnieszka Kręcisz-Sarna
eksperci portalu PoradyODO.pl
