Czy podmiot przetwarzający dane na podstawie umowy powierzenia staje się ich administratorem

Generalny Inspektor Ochrony Danych Osobowych

Nie. W konsekwencji odpowiedzialność za przestrzeganie przepisów ustawy nadal spoczywa na administratorze danych, który powierzył dane do przetwarzania. Powinien on dopełnić licznych obowiązków nałożonych przepisami ustawy o ochronie danych osobowych, m.in. zgłosić zbiór danych osobowych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych. Nie wyłącza to jednak odpowiedzialności podmiotu, któremu administrator powierzył przetwarzanie danych, za przetwarzanie danych niezgodnie z umową powierzenia.

Co istotne, podmiot ten powinien przed rozpoczęciem przetwarzania danych zastosować środki zabezpieczające zbiór danych, o których mowa w art. 36–39 ustawy, w szczególności zobowiązany jest do prowadzenia dokumentacji opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne powzięte dla ich ochrony, na którą składa się polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Musi też wyznaczyć administratora bezpieczeństwa informacji. Powinien również zadbać o to, aby do przetwarzania danych były dopuszczane wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Ostatnim obowiązkiem wynikających z przepisów jest konieczność prowadzenia ewidencji osób upoważnionych do przetwarzania danych.

Podmiot, któremu powierzono przetwarzanie danych, powinien także spełnić wymagania określone w rozporządzeniu ministra spraw wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. nr 100, poz. 1024).

W zakresie przestrzegania tych przepisów podmiot, któremu powierzono przetwarzanie danych, ponosi odpowiedzialność taką samą jak administrator danych.

W odniesieniu do podmiotu, któremu powierzono przetwarzanie danych, Generalnemu Inspektorowi Ochrony Danych Osobowych przysługuje prawo kontroli zgodności przetwarzania danych z przepisami dotyczącymi ochrony danych osobowych – analogicznie jak w odniesieniu do administratora danych.