Czy można przekazać dane firmie marketingowej

Czytelnik prowadzi firmę, która przetwarza dane osobowe powierzone mu przez portale internetowe.

- Czy prawo dopuszcza możliwość dalszego powierzenia już powierzonych danych firmie marketingowej - pyta pan Marek z Łodzi.

Tak. W jednej z ostatnio wydanych decyzji (DOLiS-035-2296/09) Generalny Inspektor Ochrony Danych Osobowych stwierdził, że jest to dopuszczalne tylko wtedy, gdy pierwotna umowa powierzenia przetwarzania danych przewiduje możliwość dalszego ich powierzenia, w określonym zakresie i celu. Administrator danych (np. pracodawca) może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Niezbędnymi elementami tej umowy jest określenie celu, w jakim podmiot, któremu powierzono przetwarzanie danych może je przetwarzać oraz zakresu powierzonych do przetwarzania danych. Podmiot ten może bowiem przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Powierzenie przetwarzania danych na podstawie umowy, o której stanowi art. 31 ustawy o ochronie danych osobowych, w określonym w niej celu, jest działaniem prawnie dopuszczalnym i nie stanowi nieuprawnionego udostępnienia danych przez ich administratora innemu podmiotowi. Powierzenie przetwarzanych danych nie wymaga zgody osoby, której dane dotyczą.

Należy zauważyć, że, stosownie do art. 31 ust. 3 ustawy, podmiot podejmujący się przetwarzania danych na podstawie umowy powierzenia obowiązany jest zastosować środki zabezpieczające powierzony zbiór danych. To dlatego, że w zakresie zabezpieczenia danych osobowych podmiot ten ponosi odpowiedzialność jak administrator danych. Musi zatem dbać o to, aby powierzone mu dane osobowe nie dostały się w ręce osób nieupoważnionych, bądź nie zostały uszkodzone lub zniszczone. Ponadto podmiot, któremu administrator danych powierzył ich przetwarzanie, odpowiada wobec administratora danych, za przetwarzanie danych niezgodnie z zawartą umową.

Często podmiot, któremu powierzono przetwarzanie danych, chce udostępnić (te dane innemu podmiotowi, np. firmie marketingowej, w określonym celu. Inaczej mówiąc chce zawrzeć kolejną umowę powierzenia. Przekazanie danych administrowanych przez jeden podmiot drugiemu, jak również dalsze udostępnienie tych danych innym podmiotom, wymaga stosownej podstawy prawnej. Podstawę taką może stanowić umowa powierzenia danych. Drugą stroną tej umowy może być zarówno administrator danych, jak i podmiot, któremu powierzono przetwarzanie danych na podstawie pierwotnej umowy powierzenia, jeżeli umowa przewiduje możliwość dalszego powierzenia przetwarzania danych w określonym zakresie i celu innemu podmiotowi. Administrator danych osobowych musi więc takie działanie dopuszczać.

Adam Makosz

Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.).