21 czerwca 2022 r. odbyła się jubileuszowa gala rankingu Rzeczpospolita.
Niezmiernie miło jest nam poinformować, że Kancelaria Leśniewski Borkiewicz & Partners awansowała o 4 miejsca w rankingu największych kancelarii w województwie dolnośląskim i lubelskim.
Cieszymy się ze współpracy ze świetnymi ekspertami kancelarii, to nasz wspólny sukces. Gratulujemy pozostałym laureatom!
Zachęcamy do obejrzenia webinarium dotyczącego dyrektywy cyfrowej, towarowej oraz dyrektywy Omnibus. Warto przygotować się na nadchodzące zmiany!
➡ https://youtu.be/rB5z1y83i9A
Webinarium poprowadzili r.pr. Marta Czeladzka i adw. Grzegorz Leśniewski specjalizujący się w prawie nowych technologii, ochronie danych osobowych, e-commerce, cloud computingu, własności intelektualnej, prawie gospodarczym, M&A oraz prawie ochrony konsumentów.
Webinarium zostało przygotowane w ramach ośrodka Enterprise Europe Network, który działa przy Polskiej Agencji Rozwoju Przedsiębiorczości.
Warto zapoznać się z nagraniem!
Wraz z wejściem w życie RODO, na administratorów danych osobowych nałożono bardzo istotne obowiązki związane z powierzaniem danych osobowych do przetwarzania innemu podmiotowi. Wbrew powszechnemu przekonaniu, obowiązki te nie sprowadzają się wyłącznie do zawarcia tzw. umowy powierzenia. Z naszych dotychczasowych obserwacji wynika, że do publicznej świadomości przebiła się wyłącznie niewielka część dość długiego katalogu powinności, które spoczywają na administratorze w związku z chęcią „przekazania” pewnych czynności przetwarzania.
Chodzić tu może o nawet najprostsze i z pozoru niewinne procesy, jak np. jednorazowe przeniesienie bazy danych czy też analiza wskazanych danych w celu przygotowania zamówionego raportu. Przekonała się o tym np. firma Fortum Marketing and Sales Polska S.A., na którą Prezes UODO w styczniu br. nałożył bardzo surową karę w wysokości prawie 5 mln zł. W poniższym artykule skupimy się na zwięzłym omówieniu ww. obowiązków administratora w kontekście powierzania przetwarzania danych osobowych, a także wskażemy przykłady naruszeń, które spotkały się z negatywną oceną PUODO.
Możemy wyróżnić kilka najważniejszych wytycznych, związanych ze współpracą z podmiotem powierzającym. Są nimi:
Powierzenie przetwarzania danych osobowych powinien poprzedzać wybór odpowiedniego podmiotu przetwarzającego.
Zgodnie z art. 28 ust. 1 RODO administrator może korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.
Interpretując powyższe łącznie z treścią motywu 81 preambuły do RODO należy dojść do wniosku, że administrator jest zobowiązany dokonać uprzedniego zbadania, czy podmiot przetwarzający spełnia wymogi określone w art. 28 ust. 1 RODO, tj. czy zapewnia wystarczające gwarancje — w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby — wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom RODO, w tym wymogom bezpieczeństwa przetwarzania.
Weryfikacji tej może przysłużyć się np. analiza wdrożonego przez podmiot przetwarzający zatwierdzonego kodeksu postępowania (art. 40 RODO) lub zatwierdzonego mechanizmu certyfikacji (art. 42 RODO), wewnętrznych procedur i polityk dotyczących ochrony danych osobowych czy też wypełnienie przygotowanego w tym celu kwestionariusza.
Zgodnie z art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.
Oprócz powyższych informacji umowa powinna zawierać szereg innych regulacji wprost wskazanych w RODO (art. 28 ust. 3), m.in. dotyczących zasad przeprowadzania audytów i inspekcji przez administratora.
Brak któregokolwiek z elementów wymienionych w ww. przepisie RODO, w szczególności gdy brak ten, chociażby pośrednio, wiąże się z incydentem podlegającym badaniu przez UODO, może wiązać się z wymierzeniem kary finansowej przez organ nadzorczy.
RODO dopuszcza również możliwość dalszego powierzenia danych osobowych do przetwarzania tj. gdy dany podmiot przetwarzający przekazuje dany proces przetwarzania swojemu podwykonawcy.
Z perspektywy przepisów prawnych istotne jest właściwe uregulowanie tej kwestii w umowach pomiędzy wszystkimi podmiotami oraz uzyskanie zgody administratora.
Zgodnie z art. 28 ust. 2 RODO podmiot przetwarzający nie może korzystać z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku ogólnej pisemnej zgody podmiot przetwarzający informuje administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian.
Natomiast co do stosunku prawnego pomiędzy podmiotami przetwarzającymi, zgodnie z art. 28 ust. 4 RODO podmiot przetwarzający może korzystać z usług innego podmiotu przetwarzającego pod warunkiem, że na ten inny podmiot przetwarzający nałożone zostają – na mocy umowy lub innego aktu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego – te same obowiązki ochrony danych jak w umowie lub innym akcie prawnym między administratorem a podmiotem przetwarzającym.
Jeżeli ten inny podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec administratora za wypełnienie obowiązków tego innego podmiotu przetwarzającego spoczywa na pierwotnym podmiocie przetwarzającym.
1. Fortum Marketing and Sales Polska S.A. z siedzibą w Gdańsku (decyzja)
Fortum Marketing and Sales Polska S.A. z siedzibą w Gdańsku (dalej: Fortum) prowadzi działalność gospodarczą w zakresie obrotu energią elektryczną i paliwem gazowym. W ramach prowadzonej działalności gospodarczej Fortum współpracowała z PIKA Spółką z o.o. z siedzibą w Gdańsku (dalej: PIKA”). PIKA świadczyła na rzecz Fortum usługę prowadzenia archiwum, w tym archiwum cyfrowego.
W zgłoszeniu naruszenia wskazano, że doszło do „skopiowania danych” klientów Fortum, a zdarzenie było związane z faktem wprowadzenia zmiany w środowisku teleinformatycznym w celu zwiększenia wydajności działania całości repozytorium. Zmiana dokonywana była przez PIKA i polegała na utworzeniu i instalacji dodatkowej bazy danych klientów Fortum, która następnie została skopiowana przez nieuprawnione podmioty.
W toku postępowania PUODO ustalił, że strony zawarły umowę powierzenia o treści zgodnej z RODO. Na jej mocy PIKA zobowiązała się do stosowania szeregu zabezpieczeń danych osobowych m.in. ich pseudonimizacji i szyfrowania, co jednak nie zostało wdrożone przy okazji przeprowadzania ww. zmiany w systemie. Zabezpieczenia te w kontekście przedmiotowego procesu nie zostały również odrębnie skonsultowane przez strony.
Uzasadniając wybór PIKA jako podmiotu przetwarzającego oraz brak przeprowadzania audytów i inspekcji, Fortum powoływała się na okoliczność wieloletniej współpracy z PIKA, podczas której nigdy nie doszło do żadnego incydentu bezpieczeństwa danych osobowych. Dodatkowo podkreślano profesjonalny charakter prowadzonej przez PIKA działalności, fakt bycia liderem w branży oraz wysoki standard w zakresie archiwizacji i digitalizacji.
Fortum przyznała, że przed zawarciem umowy powierzenia przetwarzania danych osobowych nie przeprowadziła dodatkowej weryfikacji PIKA, uznając podpisanie umowy powierzenia i ww. reputację PIKA za wystarczające.
W związku z powyższym, pomimo oczywistej winy PIKA w naruszeniu ochrony danych osobowych, w tym także postanowień umowy powierzenia PUODO uznał, że Fortum nie wywiązała się ze swoich obowiązków wynikających z art. 28 ust. 1 RODO. Nie dokonała bowiem weryfikacji PIKA przed rozpoczęciem współpracy, a także nie korzystała z prawa do przeprowadzania kontroli wynikającego z art. 28 ust. 3 lit. h RODO poprzestając na pozytywnej ocenie dotychczasowej współpracy.
Oczywista wina PIKA za naruszenie ochrony danych osobowych w żadnym stopniu nie zwolniła Fortum z odpowiedzialności za niewywiązanie się ze swoich obowiązków jako administratora, co skutkowało nałożeniem na Fortum rekordowej kary w wys. 4,9 mln zł.
2. Krajowa Szkoła Sądownictwa i Prokuratury (decyzja)
W toku postępowania przeciwko KSSiP, kilkukrotnie omawianego przez nas przy okazji poprzednich artykułów, PUODO zidentyfikował także naruszenie art. 28 ust. 3 RODO, które to naruszenie przyczyniło się do wymierzenia na KSSiP kary pieniężnej w wys. 100 000 zł (maksymalna dopuszczalna kara, którą można nałożyć na podmiot publiczny zgodnie z art. 102 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych; Dz.U. z 2019 r. poz. 1781).
Naruszenie to polegało na zawarciu umowy powierzenia o treści niezgodnej z art. 28 ust. 3 RODO tj. bez umownego zobowiązania podmiotu przetwarzającego do przetwarzania danych osobowych wyłącznie na udokumentowane polecenie administratora, a także bez określenia w umowie powierzenia przetwarzania danych osobowych kategorii osób oraz bez doprecyzowania rodzaju danych osobowych przez wskazanie ich kategorii.
3. Burmistrz Aleksandrowa Kujawskiego (decyzja)
Podobnie jak w przypadku KSSIP, Burmistrz Aleksandrowa Kujawskiego dopuścił się szeregu różnych naruszeń, a w katalogu tym znalazł się również art. 28 ust. 3 RODO. O pozostałych naruszeniach wspominaliśmy w tym artykule LINK.
Naruszenie to polegało na udostępnieniu danych osobowych na rzecz podmiotu trzeciego (podmiotu przetwarzającego) bez podstawy prawnej, tj. bez uprzedniego zawarcia umów powierzenia.
Za to naruszenie w powiązaniu z innymi uchybieniami, PUODO wymierzył karę w wys. 40 000 zł.
Tak jak w przypadku KSSIP, maksymalny wymiar kary w tej sprawie wynosił 100 000 zł
Kary wymierzone dotychczas przez PUODO za naruszenie art. 28 RODO dotyczyły zarówno zaniechania zawarcia umowy powierzenia, braków w jej treści, jak i zaniechań w zakresie realizacji jej postanowień.
Z perspektywy ostatniej kary wymierzonej spółce Fortum można dojść do wniosku, że PUODO bardzo poważnie traktuje wszelkie naruszenia związane z powierzeniem przetwarzania danych osobowych, traktując ten proces jako zasługujący na szczególną uwagę administratorów danych osobowych.
Każde udostępnienie danych podmiotom trzecim, czy też przekazanie im konkretnego procesu związanego z ich przetwarzaniem, powinno wiązać się z uprzednią weryfikacją tych podmiotów, która powinna zostać należycie udokumentowana. Administrator powinien również pamiętać o obowiązku zawarcia umowy powierzenia o odpowiedniej treści zawierającej co najmniej katalog wynikający z RODO oraz o cyklicznych audytach w przypadku długotrwałej współpracy.
Dziękujemy, że jesteś z nami i przeczytałeś do końca!
Możliwe, że zainteresują Cię również pozostałe nasze wpisy z serii praktycznych wskazówek dla uniknięcia kar.
Obiecujemy, że to nie koniec serii. Stay tuned!
Uwaga – zmiany w branży e-commerce tuż tuż. 🛒
Chcesz być na bieżąco?
Zachęcamy do wzięcia udział w webinarium „Treści i usługi cyfrowe – nowe obowiązki dla przedsiębiorców”.
Wydarzenie jest skierowane do przedsiębiorców, którzy chcą zapoznać się ze zmianami w prawie wynikającymi z dyrektywy cyfrowej, towarowej oraz tzw. dyrektywy Omnibus.
Celem webinarium jest udzielenie przedsiębiorcom praktycznych wskazówek dotyczących tego, jak przygotować się na wejście w życie nowych przepisów oraz jakie grożą sankcję w przypadku braku ich wdrożenia.
📆 7 czerwca
⏰ godz. 11:30
Aby wziąć udział w webinarze należy się zarejestrować, klikając przycisk „Zapisz się” 👉 https://bit.ly/3aboELJ.
Webinarium jest realizowane przez ośrodek Enterprise Europe Network, który działa przy Polskiej Agencji Rozwoju Przedsiębiorczości. Projekt Enterprise Europe Network jest współfinansowany przez Komisję Europejską ze środków pochodzących z Programu na rzecz Jednolitego Rynku oraz ze środków budżetu państwa w ramach dotacji celowej Ministerstwa Rozwoju i Technologii.
Spotkanie poprowadzą r. pr. Marta Czeladzka oraz adw. Grzegorz Lesniewski. Zachęcamy do wzięcia udziału.
