Kliknij tutaj --> 🎲 umowa ochrona danych osobowych

Najważniejszym ogniwem współpracy między administratorem a podmiotem przetwarzającym dane jest umowa powierzenia przetwarzania danych osobowych. Przepisy RODO wskazują wprost elementy, które umowa taka powinna zawierać. Mowa tutaj o art. 28 rozporządzenia, określającym podstawowy katalog obowiązkowych zapisów umowy powierzenia. Autorzy wytycznych wyróżniają w ogóle trzy rodzaje naruszeń: naruszenie poufności, które polega na ujawnieniu lub udostępnieniu danych osobie nieuprawnionej; naruszenie integralności, które sprowadza się do zmiany treści danych osobowych, czyli ich modyfikowania, w sposób nieautoryzowany; naruszenie dostępności, które wiąże Każdy z przedsiębiorców powinien zapoznać się z przepisami, o których mowa w ustawie o ochronie danych osobowych. Jeżeli bowiem w ramach prowadzonej przez niego działalności przechowywane są i przetwarzane zbiory danych podlegające wg ustawy rejestracji u GIODO, a przedsiębiorca nie wywiąże się z obowiązków na nim o ochronie danych osobowych1), 2), 3) Rozdział 1 Przepisy ogólne 1) Niniejsza ustawa służy stosowaniu rozporządzenia Parlamentu Europejskiego iRady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich Wykonanie umowy jest podstawą do przetwarzania danych. Umowa zgodna z RODO z przedsiębiorcami i z osobami fizycznymi. Przetwarzanie danych przed zawarciem umowy. Wielkość tekstu: A. A. Od 25 maja 2018 r. przepisy RODO obowiązują każdego przedsiębiorcę. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia Site De Rencontre Serieux En Belgique Gratuit. Nowelizacja ustawy o ochronie danych osobowych, która weszła w życie w styczniu 2015 roku istotnie zliberalizowała zasady przekazywania danych osobowych do państw trzecich, wprowadzając do katalogu przesłanek legalizujących przekazanie danych do państwa trzeciego posłużenie się umową opartą o modelowe klauzule zatwierdzone przez Komisję Europejską oraz działania w ramach systemu zatwierdzonych przez Generalnego Inspektora Ochrony Danych Osobowych wiążących reguł korporacyjnych. Transgraniczna wymiana danych osobowych jest uregulowana na poziomie Unii Europejskiej przez Dyrektywę 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. W polskim porządku prawnym transfer danych osobowych został uregulowany w Ustawie o ochronie danych osobowych. Zgodnie z jej postanowieniami, przepływ danych w obrębie Europejskiego Obszaru Gospodarczego, do którego oprócz państw członkowskich UE należą: Norwegia, Islandia oraz Lichtenstein, jest traktowany tak samo jak transfer danych na terytorium Polski. Wszystkie pozostałe państwa traktowane są jako tzw. państwa trzecie. Zasady przekazywania danych osobowych do państwa trzeciego W świetle ustawy o ochronie danych osobowych, przekazanie danych osobowych do państwa trzeciego jest możliwe, co do zasady tylko wtedy, gdy państwo to zapewnia odpowiedni poziom ochrony danych osobowych. Adekwatność ochrony jest oceniania z uwzględnieniem wszystkich okoliczności dotyczących operacji przekazania danych, w szczególności biorąc pod uwagę charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia danych oraz przepisy prawa obowiązujące w danym państwie trzecim, a ponadto stosowane w tym państwie środki bezpieczeństwa i zasady zawodowe. Jeżeli warunek zapewnienia odpowiedniego poziomu ochrony nie jest spełniony, przekazanie danych osobowych do państwa trzeciego może nastąpić w dwóch przypadkach. Po pierwsze, transfer będzie w takiej sytuacji dopuszczalny, gdy wynika z obowiązku nałożonego na administratora danych obowiązującymi przepisami prawa lub postanowieniami ratyfikowanej umowy międzynarodowej. Po drugie, przekazanie danych osobowych do państwa, które nie zapewnia odpowiedniego poziomu ochrony jest możliwy po spełnieniu jednej z następujących przesłanek: osoba, której dane dotyczą wyraziła pisemną zgodę; przekazanie jest niezbędne do wykonania umowy pomiędzy administratorem danych a osobą, której dane dotyczą, lub jest podejmowane na jej życzenie; przekazanie jest niezbędne do wykonania umowy zawartej w interesie osoby, której dane dotyczą, pomiędzy administratorem danych a innym podmiotem; przekazanie jest niezbędne ze względu na dobro publiczne lub do wykazania zasadności roszczeń prawnych; przekazanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą; dane są ogólnie dostępne. W przypadku gdy transfer danych ma nastąpić do państwa, które nie zapewnia odpowiedniego poziomu ochrony i nie został spełniony żadnej z ww. warunków, można zwrócić się do Generalnego Inspektora Danych Osobowych (GIODO) o zgodę, która wydawana jest w drodze decyzji administracyjnej. Organ rozpatrując wniosek musi oceni czy administrator danych zapewni odpowiednie zabezpieczenie w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą. Administrator może w tym celu zastosować środki różnego typu tj. odpowiednie klauzule umowne czy środki techniczne, które pozwalają zapewnić odpowiedni poziom ochrony danych. Na marginesie warto dodać, że przez administratora danych rozumie się podmiot decydujący o celach i środkach przetwarzania danych osobowych. Każdy wniosek o zgodę na transfer danych do państwa trzeciego GIODO powinien oceniać indywidualnie, z uwzględnieniem wszystkich okoliczności sprawy. W tym miejscu należy podkreślić, że przekazanie może nastąpić dopiero po uzyskaniu zgody, pozytywna decyzja nie legalizuje bowiem wcześniejszego przekazania danych. Poza wyżej wymienionymi przypadkami, w których administrator danych osobowych jest uprawniony do przekazania danych do państwa trzeciego, nowelizacja, wprowadziła do katalogu przesłanek legalizujących transfer danych do państwa trzeciego dwie dodatkowego okoliczności, mianowicie: posłużenie się umową opartą o modelowe klauzule zatwierdzone przez Komisję Europejską oraz działania w ramach systemu zatwierdzonych przez GIODO wiążących reguł korporacyjnych. Modelowe klauzule umowne Podstawowym instrumentem zapewnienia adekwatnego poziomu ochrony danych jest zawarcie odpowiednio skonstruowanej umowy przekazania danych osobowych do państwa trzeciego (umowy transferowej). Administrator danych może posłużyć się w tym celu jednym z zestawów tzw. modelowych klauzul umownych zatwierdzonych przez Komisję Europejską. Dotychczas Komisja wydała trzy decyzje zawierające zestawy standardowych klauzul. Dwa pierwsze zestawy dotyczą transferu danych pomiędzy administratorami danych (controller to controller). Klauzule wprowadzone na podstawie trzeciej decyzji znajdują zastosowanie przy przekazywaniu danych podmiotowi przetwarzającemu dane osobowe na zlecenie (controller to processor). Modelowe klauzule mogą stanowić część szerszej umowy transferowej zawartej pomiędzy administratorem danych a odbiorcą lub mogą być zawarte w aneksie do umowy. Należy podkreślić, że nie istnieje obowiązek posługiwania się standardowymi klauzulami. Jednak jeśli administrator danych zdecyduje się na oparcie o nie umowy transferowej, to przekazanie z mocy prawa traktowane będzie jako odbywające się w warunkach adekwatnego poziomu ochrony. Przed nowelizacją, zastosowanie modelowych klauzul nie wywierało takiego skutku, a co za tym idzie konieczne było każdorazowo wystąpienie do GIODO z wnioskiem o wydanie zezwalającej decyzji administracyjnej, o której była wyżej mowa. Fakt posłużenia się klauzulami był traktowany w postępowaniu przez GIODO jedynie jako jeden z dowodów służący wykazaniu, że administrator danych zapewnił odpowiednie zabezpieczenie w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą. Obecnie, administrator danych osobowych, który posłuży się modelowymi klauzulami umownymi, uznanymi na mocy decyzji Komisji Europejskiej za instrument chroniący w odpowiednim stopniu prawa i wolności osoby, której dane dotyczą, zwolniony jest z obowiązku wystąpienia do GIODO z wnioskiem o wyrażenie zgody na przekazanie danych. Nie oznacza to, że administrator nie musi przestrzegać innych wymogów prawnych dotyczących przetwarzania danych osobowych. Należy ponadto pamiętać, że w każdym wypadku, w którym standardowe klauzule umowne zostaną zmodyfikowane, konieczne będzie uzyskanie zgody GIODO na transfer. Autor: Karina Wronka Administrator danych osobowych może, na podstawie umowy powierzenia przetwarzania danych osobowych, przekazać dane innemu podmiotowi. Przekazanie to odbywa się jednak włącznie na podstawie pisemnej umowy (może być zawarta elektronicznie) lub innego instrumentu prawnego. Jak powinna zostać sporządzona taka umowa, aby spełnione zostały wymogi nałożone przepisami o ochronie danych osobowych? Kto może powierzyć przetwarzanie danych osobowych? Dane powierzyć może ich administrator - czyli podmiot/osoba, która decyduje o celach i środkach przetwarzania danych. Administrator danych może powierzyć innemu podmiotowi, w drodze umowy (lub innego instrumentu prawnego) zawartej na piśmie, przetwarzanie danych Pobierz darmowy wzór umowy powierzenia danych osobowych w formacie pdf i docx! Do pobrania: Komu można powierzyć przetwarzanie danych? Dane powierza się wyłącznie podmiotowi, który spełnia wymagania z przepisów o ochronie danych osobowych. Zatem ten, komu powierza się przetwarzanie danych przed rozpoczęciem tego procesu (a przetwarzanie danych to już samo ich przechowywanie), powinien podjąć środki (techniczne i organizacyjne) zabezpieczające zbiór “otrzymanych” danych. Dodatkowo podmiot, któremu powierzamy dane, powinien spełniać przesłanki rozporządzenia MSWiA w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia oraz systemy informatyczne, służące do przetwarzania danych osobowych. Na kim ciąży odpowiedzialność za powierzone do przetwarzania dane osobowe? W zakresie przestrzegania przepisów dotyczących ochrony danych osobowych odpowiedzialność spoczywa zarówno na podmiocie, któremu dane powierzono, jak i na administratorze, który te dane powierzył. Zatem nie można powiedzieć, że administrator danych osobowych, powierzając je innemu podmiotowi, bezwzględnie przenosi na niego odpowiedzialność. Odpowiedzialność ta bowiem zostaje jedynie rozłożona równoważnie na dwa podmioty: administratora danych (który wciąż nim pozostaje mimo podpisanej umowy powierzenia danych osobowych) i podmiotu, któremu dane powierzono. W przypadkach wymienionych w Rozporządzeniu RODO, odpowiedzialność za przestrzeganie jego przepisów spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową. Umowa powierzenia przetwarzania danych Zgodnie z postanowieniami przepisów o ochronie danych osobowych umowa powierzenia przetwarzania danych osobowych musi obowiązkowo być zawarta na piśmie lub w drodze innego instrumentu prawnego (np. zarządzenia, uchwały). Nie można zatem ustnie powierzyć komuś przetwarzania danych. Zdarzenie takie zawsze trzeba udokumentować pisemnie. Ważne!Umowa powierzenia przetwarzania danych musi być zawarta na piśmie lub elektronicznie! Obowiązkowe elementy umowy przetwarzania danych osobowych Dwa główne elementy, jakie winny znaleźć się w umowie powierzenia to: zakres cel. Co zatem oznaczają te pojęcia? Zakres - jakie dane powierzamy? Administrator danych osobowych, powierzając przetwarzanie danych innemu podmiotowi, powinien wskazać zakres, czyli jakie dane faktycznie będą podlegały powierzeniu. Podaje się tu zwykle nazwę zbioru (kategorię osób, których dane dotyczą np. pracownicy, klienci) i wymienia enumeratywnie poszczególne kategorie danych: np. imię, nazwisko, adres, numer telefonu. Cel - po co powierzamy dane? Drugim obligatoryjnym elementem umowy powierzenia jest cel, czyli wskazanie przyczyny powierzenia przetwarzania danych. Może nią być powołanie się na konkretną umowę współpracy lub bezpośrednie wskazanie intencji, w której powierzono danemu podmiotowi dane osobowe. Wskazanie zakresu i celu przetwarzania danych obliguje podmiot, któremu dane osobowe powierzono, do przetwarzania ich wyłącznie we wskazanych w umowie obszarach. Pozostałe postanowienia umowy o powierzeniu przetwarzania danych osobowych Poza obligatoryjnymi postanowieniami w umowie wskazuje się oświadczenia stron, w których: zleceniodawca zwykle oświadcza, iż jest administratorem danych osobowych i posiada pełne prawo do ich przetwarzania, zleceniobiorca oświadcza, iż spełnia warunki techniczne i organizacyjne, o jakich mowa w przepisach o danych osobowych. Ponadto niekiedy zwierane są dodatkowe postanowienia umowne. Prawo do podpowierzenia danych osobowych Administrator danych osobowych może wskazać w umowie, iż zastrzega, by podmiot, który otrzymuje powierzone dane, nie podpowierzał ich innym podmiotom. Może również zezwolić na podpowierzenie danych osobowych, ale wyłącznie podmiotom wskazanym w umowie. Prawo do audytu Z uwagi na to, że administrator danych, mimo ich powierzenia, wciąż pozostaje ich administratorem i ma obowiązek czuwać nad bezpieczeństwem ich przetwarzania, warto jest zastrzec w umowie prawo do wewnętrznej kontroli podmiotów, którym dane zostały powierzone.. Prawo do upoważnienia Administrator powierzonych danych wciąż pozostaje ich “pierwotnym właścicielem”, w związku z czym może on (a niekiedy powinien) upoważnić przedstawiciela podmiotu, któremu dane są powierzane, do nadania upoważnień do przetwarzania danych osobowych w jego imieniu. Informowanie o kontrolach PUODO jak i PIP mogą kontrolować firmy w zakresie wypełniania obowiązków wynikających z przepisów o ochronie danych osobowych. Jeżeli podmiot, któremu administrator danych powierzył posiadane przez siebie zbiory, ma taką kontrolę, warto o niej wiedzieć. Inspektorzy bowiem mogą “po nitce do kłębka” dotrzeć z kontrolą do firmy administratora. Zobowiązanie do usunięcia danych Wygaśnięcie umowy współpracy jest zwykle równoznaczne z utratą podstawy do przetwarzania danych przed podmiot, któremu dane te powierzono. Mimo iż podmiot ten powinien zakończyć proces przetwarzania i usunąć dane, które zostały mu powierzone, warto o tym obowiązku przypomnieć w postanowieniach umownych. Czy umowa powierzenia może być częścią innej umowy? Tak, nie ma ku temu przeciwwskazań. Zatem zapisy dotyczące kwestii powierzenia przetwarzania danych osobowych mogą być częścią np. umowy współpracy. Należy jednak pamiętać, by zawierały zapisy niezbędne do prawidłowego uregulowania procesu powierzenia danych. Wzór umowy powierzenia przetwarzania danych osobowych dla IODZawarcie umowy powierzenia jest niezbędne, zawsze gdy ma dojść do przekazania innemu podmiotowi danych osobowych innych osób. Z taką właśnie sytuacją mamy do czynienia w przypadku przetwarzania danych osobowych przez zewnętrznego inspektora ochrony danych. Skoro odrębny podmiot mający zamiar świadczyć usługi IOD będzie miał dostęp do danych osobowych, to musi mieć ku temu podstawę prawną, którą będzie stanowiła umowa powierzenia przetwarzania danych osobowych. Jeśli jesteś subskrybentem publikacji Ochrona danych osobowych zaloguj się Zapomniałeś hasła ? kliknij tutaj Zostań subskrybentem publikacji Ochrona danych osobowych ZOBACZ OFERTĘ

umowa ochrona danych osobowych