Przekazanie danych osobowych

Rejestry RODO to uporządkowany opis tego, jak w organizacji przebiega przetwarzanie danych, w tym jakie dane osobowe są wykorzystywane, w jakich celach, na jakiej podstawie prawnej, komu są przekazywane, jakie są okresy przechowywania danych oraz jakie środki wspierają bezpieczeństwo danych osobowych. Taki rejestr działa jak mapa procesów – pomaga utrzymać ochronę danych osobowych w ryzach i wykazać zgodność w razie audytu lub kontroli.

Przekazanie danych osobowych to sytuacja, w której dane osób fizycznych są ujawniane innemu podmiotowi poza strukturą organizacyjną administratora. Najczęściej oznacza to, że administrator udostępnia dane innemu administratorowi albo zleca wykonywanie określonych operacji na danych podmiotowi przetwarzającemu. W praktyce przekazywanie danych jest naturalnym elementem działalności organizacji - korzystamy z usług księgowych, systemów IT, hostingu, narzędzi marketingowych, operatorów płatności, firm kurierskich czy dostawców rozwiązań chmurowych.

Z perspektywy RODO kluczowe jest prawidłowe zakwalifikowanie relacji prawnej. Inne zasady obowiązują przy udostępnieniu danych odrębnemu administratorowi, a inne przy powierzeniu przetwarzania danych podmiotowi działającemu w imieniu administratora.

Ważne: przekazanie danych osobowych nie jest tożsame z transferem danych poza Europejski Obszar Gospodarczy. Transfer międzynarodowy jest szczególnym przypadkiem przekazania i podlega dodatkowym wymogom. Przekazanie może mieć charakter krajowy, unijny lub międzynarodowy, jednak w każdym przypadku musi odbywać się zgodnie z zasadami RODO oraz z zapewnieniem odpowiedniego poziomu ochrony danych.

☎️ 22 53 53 016

✉️ biuro@directgroup.com.pl

➡️ Przekazanie danych a kwalifikacja ról w RODO – administrator, podmiot przetwarzający, odbiorca danych

Aby właściwie przygotować dokumentację, należy najpierw ustalić role stron w rozumieniu RODO:

• Administrator– podmiot, który samodzielnie decyduje o celach i sposobach przetwarzania danych (art. 4 pkt 7 RODO).
• Podmiot przetwarzający – przetwarza dane w imieniu administratora, wyłącznie na jego udokumentowane polecenie (art. 4 pkt 8 i art. 28 RODO).
• Odbiorca danych – każdy podmiot, któremu ujawnia się dane osobowe (art. 4 pkt 9 RODO), niezależnie od tego, czy działa jako administrator, czy jako podmiot przetwarzający (np. bank, urząd, ZUS, organ kontrolny, kontrahent).

➡️ Kluczowe jest odróżnienie ról administratora i podmiotu przetwarzającego. Od tej kwalifikacji zależy, czy konieczna będzie umowa powierzenia przetwarzania danych, czy wystarczające będzie oparcie udostępnienia na właściwej podstawie prawnej oraz uwzględnienie odbiorcy w obowiązku informacyjnym.
 

Kiedy przekazanie danych osobowych jest dopuszczalne?

Przekazanie danych musi być zgodne z zasadami przetwarzania określonymi w art. 5 RODO oraz opierać się na jednej z podstaw prawnych wskazanych w art. 6 RODO (a w przypadku szczególnych kategorii danych – również art. 9). Oznacza to, że administrator powinien ustalić:

• cel przekazania i jego uzasadnienie,
• podstawę prawną przetwarzania,
• zakres danych - ograniczony do niezbędnego minimum (zasada minimalizacji),
• rolę podmiotu, któremu dane są przekazywane,
• okres przechowywania danych oraz zasady ich usuwania,
• adekwatne środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych.

W praktyce przekazanie danych osobowych najczęściej dotyczy danych identyfikacyjnych i kontaktowych, takich jak imię i nazwisko, adres e-mail czy numer telefonu, ale może także obejmować szczególne kategorie danych (dane wrażliwe). Im wyższe ryzyko dla praw i wolności osób, tym większe znaczenie ma właściwa dokumentacja oraz adekwatne zabezpieczenia.
 

Przekazanie danych osobowych a obowiązek informacyjny

Administrator powinien realizować obowiązek informacyjny w sposób jasny i kompletny. W praktyce oznacza to, że osoby, których dane dotyczą, muszą otrzymać informacje m.in o:

• tożsamości administratora i jego danych kontaktowych,
• celach przetwarzania,
• odbiorcach lub kategoriach odbiorców danych,
• ewentualnym przekazaniu danych do państwa trzeciego lub organizacji międzynarodowej,
• okresie przechowywania danych,
• przysługujących im prawach.

➡️ Jeżeli dane są przekazywane podmiotowi przetwarzającemu, informacja o tym powinna być spójna z rejestrem czynności przetwarzania oraz dokumentacją dotyczącą umów powierzenia. Jeżeli dane są udostępniane niezależnemu administratorowi, należy prawidłowo wskazać kategorie odbiorców oraz podstawę prawną przekazania.
 

Najczęstsze sytuacje przekazania danych w organizacjach

W firmach i organizacjach najczęściej występują następujące scenariusze:

• przekazanie danych do dostawców IT (hosting, poczta, systemy chmurowe),
• przekazanie danych do biura rachunkowego lub dostawcy systemu księgowego,
• przekazanie danych do operatorów płatności i banków (zwykle jako odrębnych administratorów),
• przekazanie danych do firm kurierskich i logistycznych,
• przekazanie danych do dostawców narzędzi marketingowych i analitycznych,
• przekazanie danych w ramach obsługi kadrowo-płacowej,
• przekazanie danych do organów i instytucji uprawnionych na podstawie przepisów prawa,
• przekazanie danych w ramach współpracy B2B, gdy partner działa jako niezależny administrator.

➡️ Ważne: nie każda współpraca z podmiotem zewnętrznym oznacza powierzenie przetwarzania. Kluczowe jest ustalenie roli stron – czy mamy do czynienia z podmiotem przetwarzającym, czy z odrębnym administratorem. Od tego zależy właściwy model dokumentacji.
 

Jakie dokumenty stosuje się przy przekazaniu danych osobowych?

W ramach wdrożenia RODO przekazanie danych osobowych powinno uregulowane odpowiednią dokumentacją. W zależności od scenariusza stosuje się:

• umowę powierzenia danych osobowych (art. 28 RODO),
• rejestr umów powierzenia danych osobowych,
• porozumienie lub odpowiednie postanowienia umowne regulujące udostępnienie danych,
• standardowe klauzule umowne (w przypadku transferów poza EOG),
• wewnętrzne procedury i instrukcje dotyczące weryfikacji dostawców i środków bezpieczeństwa.

Dokumentacja powinna być spójna z rejestrem czynności przetwarzania oraz opisem środków technicznych i organizacyjnych. Dzięki temu organizacja może wykazać, że przekazywanie danych osobowych odbywa się w sposób kontrolowany i zgodny z zasadami RODO.
 

Co możemy wykonać dla Twojej organizacji?

W Direct Group porządkujemy obszar przekazywania danych osobowych w sposób praktyczny i zgodny z wymaganiami RODO. W ramach prac możemy:

• przeanalizować wszystkie przypadki, w których w organizacji dochodzi do przekazywania danych,
• prawidłowo zakwalifikować relacje z dostawcami: (odrębny administrator czy podmiot przetwarzający),
• przygotować lub zaktualizować umowy powierzenia oraz dokumenty regulujące udostępnienia danych,
• opracować rejestr umów powierzenia danych osobowych i zasady jego aktualizacji,
• zweryfikować podstawy prawne przekazywania danych i ich spójność z obowiązkiem informacyjnym,
• ocenić środki bezpieczeństwa stosowane przez dostawców i wskazać adekwatne wymagania techniczne i organizacyjne,
• zidentyfikować ryzyka związane z przekazaniem danych do państw trzecich oraz przygotować właściwe rozwiązania umowne.
   

Uporządkuj przekazanie danych osobowych i ogranicz ryzyko

Jeśli Twoja organizacja współpracuje z dostawcami, korzysta z usług zewnętrznych lub udostępnia dane innym podmiotom, warto uporządkować ten obszar w dokumentacji RODO.

➡️ Skontaktuj się z nami, a przeanalizujemy Twoje procesy, dobierzemy właściwe podstawy prawne i przygotujemy dokumenty, które zabezpieczą przekazywanie danych oraz wzmocnią ochronę danych osobowych w praktyce

☎️ 22 53 53 016

✉️ biuro@directgroup.com.pl