28 RODO: skutki prawne dla strony albo administratora

Artykuł 28 Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO) stanowi jeden z najważniejszych i najczęściej stosowanych w praktyce przepisów prawa ochrony danych osobowych. Reguluje on instytucję powierzenia przetwarzania danych, określając precyzyjnie relacje, obowiązki oraz zakres odpowiedzialności pomiędzy administratorem danych osobowych (ADO) a podmiotem przetwarzającym (procesorem). W dobie powszechnego outsourcingu usług – od hostingu, przez zewnętrzną obsługę kadrowo-płacową, aż po zaawansowane systemy CRM w chmurze – niemal każde przedsiębiorstwo występuje w jednej z tych ról. Zrozumienie skutków prawnych wynikających z art. 28 RODO jest kluczowe dla zapewnienia bezpieczeństwa prawnego i finansowego każdej ze stron.

Istota i zakres zastosowania art. 28 RODO

Powierzenie przetwarzania danych osobowych ma miejsce wtedy, gdy administrator zleca innemu podmiotowi wykonywanie określonych operacji na danych w swoim imieniu i na swoją rzecz. Warto wyraźnie odróżnić powierzenie od udostępnienia danych. Przy udostępnieniu odbiorca staje się niezależnym administratorem i sam decyduje o celach i sposobach przetwarzania. Przy powierzeniu procesor nie ma prawa decydować o przeznaczeniu danych – działa on wyłącznie jako wykonawca woli administratora, w granicach wyznaczonych przez umowę lub inny instrument prawny.

Obowiązki administratora danych (ADO)

Na administratorze spoczywa pierwotna odpowiedzialność za zgodność przetwarzania z przepisami prawa. W kontekście art. 28 RODO, administrator ma przede wszystkim obowiązek korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Oznacza to, że administrator nie może wybrać kontrahenta w sposób dowolny. Przed podpisaniem kontraktu ciąży na nim obowiązek przeprowadzenia tzw. procedury due diligence (weryfikacji przedkontraktowej). Brak takiej weryfikacji stanowi bezpośrednie naruszenie RODO.

Kolejnym kluczowym obowiązkiem administratora jest zawarcie pisemnej umowy powierzenia przetwarzania danych (często określanej jako DPA – Data Processing Agreement) lub oparcie relacji na innym instrumencie prawnym. Ponadto, administrator ma prawo i obowiązek bieżącego monitorowania procesora, co realizuje się m.in. poprzez prawo do przeprowadzania audytów, inspekcji oraz żądania przedstawienia dowodów zgodności.

Obowiązki podmiotu przetwarzającego (procesora)

Podmiot przetwarzający, mimo że działa na zlecenie, ponosi samodzielną odpowiedzialność za przestrzeganie określonych wymogów RODO oraz zapisów umowy powierzenia. Głównym obowiązkiem procesora jest przetwarzanie danych wyłącznie na udokumentowane polecenie administratora. Jeśli procesor podejmie działania wykraczające poza te polecenia, w tym zakresie zostanie uznany za samodzielnego administratora, co rodzi dla niego pełną odpowiedzialność za wszelkie naruszenia.

Do pozostałych kluczowych obowiązków procesora należą:

zapewnienie, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
podjęcie wszelkich środków bezpieczeństwa wymaganych na mocy art. 32 RODO (szyfrowanie, pseudonimizacja, zapewnienie poufności i integralności systemów);
przestrzeganie warunków korzystania z usług innego podmiotu przetwarzającego (podprocesora) – procesor nie może zatrudnić podwykonawcy bez uprzedniej zgody administratora;
pomaganie administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą;
wspieranie administratora w realizacji obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń do organu nadzorczego, ocena skutków dla ochrony danych);
po zakończeniu świadczenia usług, zależnie od decyzji administratora, usunięcie lub zwrot wszelkich danych osobowych oraz usunięcie istniejących kopii;
udostępnianie administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienie administratorowi przeprowadzenia audytów.

Szczegółowa analiza klauzul obligatoryjnych w umowie powierzenia (DPA)

Zgodnie z art. 28 ust. 3 RODO, umowa powierzenia musi bezwzględnie określać konkretne ramy współpracy. Pominięcie któregokolwiek z tych elementów może skutkować uznaniem umowy za niezgodną z prawem przez organ nadzorczy podczas ewentualnej kontroli. Kontrakt musi precyzować: po pierwsze, przedmiot przetwarzania, czyli wskazywać, jakich konkretnie operacji i procesów dotyczy umowa (np. obsługa kadrowa, hosting danych, usługi marketingowe). Po drugie, czas trwania przetwarzania – zazwyczaj powiązany z czasem obowiązywania umowy głównej. Po trzecie, charakter i cel przetwarzania, czyli wyjaśnienie, dlaczego i w jaki sposób dane będą przetwarzane. Po czwarte, rodzaj danych osobowych (np. dane zwykłe, dane szczególnych kategorii, takie jak dane o stanie zdrowia) oraz kategorie osób, których dane dotyczą (np. pracownicy, klienci, subskrybenci). Po piąte, obowiązki i prawa administratora, co potwierdza jego nadrzędną rolę w procesie decyzyjnym.

Umowa musi również nakładać na procesora obowiązek natyczmiastowego poinformowania administratora, jeśli w jego opinii otrzymane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. To niezwykle ważny wentyl bezpieczeństwa dla podmiotu przetwarzającego, który chroni go przed ślepym wykonywaniem niezgodnych z prawem instrukcji klienta.

Zasady podpowierzenia danych (sub-processing)

W dzisiejszym złożonym środowisku IT rzadko kiedy jeden podmiot wykonuje całą usługę samodzielnie. Dostawcy oprogramowania SaaS korzystają z chmur obliczeniowych, a agencje marketingowe z zewnętrznych narzędzi do wysyłki maili. Art. 28 ust. 2 i 4 RODO reguluje tę kwestię poprzez instytucję podpowierzenia (sub-processingu). Procesor nie może korzystać z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku ogólnej pisemnej zgody, procesor ma obowiązek informować administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym administratorowi możliwość wyrażenia sprzeciwu. Ponadto, na podprocesora muszą zostać nałożone te same obowiązki ochrony danych, jakie wynikają z umowy między administratorem a głównym procesorem. Jeśli podprocesor nie wywiąże się ze swoich obowiązków, pełną odpowiedzialność wobec administratora za realizację obowiązków przez podprocesora ponosi główny procesor.

Rola organu nadzorczego i procedury kontrolne

W Polsce organem nadzorczym dbającym o przestrzeganie przepisów o ochronie danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Organ ten posiada uprawnienia do przeprowadzania kontroli zarówno u administratorów, jak i u podmiotów przetwarzających. W przypadku wykrycia nieprawidłowości, takich jak brak umowy powierzenia lub realizowanie przetwarzania niezgodnie z jej warunkami, organ może nałożyć administracyjne kary pieniężne. Karom tym podlegają obie strony relacji kontraktowej, w zależności od przypisanego im stopnia winy i zakresu naruszenia.

Warto wskazać, że postępowanie przed organem może zostać zainicjowane przez wniosek osoby, której dane dotyczą, bądź w wyniku rutynowej kontroli lub zgłoszenia naruszenia ochrony danych. W toku postępowania organ bada, czy administrator dopełnił obowiązku weryfikacji procesora oraz czy umowa powierzenia zawierała wszystkie obligatoryjne elementy wymienione w art. 28 ust. 3 RODO.

Skutki prawne i finansowe naruszenia art. 28 RODO

Niedopełnienie wymogów art. 28 RODO niesie za sobą wielopoziomowe skutki prawne:

Kary administracyjne: Zgodnie z art. 83 ust. 4 RODO, naruszenie obowiązków, o których mowa w art. 28, podlega administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.
Odpowiedzialność cywilna i odszkodowawcza: Osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie. Procesor odpowiada za szkody spowodowane przetwarzaniem tylko wtedy, gdy nie dopełnił obowiązków nałożonych bezpośrednio na niego przez RODO lub gdy działał poza instrukcjami administratora lub wbrew nim.
Nieważność lub wadliwość umów handlowych: Brak klauzul powierzenia może prowadzić do uznania, że przekazanie danych partnerowi biznesowemu było bezprawne (brak podstawy prawnej do udostępnienia), co stawia pod znakiem zapytania legalność całego przedsięwzięcia biznesowego.
Utrata reputacji: Wyciek danych u procesora, który nie był odpowiednio zweryfikowany lub nadzorowany, uderza wizerunkowo przede wszystkim w administratora, który w oczach klientów i kontrahentów traci status podmiotu godnego zaufania.

Praktyczna procedura wdrożenia zgodności krok po kroku

Aby skutecznie zabezpieczyć interesy organizacji i zrealizować wymogi art. 28 RODO, należy wdrożyć następującą procedurę:

Kwalifikacja relacji: Przed podpisaniem jakiejkolwiek umowy o współpracę należy ocenić, czy druga strona będzie miała dostęp do danych osobowych, za które odpowiadamy. Jeśli tak, i będzie je przetwarzać w naszym imieniu, konieczne jest przygotowanie umowy powierzenia.
Weryfikacja kontrahenta (Due Diligence): Wyślij do potencjalnego procesora kwestionariusz bezpieczeństwa. Powinien on zawierać pytania o stosowane środki techniczne (np. szyfrowanie, systemy backupu), wdrożone polityki bezpieczeństwa, certyfikaty oraz procedury zgłaszania incydentów.
Opracowanie i negocjacja umowy DPA: Przygotuj umowę powierzenia. Upewnij się, że zawiera ona precyzyjnie określone terminy – np. termin na zgłoszenie administratorowi incydentu bezpieczeństwa (zaleca się termin krótszy niż 72 godziny, np. 24 lub 48 godzin, aby administrator miał czas na reakcję wobec organu nadzorczego).
Wdrożenie mechanizmu kontroli: Zastrzeż w umowie prawo do przeprowadzania audytów. Określ warunki, na jakich audyt może się odbyć (np. termin uprzedzenia, ponoszenie kosztów, udział niezależnego audytora).
Zarządzanie podprocesorami: Wprowadź procedurę wyrażania zgody na podpowierzenie. Może to być zgoda szczegółowa (na konkretny podmiot) lub ogólna (z prawem administratora do wyrażenia sprzeciwu w określonym terminie).

Najczęstsze błędy popełniane przez strony

W praktyce prawniczej i biznesowej nagminnie powtarzają się błędy, które mogą zostać łatwo obnażone podczas kontroli przez organ nadzorczy. Pierwszym z nich jest stosowanie szablonów z Internetu bez ich dostosowania do specyfiki danego przetwarzania. Umowa powierzenia musi odzwierciedlać rzeczywisty proces – inne zabezpieczenia są wymagane przy hostingu prostej strony internetowej, a inne przy przetwarzaniu danych medycznych czy finansowych.

Drugim błędem jest brak określenia jasnych terminów na realizację obowiązków pomocowych przez procesora. Jeśli osoba, której dane dotyczą, złoży wniosek o realizację swoich praw (np. prawo do bycia zapomnianym), administrator ma tylko miesiąc na odpowiedź. Jeśli procesor nie przekaże niezbędnych informacji w odpowiednim terminie, administrator uchybi terminowi ustawowemu, co naraża go na skargę do UODO.

Trzecim istotnym uchybieniem jest brak realnego nadzoru. Administratorzy często podpisują umowy powierzenia i odkładają je do szuflady, nigdy nie korzystając z prawa do audytu ani nie żądając od procesora dowodów na przestrzeganie procedur bezpieczeństwa. Zasada rozliczalności wymaga, aby administrator był w stanie wykazać, że aktywnie nadzoruje swoich podwykonawców.

Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której Spółka X (administrator) prowadząca sklep internetowy zleca firmie Y (procesor) obsługę wysyłki newsletterów marketingowych do swoich klientów. Strony podpisały umowę główną, jednak zapomniały o zawarciu umowy powierzenia przetwarzania danych osobowych (DPA) spełniającej wymogi art. 28 RODO. W wyniku ataku hakerskiego na serwery firmy Y, baza adresów e-mail oraz imion klientów Spółki X wyciekła do sieci.

Skutki prawne w tej sytuacji są drastyczne dla obu stron. Spółka X jako administrator odpowiada przed organem nadzorczym za brak weryfikacji procesora oraz brak zawarcia umowy powierzenia. Prezes UODO może nałożyć na Spółkę X karę za niedopełnienie obowiązków organizacyjnych. Z kolei firma Y nie może bronić się tym, że była jedynie podwykonawcą – przetwarzała dane bez należytego umocowania prawnego i nie wdrożyła odpowiednich środków bezpieczeństwa, co również naraża ją na bezpośrednią karę od organu nadzorczego. Dodatkowo, klienci sklepu mogą wystąpić z pozwami cywilnymi o zadośćuczynienie za naruszenie ich dóbr osobistych i prywatności, kierując roszczenia solidarnie lub wybiórczo do obu podmiotów.

Podsumowanie i rekomendacje dla biznesu

Prawidłowe stosowanie art. 28 RODO to kluczowy element zarządzania ryzykiem prawnym w każdym przedsiębiorstwie. Umowa powierzenia nie powinna być traktowana jako zbędny dokument biurokratyczny, lecz jako realne narzędzie podziału odpowiedzialności i zabezpieczenia procesów biznesowych. Administratorzy muszą pamiętać o obowiązku starannej weryfikacji swoich partnerów oraz o konieczności zachowania dowodów tej weryfikacji. Procesorzy z kolei powinni dbać o to, by nie wykraczać poza instrukcje administratora i rzetelnie wywiązywać się z obowiązków pomocowych. Wdrożenie przejrzystych procedur, jasne określenie terminów na realizację wniosków oraz stała współpraca z organem nadzorczym to najlepsza droga do zapewnienia pełnego bezpieczeństwa danych osobowych w organizacji.