Przekazywanie danych w ramach systemu VoIP

Jeżeli firma dostarczająca usługę VoIP w związku ze świadczoną pomocą informatyczną będzie korzystać z przetwarzanych przez dany podmiot danych osobowych (np. treści rozmów) to w zasadzie w każdym takim przypadku (np. serwisowania urządzeń sieciowych, monitorowania ruchu sieciowego itd.)  będzie dochodziło do przetwarzania danych osobowych. W takich przypadkach konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych, w której przedszkole będzie administratorem danych osobowych a ta firma procesorem (podmiotem przetwarzającym).

Ponieważ firma informatyczna przetwarzająca dane osobowe wyłącznie w związku z wykonywaniem świadczeń z umowy nie realizuje własnych celów przetwarzania, nie jest spełniona żadna z przesłanek z art. 6 ust. 1 RODO a tym samym nie można przekazać danych osobowych tej firmie w ramach udostępnienia danych (zamiast powierzenia). Nie zachodzi tu także przypadek z art. 6 ust. 2 lit. b RODO bowiem do wykonywania umowy jest niezbędny dostęp do danych także innych osób niż strony umowy. Tym samym zawarcie umowy powierzenia jest niezbędne.

Dane osobowe powierza się do przetwarzania innemu podmiotowi tylko w określonym celu (i często jedynie na pewien czas). Do powierzenia danych osobowych dochodzi w drodze zawarcia umowy o powierzeniu przetwarzania danych osobowych. Sama umowa nie musi koniecznie być odrębnym dokumentem. Bardzo często umowa o powierzeniu przetwarzania danych osobowych stanowi element innej umowy „głównej”, np. umowy zlecenia czy o dzieło. W Państwa przypadku może stanowić element (np. załącznik) umowy o świadczenie usług teleinformatycznych.

Należy więc mieć świadomość tego, że zawarcie takiej umowy jest niezbędne zawsze, gdy ma dojść do przekazania innemu podmiotowi danych osobowych innych osób. Nie ma tu znaczenia cel, w jakim takiego przekazania danych administrator zamierza dokonać.

Umowa o powierzeniu przetwarzania danych osobowych powinna być zawarta w formie pisemnej lub elektronicznej. W treści umowy zawsze trzeba wskazać przede wszystkim przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą oraz obowiązki i prawa administratora a także pozostałe elementy wskazane w art. 28 ust. 3 RODO.

Jeżeli natomiast podmiot serwisujący nie przetwarza danych osobowych z nagranych rozmów i w żaden inny sposób, wówczas nie będzie potrzeby powierzenia przetwarzania danych osobowych. Należy jednak taką sytuację dokładnie przeanalizować. Może się bowiem okazać, że w ramach czynności serwisowych (np. diagnostycznych) serwis pozna treść rozmów "na żywo", będzie przetwarzał dane osobowe z elektronicznej książki telefonicznej czy uzyska dostęp do danych zapisanych w pamięci urządzeń (np. plików wyświetlanych na monitorze w toku wideokonferencji itp.). Dopiero jeżeli rzeczywiście czynności serwisowe nie wymagają przetwarzania danych osobowych to można zaniechać zawierania umowy powierzenia.