Udostępnienie wykonawcy sieci wodociągowej danych osobowych właścicieli nieruchomości w ramach zamówienia publicznego rodzi istotne wątpliwości na gruncie RODO. Dokumentacja przekazywana przez przedsiębiorstwo wodociągowe może zawierać m.in. imiona i nazwiska właścicieli, adresy nieruchomości oraz numery ksiąg wieczystych, wskazane w oświadczeniach dotyczących lokalizacji przyłączy wodociągowych. Kluczowe jest ustalenie, czy wykonawca robót budowlanych przetwarza te dane w imieniu przedsiębiorstwa wodociągowego, co wymaga zawarcia umowy powierzenia przetwarzania danych osobowych, czy też działa jako odrębny administrator danych.
Przekazanie wykonawcy sieci wodociągowej danych osobowych właścicieli nieruchomości może wymagać zawarcia umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Jeżeli wykonawca wykorzystuje dane wyłącznie do realizacji inwestycji na zlecenie przedsiębiorstwa wodociągowego, co do zasady działa jako podmiot przetwarzający. Jeśli natomiast samodzielnie określa cele i sposoby przetwarzania danych, może występować jako odrębny administrator. O wyborze właściwego modelu decyduje rzeczywisty zakres obowiązków wykonawcy, a nie sam fakt realizacji zamówienia publicznego.
Rekomendowanym rozwiązaniem jest zawarcie z wykonawcą umowy powierzenia przetwarzania danych osobowych — przynajmniej w zakresie, w jakim wykonawca otrzymuje od wodociągów uzgodnienia/oświadczenia właścicieli nieruchomości wyłącznie po to, aby wykonać zleconą sieć/przyłącza zgodnie z dokumentacją. Nie przesądza tego sam fakt zamówienia publicznego. Decydujące jest to, czy wykonawca sam ustala cele i istotne sposoby przetwarzania danych, czy tylko przetwarza je „technicznie/operacyjnie” na potrzeby realizacji zadania wodociągów.
UODO wskazuje, że status stron trzeba oceniać według konkretnych obowiązków, umowy i tego, kto decyduje o celach oraz sposobach przetwarzania; powierzenie ma miejsce wtedy, gdy podmiot zewnętrzny przetwarza dane „w imieniu administratora, w celu i w sposób przez niego określony”.
Jeśli wodociągi zebrały/pozyskały oświadczenia właścicieli i decydują, że dane są potrzebne do przygotowania oraz realizacji inwestycji, to prawdopodobnie pozostają administratorem danych. Wykonawca robót ma dostać imię, nazwisko, adres nieruchomości, numer księgi wieczystej i lokalizację przyłącza nie dla własnych celów, lecz po to, aby wykonać zamówione roboty. To typowo przemawia za rolą podmiotu przetwarzającego w tym zakresie.
Definicja procesora w RODO obejmuje podmiot, który przetwarza dane osobowe „w imieniu administratora”, a art. 29 RODO zakłada przetwarzanie przez procesora wyłącznie na polecenie administratora, chyba że prawo wymaga inaczej.
Role odrębnych administratorów mogą wchodzić w grę, ale raczej przy innym układzie, gdy:
UODO wprost wskazuje, że w wielu przypadkach projektant/wykonawca prac projektowych może być odrębnym administratorem, jeśli realizuje zadanie niezależnie i samodzielnie decyduje o celach i sposobach przetwarzania, zwłaszcza przy rozdzielonych obowiązkach uczestników procesu budowlanego.
Dlatego praktycznie należy przyjąć model „mieszany”:
1. Powierzenie — dla danych z uzgodnień przekazanych wykonawcy przez wodociągi, wykorzystywanych do wykonania robót, organizacji wejścia w teren, lokalizacji przyłączy, kontaktu w granicach inwestycji, rozliczenia dokumentacji powykonawczej itp.
2. Odrębna administracja wykonawcy — dla danych, które wykonawca przetwarza we własnych celach, np. obsługa własnych pracowników i podwykonawców, księgowość, dochodzenie roszczeń, obrona przed roszczeniami, własne obowiązki prawne BHP/budowlane, ewentualnie dokumentacja, którą prawo nakazuje mu prowadzić we własnym imieniu.
W umowie powierzenia warto wpisać co najmniej:
Pobierz wzór dokumentu:
Artykuł 28 RODO wymaga, aby przetwarzanie przez procesora było uregulowane umową lub innym aktem prawnym, a taka umowa ma mieć formę pisemną, również elektroniczną.
Dodatkowo warto ograniczyć zakres przekazywanych danych. Jeżeli wykonawcy nie jest potrzebny pełny numer księgi wieczystej albo całe oświadczenie właściciela, lepiej przekazać wyciąg, tabelę roboczą albo zanonimizowaną/ograniczoną wersję dokumentów. Wynika to z zasady minimalizacji danych: dane mają być adekwatne, stosowne i ograniczone do tego, co niezbędne dla celu przetwarzania.
Zapraszamy na webinar prowadzony w konwencji warsztatowej z wykorzystaniem praktycznych przykładów, pytań i odpowiedzi. Dedykowany jest zarówno do osób początkujących, rozpoczynających lub pełniących funkcję IOD od niedawna, jak również do osób pragnących ugruntować posiadaną wiedzę w zakresie odpowiedniego nadzoru przestrzegania zasad i przepisów z zakresu ochrony danych osobowych w organizacji.
© Portal Poradyodo.pl
