Zewnętrzny hosting na serwerze spoza EOG? Sprawdź, jakie warunki musisz spełnić

Jeżeli przedsiębiorca prowadzi serwis internetowy, za pośrednictwem którego dochodzi do przetwarzania danych osobowych osób fizycznych zamieszkujących na terenie Europejskiego Obszaru Gospodarczego (EOG), wówczas bez wątpienia dane te powinny być przetwarzane zgodnie z RODO. To jednak nie wszystko. Obowiązek stosowania RODO mają nie tylko przedsiębiorcy z krajów EOG, ale także tacy, którzy wprawdzie posiadają swoje siedziby w państwach trzecich (spoza EOG), niemniej jednak oferują towary lub usługi osobom fizycznym na terytorium EOG – niezależnie od tego, czy wymagają od tych osób zapłaty. Nie ma zatem podstaw do różnicowania danych osobowych pozyskiwanych z obszaru EOG.

Wskazana regulacja ma bardzo duże znaczenie także dla przedsiębiorców prowadzących działalność na terenie EOG i prowadzących strony internetowe. Co oczywiste prowadzenie tej strony wiąże się z koniecznością zapisania jej na serwerze hostingowym. Niejednokrotnie przedsiębiorcy korzystają z tzw. zewnętrznego hostingu, czyli hostingu oferowanego przez firmy mające swoją siedzibę poza EOG – tego typu usługi są dość popularne.

Niestety upowszechnił się pogląd, jakoby korzystanie z takich usług stanowiło naruszenie RODO. Nic bardziej mylnego. Korzystanie z zewnętrznego hostingu jest samo w sobie legalne. Istotne jest natomiast prawidłowe ułożenie relacji pomiędzy przedsiębiorcą prowadzącym dany serwis internetowy, a przedsiębiorcą spoza EOG świadczącym usługi hostingowe. Skoro RODO obejmuje swoich zakresem obydwu przedsiębiorców, to należy przyjąć, że w takim układzie:

• przedsiębiorca prowadzący serwis internetowy jest administratorem danych osobowych,
• przedsiębiorca prowadzący hosting jest podmiotem przetwarzającym (procesorem).

Powyższe oznacza, że konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych pomiędzy właścicielem serwisu a firmą hostingową.

Jakie zapisy powinny znaleźć się w umowie powierzenia? Tak jak w każdym innym przypadku w umowie tej należy uregulować w szczególności:

• przedmiot i czas trwania przetwarzania danych osobowych,
• charakter i cel ich przetwarzania,
• rodzaj danych osobowych,
• kategorie osób, których dane dotyczą,
• obowiązki procesora.

W aspekcie umów zawieranych z firmami hostingowymi warto zwrócić szczególną uwagę na ostatnią kategorię. Administrator powinien bowiem zadbać o to, by w umowie zostały uregulowane następujące obowiązki podmiotu przetwarzającego:

• zapewnienia bezpieczeństwa powierzonych danych osobowych poprzez wdrożenie środków technicznych i organizacyjnych adekwatnych do przetwarzanych danych osobowych oraz ryzyka naruszenia praw osób, których dane osobowe dotyczą, a które są wymagane przez RODO,
• wdrożenia i stosowania procedur służących wykrywaniu naruszeń ochrony danych osobowych oraz wdrażania działań zapobiegawczych i naprawczych,
• zapewnienia, żeby osoby zatrudnione przez procesora zostały upoważnione w formie pisemnej do przetwarzania danych osobowych oraz posiadały wiedzę dotyczącą postępowania z danymi osobowymi,
• stosowania się do poleceń administratora danych osobowych, dotyczących danych osobowych.

W typowym przypadku do zawarcia umowy powierzenia przetwarzania danych osobowych nie jest potrzebna zgoda osób, których te dane dotyczą. Nie ma nawet konieczności informowania tych osób o tym, kto pełni rolę procesora w przetwarzaniu ich danych. Od tej reguły istnieje jednak dość istotny wyjątek. Jeżeli bowiem dane osobowe mają być przekazane poza obszar EOG, wówczas konieczne jest spełnienie jednego z dodatkowych warunków.

Weryfikacja podstawy prawnej przekazania danych osobowych poza EOG nie jest jedynym obowiązkiem administratora danych z tym związanym. Należy bowiem pamiętać o wprowadzeniu dodatkowych zapisów w treści klauzuli informacyjnej udostępnianej klientom. Powinny znaleźć się w niej informacje o:

• zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej,
• stwierdzeniu lub braku stwierdzenia przez Komisję Europejską odpowiedniego stopnia ochrony przez państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizację międzynarodową,
• odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych przekazywanych poza EOG.

Treść klauzuli informacyjnej powinna być oczywiście dostosowana do konkretnego przypadku przekazywania danych firmie hostingowej.

1. Przekazanie danych osobowych poza obszar EOG w związku z korzystaniem z tzw. hostingu zewnętrznego wymaga zawarcia umowy powierzenia przetwarzania danych.
2. Powierzenie przetwarzania danych poza obszar EOG wymaga spełnienia jednej z dodatkowych przesłanek. Zgoda podmiotu danych nie jest wymagana w każdym przypadku.
3. Należy też wprowadzić dodatkowe zapisy do klauzuli informacyjnej udostępnianej klientom, których dane są przekazywane poza obszar EOG.