Czy procesor musi stosować SZBI

Przypomnijmy, że umowa o powierzeniu przetwarzania danych osobowych powinna być zawarta w formie pisemnej lub elektronicznej. W treści umowy zawsze trzeba wskazać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora oraz pozostałe kwestie wyliczone w art. 28 ust. 3 RODO.

Wśród tych kwestii art. 28 ust. 3 lit. h RODO wymienia udostępnianie administratorowi przez podmiot przetwarzający wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Tak więc na podstawie tego przepisu administrator ma prawo prowadzić audyt i wykazywać procesorowi nieprawidłowości w przetwarzaniu danych osobowych.

Administrator może więc mieć rozmaite wymagania w stosunku do podmiotu przetwarzającego, w tym także może wymagać stosowania (odpowiednio lub wprost, jeżeli jest taka możliwość) Systemu Zarządzania Bezpieczeństwem Informacji przyjętym u administratora. Natomiast takie wymagania administrator powinien stawiać przed zawarciem umowy powierzenia, gdyż to w umowie powierzenia nakłada się na procesora określone obowiązki w celu spełnienia wymogów art. 28 ust. 1 RODO.