umowa powierzenia
Powierzenie przetwarzania danych w służbie zdrowia
Jeżeli placówka medyczna zamierza przekazać dane osobowe pacjenta innemu podmiotowi, wówczas staje przed dylematem – czy zawrzeć umowę powierzenia, czy też nie jest to konieczne? Zależy to oczywiście od konkretnych okoliczności, ale także przepisów regulujących działalność podmiotów leczniczych.
Powierzenie a udostępnienie danych – jak rozróżnić
Przetwarzanie w imieniu administratora powinno się odbywać z udziałem procesora. Podstawą jest tu najczęściej umowa powierzenia przetwarzania danych, ewentualnie inny instrument prawny. Jeśli placówka medyczna przekazuje dane osobowe innemu podmiotowi, musi ustalić, czy dochodzi do takiego powierzenia.
W pierwszej kolejności warto upewnić się, czym różni się powierzenie przetwarzania danych od ich udostępnienia a także upoważnienia do przetwarzania. W rozróżnieniu pomoże odpowiednie zestawienie – kliknij tutaj>>
Następnie analiza stanu faktycznego
Placówka medyczna powinna poddać indywidualnej analizie każdy przypadek. W analizie tej należy uwzględniać:
- przepisy regulujące działalność podmiotów leczniczych oraz
- stan faktyczny, w którym funkcjonują podmioty, między którymi dochodzić ma do przepływu danych.
Analiza ta powinna pomóc uzyskać odpowiedzi na pytania:
- kto i jakie dane osobowe przetwarza oraz
- kto i jakie zadania (cele) realizuje.
Dzięki temu będzie można ustalić:
- do którego z podmiotów należą poszczególne czynności,
- który podmiot decyduje o celach przetwarzania,
- czy któryś z podmiotów działa na zlecenia administratora i realizuje jego cele,,
- czy podmioty wspólnie ustalają cele i sposoby przetwarzania.
Z artykułu dowiesz się m.in.:
- jakie kryteria decydują o statusie administratora i podmiotu przetwarzającego w służbie zdrowia,
- jakie wnioski można wysnuć z wytycznych EROD,
- w jakich konkretnych przypadkach należy zawrzeć umowę powierzenia przetwarzania,
- jakie dodatkowe obowiązki spoczywają na procesorze w sektorze medycznym.
Kiedy rozwiązać umowę powierzenia przetwarzania danych
W niektórych przypadkach zachodzi konieczność zakończenia współpracy z podmiotem przetwarzającym. Rodzi to konieczność rozwiązania umowy powierzenia przetwarzania. Sprawdź, w jakich przypadkach rozwiązać umowę powierzenia i czy samo rozwiązanie jest wystarczające.
Administrator ponosi odpowiedzialność za procesora
Za poczynania podmiotu przetwarzającego odpowiada administrator danych osobowych. Dlatego ADO powinien weryfikować:
- czy podmiot przetwarzający daje gwarancję działania zgodnie z RODO jeszcze przed powierzeniem mu danych osobowych do przetwarzania;
- czy działania podmiotu przetwarzającego są zgodne z przepisami RODO tj. podmiot przetwarzający prawidłowo realizuje swoje obowiązki (w tym celu warto przeprowadzać okresowo audyty u procesora z celu weryfikacji, czy postępuje on zgodnie z umową).
ADO może rozważać rozwiązanie umowy powierzenia
Jeżeli wyniki audytu przeprowadzonego u procesora nie zadowalają administratora, wówczas warto rozważyć zaprzestanie korzystania z usług podmiotu przetwarzającego. Aby doprowadzić do tego, by procesor zaprzestał przetwarzania danych osobowych przekazywanych przez administratora, należy zaś rozwiązać umowę powierzenia przetwarzania danych.
Jeżeli administrator uzna, że podmiot przetwarzający nie spełnia standardów dotyczących przetwarzania danych osobowych, to powinien doprowadzić do zatrzymania ich przetwarzania przez procesora.
Zwykle umowy powierzenia przetwarzania danych są zawierane na okres trwania współpracy pomiędzy stronami (wynikającej np. z odrębnej umowy o świadczenie usług). W praktyce w umowach powierzenia wskazuje się przypadki, w których możliwe jest wypowiedzenie.
Naruszenia ochrony danych powinny zaalarmować administratora
Przede wszystkim należy rozważyć rozwiązanie umowy powierzenia w sytuacji, w której procesor lub jego personel doprowadził do naruszenia ochrony danych objętych powierzeniem. Z drugiej strony nie każde naruszenie ochrony danych czyni zasadnym rozwiązanie umowy powierzenia. Może bowiem okazać się, że do naruszenia doszło nawet jeśli podmiot przetwarzający dochował należytej staranności i postępował zgodnie z umową. Innymi słowy, nie warto rozwiązywać umowy powierzenia przetwarzania danych, gdy podmiot przetwarzający działał prawidłowo i wdrożył wszystkie niezbędne zabezpieczenia, zaś zagrożenia nie można było przewidzieć i mu przeciwdziałać.
Po otrzymaniu informacji o naruszeniu administrator powinien ocenić jego istotność, zweryfikować przyczyny wystąpienia naruszenia oraz oszacować ewentualne skutki. W związku z tym powinien także zweryfikować prawidłowość działań podmiotu przetwarzającego.
W artykule przeczytasz m.in. o:
- nakazaniu zaprzestania przetwarzania danych,
- rozwiązaniu umowy powierzenia w związku z audytem,
- rozwiązaniu umowy powierzenia w przypadku naruszenia ochrony danych,
- konsekwencja nieprzestrzegania umowy przez procesora.
