bg
Chcę wiedzieć o...
Strona główna
Artykuły
Powierzenie przetwarzania danych należy udokumentować

Powierzenie przetwarzania danych należy udokumentować

Dodano: 2022-09-23
Publikator: Urząd Ochrony Danych Osobowych

UODO nałożył administracyjną karę pieniężną w kwocie 2,5 tys. zł na Sułkowicki Ośrodek Kultury.

Powodem tej decyzji było powierzenie przetwarzania danych osobowych bez pisemnej umowy powierzenia. Odbyło się to bez przeprowadzenia weryfikacji odnośnie tego czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych.

W toku postępowania wyjaśniającego ustalono, że administrator powierzył przetwarzanie danych osobowych bez zawarcia pisemnej umowy powierzenia podmiotowi przetwarzającemu, któremu zlecił prowadzenie ksiąg rachunkowych, ewidencji i sporządzanie raportów oraz przechowywanie dokumentacji. Dodatkowo administrator nie przeprowadził weryfikacji podmiotu przetwarzającego. Nie sprawdził czy zapewnia on wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych osobowych było zgodne z RODO. Przypomnijmy, że podmiot przetwarzający ma spełniać gwarancje ochrony praw osób, których dane dotyczą.

Administrator decydując się na powierzenie przetwarzania danych osobowych innemu podmiotowi powinien sprawdzić czy zapewnia on wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Powinien także zweryfikować czy przetwarzanie będzie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.

W toku sprawy organ nadzorczy ustalił, że administrator nie posiadał żadnych dokumentów potwierdzających weryfikację warunków współpracy z podmiotem przetwarzającym. Ponadto  zwrócenie się do niego z prośbą o informacje, wyjaśnienia i zwrot lub udostępnienie przetwarzanych danych okazało się bezskuteczne. Przy uwzględnieniu wszystkich okoliczności organ nadzorczy uznał, że nałożenie administracyjnej kary pieniężnej na administratora jest konieczne i uzasadnione wagą oraz charakterem i zakresem zarzucanego temu podmiotowi naruszenia. Sama zaś kara w wymierzonej wysokości będzie skuteczna i spowoduje, że administrator w celu uniknięcia kolejnych sankcji zwróci należytą uwagę na przetwarzanie danych osobowych za pośrednictwem i przy pomocy podmiotu przetwarzającego.

Artykuły powiązane

Zmiany w zakresie postępowania wyjaśniającego przed Urzędem Komisji Nadzoru Finansowego

W dniu 29 września 2023 r. wejdzie w życie ustawa z dnia 16 sierpnia 2023 r. o zmianie niektórych ustaw w związku z zap...

Nowe Rekomendacje KNF dla zakładów ubezpieczeń dotyczące oceny odpowiedniości ubezpieczenia na życie z elementem inwestycyjnym

W dniu 15 września 2023 r. Komisja Nadzoru Finansowego przyjęła jednogłośnie Rekomendacje dla zakładów ubezpieczeń dotyc...

Nowe zagadnienia na egzaminie dla kandydatów na agentów ubezpieczeniowych

W związku z wprowadzeniem do polskiego porządku prawnego Ustawy z dnia 7 lipca 2023 r. o ogólnoeuropejskim in...