RODO a hosting. Jaka jest odpowiedzialność dostawcy technologii za przetwarzane dane?

dr. Michał Matuszczak, radca prawny z kancelarii Babiaczyk, Skrocki i Wspólnicy:

W pierwszej kolejności należy rozróżnić dwa zagadnienia:

1) odpowiedzialność za przetwarzanie danych osobowych zgodnie przepisami prawa o ich ochronie (w szczególności zgodnie z RODO)
2) odpowiedzialność za bezprawny charakter danych.

Ad. 1)

Umowa o powierzenie przetwarzania danych osobowych (UPPDO) dotyczy jedynie tego zagadnienia (odpowiedzialność za przetwarzanie danych osobowych zgodnie przepisami prawa o ich ochronie), a nie odpowiedzialności za bezprawny charakter danych.

UPPDO powinna wskazywać  m.in. charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. W interesie obu stron leży, aby powyższe informacje były zgodne z rzeczywistością. Ma to związek przede wszystkim  z brzmieniem art. 28 ust. 10 RODO, zgodnie z którym, jeżeli procesor naruszy przepisy RODO przy określaniu celów i sposobów przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania.

Procesor ponosi odpowiedzialność przede wszystkim za należyte zabezpieczenie powierzonych mu danych przed ich naruszeniem (zastosowanie adekwatnych środków technicznych i organizacyjnych), za przetwarzanie danych zgodnie z celami i sposobami wskazanymi w UPPDO lub udokumentowanych poleceniach administratora, za wypełnienie obowiązków nałożonych na niego, jako procesora, przepisami RODO.

Moim zdaniem, procesor nie ponosi odpowiedzialności za powierzone dane w tym sensie, że odpowiada za „zawartość danych” mu powierzonych. Jeżeli okazałoby się, że rodzaj danych osobowych oraz kategorie osób, których dane dotyczą zadeklarowane w umowie przez administratora nie odpowiadają rzeczywistości, to trudno aby procesor ponosił za to odpowiedzialność na gruncie RODO, gdy administrator sam dane te zamieścił na serwerze procesora, bez wiedzy procesora (nie informując procesora o rozszerzeniu rodzaju danych osobowych oraz kategorii osób).  Takiej sytuacji nie można zakwalifikować jako naruszenie przepisów RODO przy określaniu celów i sposobów przetwarzania.

Na gruncie art. 82 i 83 RODO, procesor odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na procesorów, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom. Nie można uznać za działanie wbrew instrukcjom administratora przetwarzanie danych w zakresie przekazanym przez administratora, nawet jeżeli UPPDO definiuje ten zakres węziej.

Procesor nie odpowiada również za sferę odpowiedzialności administratora danych, tj. np. nie ponosi odpowiedzialności za to, że administrator przetwarza dane osobowe powierzone procesorowi bez odpowiedniej podstawy prawnej, czy też nie dopełnił ciążącego na nim obowiązku informacyjnego względem osób, których dane przetwarza.

Ad. 2)

Odrębnym zagadaniem jest odpowiedzialność za bezprawny charakter danych. Kwestię tę regulują przepisy ustawy o świadczeniu usług drogą elektroniczną. Zgodnie z art. 14 ust. 1 tej ustawy, nie ponosi odpowiedzialności za przechowywane dane ten, kto udostępniając zasoby systemu teleinformatycznego w celu przechowywania danych przez usługobiorcę nie wie o bezprawnym charakterze danych lub związanej z nimi działalności, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej wiadomości o bezprawnym charakterze danych lub związanej z nimi działalności niezwłocznie uniemożliwi dostęp do tych danych. Ustawodawca wprost w art. 15 tej samej ustawy stanowi, że podmiot, który świadczy usługi, nie jest obowiązany do sprawdzania przekazywanych, przechowywanych lub udostępnianych przez niego danych, o których.

Zatem również na gruncie ustawy o świadczeniu usług drogą elektroniczną, podmiot taki jak spółka Nazwa.pl nie ma obowiązku przeprowadzania audytów u swoich klientów, aby zwolnić się z odpowiedzialności za bezprawność danych zamieszczanych na jego serwerze. Wystarczy, że w odpowiedni sposób zareaguje na informację o bezprawnym charakterze przechowywanych danych dostarczonych przez usługobiorcę (uniemożliwi dostęp do tych danych).

adw. Natalia Zawadzka, Lubasz i Wspólnicy Kancelaria Radców Prawnych:

Odpowiedzialność za przetwarzanie danych osobowych ponosi zasadniczo administrator tych danych, czyli podmiot, który ustala cele i sposoby przetwarzania danych - w tym przypadku właściciel e-sklepu. To administrator odpowiada za to, że przetwarzanie będzie odbywać się zgodnie z określonymi w przepisach zasadami. 

Administrator może powierzyć część czynności przetwarzania, np. ich przechowywanie, podmiotowi trzeciemu (tzw. podmiotowi przetwarzającemu, procesorowi – np. dostawcy hostingu). Administrator może korzystać wyłącznie z usług takiego procesora, który zapewni wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi prawa. 

Podmiot przetwarzający (np. hostingodawca) również ponosi odpowiedzialność za prawidłowe przetwarzanie przez siebie danych osobowych powierzonych mu przez administratora. Odpowiedzialność procesora jest proporcjonalna do zakresu jego uprawnień i obowiązków. Podczas gdy administrator odpowiada za każde naruszenie przepisów rozporządzenia, procesor odpowiada wyłącznie wtedy, gdy nie dopełnił obowiązków, które przepisy nakładają bezpośrednio na podmioty przetwarzające (np. wdrożenia odpowiednich środków bezpieczeństwa, rejestrowania kategorii czynności przetwarzania czy zgłaszania administratorowi naruszeń), lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom.

Na marginesie należy zauważyć, że przetwarzanie danych nie zawsze musi opierać się na zgodzie podmiotu danych, wręcz przeciwnie, w większości przypadków taka zgoda nie będzie konieczna. W przypadku przetwarzania na potrzeby wykonywania umów sprzedaży w sklepie internetowym podstawą przetwarzania danych będzie art. 6 ust. 1 lit. b) RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.