Jak zabezpieczyć swój interes, przekazując dane osobowe do biura rachunkowego

W związku ze świadczeniem usług rachunkowych na rzecz administratora danych osobowych biuro rachunkowe przetwarza przekazane przez niego dane osobowe m.in.:

• kontrahentów i klientów administratora,
• pracowników i inny personel administratora,
• osób reprezentujących administratora.

Na jakiej podstawie biuro rachunkowe przetwarza dane osobowe przekazane przez ADO? Otóż biuro nie ma własnej podstawy przetwarzania tych danych. Przetwarza je w imieniu swojego klienta i w celu realizacji usługi na jego rzecz. To klient jest administratorem i decyduje o celach i zakresie przetwarzanych danych. Oznacza to, że biuro rachunkowe ma status procesora i administrator powinien z nim zawrzeć umowę powierzenia przetwarzania danych.

Umowa o powierzeniu przetwarzania danych osobowych powinna być zawarta w formie pisemnej lub elektronicznej. W treści umowy zawsze trzeba wskazać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora oraz pozostałe kwestie wyliczone w art. 28 ust. 3 RODO.

Natomiast w zakresie danych osobowych, które samodzielnie pozyskuje biuro, staje się ono administratorem danych osobowych.

Decydując się na korzystanie z usług biura rachunkowego, administrator musi mieć na względzie, że w przypadku naruszenia ochrony danych zawinionego przez biuro to on ponosi za to odpowiedzialność – w zakresie danych przekazanych w ramach umowy powierzenia przetwarzania. Wszak administrator ma obowiązek korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą (art. 28 ust. 1 RODO). Innymi słowy zawarcie umowy z biurem rachunkowym jako podmiotem przetwarzającym w żaden sposób nie wyłącza ani nie ogranicza odpowiedzialności ADO.

Co za tym idzie, nie jest dopuszczalne zawarcie w umowie powierzenia przetwarzania danych osobowych rozwiązań wyłączających odpowiedzialność administratora danych osobowych. Takie rozwiązania byłyby bezskuteczne.

Z tego względu administrator, nim zawrze umowę powierzenia przetwarzania danych z biurem rachunkowym, powinien dążyć do przeprowadzenia audytu w zakresie bezpieczeństwa danych.

Podmiot przetwarzający ma obowiązek:

• udostępnić administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w tym przepisie
• umożliwiać administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich (art. 28 ust. 3 lit. h RODO).

Z powyższego wynika, że administrator może poddawać procesora audytowi nie tylko przed zawarciem umowy powierzenia, ale także w jej trakcie.

Aby audyt w trakcie trwania umowy powierzenia przetwarzania miał sens, administrator powinien uzyskać:

• dostęp do pomieszczeń biura, w których przetwarzane są dane;
• wgląd do danych przetwarzanych przez biuro (w ramach umowy powierzenia) oraz stosowanej przez niego dokumentacji.

Dodatkowo warto, by administrator zagwarantował sobie możliwość wydawania biuru zaleceń co do sposobu wyeliminowania stwierdzonych nieprawidłowości oraz obowiązek procesora niezwłocznego zastosowania się do tych zaleceń. Natomiast w przypadku braku zaleceń ze strony administratora biuro rachunkowe powinno być zobligowane do samodzielnego opracowania i wdrożenia rozwiązań eliminujących wykryte w toku kontroli niezgodności, a także do poinformowania administratora o zastosowanych rozwiązaniach.

W wykonaniu art. 28 RODO, ale też zgodnie z zasadą rozliczalności (art. 5 RODO), z przeprowadzonego audytu powinien być spisany protokół. W protokole tym, podpisanym przez administratora i biura rachunkowe, powinny znaleźć się wnioski z kontroli, a w szczególności wszelkie wykryte niezgodności z przepisami prawa lub postanowieniami umowy powierzenia przetwarzania danych.