Rejestr kategorii czynności przetwarzania u podprocesora

Michał Kowalski

Podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku ogólnej pisemnej zgody podmiot przetwarzający informuje administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian (art. 28 ust. 2 RODO). Mogłoby wydawać się, że cytowany przepis nie ma związku z pytaniem, niemniej jednak wynika z niego, że podprocesor to w świetle RODO także podmiot przetwarzający. Innymi słowy podprocesor nie ma innego statusu prawnego niż procesor.

Obowiązek prowadzenia rejestru kategorii czynności przetwarzania spoczywa zaś na podmiocie przetwarzającym jako takim, a nie tylko na głównym procesorze (art. 30 ust. 2 RODO). Tym samym co do zasady każdy podprocesor powinien go prowadzić.