Kiedy rozwiązać umowę powierzenia przetwarzania danych

Administrator ponosi odpowiedzialność za procesora

Za poczynania podmiotu przetwarzającego odpowiada administrator danych osobowych. Dlatego ADO powinien weryfikować:

• czy podmiot przetwarzający daje gwarancję działania zgodnie z RODO jeszcze przed powierzeniem mu danych osobowych do przetwarzania;
• czy działania podmiotu przetwarzającego są zgodne z przepisami RODO tj. podmiot przetwarzający prawidłowo realizuje swoje obowiązki (w tym celu warto przeprowadzać okresowo audyty u procesora z celu weryfikacji, czy postępuje on zgodnie z umową).

ADO może rozważać rozwiązanie umowy powierzenia

Jeżeli wyniki audytu przeprowadzonego u procesora nie zadowalają administratora, wówczas warto rozważyć zaprzestanie korzystania z usług podmiotu przetwarzającego. Aby doprowadzić do tego, by procesor zaprzestał przetwarzania danych osobowych przekazywanych przez administratora, należy zaś rozwiązać umowę powierzenia przetwarzania danych.

Jeżeli administrator uzna, że podmiot przetwarzający nie spełnia standardów dotyczących przetwarzania danych osobowych, to powinien doprowadzić do zatrzymania ich przetwarzania przez procesora.

Zwykle umowy powierzenia przetwarzania danych są zawierane na okres trwania współpracy  pomiędzy stronami (wynikającej np. z odrębnej umowy o świadczenie usług). W praktyce w umowach powierzenia wskazuje się przypadki, w których możliwe jest wypowiedzenie.

Naruszenia ochrony danych powinny zaalarmować administratora

Przede wszystkim należy rozważyć rozwiązanie umowy powierzenia w sytuacji, w której procesor lub jego personel doprowadził do naruszenia ochrony danych objętych powierzeniem. Z drugiej strony nie każde naruszenie ochrony danych czyni zasadnym rozwiązanie umowy powierzenia. Może bowiem okazać się, że do naruszenia doszło nawet jeśli podmiot przetwarzający dochował należytej staranności i postępował zgodnie z umową. Innymi słowy, nie warto rozwiązywać umowy powierzenia przetwarzania danych, gdy podmiot przetwarzający działał prawidłowo i wdrożył wszystkie niezbędne zabezpieczenia, zaś zagrożenia nie można było przewidzieć i mu przeciwdziałać.

Po otrzymaniu informacji o naruszeniu administrator powinien ocenić jego istotność, zweryfikować przyczyny wystąpienia naruszenia oraz oszacować ewentualne skutki. W związku z tym powinien także zweryfikować prawidłowość działań podmiotu przetwarzającego.