REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO - odpowiedzialność cywilnoprawna podmiotu przetwarzającego

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
RODO - odpowiedzialność cywilnoprawna podmiotu przetwarzającego
RODO - odpowiedzialność cywilnoprawna podmiotu przetwarzającego

REKLAMA

REKLAMA

RODO - odpowiedzialność cywilnoprawna. Administrator danych osobowych powierzając do przetwarzania dane osobowe podmiotowi trzeciemu nie zwalnia się z odpowiedzialności za ewentualne naruszenie ich bezpieczeństwa. Samo zawarcie obligatoryjnej umowy powierzenia, nie rozwiązuje problemu odpowiedzialności za szkodę wyrządzoną przez naruszenie ochrony danych osobowych.

RODO – obowiązki i odpowiedzialność

Przepisy zawarte w RODO, tj. Ogólnym rozporządzeniu o ochronie danych osobowych nakładają liczne obowiązki w zakresie przetwarzania danych osobowych nie tylko na administratora danych osobowych, ale również na podmioty przetwarzające, czyli podmioty przetwarzające dane osobowe w imieniu administratora. W przypadku ich niewypełnienia lub naruszenia bezpieczeństwa przetwarzanych danych osobowych to głównie administrator musi liczyć się z odpowiedzialnością - administracyjną, ale również cywilnoprawną. W zakresie odpowiedzialności cywilnoprawnej, co do zasady administrator wraz z podmiotem przetwarzającym ponoszą ją solidarnie, jednakże to odpowiedzialność administratora ma szerszy charakter.

REKLAMA

Szkoda majątkowa i niemajątkowa

W przypadku naruszenia ochrony danych osobowych może dojść do poniesienia przez osobę, której dane dotyczą, szkody majątkowej lub niemajątkowej. Wobec tego mowa jest tu o uszczerbku interesów nie tylko majątkowych czy finansowych, ale m.in. również o naruszeniu dobrego imienia czy też sfery prywatności. Co więcej, należy pamiętać również, że szkoda majątkowa to nie tylko faktycznie poniesione straty, ale również utracone korzyści. W przedmiotowej sytuacji taka osoba może uzyskać odszkodowanie lub zadośćuczynienie od administratora danych osobowych lub podmiotu przetwarzającego odszkodowania, jednakże musi ona wykazać i udowodnić rzeczywistą szkodę. Solidarna odpowiedzialność administratora i podmiotu przetwarzającego ma za zadanie zapewnić osobie, której dane dotyczą uzyskanie stosownego odszkodowania lub zadośćuczynienia. W przypadku, gdy administrator lub podmiot przetwarzający zapłacili odszkodowanie za całą wyrządzoną szkodę, mają oni prawo żądać od pozostałych podmiotów biorących udział w danym procesie przetwarzania danych tzw. regresu, tj. przysługuje im roszczenie zwrotu części kwoty odszkodowania, za które ponosi odpowiedzialność.

Przesłanki odpowiedzialności odszkodowawczej

Aby móc stwierdzić, iż doszło do naruszenia prywatności i zastosowania odpowiedzialności odszkodowawczej, musi wystąpić przynajmniej jedna z poniższych przesłanek:

1/ poniesienie przez osobę, której dane dotyczą, szkody majątkowej lub niemajątkowej,

2/ naruszenie przez administratora lub podmiot przetwarzający przepisów RODO,

Dalszy ciąg materiału pod wideo

3/ zaistnienie związku przyczynowego między naruszeniem a szkodą,

4/ wina po stronie administratora lub podmiotu przetwarzającego.

Jednakże, rozporządzenie RODO zawiera także okoliczność, która wyłącza obowiązek naprawienia zaistniałej szkody przez administratora lub podmiot przetwarzający. Przesłanką tą jest brak winy po stronie tych podmiotów w zdarzeniu będącym przyczyną powstania szkody. Odpowiedzialność odszkodowawcza administratora danych osobowych i podmiotu przetwarzającego jest oparta na zasadzie winy, która obejmuje zarówno winę umyślną, jak i nieumyślną. Zwolnienie z tejże odpowiedzialności wynikające z wykazania braku winy jest możliwe poprzez dochowanie należytej staranności w wyborze i ukształtowaniu relacji umownej z profesjonalnym podmiotem, któremu powierzono wykonanie określonych czynności w procesie przetwarzania danych osobowych. Reasumując, odpowiedzialność podmiotu przetwarzającego nie powstanie w następujących sytuacjach, gdy:

1/ przepisy RODO nie nakładały na niego bezpośrednio obowiązków, których niewykonanie lub nienależyte wykonanie spowodowało szkodę,

2/ podmiot przetwarzający działał zgodnie z instrukcjami administratora (zgodnymi z prawem),

3/ podmiot przetwarzający działał poza lub wbrew instrukcjom administratora, które były niezgodne z prawem.

Zawarcie umowy to nie wszystko

REKLAMA

Samo zawarcie umowy powierzenia w celu sformalizowania ról w procesie przetwarzania danych nie jest wystarczające. Analizując powyższe punkty, jednoznacznie należy wskazać znaczenie i istotę określenia wzajemnych zasad współpracy i obowiązków stron w treści umowy oraz precyzyjność poleceń lub instrukcji administratora co do przetwarzania danych wraz z odpowiednim ich udokumentowaniem.

Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 27 października 2020 r. sygn. II SA/Wa 310/20 jednoznacznie stwierdził, iż „W sytuacji gdy podmiot przetwarzający dane osobowe naruszy ogólne rozporządzenie o ochronie danych prze określaniu celów i sposobów przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania. Podejmowanie decyzji o celach i sposobach przetwarzania danych należy do sfery uprawnień administratora danych. Jeżeli w tę sferę bezprawnie ingeruje podmiot przetwarzający, wchodząc w zakres zastrzeżony administratorowi, to art. 28 ust. 10 ww. rozporządzenia nakazuje uznać podmiot przetwarzający za administratora w odniesieniu do tego przetwarzania. Oznacza to, że podmiot przetwarzający odpowiada w tym zakresie za naruszenie przepisów rozporządzenia tak jak administrator”.

Lakoniczność lub brak uszczegółowienia postanowień umownych określających obowiązki danej strony może skutkować np. niemożliwością domagania się regresu od drugiej strony umowy. Co więcej, rozporządzenie RODO zobowiązuje administratora danych osobowych do korzystania jedynie z takich podmiotów przetwarzających, które gwarantują wdrożenie odpowiednich środków technicznych i organizacyjnych, zapewniających, że przetwarzanie danych osobowych spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Wobec tego, administrator powinien poczynić wszystkie możliwe środki umożliwiające mu weryfikację i wybór podmiotu przetwarzającego.

Węższy zakres odpowiedzialności podmiotu przetwarzającego

Zakres odpowiedzialności podmiotu przetwarzającego jest węższy niż administratora, ponieważ obejmuje tylko szkody wynikające z niedopełnienia przez niego zobowiązań wynikających z przepisów RODO lub naruszenia postanowień umowy powierzenia danych łączących go z administratorem. Dlatego bardzo ważna jest treść tejże umowy, w szczególności postanowień odnoszących się do zakresu obowiązków stron oraz braku ograniczenia odpowiedzialności podmiotu przetwarzającego w przypadku naruszenia bezpieczeństwa przetwarzania danych osobowych. Umowa powierzenia danych osobowych powinna być skonstruowana w sposób maksymalnie precyzyjny, bez możliwości do różnych interpretacji jej postanowień, stąd pomoc prawnika może być nieodzowna. Poprzez szczegółowe i skrupulatne określenie obowiązków podmiotu przetwarzającego, administrator danych osobowych będzie miał dużo większy nadzór nad powierzonymi danymi i jednocześnie zwiększy jakość ochrony danych osobowych swoich pracowników, klientów czy kontrahentów.

Podsumowanie

Jak zostało wskazane powyżej, nie wystarczy sam fakt zawarcia umowy powierzenia danych pomiędzy administratorem a podmiotem przetwarzającym. Jest to pierwszy, fundamentalny krok do uregulowania zasad współpracy, jednakże nie ostatni. Kluczem są kompleksowe i jednocześnie szczegółowe postanowienia tejże umowy, do których skonstruowania najlepiej zatrudnić radcę prawnego specjalizującego się w prawie ochrony danych osobowych i bezpieczeństwa informacji.

Bartłomiej Niezabitowski, radca prawny

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Dwie składki emerytalne. Ale jedna emerytura. Nie tylko mundurowi, ale i KRUS

Do redakcji stale napływają listy od emerytów mundurowych, którzy płacą składki do ZUS (jako emeryci mundurowi), ale nie mają szansy na 1) otrzymanie drugiej emerytury (cywilnej obok wojskowej) albo 2)

Pomniejszył emeryturę o 2603,30 zł przez 60.526,60 zł. Nierówne traktowanie emerytów. Nie będzie nowelizacji [Emerytury mundurowe]

Do biura poselskiego zgłosili się emerytowani żołnierze, którzy wskazują na trudności wynikające z obecnych regulacji. Jednym z przykładów jest przypadek emeryta wojskowego, który w ciągu roku osiągnął dodatkowy dochód w wysokości 60 526,60 zł. Maksymalna kwota miesięcznego przychodu niepowodująca zmniejszenia świadczenia wynosiła 57 923,30 zł, przez co jego świadczenie emerytalne zostało pomniejszone o 2 603,30 zł.

Poczta Polska nie wygrała przetargu na dostarczanie przesyłek w sądownictwie i prokuraturze, mimo, że była jedynym oferentem. Ministerstwo Sprawiedliwości wyjaśnia dlaczego

Przetarg na świadczenie usług pocztowych w sądownictwie i prokuraturze został unieważniony. Jedyną ofertę w jego ramach złożyła Poczta Polska S.A., jednak jej cena była zbyt wysoka. Wiceminister sprawiedliwości Arkadiusz Myrcha zapewnił PAP, że nie dojdzie do przerwy w doręczeniach przesyłek.

Cena energii elektrycznej w 2026 roku. Minister finansów i gospodarki prognozuje obniżkę

Resort finansów oczekuje, że w przyszłym roku taryfa na energię dla gospodarstw domowych znajdzie się poniżej 500 zł/MWh - poinformował 2 września 2025 r. PAP Biznes minister finansów i gospodarki Andrzej Domański.

REKLAMA

Od 10 września 2025 r. zmiany w OC po zakupie auta. Kara za błąd nawet 9330 zł

Od 10 września 2025 r. zmieniają się przepisy dotyczące OC po zakupie auta. Nabywca używanego pojazdu będzie mógł wskazać konkretną datę zakończenia polisy poprzedniego właściciela, ale tylko pod warunkiem zachowania ciągłości ubezpieczenia. Brak choćby jednego dnia ochrony oznacza wysoką karę pieniężną. To nie wszystko, nowe zasady obejmą też rolników i ubezpieczenia budynków. Sprawdź, co musisz zrobić, żeby nie płacić.

Wielka reforma Centrów Usług Społecznych: Nowe prawo zmieni dostępność i jakość wsparcia w gminach – co planuje Ministerstwo Rodziny, Pracy i Polityki Społecznej?

Centra Usług Społecznych mają przejść długo wyczekiwaną reformę. Ministerstwo Rodziny, Pracy i Polityki Społecznej przygotowało projekt ustawy, który zmienia zasady ich funkcjonowania. Nowe przepisy mają zwiększyć dostępność i jakość usług, ułatwić gminom tworzenie CUS i dopasować wsparcie do realnych potrzeb mieszkańców. Co konkretnie się zmieni i dlaczego ta reforma jest tak istotna?

Choroby zakaźne i aktualna sytuacja epidemiologiczna w Polsce [RAPORT]

W odpowiedzi na rosnącą potrzebę dostępu do rzetelnych informacji o stanie zdrowia publicznego, Centrum e-Zdrowia – we współpracy z Ministerstwem Zdrowia oraz Głównym Inspektoratem Sanitarnym – opracowało nowoczesny, interaktywny raport poświęcony chorobom zakaźnym. To innowacyjne źródło danych, dostępne zarówno w języku polskim, jak i angielskim. Raport stanowi aktualny przegląd sytuacji epidemiologicznej w Polsce.

Asystencja osobista coraz bliżej. Kto dostanie darmowego asystenta i na jak długo?

Projekt ustawy o asystencji osobistej nabiera tempa i zbliża się do finalnych prac legislacyjnych. Rząd planuje objąć bezpłatnym wsparciem osoby z niepełnosprawnościami w wieku od 13 do 65 lat, zapewniając im pomoc asystenta finansowaną z budżetu państwa. Jeżeli ustawa zostanie uchwalona, część beneficjentów będzie mogła liczyć nawet na 240 godzin indywidualnej pomocy miesięcznie, w domu, pracy i w codziennym życiu.

REKLAMA

Za co rowerzysta może dostać mandat? ABC jazdy rowerem poza jezdnią: chodniki, ciągi pieszo-rowerowe, ścieżki rowerowe, pasy, użycie dzwonka, parkowanie

Jakie są aktualne zasady jazdy rowerem poza jezdnią (chodniki, droga dla pieszych i rowerów, ścieżki i pasy rowerowe) i pieszo ścieżką rowerową przedstawia radca prawny Mirosław Siwiński. Autor wyjaśnia m.in. za co rowerzysta może otrzymać mandat, czy może używać dzwonka jadąc chodnikiem i z jaką prędkością może się poruszać.

Trzeba będzie mieć certyfikat cyberbezpieczeństwa żeby wykazać cyberodporność. Nowe przepisy od 28 sierpnia 2025 r.

Kilka dni temu w życie weszły nowe, ważne przepisy dotyczące certyfikacji cyberbezpieczeństwa. Nowe przepisy pozwolą na wydawanie europejskich i krajowych certyfikatów bezpieczeństwa dla produktów, usług, systemów i procesów związanych z technologiami informacyjno-komunikacyjnymi (ICT). Będzie to potwierdzenie, że dany produkt, usługa lub proces spełnia określone standardy ochrony danych i odporności na cyberataki. Jest to też ważny dokument w przetargach publicznych.

REKLAMA