Obsługa naruszenia ochrony danych osobowych zawsze stanowi wyzwanie dla organizacji, w której ono wystąpiło. Działanie pod dużą presją czasu, zwłaszcza jeśli incydent ma poważny charakter, może sprzyjać popełnianiu błędów, niezależnie od tego, czy naruszenie miało miejsce u administratora danych, czy u podmiotu przetwarzającego (procesora). Trzeba jednak pamiętać, że główne obowiązki, w szczególności te o charakterze informacyjnym, związane z naruszeniami ochrony danych osobowych, tj. zgłoszenie naruszenia ochrony danych osobowych do organu nadzoru i zawiadomienie o naruszeniu podmiotów danych (w przypadkach określonych odpowiednio w art. 33 ust. 1 RODO i w art. 34 ust. 1 RODO) spoczywają na administratorze danych. Jest tak również wówczas, gdy incydent skutkujący wystąpieniem naruszenia ochrony danych osobowych miał miejsce u podmiotu przetwarzającego dane osobowe na zlecenie administratora.
Paradoksalnie jednak pomimo tego, że obowiązki 
notyfikacyjne związane z naruszeniami ochrony danych osobowych spoczywają na administratorze danych, to w niektórych przypadkach to podmiot przetwarzający może mieć większe problemy związane z jego właściwą obsługą. Może tak być np. w przypadku, gdy poważny incydent cyberbezpieczeństwa wystąpił u podmiotu przetwarzającego obsługującego dużą liczbę podmiotów. Przykładem takiej sytuacji może być incydent, który wystąpił niedawno u MyDr, czyli podmiotu, który dostarcza oprogramowanie dla bardzo wielu placówek medycznych w Polsce. W przestrzeni publicznej pojawiały się informacje, że wyciek mógł dotyczyć nawet 19 milionów rekordów (przy czym nie jest jasne, czy chodziło tu o 19 milionów unikalnych pacjentów, czy 19 milionów wpisów, które mogły dotyczyć tych samych pacjentów).
Odpowiedzialność za naruszenie ochrony danych osobowych na gruncie RODO
Przepisy RODO nie przewidują sankcji za samo wystąpienie naruszenia ochrony danych osobowych. Unijny prawodawca słusznie wyszedł z założenia, że naruszenia mogą występować w każdej organizacji, także w tej, która przykłada odpowiednią wagę do ochrony danych osobowych i działa zgodnie z obowiązującymi przepisami. Nie powinno się zatem „karać” danego podmiotu tylko z tej przyczyny, że miało u niego miejsce naruszenie ochrony danych osobowych. Poniesienie odpowiedzialności na gruncie przepisów RODO może mieć natomiast miejsce w przypadkach, w których przyczyną naruszenia ochrony danych osobowych było naruszenie przepisów RODO (np. poprzez niewłaściwy dobór technicznych lub organizacyjnych środków ochrony danych osobowych, co jest wymagane przez art. 32 RODO) lub wówczas, gdy przepisy RODO naruszono po wystąpieniu naruszenia ochrony danych osobowych (np. nie realizując obowiązków notyfikacyjnych lub realizując je niewłaściwie).
W przypadku naruszenia ochrony danych osobowych, które miało miejsce u podmiotu przetwarzającego kluczowe znaczenie dla ewentualnej odpowiedzialności po stronie administratora danych ma to, czy dochował on wszystkich wymogów przewidzianych w RODO związanych z korzystaniem z usług takiego podmiotu, w tym w szczególności:
- dokonał wyboru tego podmiotu z uwzględnieniem wymogów wynikających z art. 28 ust. 1 RODO (tj. wybrano podmiot dający należyte gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą);
- zawarł umowę powierzenia przetwarzania danych osobowych uwzględniającą wszystkie wymogi określone w art. 28 ust. 3 RODO.
Administrator danych, który zgodnie z zasadą rozliczalności ocenił procesora z uwzględnieniem wymogów określonych w art. 28 ust. 1 RODO oraz zawarł stosowną umowę powierzenia przetwarzania danych osobowych ma solidne podstawy do tego, aby swoją odpowiedzialność wyłączyć lub znacząco ograniczyć. Dodatkowo na korzyść administratora może przemawiać okresowe kontrolowanie podmiotu przetwarzającego w trakcie trwania umowy, w tym poprzez audyty lub inspekcje o których mowa w art. 28 ust. 3 lit. h RODO. W takich przypadkach administrator danych może uniknąć odpowiedzialności za naruszenie ochrony danych osobowych, które miało miejsce u podmiotu przetwarzającego. UODO negatywnie ocenia przy tym postanowienia umowne, które ograniczają uprawnienia kontrolne administratora danych[1], jakkolwiek w przypadku podmiotów przetwarzających dane na zlecenie wielu administratorów danych tego typu ograniczenia często są w praktyce narzucane (np. co do sposobu lub częstotliwości kontroli lub audytów).
Administrator nie może jednocześnie „przerzucić” wszystkich obowiązków wynikających z RODO na podmiot przetwarzający. Nie sposób także przyjąć, że samo zawarcie umowy powierzenia przetwarzania danych zwalnia administratora za zapewnienie właściwej ochrony danych osobowych. Zawarcie takiej umowy jest tylko jednym z elementów wymaganych przez przepisy RODO.
Po wystąpieniu naruszenia ochrony danych osobowych administrator danych musi poza tym pamiętać o wykonaniu swoich obowiązków notyfikacyjnych (art. 33 i 34 RODO). Powinien także rozważyć ponowną ocenę procesora z uwzględnieniem wymogów określonych w art. 28 ust. 1 RODO.
Obowiązki procesora związane z naruszeniem
Podmiot przetwarzający dane osobowe zobowiązany jest do właściwej ochrony powierzonych mu danych osobowych. Jego obowiązki w tym zakresie wynikają nie tylko ze stosunku umownego z administratorem, ale również (w niektórych przypadkach) bezpośrednio z przepisów RODO. Warto w szczególności zauważyć, że obowiązek adekwatnego do występujących zagrożeń doboru zabezpieczeń (art. 32 RODO) spoczywa niezależnie zarówno na administratorze danych, jak i na podmiocie przetwarzającym. W tym kontekście procesor nie jest zatem wyłącznie „wykonawcą poleceń” administratora danych (choć polecenia te oczywiście mają znacznie pierwszorzędne), ale ma poza tym własny (niezależny) obowiązek wdrożenia odpowiednich technicznych i organizacyjnych środków ochrony danych osobowych.
W przypadku wystąpienia naruszenia ochrony danych osobowych procesor powinien niezwłocznie powiadomić o tym fakcie administratora danych oraz – uwzględniając charakter przetwarzania oraz dostępne mu informacje – pomagać administratorowi w wywiązaniu się z obowiązków notyfikacyjnych.
Kto stwierdza naruszenie oraz zgłasza naruszenie do organu nadzoru i zawiadamia podmioty danych?
Zgodnie z art. 33 ust. 2 RODO procesor po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je administratorowi danych. Za ostateczną analizę i kwalifikację danego zdarzenia jako naruszenia ochrony danych osobowych (tym samym za finalne „stwierdzenie” naruszenia) odpowiada jednak administrator danych. Jeśli dane naruszenie miało miejsce u podmiotu przetwarzającego, to w typowych przypadkach stwierdzenie naruszenia przez administratora powinno mieć miejsce już w momencie zawiadomienia administratora o takim naruszeniu przez podmiot przetwarzający, chyba że okoliczności zawiadomienia budzą wątpliwości (np. na podstawie przekazanych informacji nie da się od razu stwierdzić, czy zgłoszony incydent stanowił w istocie naruszenie ochrony danych osobowych). W przypadku naruszenia ochrony danych osobowych u procesora schemat powinien zatem wyglądać następująco
Wystąpienie naruszenia u procesora à niezwłoczne poinformowanie administratora przez procesora à ostateczna ocena i kwalifikacja naruszenia po stronie administratora à uwzględnienie naruszenia w ewidencji i/lub zgłoszenie naruszenia organowi nadzoru/zawiadomienie podmiotu danych
Za zgłoszenie naruszenia ochrony danych osobowych do organu nadzoru oraz za powiadomienie podmiotów danych odpowiada wyłącznie administrator danych. Procesor może wykonywać takie czynności jedynie na podstawie właściwie udzielonego mu przez administratora pełnomocnictwa (tj. w jego imieniu) i zgodnie z przekazanymi mu w tym zakresie instrukcjami. Pomimo tego, że wydaje się to oczywiste w świetle brzmienia art. 33 i 34 RODO, to w praktyce nadal zdarzają się jednak sytuacje w których „nadgorliwi” procesorzy zgłaszają do organu nadzoru naruszenie ochrony danych osobowych, które zostały im powierzone do przetwarzania.
Naruszenie u procesora a nałożenie administracyjnej kary pieniężnej na administratora
Jak już wskazano wyżej, samo wystąpienie naruszenia ochrony danych osobowych u procesora nie skutkuje automatycznie ryzykiem nałożenia administracyjnej kary pieniężnej na administratora, o ile administrator wywiązał się właściwie ze spoczywających na nim obowiązków. W tym kontekście można rozważyć kilka przypadków, które znacząco będą się od siebie różnić (abstrahując od obowiązków notyfikacyjnych, które administrator danych także musi oczywiście uwzględnić). Poniższe zestawienie ma przy tym wyłącznie charakter uproszczony i przykładowy, a zatem nie uwzględnia wszystkich możliwych stanów faktycznych:
| Opis sytuacji | Ryzyko nałożenia kary na administratora |
| Procesor posiadał wdrożone adekwatne zabezpieczenia dobrane zgodnie z art. 32 RODO, został odpowiednio oceniony przez administratora oraz zawarto umowę powierzenia przetwarzania danych osobowych | Bardzo Niskie |
| Procesor nie posiadał wdrożonych adekwatnych zabezpieczeń dobranych zgodnie z art. 32 RODO. Zawarto z nim wprawdzie umowę powierzenia przetwarzania danych osobowych, jednak nie zweryfikowano go właściwie opierając się wyłącznie na jego oświadczeniach zawartych w umowie oraz wcześniejszej współpracy. | Średnie |
| Administrator danych w ogóle nie ocenił procesora i miał świadomość, że procesor nie wdrożył odpowiednich zabezpieczeń, jednak pomimo tego zdecydował się na powierzenie mu danych osobowych do przetwarzania. | Wysokie |
Warto przy tym podkreślić, że przyczyną nałożenia administracyjnej kary pieniężnej nie będzie samo wystąpienie naruszenia ochrony danych osobowych, tylko naruszenie przepisów RODO (np. art. 28 ust.1 RODO, czy art. 32 RODO), którego konsekwencją było to naruszenie.
Odpowiedzialność cywilnoprawna wobec podmiotów danych
RODO przewiduje odpowiedzialność cywilnoprawną (tj. wobec podmiotów danych) w sytuacji w której w wyniku naruszenia RODO osoba fizyczna poniosła szkodę majątkową lub niemajątkową. Roszczenia z tym związane mogą być dochodzone (w zależności od okoliczności) od administratora danych lub procesora. Samo wystąpienie naruszenia ochrony danych osobowych nie jest wystarczające, aby uzyskać odszkodowanie lub zadośćuczynienie. Jeśli miało miejsce naruszenie ochrony danych osobowych, to kluczowe dla ew. uzyskania odszkodowania jest wykazanie przez osobę, której dane uległy naruszeniu, że:
- naruszenie ochrony danych osobowych było wynikiem naruszenia przepisów RODO
- poniosła ona szkodę majątkową lub niemajątkową w wyniku tego zdarzenia (tj. występuje w tym przypadku związek przyczynowo-skutkowy).
Zgodnie z polskim tłumaczeniem art. 82 ust. 3 RODO administrator lub podmiot przetwarzający są zwolnieni z odpowiedzialności za spowodowanie szkody wynikającej z przetwarzania danych osobowych w sposób naruszający przepisy RODO, jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania tej szkody. Tłumaczenie to bywa niekiedy krytykowane, ponieważ wydaje się, że sama „wina” nie powinna przesądzać o odpowiedzialności cywilnoprawnej administratora lub procesora. Bardziej zasadne wydaje się oparcie tej odpowiedzialności na zasadzie bezprawności (w przypadku administratora lub procesora) bądź na zasadzie ryzyka (w przypadku odpowiedzialności administratora za działania/zaniechania procesora). Na marginesie warto nadmienić, że na gruncie nieobowiązujące już dyrektywy 95/46/WE) nie było mowy o odpowiedzialności na zasadzie „winy”. W polskim tłumaczeniu wskazano wówczas, że administrator danych może zastać zwolniony od odpowiedzialności (względem podmiotu danych) w całości lub w części, jeżeli udowodni, że nie jest odpowiedzialny za zdarzenie, które spowodowało szkodę.
Podsumowanie
Skorzystanie z instytucji powierzenia przetwarzania danych osobowych nie oznacza, że dochodzi do przeniesienia całej odpowiedzialności za zgodność z prawem przetwarzania danych osobowych na procesora. Ma to istotne znaczenie w kontekście naruszeń ochrony danych osobowych. Administrator danych musi bowiem nie tylko dokonać właściwie wyboru podmiotu przetwarzającego dane osobowe na jego zlecenie i zawrzeć umowę powierzenia przetwarzania danych osobowych, ale również zapewnić prawidłową organizację procesu powierzenia przetwarzania danych osobowych oraz reagować właściwie na naruszenia ochrony danych osobowych u procesora. Nie oznacza to jednak, że każde naruszenie ochrony danych osobowych, do którego dochodzi u procesora obciąża automatycznie administratora danych. Kluczowe znaczenie w tym kontekście ma to, czy (a jeśli tak, to jakie) przepisy naruszył każdy z tych podmiotów i czy administrator danych prawidłowo realizował swoje obowiązki wynikające z przepisów RODO.
Administrator danych powinien przy tym pamiętać, że to on odpowiada za realizację obowiązków notyfikacyjnych (względem organu nadzoru) oraz informacyjnych (względem podmiotów danych). Podmiot przetwarzający powinien go w tym zakresie jedynie wspierać, np. przekazując wszelkie niezbędne informacje, co do okoliczności i zakresu naruszenia. Niektórzy administratorzy danych (zwłaszcza mali i średni przedsiębiorcy) zdają się o tym jednak zapominać. Błędnie zakładają oni, że obsługujący ich „profesjonalny” podmiot powinien przejąć wszystkie obowiązki wynikające z przepisów RODO, w tym związane z ochroną danych osobowych i obsługą incydentów bezpieczeństwa.
opracowanie: adw. Henryk Hoser
W zakresie wsparcia w Państwa w prawidłowym ułożeniu relacji pomiędzy administratorem danych, a procesorem bądź w przypadku naruszenia Państwa danych osobowych lub prawa do prywatności przez podmioty trzecie, zachęcamy do kontaktu z naszą kancelarią.
[1] Zob. stanowisko dostępne na stronie https://uodo.gov.pl/pl/676/4258
*Grafika wygenerowana przy użyciu narzędzi AI