Procesor, subprocesor – dlaczego powinienem ich znać?

Procesor? Subprocesor? Pojęcia brzmiące trochę informatycznie, a jednak znajdujące zastosowanie w prawie. Niestety w mało przyjemnym obszarze prawa związanym z ochroną danych osobowych – znowu to RODO.

Niestety pomimo tego, że nieszczęsne RODO funkcjonuje już od kliku ładnych lat przedsiębiorcy nadal nie zdają sobie sprawy z tego czego powinni wymagać od swoich kontrahentów.

Wiec zacznijmy od podstaw. 

RODO rozróżnia następujące pojęcia:

Administrator danych – chyli ten co je zebrał i sam decyduje o celu w jakim zostaną wykorzystane

Procesor – podmiot, który dostaje dane od Administratora i musi słuchać poleceń Administratora odnośnie celu w jakim może wykorzystać dane, które pozyskał od Administratora

Subprocesor – podmiot, który realizuje czynności na polecenie Procesora, ale używając do tego danych przekazanych przez Administratora.

Brzmi skomplikowanie? To może na przykładzie

Administratorem danych jest podmiot prowadzący sprzedaż w Internecie (ma bazę danych swoich klientów, którzy kupili już u niego jakieś towary). Że klientów jest coraz więcej to zdecydował, że musi usprawnić działanie strony internetowej i realizacji zamówień oraz podjąć działania marketingowe, mające na celu utrzymanie klientów, którzy kupują u niego regularnie.  Administrator zawarł umowę z Procesorem, który ma stworzyć system informujący, ile towarów danego rodzaju jest jeszcze w magazynie i wyświetlający imienne podziękowania klientom za zrobienie zakupów. O ile nasz Procesor ma stworzony system informujący Administratora o stanie towaru na magazynie, o tyle nie ma możliwości samodzielnie pokazać tej informacji na stronie sklepu internetowego ani wyświetlić spersonalizowanych podziękowań dla klienta po sfinalizowaniu zamówienia. Nasz Procesor, żeby zrealizować umowę w 100% musiał podpisać umowę o współpracy z zewnętrzną firmą informatyczną (Subprocesorem), która przy użyciu własnego sprzętu i ludzi stworzy odpowiednie oprogramowanie, pozwalające na wyświetlenie informacji o stanie magazynowym na stronie internetowej sklepu i imienne podziękowanie dla klienta za zrobienie zakupów.

To teraz patrząc od strony Jasia Kowalskiego, który zakupił u w sklepie internetowym Administratora karmę dla psa - jego imię i nazwisko będzie znajdowało się w bazach danych zapisanych na serwerach:

- Administratora – bo to Administrator wystawi fakturę za zrealizowane zamówienie,

- Procesora – bo dostarczony przez niego system do obsługi magazynu będzie zobligowany do przygotowania odpowiedniej paczki z towarem,

- Subprocesora – bo jego program będzie przetwarzał informację, że Jaś Kowalski zamówił 1 paczkę karmy więc Administratorowi zostało już tylko 99 paczek i to jego program wyświetli podziękowanie za złożone zamówienie skierowane personalnie do naszego Jasia.

Ale po co mi jako Administartorowi znać Procesora czy Subprocesora?

Po pierwsze dlatego, że jak dojdzie do wycieku danych, to ponosisz odpowiedzialność za te podmioty jak za działania własne. Po drugie, dlatego że w przypadku, gdy Jaś Kowalski zapyta „Administratorze, kto w związku ze złożonym zamówieniem ma moje dane?” musisz udzielić mu pełnej informacji na czyich serwerach one się znajdują.

To co drogi Administratorze znasz swoich procesorów i subprocesorów?