Czy po zawarciu z osobą fizyczną umowy zlecenia należy upoważnić ją do przetwarzania danych osobowych, czy zawrzeć z nią umowę powierzenia przetwarzania danych osobowych.

Kwestie dotyczące przetwarzania danych osobowych określone zostały przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119/1) – dalej RODO.

Zgodnie z artykułem 29 RODO – Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Osoba upoważniona do przetwarzania danych osobowych jest zatem osobą działająca w strukturze organizacyjnej administratora danych lub podmiotu przetwarzającego dane osobowe.

Aby odpowiedzieć na pytanie zadane powyżej, należy odnieść się do definicji podmiotu przetwarzającego dane osobowe, o którym mowa w art 29 RODO. Definicja podmiotu przetwarzającego zawarta jest natomiast w art. 4 pkt 8 RODO. Według tej definicji podmiotem przetwarzającym jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. W przypadkach, gdy przetwarzanie danych ma być dokonywane w imieniu administratora – wymagane jest zawarcie umowy między administratorem danych, a podmiotem przetwarzającym albo istnienie instrumentu prawnego regulującego kwestie związane z powierzeniem przetwarzania (art. 28 ust. 1 i ust. 3 w związku z art. 4 pkt 8 RODO). Należy zwrócić uwagę, iż podmiot przetwarzający jest podmiotem zewnętrznym względem struktury organizacyjnej administratora danych. Do podmiotów przetwarzających możemy zaliczyć przykładowo firmy świadczące usługi księgowe, hostingowe, czy firmy prawnicze.

W sytuacji, gdy mamy do czynienia z osobą wykonującą dla Zleceniodawcy usługi na podstawie umowy zlecenia w strukturze organizacyjnej administratora i osoba taka przetwarza dane w takim zakresie, jakim dane przetwarzane są u administratora danych, to taką osobę należy upoważnić do przetwarzania danych osobowych, a nie zawierać z nią umowę powierzenia przetwarzania danych osobowych.