UPdO Umowa przetwarzania danych osobowych

Administrator danych osobowych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie z podmiotem, któremu powierzył dane. Nie wymaga zawarcia umowy przez administratora gdy powierza się dane osobowe między organami państwowymi, organami samorządu terytorialnego między państwowymi i komunalnymi jednostkami organizacyjnymi.

Podmiot, któremu powierzono dane jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Odpowiedzialność za przestrzeganie przepisów spoczywa jednak na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (odpowiedzialność wtórna względem powierzającego dane).

W ramach zasad bezpieczeństwa danych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wykorzystywane przez przyjmującego dane do przetwarzania, należy zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Na dokumentację systemów informatycznych dotyczącą zabezpieczeń danych osobowych  składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych

Uwzględniając kategorie przetwarzanych danych oraz zagrożenia wprowadza się poziomy bezpieczeństwa przetwarzania danych osobowych w systemie informatycznym podstawowy; podwyższony i wysoki, przy czym poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną.

Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym - z wyjątkiem systemów służących do przetwarzania danych osobowych ograniczonych wyłącznie do edycji tekstu w celu udostępnienia go na piśmie - system ten zapewnia odnotowanie: 

1. daty pierwszego wprowadzenia danych do systemu; 
2. identyfikatora użytkownika wprowadzającego dane osobowe do systemu, chyba że dostęp do systemu informatycznego i przetwarzanych w nim danych posiada wyłącznie jedna osoba; 
3. źródła danych, w przypadku zbierania danych, nie od osoby, której one dotyczą; 
4. informacji o odbiorcach, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia, chyba że system informatyczny używany jest do przetwarzania danych zawartych w zbiorach jawnych; 
5. sprzeciwu co do wykorzystywania lub udostępniania.