Zasady zawierania umów na przetwarzanie danych

W tym dokumencie należy zapisać zakres i cel przetwarzania. Wykonawca, jeszcze przed przystąpieniem do przetwarzania, powinien podjąć środki zabezpieczające zbiór i spełnić wszystkie wymogi, które odnoszą się do administratora danych (ADO). Wykonawca będzie ponosił taką samą odpowiedzialność jak ADO. Dlatego powinien najpóźniej w momencie podpisywania umowy uzyskać od klienta kompletne i rzetelne informacje o obowiązkach, jakie spoczywają na nim w związku z przetwarzaniem danych. W praktyce najczęściej chodzi o wymagany prawem poziom zabezpieczeń systemu informatycznego. Należy pamiętać, że GIODO może dokonać kontroli także tego podmiotu, któremu powierzono przetwarzanie danych.

Z drugiej strony zamawiający musi być świadomy, że powierzenie w żaden sposób nie zwalnia go z jego odpowiedzialności. Stąd też konieczne jest sprawowanie kontroli nad czynnościami realizowanymi przez wykonawcę, ponieważ za jego błędy może także odpowiedzieć ADO.

Zamawiający, wybierając firmę, której powierzy przetwarzanie danych osobowych, powinien sprawdzić, czy jest w niej stanowisko administratora bezpieczeństwa informacji (ABI), jaki jest poziom zabezpieczeń i czy wydano pracownikom upoważnienia do przetwarzania.

Powierzenie często mylone jest z udostępnieniem danych. Ta druga sytuacja może nastąpić na rzecz podmiotów uprawnionych do ich otrzymania na mocy prawa (policja, ABW itp.). Mogą to być też inne instytucje, którym prawo nie dało takiego uprawnienia. Wtedy muszą one w sposób wiarygodny uzasadnić potrzebę posiadania danych osobowych.