Umowy powierzenia przetwarzania. Czy powinny być zawierane?

Jak podaje UODO, KBW i jednostki samorządu dla realizacji wyborów nie powinny zawierać umów powierzenia przetwarzania. Zarówno bowiem Krajowe Biuro Wyborcze, jak i jednostki samorządu terytorialnego są administratorami odpowiadającymi za proces przetwarzania danych w związku z organizacją i przeprowadzaniem wyborów. Dlatego zawieranie przez nie umów powierzenia przetwarzania danych jest niewłaściwą praktyką.

Dane stanowisko zostało zajęte przez dr Edytę Bielak-Jomaa, Prezesa Urzędu Ochrony Danych Osobowych, która to przekazała je Wojciechowi Hermelińskiemu, Przewodniczącemu Państwowej Komisji Wyborczej (PKW) w związku z wątpliwościami, jakie pojawiły się podczas przygotowań do przeprowadzenia tegorocznych wyborów samorządowych.

Status podmiotów zaangażowanych w organizację i przeprowadzenie wyborów

Prezes UODO w piśmie do PKW (którego pełna treść jest dostępna w załączniku na stronie z oryginalną wersją artykułu) wskazuje, że zarówno zadania Krajowego Biura Wyborczego (KBW), jak i jednostek samorządu terytorialnego związane z obsługą wyborów zostały określone w przepisach Kodeksu wyborczego. Realizując je, podmioty te przetwarzają dane osobowe, stając się ich odrębnymi administratorami w rozumieniu ogólnego rozporządzenia ochronie danych (RODO). Z kolei w czasie kampanii, kiedy współdziałają w celu realizacji zadań związanych z obsługą i techniczno-materialnymi warunkami prac komisji wyborczych, a zatem wspólnie ustalają cele i sposoby przetwarzania danych osobowych wykorzystywanych w tym celu, przetwarzają dane jako współadministratorzy.

Dlatego nie mają podstaw, by zawierać umowy powierzenia przetwarzania danych. Działający na tej podstawie podmiot przetwarzający ma zupełnie inny status – przetwarza bowiem dane osobowe w imieniu administratora i w tym zakresie podlega jego kontroli. Jednocześnie zawarcie umowy powierzenia oznacza powierzenie realizacji własnego celu innemu podmiotowi, który będzie odpowiedzialny za przetwarzanie danych wyłącznie w zakresie wskazanym w umowie.

Co istotne, nie można być jednocześnie administratorem i podmiotem przetwarzającym dane w tym samych celach, gdyż status administratora oznacza pełną autonomię w podejmowaniu decyzji dotyczących przetwarzania danych.

Określenie zasad współpracy w porozumieniu lub umowie

Dlatego, jak wskazuje Prezes UODO w piśmie do PKW, wzajemne relacje między KBW a jednostkami samorządu terytorialnego w kwestiach nieuregulowanych przepisami Kodeksu wyborczego powinny być określone z wykorzystaniem innych instrumentów prawnych, np. porozumień lub umów pomiędzy uprawnionymi podmiotami. Mogłyby być w nich doprecyzowane chociażby takie kwestie, jak zasady bezpieczeństwa przetwarzanych danych.