Procesor wywiązujący się z kontraktu ryzykuje karą od prezesa UODO

Przedsiębiorcy (administratorzy danych osobowych) często zlecają zadania firmom zewnętrznym, np. wykonanie usług telemarketingowych lub kolportażu materiałów reklamowych, jednocześnie powierzając im dane osobowe potrzebne do realizacji kontraktu. Przy czym przekazanie takich danych procesorom (RODO takim mianem określa firmy, którym powierzono tego typu informacje) powinno się odbyć na podstawie umowy o powierzenia. W tymże kontrakcie najczęściej pojawia się zapis, iż procesor powinien zwrócić lub usunąć przekazane informacje tuż po wykonaniu zadania. Gdy ta kwestia nie jest uregulowana w umowie, procesor powinien zapytać administratora, co ma zrobić z danymi. I choć zasada ta wydaje się prosta, to w praktyce pojawiają się problemy. I tak ostatnio dotarły do nas informacje, że Urząd Ochrony Danych Osobowych, rozpatrując skargę osoby fizycznej, zwrócił się do procesora o podanie informacji o dacie usunięcia danych konkretnej jednostki. Niestety pojawił się kłopot, otóż procesor usunął dane zgodnie z zapisami zawartymi w umowie powierzenia. Nie miał zatem już informacji o usunięciu konkretnych rekordów, bo zgodnie z dyspozycją administratora się ich pozbył.