Artykuł 28

Podmiot przetwarzaj─ůcy

  • Je┼╝eli przetwarzanie ma by─ç dokonywane w┬áimieniu administratora, korzysta on wy┼é─ůcznie z┬áus┼éug takich podmiot├│w przetwarzaj─ůcych, kt├│re zapewniaj─ů wystarczaj─ůce gwarancje wdro┼╝enia odpowiednich ┼Ťrodk├│w technicznych i┬áorganizacyjnych, by przetwarzanie spe┼énia┼éo wymogi niniejszego rozporz─ůdzenia i┬áchroni┼éo prawa os├│b, kt├│rych dane dotycz─ů.
  • Podmiot przetwarzaj─ůcy nie korzysta z┬áus┼éug innego podmiotu przetwarzaj─ůcego bez uprzedniej szczeg├│┼éowej lub og├│lnej pisemnej zgody administratora. W┬áprzypadku og├│lnej pisemnej zgody podmiot przetwarzaj─ůcy informuje administratora o┬áwszelkich zamierzonych zmianach dotycz─ůcych dodania lub zast─ůpienia innych podmiot├│w przetwarzaj─ůcych, daj─ůc tym samym administratorowi mo┼╝liwo┼Ť─ç wyra┼╝enia sprzeciwu wobec takich zmian.
  • Przetwarzanie przez podmiot przetwarzaj─ůcy odbywa si─Ö na podstawie umowy lub innego instrumentu prawnego, kt├│re podlegaj─ů prawu Unii lub prawu pa┼ästwa cz┼éonkowskiego i┬áwi─ů┼╝─ů podmiot przetwarzaj─ůcy i┬áadministratora, okre┼Ťlaj─ů przedmiot i┬áczas trwania przetwarzania, charakter i┬ácel przetwarzania, rodzaj danych osobowych oraz kategorie os├│b, kt├│rych dane dotycz─ů, obowi─ůzki i┬áprawa administratora. Ta umowa lub inny instrument prawny stanowi─ů w┬ászczeg├│lno┼Ťci, ┼╝e podmiot przetwarzaj─ůcy:
    • a) przetwarza dane osobowe wy┼é─ůcznie na udokumentowane polecenie administratora ÔÇô co dotyczy te┼╝ przekazywania danych osobowych do pa┼ästwa trzeciego lub organizacji mi─Ödzynarodowej ÔÇô chyba ┼╝e obowi─ůzek taki nak┼éada na niego prawo Unii lub prawo pa┼ästwa cz┼éonkowskiego, kt├│remu podlega podmiot przetwarzaj─ůcy; w┬átakim przypadku przed rozpocz─Öciem przetwarzania podmiot przetwarzaj─ůcy informuje administratora o┬átym obowi─ůzku prawnym, o┬áile prawo to nie zabrania udzielania takiej informacji z┬áuwagi na wa┼╝ny interes publiczny;
    • b) zapewnia, by osoby upowa┼╝nione do przetwarzania danych osobowych zobowi─ůza┼éy si─Ö do zachowania tajemnicy lub by podlega┼éy odpowiedniemu ustawowemu obowi─ůzkowi zachowania tajemnicy;
    • c) podejmuje wszelkie ┼Ťrodki wymagane na mocy art.┬á32;
    • d) przestrzega warunk├│w korzystania z┬áus┼éug innego podmiotu przetwarzaj─ůcego, o┬ákt├│rych mowa w┬áust.┬á2 i┬á4;
    • e) bior─ůc pod uwag─Ö charakter przetwarzania, w┬ámiar─Ö mo┼╝liwo┼Ťci pomaga administratorowi poprzez odpowiednie ┼Ťrodki techniczne i┬áorganizacyjne wywi─ůza─ç si─Ö z┬áobowi─ůzku odpowiadania na ┼╝─ůdania osoby, kt├│rej dane dotycz─ů, w┬ázakresie wykonywania jej praw okre┼Ťlonych w┬ározdziale III;
    • f) uwzgl─Ödniaj─ůc charakter przetwarzania oraz dost─Öpne mu informacje, pomaga administratorowi wywi─ůza─ç si─Ö z┬áobowi─ůzk├│w okre┼Ťlonych w┬áart.┬á32ÔÇô36;
    • g) po zako┼äczeniu ┼Ťwiadczenia us┼éug zwi─ůzanych z┬áprzetwarzaniem zale┼╝nie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniej─ůce kopie, chyba ┼╝e prawo Unii lub prawo pa┼ästwa cz┼éonkowskiego nakazuj─ů przechowywanie danych osobowych;
    • h) udost─Öpnia administratorowi wszelkie informacje niezb─Ödne do wykazania spe┼énienia┬áobowi─ůzk├│w okre┼Ťlonych w┬ániniejszym artykule oraz umo┼╝liwia administratorowi lub audytorowi upowa┼╝nionemu przez administratora przeprowadzanie audyt├│w, w┬átym inspekcji, i┬áprzyczynia si─Ö do nich.
      W zwi─ůzku z┬áobowi─ůzkiem okre┼Ťlonym w┬áakapicie pierwszym lit.┬áh) podmiot przetwarzaj─ůcy niezw┼éocznie informuje administratora, je┼╝eli jego zdaniem wydane mu polecenie stanowi naruszenie niniejszego rozporz─ůdzenia lub innych przepis├│w Unii lub pa┼ästwa cz┼éonkowskiego o┬áochronie danych.
  • Je┼╝eli do wykonania w┬áimieniu administratora konkretnych czynno┼Ťci przetwarzania podmiot przetwarzaj─ůcy korzysta z┬áus┼éug innego podmiotu przetwarzaj─ůcego, na ten inny podmiot przetwarzaj─ůcy na┼éo┼╝one zostaj─ů ÔÇô na mocy umowy lub innego aktu prawnego, kt├│re podlegaj─ů prawu Unii lub prawu pa┼ästwa cz┼éonkowskiego ÔÇô te same obowi─ůzki ochrony danych jak w┬áumowie lub innym akcie prawnym mi─Ödzy administratorem a┬ápodmiotem przetwarzaj─ůcym, o┬ákt├│rych to obowi─ůzkach mowa w┬áust.┬á3, w┬ászczeg├│lno┼Ťci obowi─ůzek zapewnienia wystarczaj─ůcych gwarancji wdro┼╝enia odpowiednich ┼Ťrodk├│w technicznych i┬áorganizacyjnych, by przetwarzanie odpowiada┼éo wymogom niniejszego rozporz─ůdzenia. Je┼╝eli ten inny podmiot przetwarzaj─ůcy nie wywi─ů┼╝e si─Ö ze spoczywaj─ůcych na nim obowi─ůzk├│w ochrony danych, pe┼éna odpowiedzialno┼Ť─ç wobec administratora za wype┼énienie obowi─ůzk├│w tego innego podmiotu przetwarzaj─ůcego spoczywa na pierwotnym podmiocie przetwarzaj─ůcym.
  • Wystarczaj─ůce gwarancje, o┬ákt├│rych mowa w┬áust.┬á1 i┬á4 niniejszego artyku┼éu, podmiot przetwarzaj─ůcy mo┼╝e wykaza─ç mi─Ödzy innymi poprzez stosowanie zatwierdzonego kodeksu post─Öpowania, o┬ákt├│rym mowa w┬áart.┬á40┬álub zatwierdzonego mechanizmu certyfikacji, o┬ákt├│rym mowa w┬áart.┬á42.
  • Bez uszczerbku dla indywidualnych um├│w mi─Ödzy administratorem a┬ápodmiotem przetwarzaj─ůcym, umowa lub inny akt prawny, o┬ákt├│rych mowa w┬áust.┬á3 i┬á4 niniejszego artyku┼éu, mog─ů si─Ö opiera─ç w┬áca┼éo┼Ťci lub w┬ácz─Ö┼Ťci na standardowych klauzulach umownych, o┬ákt├│rych mowa w┬áust.┬á7 i┬á8 niniejszego artyku┼éu, tak┼╝e gdy s─ů one elementem certyfikacji udzielonej administratorowi lub podmiotowi przetwarzaj─ůcemu zgodnie z┬áart.┬á42 i┬á43.
  • Komisja mo┼╝e okre┼Ťli─ç standardowe klauzule umowne dotycz─ůce kwestii, o┬ákt├│rych mowa w┬áust.┬á3 i┬á4 niniejszego artyku┼éu, zgodnie z┬áprocedur─ů sprawdzaj─ůc─ů, o┬ákt├│rej mowa w┬áart.┬á93┬áust.┬á2.
  • Organ nadzorczy mo┼╝e przyj─ů─ç standardowe klauzule umowne dotycz─ůce kwestii, o┬ákt├│rych mowa w┬áust.┬á3 i┬á4 niniejszego artyku┼éu, zgodnie z┬ámechanizmem sp├│jno┼Ťci, o┬ákt├│rym mowa w┬áart.┬á63.
  • Umowa lub inny akt prawny, o┬ákt├│rych mowa w┬áart.┬á3 i┬á4, maj─ů form─Ö pisemn─ů, w┬átym form─Ö elektroniczn─ů.
  • Bez uszczerbku dla art.┬á82, 83 i┬á84, je┼╝eli podmiot przetwarzaj─ůcy naruszy niniejsze rozporz─ůdzenie przy okre┼Ťlaniu cel├│w i┬ásposob├│w przetwarzania, uznaje si─Ö go za administratora w┬áodniesieniu do tego przetwarzania.