Powierzenie zewnętrznemu dostawcy systemu i przetwarzania danych nie zwalnia administratora z jego własnych obowiązków wynikających z RODO. Cyberatak na MyDr pokazał, że gdy incydent dotyczy infrastruktury dostawcy, administrator nie może pozostać bierny. Zagadnienie to omawia dla WNP.PL mec. Grzegorz Pobożniak.
Jakie obowiązki ma administrator po cyberataku na dostawcę?
Administrator powinien aktywnie ustalić, czy incydent objął dane, za które odpowiada, oraz jaki był zakres naruszenia. Musi również ocenić ryzyko dla praw i wolności osób, których dane dotyczą, a następnie określić działania wymagane na gruncie RODO.
– W sprawie wycieku MyDr najważniejsze pytanie nie brzmi: kto został zaatakowany? Znacznie ważniejsze jest pytanie: czyje obowiązki prawne uruchomił ten atak? – wskazuje Grzegorz Pobożniak, Lider Praktyki Compliance i Ochrony Danych KKG Legal.
To, że cyberatak dotyczył infrastruktury dostawcy, nie zmienia statusu powierzonych mu danych. Outsourcing systemu i procesów związanych z przetwarzaniem danych nie oznacza outsourcingu odpowiedzialności za zgodność z RODO.
Umowa powierzenia danych nie zastępuje nadzoru nad dostawcą
Samo zawarcie umowy powierzenia przetwarzania danych nie wystarcza. Administrator powinien być w stanie wykazać, że właściwie zweryfikował dostawcę, ocenił ryzyko związane z przetwarzaniem danych i zapewnił odpowiednie mechanizmy nadzoru.
Jak podkreśla Grzegorz Pobożniak, umowa powierzenia nie powinna być dokumentem podpisanym i odłożonym do szuflady. Nadzór nad dostawcą musi funkcjonować również w praktyce, aby w razie incydentu administrator mógł szybko ustalić jego zakres i podjąć wymagane działania.
Pełny komentarz Grzegorza Pobożniaka jest dostępny w artykule „Gigantyczny wyciek danych medycznych. Problem nie kończy się na MyDr” na WNP.PL.