1.
Administrator może w drodze umowy powierzyć przetwarzanie danych osobowych podmiotowi przetwarzającemu.
2.
Podmiot przetwarzający wdraża niezbędne środki techniczne i organizacyjne zapewniające przetwarzanie danych zgodnie z prawem i w sposób chroniący prawa osób, których dane dotyczą.
3.
Umowa, o której mowa w ust. 1, określa w szczególności:
1)
przedmiot i okres jej obowiązywania;
2)
charakter i cel przetwarzania;
3)
rodzaj przetwarzanych danych osobowych;
4)
kategorie osób, których dane dotyczą, o których mowa w art. 19 zapewnienie rozróżnienia danych osobowych według podmiotów;
5)
prawa i obowiązki administratora;
6)
obowiązki podmiotu przetwarzającego, o których mowa w ust. 5;
7)
sposób prowadzenia przez administratora kontroli przetwarzania.
4.
Umowę, o której mowa w ust. 1, sporządza się w formie pisemnej. Możliwe jest również sporządzenie umowy w postaci elektronicznej.
5.
Podmiot przetwarzający jest zobowiązany:
1)
przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie;
2)
działać wyłącznie zgodnie z upoważnieniem administratora;
3)
zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności, również w zakresie środków technicznych ich zabezpieczenia;
4)
pomagać administratorowi w przestrzeganiu przepisów określających prawa osoby, której dane dotyczą;
5)
po zakończeniu świadczenia usługi przetwarzania danych, w zależności od decyzji administratora:
a) usunąć lub zwrócić administratorowi wszelkie dane osobowe oraz
b) usunąć wszelkie istniejące kopie danych osobowych
– chyba że przepisy prawa wymagają przechowywania danych osobowych;
a) usunąć lub zwrócić administratorowi wszelkie dane osobowe oraz
b) usunąć wszelkie istniejące kopie danych osobowych
– chyba że przepisy prawa wymagają przechowywania danych osobowych;
6)
udostępniać administratorowi wszelkie informacje związane z weryfikacją prawidłowości realizacji umowy powierzenia, o której mowa w ust. 1;
7)
przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego, któremu powierzył przetwarzanie danych osobowych.
6.
Podmiot przetwarzający może powierzyć przetwarzanie danych innemu podmiotowi przetwarzającemu każdorazowo wyłącznie na podstawie pisemnej umowy, w przypadku gdy umowa, o której mowa w ust. 1, przewiduje takie prawo, na warunkach i w zakresie przez nią określonym.
7.
W przypadkach powierzenia przetwarzania danych osobowych podmiotowi przetwarzającemu odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze, co nie wyłącza odpowiedzialności podmiotu przetwarzającego za przetwarzanie danych niezgodnie z ustawą lub umową, o której mowa w ust. 1.
8.
Jeżeli podmiot przetwarzający naruszy przepisy niniejszej ustawy w zakresie określenia celów lub sposobów przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania.
