Czy szkoła może udostępnić CUW kopię rejestru czynności przetwarzania?

Uchwałą rady miasta powołane zostało centrum usług wspólnych (CUW) w celu świadczenia usług na rzecz jednostek obsługiwanych – m.in. wszystkich szkół w mieście. Do zadań Centrum należy m.in. świadczenie usług i wdrażanie standardów z zakresu informatyki dla jednostek obsługiwanych, jak również wspieranie rozwoju i dostępu do infrastruktury informatycznej, w tym pomoc przy tworzeniu i częściowej obsłudze stron internetowych obsługiwanych jednostek, zakładanie poczty służbowej pracownikom jednostek, pomoc techniczna przy obsłudze programów. Z treści przedstawionego przez CUW do podpisu projektu porozumienia wynika, że szkoła powierza Centrum przetwarzanie danych osobowych. Natomiast moje wątpliwości budzi zakres dokumentów wymienionych w jednym z załączników do ww. porozumienia, które szkoła jest zobowiązana przekazać do Centrum, a mianowicie wyciąg z rejestru czynności przetwarzania. Pracownik CUW udzielił informacji, że Centrum będzie przygotowywać ujednolicony rejestr czynności przetwarzania. W związku z powyższym uprzejmie proszę o udzielenie odpowiedzi, czy szkoła powinna przekazać do Centrum wyciąg z rejestru czynności przetwarzania oraz kopię rejestru zbiorów?

W pierwszej kolejności warto wskazać, że przepisy RODO nie przewidują obowiązku udostępniania poprzez administratora podmiotowi przetwarzającemu prowadzonego przez niego rejestru czynności przetwarzania. Z art. 30 ust. 4 RODO (motywu 82 RODO) wynika, że takie rejestry mają być udostępniane jedynie na żądanie organu nadzorczego. Ponadto zgodnie z art. 29 RODO, podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.

Niemniej może zaistnieć sytuacja, kiedy informacje zawarte w rejestrze w całości bądź w ograniczonym zakresie są potrzebne podmiotowi przetwarzającemu do realizacji powierzonych mu zadań z uwagi na charakter tych zadań. W przedstawionej sprawie nie jest jednak jasne, na jakiej podstawie oraz w jakim celu miałby powstać „ujednolicony rejestr czynności przetwarzania” i kto miałby z niego korzystać, a także dla jakich zadań podmiotu przetwarzającego konieczne było udostępnienie takiego rejestru. Nie jest też wiadome, na czym ma polegać ujednolicenie rejestru czynności przetwarzania. Jeżeli miałby powstać jedynie ujednolicony szablon rejestru, to do tego celu nie jest potrzebne przekazywanie zawartości poszczególnych pól rejestru. A zatem ostateczne przesądzenie, czy i w jakim zakresie istnieje konieczność udostępnienia rejestru czynności przetwarzania wymagałoby wyjaśnienia powyższych okoliczności w kontekście zadań CUW określonych m.in. w uchwale rady miasta dotyczącej powołania CUW.

W przedstawionej sytuacji celowe byłoby dokładne omówienie i ustalenie przez strony zawieranego porozumienia wszystkich kwestii, w tym tych budzących wątpliwości czy też wymagających uzupełnienia. Takie działania pozwolą na wyeliminowanie wątpliwości i wypracowanie dokumentu spełniającego wymogi określone przepisami RODO.

Na zakończenie warto zwrócić uwagę, że przewidziana w RODO zasada rozliczalności wymaga, aby administratorzy wykazywali logikę, na której oparli swoje decyzje, i potrafili uzasadnić, dlaczego przyjęli określone rozwiązania. Pomocne w takich sytuacjach jest przeprowadzanie starannych analiz i ocen w zakresie podejmowanych rozstrzygnięć, a w uzasadnionych przypadkach - ich udokumentowanie.

2022-04-07