Czy w przypadku przekazania przez wojewódzki urząd ochrony zabytków dokumentacji dotyczącej zabytków, zawierającej dane osobowe, Narodowemu Instytutowi Dziedzictwa należy zawrzeć umowę powierzenia przetwarzania danych osobowych?

Narodowy Instytut Dziedzictwa (NID) chce dokonać digitalizacji na podstawie umowy z Wojewódzkim Urzędem Ochrony Zabytków (WUOZ), poprzez wprowadzenie całego systemu elektronicznego, w tym aplikacji do skanowania dokumentów, aby w sposób nowoczesnych zarządzać informacją na temat zasobu zabytkowego Polski. Na jakiej podstawie można przekazać zdigitalizowaną dokumentację dot. zabytków (z danymi osobowymi) przez WUOZ do NID? W art. 13 ust. 1 ustawy o organizowaniu i prowadzeniu działalności kulturalnej widnieje zapis, że: Instytucje kultury działają na podstawie aktu o ich utworzeniu oraz statutu nadanego przez organizatora. W Statucie NID w § 4 są wymienione zadania Instytutu, w ramach których NID gromadzi i zarządza zasobem dokumentacji rejestru zabytków i Krajowej Ewidencji Zabytków oraz ją digitalizuje (statut dostępny www.nid.pl). Czy zapisy statutu są wystarczającą podstawą prawną przekazania zdigitalizowanych danych? Czy należy zawrzeć umowy powierzenia przetwarzania danych między NID a WUOZ, gdyż dostęp do danych z innych województw będą mieli wszyscy użytkownicy systemu (inne WUOZ)? Czy umowa powierzenia powinna być dwustronna tzn. WUOZ powierza swoje dane NID, a NID powierza zgromadzone dane w systemie innym WUOZ? Należy zauważyć, że zapisy statutu, jako odrębnego instrumenty prawnego, nie wyczerpują zakresu przewidzianego w art. 28 RODO.