Jak należy rozumieć wymóg podania rodzaju danych osobowych w umowie powierzenia przetwarzania danych, wynikający z art. 28 ust. 3 RODO?

Pytania i odpowiedzi
Status:  Aktualne
Autor odpowiedzi: Line Lawyer
Odpowiedzi udzielono: 2 lutego 2019 r., stan prawny dotychczas nie uległ zmianie

PYTANIE

Jak należy rozumieć wymóg podania "rodzaju" danych osobowych w umowie powierzenia przetwarzania danych, wynikający z art. 28 ust. 3 RODO? Czy wystarczające będzie wskazanie "kategorii" danych, np. dane zwykłe pracowników i klientów, czy należy wymienić bardzo szczegółowo wszystkie powierzane dane? Pytanie dotyczy zawarcia umowy powierzenia przetwarzania danych osobowych w związku z outsourcingiem usług księgowo-kadrowo-finansowych - pełna obsługa księgowa, finansowa i kadrowo-płacowa (bardzo dużo rodzajów danych przetwarzanych w związku z wymogami prawnymi, ale również z inicjatywy podmiotów danych). Czy wystarczy wskazać, że przetwarzane będą np. zwykłe dane klientów, kontrahentów, pracowników oraz dane dotyczące zdrowia pracowników, czy też należy szczegółowo wymienić wszystkie możliwe "rodzaje" danych osobowych, jak np. imię, nazwisko, data urodzenia, wysokość wynagrodzenia, nazwa firmy, imię matki, informacja o dochodzie na jednego członka rodziny, zwolnienia lekarskie itd.? W angielskiej wersji RODO (tak jak i w polskiej) pojawiają się pojęcia categories of data (tytuł art. 9, preambuła - np. pkt 10 i 51-53) i type of data (np. w przywołanym art. 28). Jednak w artykule 14 ust. 1 lit. e RODO pojawia się pojęcie "kategorii danych" gdzie bardziej pasowałby "rodzaj danych". Czy należy traktować te pojęcia jak synonimy?

ODPOWIEDŹ

Pełna treść dostępna po zalogowaniu do LEX