Zewnętrzni usługodawcy w instytucjach społecznych: dlaczego umowa powierzenia nie reguluje wszystkiego
Kiedy oprócz RODO należy uwzględnić także § 203 StGB i szczególne wymogi ochrony danych socjalnych
Usługi chmurowe, oprogramowanie branżowe, zewnętrzni dostawcy usług IT czy aplikacje AI od dawna są częścią codziennej pracy – także w wielu instytucjach społecznych. Jeśli przetwarzane są przy tym dane osobowe, jedno z pierwszych pytań brzmi często: czy zawarliśmy z dostawcą umowę powierzenia przetwarzania danych? To ważne. Może to jednak nie wystarczyć.
Właśnie w instytucjach świadczących usługi publiczne i u podmiotów działających w sektorze społecznym mogą być bowiem przetwarzane informacje chronione nie tylko przez RODO. W zależności od rodzaju działalności i zaangażowanych osób mogą dodatkowo obowiązywać szczególne obowiązki zachowania tajemnicy na podstawie § 203 StGB (niemiecki kodeks karny) lub przepisy o ochronie danych socjalnych. Dotyczy to również ogólnie osób zobowiązanych do zachowania tajemnicy zawodowej. Podpisana umowa powierzenia nie oznacza zatem automatycznie, że zewnętrzny usługodawca został włączony w sposób w pełni bezpieczny prawnie.
Ochrona danych i ochrona tajemnicy to nie to samo
RODO chroni dane osobowe i określa, na jakich warunkach można je przetwarzać. § 203 StGB chroni natomiast cudzą tajemnicę, powierzoną określonym grupom zawodowym i osobom w związku z wykonywaną przez nie działalnością.
W sektorze społecznym mogą to być na przykład pracownicy socjalni i pedagodzy społeczni z uprawnieniami uznanymi przez państwo. § 203 StGB obejmuje również niektóre zawody doradcze oraz funkcjonariuszy publicznych.
Przykład: pedagog społeczna dokumentuje w elektronicznej teczce klienta informacje o chorobie psychicznej nastolatka, jego sytuacji rodzinnej i treści osobistych rozmów.
Informacje te są danymi osobowymi i dotykają samego sedna rozwoju od dziecka do dorosłego. Jednocześnie mogą one stanowić tajemnicę w rozumieniu § 203 StGB. Dane dotyczące zdrowia, takie jak choroba psychiczna, należą ponadto z punktu widzenia ochrony danych do szczególnych kategorii danych w rozumieniu art. 9 RODO, wobec których już obowiązują podwyższone wymogi.
Nie każda instytucja społeczna automatycznie podlega § 203 StGB
Ważne jest jednak, że § 203 StGB nie obowiązuje ogólnie wobec każdej instytucji społecznej i każdej zatrudnionej w niej osoby.
Decydujące jest raczej to, jakie osoby i funkcje są konkretnie zaangażowane. § 203 StGB wymienia w tym zakresie określone grupy zawodowe i kręgi osób. W sektorze społecznym należą do nich na przykład pracownicy socjalni i pedagodzy społeczni z uprawnieniami uznanymi przez państwo, a pod pewnymi warunkami także doradcy małżeńscy, rodzinni, wychowawczy, ds. młodzieży i ds. uzależnień. Objęci mogą być również np. funkcjonariusze publiczni lub osoby szczególnie zobowiązane do wykonywania zadań w służbie publicznej.
W praktyce oznacza to: w pierwszym kroku należy ustalić, czy w procesie przetwarzania danych wspieranym przez zewnętrznego usługodawcę uczestniczą osoby zobowiązane do zachowania tajemnicy zawodowej w rozumieniu § 203 StGB.
Dopiero potem pojawia się kolejne pytanie: czy zewnętrzny usługodawca może uzyskać dostęp do tajemnic, które zostały tej osobie powierzone lub o których dowiedziała się w ramach swojej działalności?
Dlaczego sama umowa powierzenia nie zawsze wystarcza
Umowa powierzenia zgodnie z art. 28 RODO i wymogi § 203 StGB pełnią różne funkcje.
Umowa powierzenia reguluje przetwarzanie danych osobowych w imieniu administratora. Obejmuje to na przykład zasady dotyczące poleceń, poufności, środków technicznych i organizacyjnych oraz korzystania z usług dalszych podmiotów przetwarzających.
§ 203 StGB stawia natomiast na pierwszym miejscu ochronę cudzych tajemnic.
Nie oznacza to jednak, że osoby objęte tym przepisem nie mogą korzystać z zewnętrznych usługodawców. Ustawa wyraźnie uwzględnia, że w ich działalności zawodowej lub służbowej mogą uczestniczyć inne osoby (§ 203 ust. 3 StGB).
Zewnętrznych usługodawców można zatem angażować. Chronione tajemnice wolno im jednak udostępniać tylko w zakresie, w jakim jest to niezbędne do ich konkretnego udziału.
To może mieć znaczenie w przypadku:
Decydujące jest więc nie tylko to, czy usługodawca „aktywnie czyta” dane. Przy ocenie znaczenie mogą mieć także techniczne możliwości dostępu i wsparcia.
Zachowanie tajemnicy również musi być uregulowane
Jeżeli zastosowanie ma § 203 StGB, istotny staje się kolejny punkt: zobowiązanie współpracującego usługodawcy do zachowania tajemnicy. Osoba zobowiązana do zachowania tajemnicy zawodowej musi zadbać o to, aby inna osoba uczestnicząca w jej działalności została zobowiązana do zachowania tajemnicy (§ 203 ust. 4 zdanie 2 StGB).
Co więcej, także sama osoba współpracująca – np. usługodawca lub jego pracownicy – może ponieść odpowiedzialność karną, jeśli bez upoważnienia ujawni taką tajemnicę (§ 203 ust. 4 zdanie 1 StGB). Obowiązek zachowania tajemnicy dotyczy więc nie tylko osoby pierwotnie objętej ochroną na podstawie § 203 StGB, lecz także innych osób włączonych w operacje przetwarzania dotyczące chronionej tajemnicy.
Nie zawsze jest do tego konieczny dodatkowy dokument zatytułowany „Umowa zgodnie z § 203 StGB”. Decydujące jest raczej to, czy niezbędne postanowienia są już skutecznie zawarte w istniejących umowach. Może tak być na przykład w przypadku umowy o świadczenie usług lub umowy powierzenia. Jeśli brakuje odpowiednich postanowień, może być konieczne ich uzupełnienie, które należy uzgodnić. Dlatego firmom i instytucjom opłaca się dokładnie przejrzeć obowiązujące umowy.
A co z tajemnicą socjalną?
W niektórych instytucjach istotna może być dodatkowo szczególna ochrona danych socjalnych. § 35 SGB I (niemiecki kodeks socjalny) chroni tzw. tajemnicę socjalną. W odniesieniu do przetwarzania danych socjalnych w imieniu administratora dodatkowe wymogi zawiera § 80 SGB X. Może to obejmować na przykład obowiązek odpowiednio wczesnego, uprzedniego zgłoszenia powierzenia właściwemu organowi nadzoru prawnego lub merytorycznego (§ 80 ust. 1 SGB X).
Również tutaj obowiązuje zasada: nie każda instytucja społeczna automatycznie podlega tym samym przepisom o ochronie danych socjalnych; odnoszą się one do podmiotów wymienionych w § 35 ust. 1 SGB I (w szczególności instytucji świadczących świadczenia socjalne i działających na ich rzecz wykonawców). W zależności od sytuacji może więc być konieczne równoległe uwzględnienie RODO, § 203 StGB i przepisów o ochronie danych socjalnych.
Co to ma wspólnego z AI?
Temat nie jest nowy, ale wraz z rosnącym wykorzystaniem generatywnej AI staje się szczególnie widoczny. Jeśli na przykład pedagog społeczna z uprawnieniami uznanymi przez państwo wprowadzi informacje z konkretnej sprawy klienta do zewnętrznego systemu AI, chronione tajemnice mogą stać się dostępne dla dostawcy tego systemu, a ewentualnie także dla innych zaangażowanych usługodawców. Pedagodzy społeczni z uprawnieniami uznanymi przez państwo zostali wprost wymienieni wśród grup zawodowych objętych § 203 StGB.
W takiej sytuacji pytanie „Czy dostawca AI ma umowę powierzenia?” często nie wystarcza. Należy sprawdzić, jakie informacje są przetwarzane, jacy dalsi dostawcy są zaangażowani i czy spełnione są wymogi ochrony tajemnicy. Dotyczy to w równym stopniu innych systemów zewnętrznych.
Sześć pytań przed zaangażowaniem usługodawcy
Zamiast zawierać dodatkowe umowy z każdym usługodawcą bez wyjątku, warto przeprowadzić uporządkowaną analizę:
Podsumowanie
Zawarta umowa powierzenia jest często ważnym elementem przy angażowaniu zewnętrznych usługodawców. Nie odpowiada jednak automatycznie na wszystkie pytania prawne.
Umowa powierzenia może być tylko częścią analizy
Zwłaszcza w instytucjach społecznych należy dodatkowo sprawdzić, czy w grę wchodzą tajemnice chronione na podstawie § 203 StGB lub czy obowiązują szczególne wymogi ochrony danych socjalnych.
Nie dotyczy to wyłącznie AI. Znaczenie mogą mieć również oprogramowanie branżowe, dostawcy chmury, hosting, systemy zarządzania dokumentami czy wsparcie IT.
Jedno dodatkowe pytanie w zarządzaniu usługodawcami może więc wiele zmienić: „Czy ten usługodawca może uzyskać dostęp do chronionych tajemnic – a jeśli tak, czy uwzględniliśmy również te wymogi?”
FAQ
Czy każda instytucja społeczna musi przestrzegać § 203 StGB?
Nie. Decydujące jest, czy zaangażowane są osoby należące do kręgów wymienionych w § 203 ust. 1 lub 2 StGB i czy powierzono im odpowiednie cudze tajemnice lub czy w inny sposób się o nich dowiedziały.
Czy w przypadku zewnętrznego usługodawcy wystarczy umowa powierzenia?
Niekoniecznie. Umowa powierzenia reguluje wymogi ochrony danych dotyczące powierzenia przetwarzania zgodnie z art. 28 RODO. Jeżeli dodatkowo w grę wchodzą tajemnice w rozumieniu § 203 StGB, należy uwzględnić również wynikające z niego wymogi.
Czy zawsze należy zawrzeć odrębne porozumienie zgodnie z § 203 StGB?
Nie. Decydujące jest skuteczne zapewnienie wymaganego zobowiązania do zachowania tajemnicy. To, czy nastąpi to w odrębnym dokumencie, czy już w istniejącej umowie, zależy od konkretnej konstrukcji umowy.
Czy dotyczy to także dostawców AI?
Może tak być. Jeżeli w ramach działalności osoby objętej § 203 StGB zewnętrzny dostawca AI może uzyskać dostęp do chronionych tajemnic, przy analizie należy uwzględnić również § 203 StGB.
Jakie dodatkowe wymogi mogą wynikać z ochrony danych socjalnych?
W przypadku niektórych podmiotów oprócz RODO znaczenie może mieć również tajemnica socjalna zgodnie z § 35 SGB I. W odniesieniu do przetwarzania danych socjalnych w imieniu administratora § 80 SGB X zawiera dodatkowe wymogi, do których w zależności od sytuacji może należeć także uprzednie zgłoszenie właściwemu organowi nadzoru.
Co instytucje społeczne powinny sprawdzić przed zaangażowaniem usługodawcy?
Powinny one w szczególności ustalić, czy zaangażowane są osoby zobowiązane do zachowania tajemnicy zawodowej, jakie informacje przetwarza usługodawca, czy może on uzyskać dostęp do chronionych tajemnic i czy taki dostęp jest niezbędny. Dodatkowo należy sprawdzić, czy wymogi RODO, § 203 StGB i ewentualnie przepisów o ochronie danych socjalnych zostały w pełni uwzględnione.
