Art. 34.

1. Administrator może w drodze umowy powierzyć przetwarzanie danych osobowych podmiotowi przetwarzającemu. 2. Podmiot przetwarzający wdraża niezbędne środki techniczne i organizacyjne zapewniające przetwarzanie danych zgodnie z prawem i w sposób chroniący prawa osób, których dane dotyczą. 3. Umowa, o której mowa w ust. 1, określa w szczególności: 1) przedmiot i okres jej obowiązywania; 2) charakter i cel przetwarzania; 3) rodzaj przetwarzanych danych osobowych; 4) kategorie osób, których dane dotyczą, o których mowa w art. 19; 5) prawa i obowiązki administratora; 6) obowiązki podmiotu przetwarzającego, o których mowa w ust. 5; 7) sposób prowadzenia przez administratora kontroli przetwarzania. 4. Umowę, o której mowa w ust. 1, sporządza się w formie pisemnej. Możliwe jest również sporządzenie umowy w postaci elektronicznej. 5. Podmiot przetwarzający jest zobowiązany: 1) przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie; 2) działać wyłącznie zgodnie z upoważnieniem administratora; 3) zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności, również w zakresie środków technicznych ich zabezpieczenia; 4) pomagać administratorowi w przestrzeganiu przepisów określających prawa osoby, której dane dotyczą; 5) po zakończeniu świadczenia usługi przetwarzania danych, w zależności od decyzji administratora: a) usunąć lub zwrócić administratorowi wszelkie dane osobowe oraz b) usunąć wszelkie istniejące kopie danych osobowych – chyba że przepisy prawa wymagają przechowywania danych osobowych; 6) udostępniać administratorowi wszelkie informacje związane z weryfikacją prawidłowości realizacji umowy powierzenia, o której mowa w ust. 1; 7) przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego, któremu powierzył przetwarzanie danych osobowych. 6. Podmiot przetwarzający może powierzyć przetwarzanie danych innemu podmiotowi przetwarzającemu każdorazowo wyłącznie na podstawie pisemnej umowy, w przypadku gdy umowa, o której mowa w ust. 1, przewiduje takie prawo, na warunkach i w zakresie przez nią określonym. 7. W przypadkach powierzenia przetwarzania danych osobowych podmiotowi przetwarzającemu odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze, co nie wyłącza odpowiedzialności podmiotu przetwarzającego za przetwarzanie danych niezgodnie z ustawą lub umową, o której mowa w ust. 1. 8. Jeżeli podmiot przetwarzający naruszy przepisy niniejszej ustawy w zakresie określenia celów lub sposobów przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania.