Art. 19.

1. PFR Portal może, w drodze umowy zawartej w formie pisemnej albo elektronicznej, zlecić wykonywanie czynności z zakresu utworzenia, utrzymania lub rozwoju systemu CIE przedsiębiorcom, którzy dają rękojmię należytego wywiązywania się z obowiązków określonych w ustawie, w szczególności zapewniają ciągłe i niezakłócone prowadzenie działalności, bezpieczne i prawidłowe wykonywanie zleconych czynności, bezpieczeństwo informacji emerytalnych oraz zachowanie tajemnic prawnie chronionych.

2. Przedsiębiorcy wykonujący czynności, o których mowa w ust. 1, są obowiązani do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę danych przetwarzanych w systemie CIE, w szczególności zabezpieczenia tych danych przed nieuprawnionym dostępem, przetwarzaniem, zmianą, uszkodzeniem, zniszczeniem lub utratą.

3. PFR Portal zawiera z przedsiębiorcą, o którym mowa w ust. 1, umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 04.03.2021, str. 35), zwanego dalej „rozporządzeniem 2016/679”.

4. Do podwykonawców którym przedsiębiorca, o którym mowa w ust. 1, zleca czynności z zakresu utworzenia, utrzymania lub rozwoju systemu CIE, oraz dalszych podwykonawców stosuje się przepisy ustawy dotyczące tego przedsiębiorcy.