Tak, podstawą jest ustawa o ochronie danych osobowych zawierająca przepis, który odnosi się do powierzenia przetwarzania danych.

Uzasadnienie:

Zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przekazanie dokumentów zawierających dane osobowe jest jedną z form przetwarzania tych danych. Ustawa przewiduje możliwość przekazania danych osobowych innemu podmiotowi, które następuje w drodze umowy powierzenia. Podmiot, któremu dane zostały udostępnione może przetwarzać je tylko w zakresie i celu wskazanym w umowie powierzenia (art. 31 ustawy o ochronie danych osobowych). Umowa ta powinna zostać zawarta na piśmie, wskazując w swej treści szczegółowe obowiązki zarówno administratora danych, jak i podmiotu, któremu powierzono przetwarzanie danych oraz zakres powierzonych mu danych.

Ponadto podmiot, któremu powierzone zostało przetwarzanie danych obowiązany jest przed rozpoczęciem ich przetwarzania podjąć środki mające na celu zabezpieczenie zbioru danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a (tzn. rozporządzenie w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych). W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). Zgodnie z art. 31 ust. 4 ustawy, w ww. przypadkach, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową.