RODO: na kim ciąży obowiązek ochrony danych konta bankowego albo skrzynki pocztowej?

Dzień dobry

Mam jednoosobową działalność w której jedyne przetwarzane dane to wystawione faktury i maile od klientów. Zwykle same maile nie pozwalają mi na wystawienie faktury, ale jeśli klient przesyła mi przelew to w tym przelewie są dane klienta na które wystawiam fakturę.

O ile dobrze rozumiem, to nie musze go informować o przetwarzaniu danych, skoro są one wymagane ustawowo przez US do wykonania przeze mnie czynności wystawienia faktury...

Ale pytanie dotyczy zabezpieczenia z mojej strony danych osobowych:
* czy jeśli dane klienta pobieram ze strony banku na którego konto wykonuje przelew klient, to czy moim obowiązkiem jest zabezpieczenie jakoś dodatkowo tego konta, czy to leży po stronie banku?
* czy jesli klient pozostawia mi dane do faktury w mailu, to moim obowiązkiem jest jakoś zabezpieczyć dodatkowo skrzynkę e-mail (Google) czy leży to po stronie dostawcy

Dziękuję z informacje

Ogólną zasadą jest (zarówno obecnie jak i na gruncie RODO), że nie informuje się osoby o tym, o czym osoba ta już wie. To Ty musisz ocenić, czy z faktu, że coś wynika z przepisów prawa można wnioskować, że klient o tym wie.

Jesteś administratorem danych osobowych swoich klientów. Decydujesz o celach, w jakich te dane przetwarzasz oraz o sposobach, jakimi to robisz. Powinieneś więc tak dobrać środki techniczne i organizacyjne, aby zapewnić właściwy poziom ochrony przetwarzanych danych.

Tak więc, jeśli wybierzesz skrzynkę pocztową jako środek do przetwarzania danych osobowych klientów, to będziesz odpowiadał przed klientami z tytułu ewentualnych naruszeń. bowiem to Ty jako administrator zastosowałeś zbyt słabe zabezpieczenia.

Oczywiście Ciebie wiąże jakaś umowa z dostawcą usługi i w tej umowie powinieneś zawrzeć postanowienia na taką okoliczność.

Bardzo dziękuję za odpowiedź

Mam po prostu wątpliwość, czy moja ocena sytuacji nie będzie potem dla mnie kłopotem prawnym. Wydaje mi się, że kiedy klient wie o wystawionym rachunku i dokonuje przelewu, to powinien wiedzieć, że wystawiam mu rachunek na jego dane, ale czy potem jakiś urzędnik nie uzna, że klient mógł nie wiedzieć, że rachunki wystawiam na jakieś dane? W sensie - do kogo będzie należała rozstrzygająca interpretacja?

Zaś co do kwestii zabezpieczeń konta bankowego i skrzynki e-mail - chodziło mi o to, że obecnie stosuję zalecany przez bank poziom zabezpieczeń hasła i analogicznie wobec skrzynki. Jeśli ja dokonam wszystkich czynności zabezpieczających po mojej stronie, a wina złamanych zabezpieczeń leży po stronie banku (powiedzmy włamanie na jego serwery) to czy jest to moją winą?

Pozdawiam