Kto jest administratorem danych osobowych?

Przetwarzasz dane osobowe ale nie wiesz, w jakiej roli występujesz? Zastanawiasz się, kto w twojej firmie pełni rolę administratora danych osobowych? Masz problem z rozróżnienem pojęć administratora danych osobowych oraz inspektora ochrony danych osobowych? Z treści niniejszego wpisu dowiesz się:

• Kim jest administrator danych osobowych,
• Kto pełni rolę administratora danych osobowych w podmiotach zbiorowych,
• Jakie obowiązki ciążą na administratorze danych osobowych,
• Czym różni się administrator od inspektora ochrony danych oraz od podmiotu przetwarzającego?
• Co oznacza współadministrowanie danymi osobowymi?

Administrator danych osobowych

Administratorem danych jest każda osoba fizyczną lub prawna, organ publiczny, bądź inna jednostka lub podmiot, który samodzielnie lub wspólnie z innymi administratorami ustala cele i sposoby przetwarzania danych osobowych.

Innymi słowy administratorem jest ten podmiot, który decyduje o przetwarzaniu danych osobowych, a także o jego zakresie oraz przeznaczeniu gromadzonych danych. Przykładowo, jeżeli pozyskujesz dane osobowe od swoich klientów za pomocą stworzonej do tego ankiety, to samodzielnie wskazujesz, jakie dane osobowe gromadzisz oraz określasz cel ich pozyskiwania, a także sposoby, w jakie będziesz owe dane przetwarzał.

Wyodrębnienie funkcji administratora danych jest zatem konieczne, wobec występowania w obrocie osób mających dostęp do danych osobowych, jednakże nie mających wpływu na zakres, cel i sposoby przetwarzania. Mowa tu w szczególności o:

• upoważnionych pracownikach administratora danych, którzy uprawnieni są do przetwarzania danych jedynie w zakresie wynikającym z treści upoważnienia,
• inspektorze ochrony danych, który jest funkcjonariuszem zatrudnionym przez administratora danych, który nadzoruje sposób przetwarzania danych w określonej firmie, bądź instytucji,
• podmiocie przetwarzającym (tzw. procesorze), który przetwarza dane osobowe na mocy umowy zawartej z administratorem danych oraz jedynie w zakresie i celach przewidzianych w tejże umowie.

Z powyższego wynika, że podmiot będący administratorem danych ma najszersze kompetencje w odniesieniu do tychże informacji o osobach fizycznych.

Jeżeli prowadzisz działalność jako przedsiębiorca jednoosobowy, to pełnić będziesz rolę administratora danych względem danych osobowych twoich pracowników, kandydatów do pracy, klientów i kontrahentów. W przypadku natomiast, gdy działalność prowadzona jest w formie spółki prawa handlowego, spółdzielni, bądź innej jednostki organizacyjnej, to administratorem danych będzie właśnie ta jednostka. Niemniej, w jej imieniu prawa i obowiązki wykonywać będzie jej organ zarządzający, czyli w zależności od danego przypadku: wspólnicy uprawnieni do prowadzenia spraw spółki, zarząd, prezes, itp.

Nieco inaczej sytuacja wygląda w przypadku spółki cywilnej, każdego ze wspólników można bowiem uznać za administratora danych osobowych gromadzonych w ramach wykonywanej przez nich wspólnie działalności. Można ich również uznać za współadministratorów. Termin ten określa przypadek, w którym co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych.

Jest to zatem sytuacja, gdy żadnemu z tych podmiotów nie można przypisać roli dominującej w zakresie określenia celów i sposobów przetwarzania danych. Gdyby bowiem możliwe było wyprowadzenie takiej zależności, jeden z podmiotów pełniłby rolę administratora danych osobowych, drugi natomiast byłby podmiotem przetwarzającym dane wyłącznie w zakresie wskazanym w umowie zawartej z administratorem danych.

Podstawowe obowiązki administratora danych

Jeżeli jesteś administratorem danych lub wykonujesz w jego imieniu prawa i obowiązki mu przypisane, spoczywa na tobie szereg powinności w tym zakresie. Przede wszystkim musisz bowiem zadbać o przetwarzanie danych osobowych zgodnie z prawem, w szczególności zaś z przepisami RODO. W praktyce oznacza to, że powinieneś zapewnić m.in.:

• zgodność przetwarzania danych osobowych z prawem, w tym zasadami przetwarzania danych, a zatem legitymowanie się jedną z przesłanek umożliwiających przetwarzanie danych (np. zgoda osoby, której dane dotyczą, wykonywanie umowy albo obowiązku ciążącego na administratorze), a także zapewnienie aby dane osobowe przetwarzane były w sposób rzetelny i przejrzysty, jedynie w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz tylko w zakresie niezbędnym do ich realizacji, a nadto dane były prawidłowe i w razie potrzeby uaktualniane,
• wykonywanie obowiązku informacyjnego względem osób, których dane gromadzisz,
• wprowadzenie adekwatnych zasad bezpieczeństwa danych osobowych, a także uwzględnienie ochrony danych osobowych w fazie wprowadzania nowych narzędzi, produktów lub usług,
• prowadzenie rejestrów i ewidencji wymaganych przez przepisy prawa (m.in. rejestr czynności przetwarzania, ewidencja naruszeń),
• udzielenie upoważnień pracownikom, których dopuszczasz do przetwarzania danych osobowych, bądź zawarcie umów powierzenia danych osobowych z podmiotami trzecimi,
• wprowadzenie polityk ochrony danych,
• wykonywanie uzasadnionych żądań osób, których dane dotyczą (np. w zakresie dostępu do tychże danych, ich uaktualnienia, przenoszenia, usunięcia, itp.),
• wykonania szczególnych procedur i obowiązków, gdy będą miały do ciebie zastosowanie, takich jak: uprzednie konsultacje, ocena skutków przetwarzania, powołanie inspektora ochrony danych,
• wykazanie przestrzegania przez ciebie przepisów w zakresie ochrony danych osobowych.