Określenie, czy dany podmiot jest administratorem danych czy też nie, jest niezwykle istotne, ponieważ umożliwia identyfikację tego, na kim ciążą obowiązki i odpowiedzialność, wynikające z ustawy o ochronie danych osobowych.
Pojęcie „administratora danych osobowych”
Ustawa o ochronie danych osobowych (u.o.d.o), w art. 7 pkt 4 wyjaśnia, iż administratorem danych osobowych (ADO) jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 decydujące o celach i środkach przetwarzania danych. Administratorem danych mogą być więc zarówno podmioty publiczne, jak i podmioty prywatne, w tym podmioty niepubliczne realizujące zadania publiczne, osoby fizyczne, osoby prawne, a także jednostki organizacyjnie nieposiadające osobowości prawnej, o ile, co wynika z art. 3 u.o.d.o., przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji swych celów statutowych.
Kluczowym dla ustalenia statusu administratora jest ostatni element przytoczonej definicji z art.7. To decydowanie o celach i środkach przetwarzania danych przesądza o tym, czy dany podmiot jest administratorem danych. Sprawowanie faktycznej i rzeczywistej kontroli nad danymi nie musi oznaczać i często nie oznacza samodzielnego wykonywania operacji na danych. Powszechną jest sytuacja, w której podmioty trzecie przetwarzają dane w imieniu i na rzecz administratora, zbierając dane, modyfikując je, czy nawet usuwając. Nie zmienia to jednak faktu, że podmiot zlecający powyższe czynności, który zachowuje ostateczny i decydujący głos w zakresie celów i środków przetwarzania, zachowuje też status administratora.
Mylne interpretacje statusu administratora
Pamiętać należy, że nie jest administratorem danych pracownik, który w ramach wykonywania obowiązków pracowniczych wykonuje również operacje na danych. Nie uzyskują statusu administratora osoby pełniące funkcje kierownicze tj. członkowie zarządu, prezesi, dyrektorzy, kierownicy działów w danej organizacji. Nie jest administratorem podmiot zewnętrzny przetwarzający dane na podstawie zawartej z ADO umowy powierzenia. Nie staje się ADO także administrator bezpieczeństwa informacji.
Podsumowanie
Prawidłowe określenie administratora danych osobowych jest niezwykle istotne z punktu widzenia obowiązków, które na nim ciążą. Błędna kwalifikacja omawianego statusu, a co za tym idzie, nieprawidłowa identyfikacja podmiotu, który wykonywać powinien obowiązki wynikające z rozdziałów 2-7 ustawy, skutkować może bowiem nawet odpowiedzialnością karną, którą ustawa przewiduje w rozdziale 8.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
