Zgodnie z przepisem art. 4 pkt 7 RODO:
administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Co na to praktyka?
Niejednokrotnie ustalenie administratora może sprawić nie lada problem. O ile w przypadku przedsiębiorców rolę administratora pełnić będzie co do zasady spółka, a w przypadku prowadzenia jednoosobowej działalności gospodarczej – osoba fizyczna prowadząca tę działalność, to w przypadku podmiotów opierających swoje działania ściśle na przepisach prawa pojawia się pewne zawirowanie.
Ma ono swoje źródło między innymi w drugiej części rodowskiej definicji „administratora”. W przypadku podmiotów samorządowych, sposoby i cele są w dużej mierze ustalane przepisami prawa, a co za tym idzie, mogą one również wskazywać na tożsamość administratora. Mając na uwadze literalną wykładnię przepisu oznacza to, że w sytuacji, gdy cele i sposoby przetwarzania są określone w prawie Unii lub państwa członkowskiego, to przepisy mogą dodatkowo wskazywać tożsamość administratora wprost lub określać konkretne kryteria jego wyznaczania.
Do sprawy odniósł się Prezes Urzędu Ochrony Danych Osobowych. Zarówno z przepisów, jak i publikowanych przez niego dotychczas stanowisk można wyróżnić kilka sytuacji:
- gdy tożsamość administratora wynika bezpośrednio z przepisów („administratorem danych jest…”),
- gdy tożsamość administratora wynika z opisu kompetencji zawartego w przepisie (kto ma coś zrobić),
- gdy administratorem jest ten, kto samodzielnie lub wspólnie z innym/i ustala sposoby i cele przetwarzania danych (a więc zgodnie z pierwszą częścią definicji „administratora”).
Warto jeszcze wspomnieć, że RODO nie znajduje zastosowania do przetwarzania danych osobowych w celach osobistych. Nie staniesz się więc administratorem danych, gdy pozyskasz w takich celach czyjś numer telefonu lub adres e-mail od koleżanki lub kolegi, czy wykonasz serię fotografii.
Przykład dla medyka
Zgodnie z przepisem § 1 ust. 1 rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania z dnia 6 kwietnia 2020 r., za prowadzenie dokumentacji medycznej odpowiedzialny jest podmiot udzielający świadczeń zdrowotnych, zatem to on będzie administratorem danych osobowych pacjentów i innych osób w procesie prowadzenia dokumentacji medycznej.
Przykład dla przedsiębiorcy
Jeżeli prowadzisz działalność jako spółka prawa handlowego, to ona jest administratorem przetwarzanych danych osobowych. Jeżeli natomiast jesteś przedsiębiorcą podlegającym wpisowi do CEIDG, administratorem jesteś Ty jako osoba fizyczna prowadząca działalność gospodarczą.
Przykład dla samorządowca
W przypadku wydawania zaświadczeń o wysokości przeciętnego miesięcznego dochodu przypadającego na jednego członka gospodarstwa domowego na podstawie przepisu art. 411 ust. 10 g) i h) ustawy o ochronie środowiska, administratorem danych będzie wójt, burmistrz lub prezydent miasta. Jednakże w przypadku, gdy zadania te będzie w pełni realizować ośrodek pomocy społecznej, uznać można, że administratorem będzie ten ośrodek pomocy społecznej. Podobnie będzie wyglądać sprawa w przypadku przetwarzania danych osobowych w ramach czynności związanych z przyznawaniem dodatku osłonowego.
Przydatne może być również stanowisko Prezesa UODO: https://uodo.gov.pl/pl/225/2018.
W telegraficznym skrócie:
- tożsamość administratora może być określona wprost przepisami prawa,
- tożsamość administratora może być określona przez wskazanie w przepisach prawa kryteriów jego wyznaczenia,
- tożsamość administratora może być ustalona na podstawie tego, kto decyduje w kwestii celów i sposobów przetwarzania.