Strona trzecia

• 18.03.2019

• Autor: Katarzyna Marcisz

• definicje i pojęcia w RODO

Zgodnie z art. 4 ust. 10 RODO:  „strona trzecia” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub podmiot inny niż:

• Osoba, której dane dotyczą.
• Administrator.
• Podmiot przetwarzający.
• Osoby, które z upoważnienia administratora lub podmiotu przetwarzającego mogą przetwarzać dane osobowe.

Z powyższej definicji wynika, że strona trzecia nie jest: podmiotem danych, administratorem ani procesorem, nie jest też osobą, która mogłaby ich reprezentować czyli działać na podstawie upoważnienia do przetwarzania danych. Stroną trzecią nie jest osoba, której dane są przetwarzane, nie decyduje ona o celach i środkach przetwarzania, nie zleca przetwarzania zewnętrznym podmiotom, nie przetwarza danych na polecenie administratora, nie reprezentuje także żadnego z tych podmiotów.

Jednocześnie pojęcie strony trzeciej pojawia się w RODO w definicji „odbiorcy”, gdyż „Odbiorcą  jest (…) podmiot, któremu ujawnia się dane osobowe, niezależnie od tego czy jest stroną trzecią”.

Kiedy strona  trzecia zostanie w pewnym momencie włączona w proces przetwarzania danych i będzie decydować o celach i środkach przetwarzania, stanie się samodzielnym administratorem lub współadministratorem.  Kiedy strona trzecia otrzyma dostęp do danych i będzie działać na zlecenie administratora, będzie w procesie przetwarzania danych pełnić rolę podmiotu przetwarzającego, czy też osoby upoważnionej do przetwarzania, w zależności od relacji jaka łączy ją ze zlecającym przetwarzanie.

Strona trzecia może także reprezentować osobę, której dane są przetwarzane w momencie kiedy są to informacje nie wchodzące w materialny zakres stosowania RODO, np. gdy dotyczą codziennych spraw życia codziennego.

Analizując dokładnie definicję strony trzeciej możemy dojść do wniosku, iż stroną trzecią wg RODO mogą być np. organy publiczne czy też służby mundurowe, które realizując swoje obowiązki, stosują zgodnie z art. 2 ust. 2 lit. d RODO inne przepisy niż RODO, choć mogą wykonywać czynności identyfikowane jako przetwarzanie danych osobowych.

Podsumowując, w procesie przetwarzania danych strona trzecia pojawia się w praktyce rzadko i niejednokrotnie przypisanie podmiotowi takiej roli na pierwszy rzut oka nie jest łatwe.  W interpretacji definicji strony trzeciej pomocny okazuje się art. 2 RODO.

Sytuacja byłaby bardziej klarowna, gdyby w polskim tłumaczeniu RODO, użyto pojęcia „osoba trzecia”,  które było już znane z dyrektywy 95/46/WE oraz występuje w kodeksie cywilnym.

Autor

Katarzyna Marcisz

Doświadczenie w zakresie ochrony danych osobowych zdobywała w Ministerstwie Cyfryzacji, jako wsparcie Departamentu Zarządzania Danymi przy konsultacjach społecznych ustawy o ochronie danych osobowych. Posiada certyfikat audytora wiodącego ISO 27001 (Bezpieczeństwo Informacji) i wieloletnie doświadczenie w obsłudze Klienta biznesowego.