Relacja administrator – procesor okiem EIOD

• 19.12.2019

• Autor: Michał Rogoziński

• definicje i pojęcia w RODO

Cel wydania wytycznych

7 listopada 2019 roku Europejski Inspektor Ochrony Danych (European Data Protection Supervisor) wydał wytyczne dotyczące m.in. koncepcji administratora i podmiotu przetwarzającego. Wytyczne, w dużej mierze oparte na opinii Grupy Roboczej Art. 29 (obecnie Europejskiej Rady Ochrony Danych), przeznaczone są dla instytucji i organów Unii Europejskiej i dotyczą „specjalnej wersji RODO” dla tych podmiotów. Mimo to mogą być one pomocne również dla administratorów, których dotyczy RODO.

Kiedy podmiot jest administratorem?

Administrator to w skrócie podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. EIOD rozebrał to zdanie jednej z fundamentalnych definicji na czynniki pierwsze i przedstawił swoją interpretację kluczowych pojęć.

„…ustala…” – Według EIOD ten element odnosi się do faktycznego wpływu jaki administrator ma na operację przetwarzania danych. W przypadku instytucji i organów UE, dla których pisane były wytyczne, główna podstawa prawna do przetwarzania danych osobowych określona jest w prawie Unii Europejskiej. W przypadku braku wyraźnych przepisów uprawniających do przetwarzania danych osobowych EIOD wskazuje, że podstawa do przetwarzania danych osobowych może wynikać z domniemanych kompetencji organu lub instytucji. Jeżeli podmiotowi zostanie powierzone określone zadanie, które wymaga wykonania pewnych obowiązków, do realizacji których niezbędne jest przetwarzanie danych osobowych, rola administratora może wynikać z takiego zadania.

Odnosząc powyższe do sytuacji podmiotów prywatnych przy ocenie własnej roli można posiłkować się następującymi pytaniami:

1. Dlaczego odbywa się przetwarzanie?
2. Kto zainicjował przetwarzanie?
3. Kto uzyskuje korzyści z przetwarzania?
4. Czy firma spowodowała, że drugi podmiot przetwarza dane osobowe?

 „…cele i sposoby…” – Określenie celów i środków operacji jest istotą wpływu administratora na proces przetwarzania danych osobowych. Według EIOD identyfikacja dlaczego dane są przetwarzane i jak dane są przetwarzane jest decydującym czynnikiem dla podmiotu, który przyjmuje rolę administratora w rozumieniu przepisów o ochronie danych, ponieważ podczas przeprowadzania operacji przetwarzania to administrator decyduje o tych elementach. Nie jest konieczne, aby strona w równym stopniu określała środki i cele, dlatego kluczowym pytaniem jest, na jakim poziomie szczegółowości strona powinna je określić, aby uznać ją za administratora danych.

W kontekście celu przetwarzania podmiot określający powód, dla którego dane osobowe mają być przetwarzane jest administratorem danych w rozumieniu przepisów o ochronie danych. Administrator jest zatem podmiotem, który de facto decyduje o celu (dlaczego?) operacji przetwarzania.

Jeśli chodzi o określenie środków, które mają być zastosowane w konkretnym procesie przetwarzania, pociąga to za sobą rolę administratora tylko wtedy, gdy strona decyduje o istotnych elementach tych środków. EIOD odwołuje się do opinii Grupy Roboczej Art. 29 i zawartych w niej przykładów istotnych elementów środków przetwarzania:

1. rodzaj danych,
2. okres przetwarzania,
3. od kiedy dane zaczną być przetwarzane,
4. kto będzie miał dostęp do danych (listy kontroli dostępu , profile użytkowników itp.),
5. odbiorcy danych.

Jako przeciwieństwo istotnych elementów środków przetwarzanie wskazane zostały inne niż istotne elementy i są to m.in. wybór sprzętu lub oprogramowania. Procesor, który określa tego typu elementy nie staje się automatycznie administratorem danych osobowych.

Pomocniczo EIOD przygotował listę kontrolną, na podstawie której można zidentyfikować podmiot jako administratora. Według EIOD jeśli większość odpowiedzi brzmi TAK, podmiot prawdopodobnie będzie administratorem w procesie przetwarzania danych osobowych:

Kiedy podmiot jest procesorem?

Procesor (a dokładnie podmiot przetwarzający) to podmiot, który przetwarza dane osobowe w imieniu administratora. Oznacza to, że procesor służy interesowi administratora w wykonywaniu określonego zadania i że w ten sposób postępuje zgodnie z instrukcjami określonymi przez administratora, przynajmniej w odniesieniu do celu i istotnych elementów środków przetwarzania danych osobowych.

EIOD zwraca jednak uwagę na fakt, że procesor działa w imieniu administratora nie musi podważać jego niezależności w wykonywaniu określonych zadań, które zostały mu powierzone. Procesor może korzystać ze znacznego stopnia autonomii w świadczeniu swoich usług i może określać pewne (inne niż istotne) elementy operacji przetwarzania.

Dla przeprowadzenia oceny występowania podmiotu jako procesor EIOD również przygotował listę kontrolną. Według EIOD jeśli większość odpowiedzi brzmi TAK, podmiot prawdopodobnie będzie procesorem:

Autor

Michał Rogoziński

Specjalista w dziedzinie ochrony danych osobowych - Inspektor Ochrony Danych (Data Protection Officer), doświadczony praktyk. Doradza polskim przedsiębiorcom przy budowaniu i rozwijaniu bezpiecznego biznesu.