Kto jest administratorem danych osobowych zgodnie z RODO?

Administrator danych osobowych to ten podmiot, który decyduje o celach i sposobach przetwarzania danych. Innymi słowy: jeśli odpowiadasz na najprostsze pytanie identyfikacyjne kto decyduje po co dane są przetwarzane i w jaki zasadniczy sposób ma się to odbywać to wskazujesz administratora danych zgodnie z RODO. Ta rola pociąga za sobą pełną odpowiedzialność za legalność, bezpieczeństwo i rozliczalność przetwarzania.

Administrator danych osobowych to osoba fizyczna lub prawna, organ publiczny, jednostka organizacyjna albo inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania. O statusie nie przesądza nazwa stanowiska, forma organizacyjna ani samo posiadanie danych. Liczy się realny wpływ na to po co i jak dane są przetwarzane.

Administratorem może być przedsiębiorca, pracodawca, jednostka systemu oświaty lub ochrony zdrowia, urząd, fundacja, stowarzyszenie albo osoba prowadząca działalność gospodarczą. W sektorze publicznym rolę tę pełni zwykle konkretny organ lub jednostka organizacyjna, a nie pojedynczy urzędnik.

Administrator może działać samodzielnie albo wspólnie z innym podmiotem. W tym drugim wariancie mówimy o współadministrowaniu, które wymaga przejrzystego podziału obowiązków i odpowiedzialności.

Ocena musi opierać się na rzeczywistych kompetencjach decyzyjnych, a nie na etykietach czy zapisach umownych. Pomaga uporządkowane podejście:

1. Ustal, jakie dane osobowe są przetwarzane.
2. Określ główny cel przetwarzania taki jak wykonanie umowy, realizacja obowiązku prawnego, świadczenie usługi, zatrudnienie lub marketing.
3. Wskaż, kto zdecydował o tym celu.
4. Sprawdź, kto decyduje o kluczowych sposobach przetwarzania takich jak zakres danych, kategorie odbiorców, okres przechowywania, narzędzia i architektura procesu.
5. Oceń, czy decyzje są podejmowane wspólnie z innym podmiotem.
6. Ustal, czy inny podmiot działa wyłącznie w imieniu decydenta i na jego udokumentowane polecenie.

Im większy wpływ na cele i kluczowe sposoby przetwarzania tym silniejsze podstawy do uznania podmiotu za administratora. Sama własność systemu informatycznego, zawarcie umowy albo fizyczne przechowywanie danych nie przesądza jeszcze o statusie administratora.

Administrator decyduje o celach i sposobach przetwarzania. Podmiot przetwarzający zwany procesorem realizuje operacje na danych w imieniu administratora i na jego udokumentowane polecenie. Procesor nie określa samodzielnie celów i nie nadaje sobie uprawnień do wykorzystywania danych poza powierzonym zakresem.

Umowa powierzenia nie przenosi całej odpowiedzialności na procesora. Administrator wciąż ponosi główną odpowiedzialność za zgodność z RODO, nadzoruje powierzone przetwarzanie i weryfikuje gwarancje procesora.

Współadministratorzy wspólnie ustalają cele i sposoby przetwarzania. Powinni w przejrzysty sposób uzgodnić realizację obowiązków informacyjnych, obsługę żądań osób oraz kontakt z organem nadzorczym. Taki podział nie ogranicza praw osób których dane dotyczą, bo mogą one wykonywać swoje prawa wobec każdego ze współadministratorów.

Inspektor ochrony danych ma funkcję doradczą i nadzorczą w strukturze administratora lub procesora. Nie jest administratorem i nie podejmuje decyzji o celach i sposobach przetwarzania.

Osoba upoważniona działa w strukturze administratora albo procesora. Dostęp do danych w ramach upoważnienia nie tworzy odrębnego administratora.

Administrator określa podstawę prawną, cel, zakres danych i okres przechowywania. Zapewnia realizację praw osób, w szczególności prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu.

Administrator przekazuje osobom informacje o swojej tożsamości, celach i podstawie prawnej przetwarzania, okresie przechowywania i przysługujących prawach. Wdraża adekwatne środki techniczne i organizacyjne z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka dla praw i wolności osób.

Administrator prowadzi dokumentację zgodności w tym gdy ma to zastosowanie rejestr czynności przetwarzania. Gdy korzysta z procesora wybiera podmiot dający wystarczające gwarancje ochrony danych i kontroluje wykonanie powierzenia.

• Zgodność z prawem rzetelność i przejrzystość działania.
• Ograniczenie celu czyli przetwarzanie tylko w jasno określonych celach.
• Minimalizacja danych czyli adekwatność i niezbędność informacji.
• Prawidłowość czyli dbałość o aktualność i poprawność.
• Ograniczenie przechowywania czyli usuwanie lub anonimizacja po upływie okresu niezbędności.
• Integralność i poufność czyli bezpieczeństwo danych przez środki techniczne i organizacyjne.
• Rozliczalność czyli zdolność wykazania spełnienia wymogów.

Administrator uwzględnia ochronę danych już na etapie projektowania oraz stosuje ochronę danych jako ustawienie domyślne. Przy wysokim ryzyku przeprowadza ocenę skutków dla ochrony danych i dokumentuje wyniki.

Powierzenie opiera się na umowie lub innym wymaganym instrumencie prawnym. Dokument określa przedmiot i czas trwania przetwarzania, charakter i cel operacji, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora.

Procesor zapewnia poufność i bezpieczeństwo oraz stosuje odpowiednie środki techniczne i organizacyjne. Korzystanie z dalszego podmiotu przetwarzającego odbywa się na zasadach uzgodnionych z administratorem i zgodnych z RODO. Administrator otrzymuje informacje pozwalające wykazać zgodność procesora oraz ma możliwość przeprowadzania audytów lub zlecania ich upoważnionemu audytorowi.

Odpowiedzialność może dotyczyć zarówno administratora jak i procesora, lecz zakres decyzji i ról jest różny. Outsourcing nie zwalnia administratora z obowiązków wobec osób, których dane dotyczą.

Wyznaczenie inspektora jest obowiązkowe gdy przetwarzanie prowadzi organ lub podmiot publiczny, obejmuje regularne i systematyczne monitorowanie osób na dużą skalę albo dotyczy szczególnych kategorii danych na dużą skalę. W takich sytuacjach administrator zapewnia inspektorowi niezależność i odpowiednie zasoby.

Zakres zabezpieczeń odpowiada ryzyku dla praw i wolności, a nie wyłącznie wielkości organizacji. Administrator identyfikuje zagrożenia, dobiera środki prewencyjne, szkoli personel, zarządza uprawnieniami, regularnie testuje mechanizmy bezpieczeństwa i weryfikuje ich adekwatność względem zmieniającej się technologii i skali przetwarzania.

Rozliczalność oznacza nie tylko spełnianie wymogów, ale także zdolność ich udowodnienia. Dowodami są między innymi polityki i procedury, rejestry czynności, analizy ryzyka, umowy powierzenia, upoważnienia, szkolenia, wyniki audytów oraz rejestry naruszeń. Dokumentacja musi odzwierciedlać stan faktyczny i być utrzymywana na bieżąco.

Administrator niezwłocznie ocenia incydent, dokumentuje zdarzenie i ryzyko oraz decyduje o obowiązkach notyfikacyjnych. Zasadniczy maksymalny termin zgłoszenia organowi nadzorczemu to 72 godziny od stwierdzenia naruszenia. W zależności od ryzyka administrator może także powiadomić osoby, których dane dotyczą, oraz wdrożyć działania naprawcze i zapobiegawcze.

W sektorze publicznym administratorem jest zwykle konkretny organ lub jednostka organizacyjna. Czynności służbowe realizowane przez pracowników nie tworzą odrębnego administratora. Odpowiedzialność spoczywa na jednostce jako decydencie celów i sposobów przetwarzania.

• Sama własność lub kontrola nad systemem informatycznym.
• Samo zawarcie umowy dotyczącej danych.
• Fizyczne przechowywanie danych.

Ocenę roli należy oprzeć na rzeczywistym podziale decyzyjności, w tym na tym kto wyznacza cele i istotne sposoby przetwarzania.

Dobór podstawy prawnej determinuje zakres obowiązków informacyjnych, możliwość wniesienia sprzeciwu, okres przechowywania oraz sposób realizacji praw. Administrator planuje cykl życia danych zgodnie z wybraną podstawą i celem, a także z zasadą minimalizacji obejmującą zakres, czas i dostępność danych.

Rosnące znaczenie ma dokumentowanie rozliczalności i wykazywanie zgodności zamiast tworzenia wyłącznie formalnych procedur. Umacnia się podejście oparte na analizie ryzyka oraz projektowaniu usług z wbudowaną ochroną prywatności i ustawieniami domyślnymi ograniczającymi przetwarzanie.

Administratorzy coraz dokładniej kontrolują łańcuch podmiotów przetwarzających, w tym podwykonawców i dalszych procesorów. Wzrasta też znaczenie oceny dostawców usług chmurowych, narzędzi analitycznych, systemów wykorzystujących sztuczną inteligencję i rozwiązań operujących na dużych zbiorach danych. Organy nadzorcze i orzecznictwo analizują rzeczywisty podział decyzyjności między administratorem a procesorem.

Odpowiedź na pytanie kto jest administratorem danych osobowych zgodnie z RODO brzmi: ten kto faktycznie decyduje o celach i sposobach przetwarzania. Rola ta niesie główną odpowiedzialność za legalność, bezpieczeństwo i rozliczalność, obejmuje realizację praw osób, właściwy dobór podstawy prawnej, przejrzystą informację, adekwatne środki ochrony, rzetelną dokumentację oraz nadzór nad procesorami. Tam gdzie decyzje zapadają wspólnie powstaje współadministrowanie, które wymaga jasnych uzgodnień i pełnej przejrzystości wobec osób, których dane dotyczą.