Administratorem danych osobowych jest podmiot, który samodzielnie lub wspólnie z innymi decyduje, po co i w jaki sposób przetwarzane są dane osobowe. To on wybiera cel przetwarzania (np. realizacja umowy, prowadzenie rekrutacji, obsługa klientów) i sposób, w jaki dane są gromadzone, przechowywane oraz zabezpieczane. Odpowiedź na pytanie kto jest administratorem danych osobowych nie zależy od nazwy stanowiska ani wielkości firmy – decyduje wyłącznie faktyczny zakres decyzyjności co do przetwarzania.
Spis treści
Kim jest administrator danych osobowych według RODO?
Zgodnie z art. 4 pkt 7 rozporządzenia 2016/679 (RODO), administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka organizacyjna lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Taka definicja administratora danych osobowych obejmuje szeroki krąg podmiotów: jednoosobową działalność gospodarczą zatrudniającą pracowników, spółkę prowadzącą sklep internetowy, fundację zbierającą dane darczyńców czy urząd gminy prowadzący rejestr mieszkańców.
W praktyce funkcję administratora pełni ten, kto decyduje o istocie przetwarzania – a nie osoba technicznie wykonująca operacje na danych. Księgowa wprowadzająca dane do systemu kadrowego nie jest administratorem, jeśli działa na polecenie pracodawcy i w ramach jego wytycznych – administratorem pozostaje wtedy pracodawca. Określenie administrator RODO funkcjonuje w praktyce zamiennie z pełną nazwą „administrator danych osobowych” i oznacza dokładnie ten sam podmiot odpowiedzialny za zgodność przetwarzania z przepisami.
Administrator danych osobowych a podmiot przetwarzający
Rozróżnienie pomiędzy administratorem danych osobowych a podmiotem przetwarzającym bywa źródłem nieporozumień, choć RODO definiuje je precyzyjnie. Podmiot przetwarzający (procesor), zgodnie z art. 4 pkt 8 RODO, przetwarza dane osobowe w imieniu administratora – na jego zlecenie i zgodnie z jego instrukcjami. Typowy przykład to biuro rachunkowe prowadzące księgi dla klienta, dostawca hostingu przechowujący bazę danych czy firma wysyłkowa realizująca dostawy na podstawie danych przekazanych przez sklep internetowy.
Kluczowa różnica dotyczy zakresu decyzyjności. Administrator ustala cel i sposób przetwarzania oraz odpowiada za zgodność z RODO wobec osób, których dane dotyczą, i wobec organu nadzorczego. Procesor działa w granicach wyznaczonych przez administratora i musi mieć z nim zawartą umowę powierzenia przetwarzania danych zgodną z art. 28 RODO. Bez takiej umowy przetwarzanie przez podmiot zewnętrzny odbywa się bez podstawy prawnej, niezależnie od dobrej wiary obu stron.
Obowiązki i zadania administratora danych osobowych
Obowiązki administratora danych osobowych wynikają w pierwszej kolejności z zasady rozliczalności z art. 5 ust. 2 RODO – administrator musi nie tylko przestrzegać zasad przetwarzania, ale również być w stanie wykazać to przestrzeganie. Do najważniejszych zadań administratora danych osobowych należy wdrożenie odpowiednich środków technicznych i organizacyjnych (art. 24 RODO), zaprojektowanie procesów zgodnie z zasadami privacy by design i privacy by default (art. 25 RODO) oraz prowadzenie rejestru czynności przetwarzania (art. 30 RODO). Z tego ostatniego obowiązku zwolnione są podmioty zatrudniające mniej niż 250 osób – ale tylko wtedy, gdy przetwarzanie ma charakter sporadyczny, nie obejmuje danych szczególnych kategorii i nie stwarza ryzyka dla praw lub wolności osób, których dane dotyczą (art. 30 ust. 5 RODO). W praktyce jednak z wyjątku tego skorzysta niewiele firm – już zatrudnienie jednej osoby, czy to na podstawie umowy o pracę, czy umowy zlecenia, oznacza przetwarzanie danych osobowych w sposób systematyczny, a nie sporadyczny, co samo w sobie wyłącza możliwość zastosowania zwolnienia. Administrator musi również pamiętać o obowiązku wynikającym z art. 29 RODO – do przetwarzania danych osobowych może dopuścić wyłącznie osoby, którym udzielił pisemnego upoważnienia (dotyczy to zarówno pracowników, jak i zleceniobiorców czy stażystów), a same osoby upoważnione muszą być związane obowiązkiem zachowania tajemnicy. Brak takich upoważnień oznacza przetwarzanie danych bez podstawy formalnej, niezależnie od tego, czy dana osoba działa w dobrej wierze. Na administratorze ciąży też obowiązek zgłaszania naruszeń ochrony danych osobowych – zarówno organowi nadzorczemu, jak w niektórych przypadkach osobom, których dane dotyczą. Dlatego większość administratorów, niezależnie od wielkości, powinna prowadzić rejestr czynności przetwarzania.
Obowiązek informacyjny wobec osób, których dane dotyczą
Jednym z podstawowych zadań administratora jest dopełnienie obowiązku informacyjnego RODO wynikającego z art. 13 i 14 rozporządzenia. Osoby, których dane są zbierane, muszą otrzymać jasną informację o tożsamości administratora, celu i podstawie prawnej przetwarzania, okresie przechowywania danych oraz przysługujących im prawach. Dotyczy to zarówno klientów i kontrahentów, jak i kandydatów do pracy czy pracowników.
Bezpieczeństwo danych i zgłaszanie naruszeń
Administrator odpowiada również za bezpieczeństwo przetwarzania (art. 32 RODO) – dobór szyfrowania, kontroli dostępu czy kopii zapasowych adekwatnych do ryzyka. Gdy dojdzie do naruszenia ochrony danych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma obowiązek zgłoszenia go organowi nadzorczemu bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a przy wysokim ryzyku – także poinformowania samych osób, których dane dotyczą (art. 34 RODO). Dla przetwarzania wysokiego ryzyka konieczne bywa też przeprowadzenie oceny skutków dla ochrony danych (DPIA, art. 35-36 RODO).
Prawidłowe wypełnianie tych obowiązków rzadko udaje się bez uporządkowanej wiedzy o RODO w organizacji – dlatego szkolenie dla administratorów danych osobowych obejmuje zwykle komplet zagadnień: od podstaw prawnych, przez rejestr czynności, po reagowanie na naruszenia i kontrole organu nadzorczego.
Współadministrowanie danymi osobowymi
RODO dopuszcza sytuację, w której cele i sposoby przetwarzania ustala wspólnie kilka podmiotów – wtedy każdy z nich jest współadministratorem danych osobowych w rozumieniu art. 26 RODO. Dzieje się tak na przykład wtedy, gdy dwie spółki organizują wspólne wydarzenie i razem decydują o zakresie zbieranych danych uczestników, albo gdy platforma i partner biznesowy wspólnie kształtują sposób przetwarzania danych klientów.
Współadministratorzy muszą w przejrzysty sposób uzgodnić, kto i w jakim zakresie odpowiada za poszczególne obowiązki wynikające z RODO – zwłaszcza za realizację praw osób, których dane dotyczą, oraz obowiązek informacyjny. Zasadnicza treść takich uzgodnień powinna być dostępna dla osób, których dane są przetwarzane. Niezależnie od wewnętrznego podziału obowiązków, każda z tych osób może dochodzić swoich praw wobec dowolnego współadministratora – art. 26 ust. 3 RODO wyklucza przerzucanie odpowiedzialności między stronami kosztem osoby, której dane dotyczą.
Inspektor ochrony danych przy administratorze
W wielu organizacjach administrator wyznacza inspektora ochrony danych, który monitoruje zgodność przetwarzania z RODO i wspiera administratora w wypełnianiu obowiązku rozliczalności. Wyznaczenie inspektora jest obowiązkowe m.in. dla organów i podmiotów publicznych, a także dla podmiotów, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach skazujących i naruszeniach prawa (art. 37 ust. 1 RODO). Wiele firm spoza tego katalogu decyduje się na tę funkcję również dobrowolnie, traktując ją jako element systemu zarządzania ryzykiem.
Organizacje, które nie chcą tworzyć osobnego etatu, mogą skorzystać z przejęcia obowiązków inspektora ochrony danych przez zewnętrznego specjalistę – obejmuje to zarówno bieżące doradztwo, jak i przygotowanie dokumentacji, audyty oraz reprezentowanie administratora w kontaktach z Urzędem Ochrony Danych Osobowych.
Odpowiedzialność administratora danych osobowych za naruszenie RODO
Odpowiedzialność administratora danych osobowych obejmuje zarówno sankcje administracyjne, jak i roszczenia cywilnoprawne ze strony osób poszkodowanych naruszeniem. Naruszenie podstawowych zasad przetwarzania (art. 5, 6, 7 i 9 RODO), praw osób, których dane dotyczą (art. 12-22), czy zasad transferu danych poza Europejski Obszar Gospodarczy (art. 44-49) zagrożone jest karą do 20 mln euro, a w przypadku przedsiębiorstwa do 4% jego całkowitego rocznego światowego obrotu – stosuje się kwotę wyższą (art. 83 ust. 5 RODO). Naruszenia dotyczące m.in. wdrożenia odpowiednich środków bezpieczeństwa, prowadzenia rejestru czynności czy współpracy z organem nadzorczym mieszczą się w niższym progu z art. 83 ust. 4 RODO – do 10 mln euro albo 2% obrotu, również z zastosowaniem kwoty wyższej.
Odpowiedzialność administratora nie kończy się na relacji z organem nadzorczym. Gdy do przetwarzania zaangażowany jest podmiot przetwarzający, oba podmioty mogą ponosić współistniejącą odpowiedzialność za bezpieczeństwo danych – administrator za wybór i nadzór nad procesorem, procesor za wdrożone środki techniczne. Pokazuje to sprawa Fortum i PIKA: administratora ukarano grzywną około 5 mln zł za brak weryfikacji gwarancji bezpieczeństwa procesora i brak nadzoru nad nim, a procesora – grzywną 250 tys. zł za przetwarzanie danych testowych bez pseudonimizacji. Taki rozkład odpowiedzialności administratora i podmiotu przetwarzającego za zgodność z RODO pokazuje, że ryzyko sankcji nie ogranicza się do jednej strony relacji powierzenia.
Ustalenie, kto w danej organizacji pełni funkcję administratora, oraz uporządkowanie wynikających z tego obowiązków to punkt wyjścia do zgodności z RODO – bez tego trudno prawidłowo wdrożyć rejestr czynności, klauzule informacyjne czy procedury zgłaszania naruszeń. Firmy, które nie mają pewności, czy prawidłowo wypełniają obowiązki administratora, mogą zweryfikować to w ramach audytu zgodności lub konsultacji z doradcą RODO.
FAQ - Najczęściej zadawane pytania
Czy jednoosobowa działalność gospodarcza może być administratorem danych osobowych?
Tak. Administratorem może być każda osoba fizyczna lub prawna, która samodzielnie decyduje o celach i sposobach przetwarzania danych – dotyczy to również jednoosobowej działalności gospodarczej, jeśli przetwarza dane klientów, kontrahentów lub pracowników.
Czym różni się administrator od współadministratora danych osobowych?
Administrator samodzielnie ustala cele i sposoby przetwarzania. Współadministrator robi to wspólnie z innym podmiotem – obie strony wspólnie decydują o istotnych elementach przetwarzania i muszą uzgodnić między sobą podział obowiązków wynikających z RODO.
Jakie kary grożą administratorowi za naruszenie RODO?
W zależności od naruszonego przepisu kara może wynieść do 10 mln euro albo do 20 mln euro, a w przypadku przedsiębiorstwa – odpowiednio do 2% lub 4% jego całkowitego rocznego światowego obrotu, przy czym zawsze stosuje się kwotę wyższą. Wyższy próg dotyczy m.in. naruszenia podstawowych zasad przetwarzania i praw osób, których dane dotyczą.
Czy administrator danych osobowych musi mieć umowę z podmiotem przetwarzającym?
Tak. Zgodnie z art. 28 RODO powierzenie przetwarzania danych podmiotowi zewnętrznemu wymaga pisemnej umowy powierzenia, określającej m.in. zakres, cel i czas przetwarzania oraz obowiązki procesora wobec administratora.
Czy administrator danych osobowych musi zgłaszać naruszenia ochrony danych osobowych?
Tak. Administrator ma obowiązek zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od jego wykrycia (art. 33 RODO), a jeśli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych – musi też poinformować o nim same osoby, których dane dotyczą (art. 34 RODO).
Czy administrator musi udzielać upoważnień do przetwarzania danych osobowych?
Tak. Zgodnie z art. 29 RODO do przetwarzania danych osobowych administrator może dopuścić wyłącznie osoby posiadające jego pisemne upoważnienie i zobowiązane do zachowania tajemnicy – obejmuje to pracowników, zleceniobiorców oraz inne osoby działające pod jego kontrolą.
