Administrator danych osobowych (ADO), administrator danych (AD) – pojęcie z zakresu ochrony danych osobowych.
Zgodnie z ogólnym rozporządzeniem o ochronie danych administratorem danych osobowych jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowychArt. 4 p. 7 ogólnego rozporządzenia o ochronie danych (RODO)..
Status konkretnego podmiotu jako administratora danych osobowych może wynikać:
bezpośrednio z przepisów prawa (np. Trybunał Stanu jest administratorem danych osobowych przetwarzanych w ramach prowadzonych przez niego postępowańArt. 20f ustawy z dnia 26 marca 1982 r. o Trybunale Stanu (Dz.U.2019.2122 t.j.)), z interpretacji przepisów prawa (np. pracodawca jest administratorem danych osobowych pracowników), ze stanowiska zajętego przez Prezesa Urzędu Ochrony Danych Osobowych (np. żłobek jest administratorem danych osobowych stażysty w zakresie danych przetwarzanych w ramach umowy zawartej z Powiatowym Urzędem Pracy)
Ustalenie, czy dany podmiot jest administratorem określonego rodzaju danych osobowych, często nastręcza sporych trudności.
Zadania administratora danych osobowych Do zadań ADO należy w szczególności:
przetwarzanie danych osobowych zgodnie z zasadami zgodności z prawem, ograniczenia celu, minimalizacji danych, prawidłowości danych itd.Art. 5 ust. 1 RODO., wykazywanie przestrzegania zasad ochrony danych osobowychArt. 5 ust. 2 RODO., stosowanie właściwych podstaw przetwarzania danych osobowych i szczególnych kategorii danychArt. 6 i art. 9 RODO., realizacja obowiązku informacyjnego wobec osób, których dane osobowe przetwarzaArt. 13-14 RODO., obsługa wniosków osób, których dane dotyczą, w tym wniosków o realizację prawa do bycia zapomnianymArt. 15-22 RODO., zapewnienie bezpieczeństwa danych osobowych przez stosowanie odpowiednich środków technicznych i organizacyjnychArt. 24-25 i art. 32 RODO., zgłaszanie naruszeń ochrony danych osobowychArt. 33-34 RODO., wyznaczenie inspektora ochrony danych, gdy jest to konieczne zgodnie z przepisami prawaArt. 37 RODO., współpraca z Prezesem Urzędu Ochrony Danych Osobowych jako organem nadzorczymArt. 57 RODO..
Odpowiedzialność administratora danych osobowych Nieprzestrzeganie przez ADO zasad ochrony danych osobowych może powodować, że będzie on ponosił odpowiedzialność:
cywilną - osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO przez ADO, ma prawo uzyskać od niego odszkodowanie za poniesioną szkodęArt. 82 ust. 1 RODO. lub administracyjną - Prezes Urzędu Ochrony Danych Osobowych w ramach swoich uprawnień może zobowiązać ADO do podjęcia pewnych działań (np. zmiany sposobu wykorzystania danych osobowych, usunięcia bazy danych lub wprowadzenia odpowiednich zabezpieczeń); brak współpracy ADO z Prezesem UODO może spowodować nałożenie na administratora administracyjnej kary pieniężnej w maksymalnej wysokości €20.000.000 lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższaArt. 83 ust. 6 RODO..
Historia pojęcia administratora danych osobowych Pojęcie „administratora danych” (, ) po raz pierwszy pojawiło się w dyrektywie 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Pod pojęciem tym rozumiano „osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych”. Wskazano także, że „jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe”Art. 2 (d) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych..
W ślad za treścią dyrektywy polska ustawa o ochronie danych osobowych z 1997 r. zdefiniowała administratora jako „organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3”Art. 3. 1. Ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych.
2. Ustawę stosuje się również do: 1) podmiotów niepublicznych realizujących zadania publiczne, 2) osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych – które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej. (ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych), decydujące o celach i środkach przetwarzania danych osobowych"Art. 7 p. 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych..
Przypisy
Kategoria:Ochrona danych osobowych