RODO w praktyce: Obowiązki administratora danych osobowych przed rozpoczęciem przetwarzania

Rozporządzenie ogólne o ochronie danych wprowadziło szereg innowacji nieistniejących w poprzednim porządku prawnym w zakresie ochrony danych. RODO przewiduje między innymi nowe obowiązki administratorów danych dotyczące przetwarzania danych ogólnie oraz obowiązki związane bezpośrednio z koniecznością odpowiedniego zabezpieczenia przetwarzanych danych.

Na wstępie niniejszych rozważań warto przypomnieć i doprecyzować pojęcie administratora danych osobowych.

Zgodnie z definicją zawartą w RODO administrator danych to osoba fizyczna lub prawna, a także organ publiczny lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych. Administratorem mogą być zatem zarówno podmioty publiczne, jak i podmioty prywatne, czyli przedsiębiorcy. Z kolei przedsiębiorcę RODO definiuje jako osobę fizyczną lub prawną, która prowadzi działalność gospodarczą niezależenie od formy prawnej.

W związku z powyższym administratorem danych mogą być spółki jawne, partnerskie, komandytowe i komandytowo-akcyjne oraz spółki akcyjne i z ograniczoną odpowiedzialnością, a ponadto osoby fizyczne prowadzące jednoosobową działalności gospodarczą, federacje branżowe, klastry i inne stowarzyszenia przedsiębiorców. Istotne, że w ostatnim przypadku zarówno przedsiębiorcy zrzeszeni w klastrze, federacji lub stowarzyszeniu będą administratorami danych przetwarzanych w ich przedsiębiorstwach, jak i będą nimi wskazane zrzeszenia w zakresie przetwarzanych przez nich danych osobowych – np. w razie zatrudniania pracowników czy prowadzenia akcji marketingowych.

Należy pamiętać, że w pozostałych przypadkach administratorem danych zawsze będzie określona spółka, a nie jej pracownicy czy organy.

I tak na przykład, jeżeli w firmie Taxa SA zakończono współpracę z danym wspólnikiem czy wymieniono radę nadzorczą, to nie ma to żadnego znaczenia z punktu widzenia administrowania danymi przetwarzanymi przez tę spółkę – administratorem danych jest niezależnie od wyżej wskazanych zdarzeń firma Taxa SA.

Uznanie podmiotu za administratora danych przesądza o tym, że musi on wypełniać określone w rozporządzeniu obowiązki:

a) wykazanie zgodności przetwarzania danych z RODO, czyli realizacja zasady rozliczalności,

b) wypełnianie obowiązków informacyjnych wobec osób, których dane przetwarza,

c) przestrzeganie praw osób, których dane dotyczą, oraz ułatwianie realizacji tych praw,

d) generalny obowiązek zabezpieczenia przetwarzanych danych,

e) przetwarzanie danych zgodnie z zasadami privacy by design i privacy by default,

f) prowadzenie rejestru czynności przetwarzania danych,

g) współpraca z organem nadzorczym,

h) zgłaszanie naruszeń organowi nadzorczemu,

i) zawiadamianie podmiotów danych o naruszeniach,

j) przeprowadzanie analizy ryzyka oraz w razie konieczności opracowanie oc...