Status administratora w sektorze publicznym

Informacja w administracji publicznej | 3/2019
Moduł: prawo UE, prawo pracy
Monika Młotkiewicz
Status administratora w sektorze publicznym

Prawidłowe ustalenie administratora w procesie przetwarzania danych to często duże wyzwanie. Aby mu sprostać, trzeba nie tylko dobrze rozumieć istotę definicji zawartej w art. 4 rozporządzenia 2016/679, ale też pamiętać, jaka jest funkcja tego pojęcia. W przypadku sektora publicznego, w którym cele – a często i sposoby przetwarzania danych osobowych, określone są właściwymi przepisami prawa – status poszczególnych podmiotów należy ustalać na podstawie analizy tych przepisów, uwzględniając to, że w ostatnim czasie wprowadzono w nich wiele zmian.
Wprowadzona reformą przepisów o ochronie danych osobowych zwiększona odpowiedzialność za ich przestrzeganie sprawiła, że wiele podmiotów od dawna wykorzystujących w swojej działalności dane osobowe na nowo podjęło się oceny swojego statusu. Okazało się wtedy, że stosowanie w praktyce definicji pojęcia „administrator” – zwłaszcza w sektorze publicznym – może sprawiać duże trudności i wymagać wysiłku. Jednak każdy, kto ma doświadczenie w dziedzinie ochrony danych osobowych, zdaje sobie sprawę, że często taki wysiłek jest konieczny. Wielokrotnie przekonano się, że wykładnia tego pojęcia w kontekście przepisów sektorowych jest często skomplikowana i może prowadzić do wniosku, iż wobec tego samego zasobu danych osobowych administratorem będzie nie jeden, lecz więcej podmiotów. Grupa Robocza Art. 29 w opinii Nr 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający”1 już prawie dekadę temu dostrzegła, że stosowanie tych pojęć staje się coraz bardziej złożone. Przyczyn takiego stanu rzeczy upatrywała głównie w rosnącej złożoności środowiska, w którym stosuje się te pojęcia oraz coraz bardziej powszechnej tendencji - zarówno w sektorze prywatnym, jak i publicznym - do zróżnicowania organizacyjnego i globalizacji. Niemniej waga „wyraźnego określenia odpowiedzialności za przetwarzanie danych i jej skutecznego stosowania” jest w wymienionej opinii mocno eksponowana. Grupa Robocza stwierdza, że jeżeli wymagania wobec poszczególnych podmiotów nie są dostatecznie jasne, występuje oczywiste ryzyko, iż przepisy prawne będą nieskuteczne. Istnieje jednak wiele wskazówek, które mogą nam ułatwić ustalenie podmiotu będącego administratorem. Znajdują się one m.in. we wciąż aktualnej wspomnianej opinii Grupy Roboczej art. 29.