Ogólne rozporządzenie o ochronie danych (RODO) weszło w życie w maju 2018 roku, wprowadzając nowe zasady dotyczące przetwarzania danych osobowych w Unii Europejskiej. Jednym z kluczowych pojęć w kontekście przetwarzania danych osobowych, które pojawiło się w RODO, jest „współadministrowanie danymi osobowymi”. W artykule zostaną omówione jego podstawy prawne, praktyczne zastosowanie oraz obowiązki wynikające z tej formy przetwarzania danych.
Współadministrowanie danymi osobowymi - definicja
Zgodnie z art. 26 RODO, gdy co najmniej dwóch administratorów wspólnie określa cele i sposoby przetwarzania danych, uznaje się ich za współadministratorów. Oznacza to, że wszystkie te podmioty są wspólnie odpowiedzialne za ochronę danych osobowych, a ich współpraca musi być dokładnie uregulowana i transparentna wobec osób, których dane dotyczą.
Różni się to od sytuacji, w której mamy do czynienia z jednym administratorem danych, który samodzielnie decyduje o celach i środkach przetwarzania danych, lub od relacji administratora z podmiotem przetwarzającym (procesorem), gdzie procesor przetwarza dane wyłącznie na zlecenie administratora i według jego instrukcji.
Przykład 1.
Współadministratorami są dwie spółki z jednej grupy kapitałowej – Firma X i Firma Y. Firma X specjalizuje się w dostarczaniu usług telekomunikacyjnych, podczas gdy Firma Y oferuje usługi finansowe, takie jak kredyty i ubezpieczenia. Obie postanawiają zorganizować wspólny konkurs, którego celem jest promowanie ich usług oraz zwiększenie zaangażowania klientów. Wspólnie ustalają cele i sposoby przetwarzania danych osobowych uczestników. Jako współadministratorzy obie firmy są odpowiedzialne za wszystkie aspekty związane z danymi osobowymi uczestników konkursu. Firma X i Firma Y zawierają umowę, w której precyzują, jakie są cele przetwarzania danych (np. organizacja konkursu, ocena zgłoszeń, kontakt z uczestnikami) oraz jakie są obowiązki każdej ze stron. W polityce prywatności, która musi być dostępna na stronach internetowych obu firm, uczestnicy zostaną poinformowani, że ich dane osobowe będą przetwarzane przez oba podmioty. Informacja powinna zawierać cele przetwarzania danych, sposób ich wykorzystania przez każdą firmę, okres przechowywania oraz prawa uczestników (np. prawo dostępu, poprawiania, usunięcia danych).
Obowiązki współadministratorów
Kiedy kilka podmiotów współadministruje dane osobowe, ich obowiązki względem ochrony danych są dzielone, co wymaga precyzyjnego określenia zasad współpracy. Art. 26 RODO wymaga, aby współadministratorzy uzgodnili w przejrzysty sposób zakres swoich obowiązków w ramach wspólnej odpowiedzialności, szczególnie w odniesieniu do wykonywania praw osób, których dane dotyczą.
W drodze wspólnych uzgodnień współadministratorzy w przejrzysty sposób określają odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z niniejszego rozporządzenia, w szczególności w odniesieniu do wykonywania przez osobę, której dane dotyczą, przysługujących jej praw oraz ich obowiązków w odniesieniu do podawania informacji, o których mowa w art. 13 i 14 RODO, chyba że przypadające im obowiązki i ich zakres określa prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. W uzgodnieniach można wskazać punkt kontaktowy dla osób, których dane dotyczą.
Współadministratorzy muszą jasno określić, który z nich jest odpowiedzialny za spełnienie określonych obowiązków, takich jak informowanie osób, których dane dotyczą, odpowiadanie na ich żądania związane z przysługującymi im prawami (np. prawo dostępu do danych, prawo do ich usunięcia czy prawo do sprzeciwu) oraz zapewnienie bezpieczeństwa danych.
W umowie między współadministratorami, a także klauzuli informacyjnej lub polityce prywatności należy wskazać punkt kontaktowy dla osób, których dane dotyczą, dzięki czemu osoby te będą wiedziały, do którego podmiotu mogą kierować swoje pytania i żądania związane z przetwarzaniem ich danych.
Współadministratorzy mają obowiązek informować osoby, których dane są przetwarzane, o zasadach współadministrowania. Powinno to być zrobione w sposób przejrzysty i zrozumiały, aby każda osoba mogła zrozumieć, jak jej dane są przetwarzane, przez kogo oraz w jakim celu.
Muszą wspólnie dbać o to, aby dane były odpowiednio zabezpieczone, co obejmuje zarówno techniczne, jak i organizacyjne środki ochrony danych. Niezależnie od tego, który z współadministratorów jest bezpośrednio odpowiedzialny za dane w danej sytuacji, wszyscy wspólnie ponoszą odpowiedzialność za ich odpowiednie przetwarzanie.
Korzyści i wyzwania związane ze współadministrowaniem danymi
Współadministrowanie danymi osobowymi przynosi pewne korzyści, ale również wiąże się z istotnymi wyzwaniami.
Współadministratorzy mogą dzielić się zasobami oraz kosztami związanymi z przetwarzaniem danych, co może prowadzić do większej efektywności operacyjnej.
Dzięki współadministrowaniu danymi organizacje mogą lepiej koordynować swoje działania i zapewnić spójność w realizacji wspólnych celów, co jest szczególnie ważne w złożonych projektach.
Zapewnienie spójnego poziomu ochrony danych w różnych organizacjach może być wyzwaniem, zwłaszcza gdy każda z nich korzysta z różnych systemów IT i ma różne procedury bezpieczeństwa.
W przypadku naruszenia ochrony danych, wszystkie strony współadministrowania mogą ponosić odpowiedzialność, co oznacza, że błędy jednej z nich mogą negatywnie wpłynąć na reputację pozostałych.
Odpowiedzialność współadministratorów
Każdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO.
Jeżeli w tym samym przetwarzaniu uczestniczy więcej niż jeden administrator i podmioty te, zgodnie z RODO, odpowiadają za szkodę spowodowaną przetwarzaniem, ponoszą oni odpowiedzialność solidarną za całą szkodę, by zapewnić osobie, której dane dotyczą, rzeczywiste uzyskanie odszkodowania.
Współadministratorzy ponoszą solidarną odpowiedzialność za przetwarzanie danych osobowych – oznacza to, że każdy z nich może być pociągnięty do odpowiedzialności za naruszenia ochrony danych, niezależnie od tego, który z nich bezpośrednio spowodował naruszenie.
Solidarna odpowiedzialność ma na celu zapewnienie, że osoby, których dane dotyczą, mogą skutecznie dochodzić swoich praw wobec każdego ze współadministratorów.
W praktyce oznacza to, że organizacje muszą być bardzo ostrożne w ustalaniu zasad współadministrowania danymi oraz w monitorowaniu przestrzegania tych zasad przez wszystkich uczestników współpracy.
Ważne jest, aby każdy z współadministratorów zrozumiał swoje obowiązki i w pełni je realizował, ponieważ zaniedbania jednego z nich mogą mieć poważne konsekwencje dla wszystkich stron zaangażowanych w przetwarzanie danych.
