Dane osobowe w RODO – kto może przetwarzać?

RODO (GDPR) zaczniemy stosować już od 25 maja 2018 r. Nowe przepisy o ochronie danych osobowych obejmą swoim zakresem przetwarzanie danych osobowych. Co należy rozumieć pod pojęciem przetwarzania danych osobowych?

Przetwarzanie danych

Definicje przetwarzania danych wyznacza art. 4 pkt. 2 RODO zgodnie, z którym przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak m.in:

• zbieranie danych,
• przechowywanie danych,
• usuwanie danych,
• opracowywanie danych,
• udostępnianie danych.

W praktyce oznacza to, że RODO obejmie swym zakresem niemal wszystkie czynności związane z danymi osobowymi.

Polecamy produkt: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Kto może przetwarzać?

Przetwarzanie danych osobowych może przyjąć dwojaką formę: przetwarzać dane można jako administrator oraz jako podmiot przetwarzający.

Przez administratora należy rozumieć osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Innymi słowy administrator to podmiot, który ustala po co i w jaki sposób wykorzystywać dane osobowe.

Administratorem w rozumieniu RODO jest pracodawca w stosunku do swoich pracowników.

Podmiotem przetwarzającym może być osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Kluczowa różnica pomiędzy administratorem, a podmiotem przetwarzającym polega na tym, że podmiot przetwarzający nie decyduje o celach i sposobie przetwarzania danych.

Podmiotem przetwarzającym będzie firma zajmująca się zawodowym niszczeniem danych osobowych na zlecenie. 

Podmiot przetwarzający dane na zlecenie administratora powinien zawrzeć z tymże administratorem odpowiednią umowę. Chodzi tu o umowę powierzenia, w której strony określą dokładnie zasady przetwarzania danych.

Warto wspomnieć także o tym, że w organizacjach dane osobowe są faktycznie przetwarzane prze konkretne osoby fizyczne (najczęściej pracownicy). W takim wypadku należy zadbać o to by konkretna osoba fizyczna miała odpowiednie upoważnienie do przetwarzania danych osobowych.

Opracowano na podstawie:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1)

PRZEWODNIK PO RODO DLA MAŁYCH I ŚREDNICH PRZEDSIĘBIORCÓW MINISTERSTWO PRZEDSIĘBIORCZOŚCI I TECHNOLOGII