Kim jest administrator danych osobowych?
Administrator danych osobowych to podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych. Taką definicję zawiera art. 4 pkt 7 RODO. Administratorem może być osoba fizyczna, firma, organ publiczny, jednostka organizacyjna lub inny podmiot.
O tym, kto pełni tę rolę, rozstrzyga rzeczywisty wpływ na przetwarzanie, a nie nazwa stanowiska, deklaracja w polityce prywatności czy zapis umowy. Jeżeli firma decyduje, dlaczego zbiera dane klientów, jakie informacje są potrzebne i jak będą wykorzystywane, co do zasady działa jako administrator. Samo formalne nazwanie usługodawcy administratorem nie zmienia podziału ról, jeśli w praktyce nie podejmuje on takich decyzji.
Przetwarzanie obejmuje szeroki zakres działań, między innymi zbieranie, przechowywanie, porządkowanie, wykorzystywanie, udostępnianie i usuwanie danych. Rola administratora wiąże się z odpowiedzialnością za operacje, które organizuje. Dotyczy to zarówno danych klientów, jak i pracowników, kandydatów do pracy czy użytkowników strony internetowej.
Jakie obowiązki ma administrator?
Administrator powinien zaplanować przetwarzanie tak, aby było zgodne z RODO od początku, a nie dopiero po otrzymaniu skargi lub wystąpieniu incydentu. Najpierw określa konkretny cel, na przykład realizację zamówienia, obsługę zatrudnienia albo wykonanie obowiązku prawnego. Następnie ustala właściwą podstawę prawną i zbiera tylko te dane, które są potrzebne do osiągnięcia tego celu.
W praktyce do najważniejszych obowiązków należą:
- przejrzyste informowanie osób o tym, kto i w jakim celu przetwarza ich dane, na jakiej podstawie oraz jak długo będą przechowywane;
- umożliwienie realizacji praw osób, których dane dotyczą, w tym przyjmowanie wniosków, weryfikowanie ich i udzielanie odpowiedzi;
- stosowanie zasady minimalizacji, czyli ograniczanie zbieranych informacji do niezbędnego zakresu;
- ustalenie okresów przechowywania oraz usuwanie lub anonimizowanie danych, gdy przestają być potrzebne;
- dobór zabezpieczeń technicznych i organizacyjnych odpowiednich do rodzaju, skali i ryzyka przetwarzania;
- prowadzenie dokumentacji i wykazanie, że obowiązki są realizowane.
Odpowiednie zabezpieczenia mogą obejmować kontrolę dostępu, nadawanie uprawnień wyłącznie osobom, które potrzebują danych do pracy, szkolenia personelu i okresowe przeglądy zabezpieczeń. Administrator powinien też sprawdzać, czy uprawnienia są aktualne, a dostęp do danych nie jest szerszy, niż wymaga tego zakres obowiązków pracownika.
Zakres działań zależy od okoliczności. Innego poziomu zabezpieczeń może wymagać zwykła korespondencja, a innego przetwarzanie dużego zbioru danych szczególnych kategorii. Przy operacjach mogących powodować wysokie ryzyko dla praw i wolności osób może być konieczna ocena skutków dla ochrony danych. W każdym przypadku decyzje warto dokumentować, aby móc wykazać, dlaczego przyjęto określone rozwiązania.
Czym administrator różni się od podmiotu przetwarzającego?
Podmiot przetwarzający wykonuje operacje na danych w imieniu administratora, na jego udokumentowane polecenie. Nie powinien samodzielnie ustalać celów, dla których dane są wykorzystywane. Zasady współpracy określa umowa powierzenia lub inny właściwy instrument prawny, który opisuje między innymi zakres, cel i czas przetwarzania oraz obowiązki stron.
Przykładowo sklep internetowy może być administratorem danych klientów, ponieważ ustala, jakie informacje są potrzebne do obsługi zamówień i dostawy. Firma hostingowa może być podmiotem przetwarzającym, jeśli przechowuje dane na zlecenie sklepu i nie decyduje samodzielnie o celach ich użycia. Podobnie mogą działać dostawcy systemów kadrowych, narzędzi do wysyłki wiadomości czy usług przechowywania plików.
Przed powierzeniem danych administrator powinien sprawdzić, czy usługodawca zapewnia odpowiednie gwarancje bezpieczeństwa, uzgodnić warunki przetwarzania i monitorować współpracę. Powierzenie danych nie zwalnia administratora z odpowiedzialności za zgodność własnych działań z RODO. Administrator nadal odpowiada między innymi za wybór dostawcy, legalność celu i prawidłowe poinformowanie osób.
Kiedy występuje współadministracja?
Współadministracja ma miejsce, gdy co najmniej dwa podmioty wspólnie określają cele i sposoby przetwarzania. Nie wystarczy, że organizacje wymieniają się danymi lub współpracują przy jednym projekcie. Istotne jest to, czy wspólnie podejmują decyzje dotyczące tego, po co i jak dane są przetwarzane.
Współadministratorzy powinni przejrzyście uzgodnić podział obowiązków. Szczególnego znaczenia nabierają zasady przekazywania informacji osobom oraz obsługi ich praw. Ustalenia powinny odpowiadać rzeczywistemu przebiegowi współpracy, a ich zasadnicze elementy trzeba udostępnić osobom, których dane dotyczą.
Podziału ról nie rozstrzyga sama treść umowy. Jeśli kilka podmiotów faktycznie wspólnie wpływa na cele i sposoby przetwarzania, nie można zmienić tej sytuacji wyłącznie przez nazwanie jednego z nich podmiotem przetwarzającym. Dlatego warto regularnie sprawdzać, czy zapisy umowne nadal odpowiadają praktyce.
Jak administrator powinien reagować na naruszenia?
Naruszenie ochrony danych może wynikać z cyberataku, ale także z codziennych pomyłek. Należą do nich błędnie zaadresowana korespondencja, przekazanie danych niewłaściwej osobie, nieprawidłowa anonimizacja, przypadkowa publikacja informacji lub nieuprawniony dostęp do bazy.
W 2025 r. administratorzy zgłosili w Polsce 22 435 naruszeń, wobec 14 842 rok wcześniej, co oznacza wzrost o 51%. W tym samym roku Prezes UODO nałożył 32 kary administracyjne na 23 podmioty, na łączną kwotę 64 436 940,25 zł. W 2024 r. łączna kwota kar wyniosła 13 907 740,96 zł. Według sprawozdania UODO wartość kar wzrosła o 363%.
Po wykryciu incydentu administrator powinien szybko ocenić jego charakter i możliwe konsekwencje dla osób, ograniczyć skutki zdarzenia oraz udokumentować podjęte działania. Jeżeli przepisy tego wymagają, należy zgłosić naruszenie organowi nadzorczemu, a w przypadku wysokiego ryzyka także poinformować osoby, których dane dotyczą. Przygotowana wcześniej procedura pomaga ustalić, kto analizuje incydent, jakie informacje trzeba zebrać i jak podejmować decyzje bez niepotrzebnej zwłoki.
Przydatne wskaźniki wewnętrzne to liczba incydentów, czas ich wykrycia i obsługi, odsetek wniosków osób rozpatrzonych terminowo oraz liczba nieaktualnych uprawnień. Regularny przegląd tych danych, dostawców, procedur i dokumentacji wspiera rozliczalność. Inspektor ochrony danych może doradzać i monitorować zgodność, ale nie przejmuje odpowiedzialności administratora za wykonywanie jego obowiązków.
Źródła
- https://uodo.gov.pl/pl/138/4555
- https://www.edpb.europa.eu/topics/key-gdpr-concepts/controllerprocessor_pl
- https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/accountability_pl
- https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_pl.pdf
- https://uodo.gov.pl/pl/676/4267