administrator danych osobowych

Administrator danych osobowych to według RODO osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych ^[1]. Administrator odpowiada za przestrzeganie zasad przetwarzania i musi być w stanie wykazać ich przestrzeganie; rozporządzenie nazywa to rozliczalnością ^[1]. W tekstach RODO i Urzędu Ochrony Danych Osobowych używa się zwykle samego słowa „administrator” ^[2].

Kto jest administratorem

O roli decyduje to, kto ustala cele i sposoby przetwarzania, a nie to, kto fizycznie przechowuje dane. Firma, która zbiera zamówienia przez sklep internetowy, jest administratorem danych klientów, choć serwery należą do hostingu. RODO rozróżnia trzy role.

Granica bywa płynna. Jeżeli podmiot przetwarzający sam zacznie określać cele i sposoby przetwarzania z naruszeniem rozporządzenia, uznaje się go za administratora w odniesieniu do tego przetwarzania ^[1]. Wobec współadministratorów osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego z nich, niezależnie od ich wewnętrznych uzgodnień ^[1].

Obowiązki

Art. 24 wymaga, by administrator, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko dla praw i wolności osób, wdrożył odpowiednie środki techniczne i organizacyjne i był w stanie wykazać zgodność ^[1]. Gdy jest to proporcjonalne, środki te obejmują odpowiednie polityki ochrony danych ^[1]; zob. polityka bezpieczeństwa. Najważniejsze obowiązki z punktu widzenia bezpieczeństwa to:

• bezpieczeństwo przetwarzania według art. 32, w tym w stosownym przypadku pseudonimizacja i szyfrowanie oraz zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów ^[1];
• wybór podmiotów przetwarzających, które zapewniają wystarczające gwarancje, i zawarcie z nimi umowy ^[1]; zob. umowa powierzenia przetwarzania danych osobowych;
• rejestr czynności przetwarzania, obejmujący m.in. cele przetwarzania oraz kategorie osób i danych ^[1];
• wyznaczenie inspektora ochrony danych, obowiązkowe m.in. dla organów publicznych i przy regularnym, systematycznym monitorowaniu osób na dużą skalę ^[1];
• ocena skutków dla ochrony danych przed rozpoczęciem przetwarzania, które może powodować wysokie ryzyko ^[1], oraz uwzględnianie ochrony danych w fazie projektowania (privacy by design) ^[1].

UODO prowadzi dla administratorów osobny dział z materiałami m.in. o zgłaszaniu naruszeń, wyznaczaniu inspektora ochrony danych, kodeksach postępowania i kontrolach ^[2].

Naruszenia ochrony danych

Gdy dochodzi do naruszenia ochrony danych osobowych, obowiązek działania spoczywa na administratorze. Zgłasza on naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po jego stwierdzeniu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób ^[1]. UODO podkreśla, że administrator, dokonując oceny ryzyka naruszenia praw lub wolności osób fizycznych, sam decyduje, czy zgłosić naruszenie ^[3]. Jeżeli ryzyko jest wysokie, administrator zawiadamia także osoby, których dane dotyczą ^[1]. Podmiot przetwarzający zgłasza naruszenie administratorowi, a nie organowi ^[1]. Przepływ informacji pokazuje schemat poniżej.

RYS. 1Zgłoszenie naruszenia po włamaniu na stronę

Szczegóły procedury opisuje hasło zgłoszenie naruszenia ochrony danych.

Kary i odpowiedzialność

RODO przewiduje dwa pułapy administracyjnych kar pieniężnych. Naruszenie obowiązków administratora i podmiotu przetwarzającego, m.in. z art. 25–39, podlega karze do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą ^[1]. Naruszenie podstawowych zasad przetwarzania, w tym z art. 5, podlega karze do 20 000 000 EUR albo 4% obrotu ^[1].

Przykładem z Polski jest decyzja Prezesa UODO wobec spółki Morele.net z 2024 roku: kara przekroczyła 3,8 mln zł, a naruszenie dotyczyło danych 2,2 mln osób ^[4]. Urząd wskazał m.in. brak szyfrowania części danych, brak uwierzytelniania dwuskładnikowego, brak analizy ryzyka i brak systemów monitorowania ruchu sieciowego ^[4]. Była to pierwsza decyzja, w której zastosowano wytyczne Europejskiej Rady Ochrony Danych dotyczące obliczania kar ^[4].

W WordPressie

Właściciel strony na WordPressie, który zbiera dane przez formularze, komentarze, rejestrację kont albo zamówienia, jest ich administratorem. Firma hostingowa i agencja utrzymująca stronę zwykle są podmiotami przetwarzającymi, a autorzy wtyczek wysyłających dane na własne serwery mogą mieć odrębną rolę, którą trzeba ustalić dla każdej usługi.

WordPress daje administratorowi strony kilka narzędzi ^[5]:

• ustawienia prywatności w menu Ustawienia, które pomagają utworzyć stronę polityki prywatności z tekstami podpowiadanymi przez rdzeń, motywy i wtyczki;
• eksport danych osobowych w menu Narzędzia, generujący archiwum ZIP z danymi użytkownika po potwierdzeniu żądania e-mailem;
• usuwanie danych osobowych, które trwale kasuje dane z bazy po zatwierdzeniu żądania przez administratora.

Dokumentacja zastrzega, że narzędzia zbierają dane tylko z WordPressa i wtyczek, które z nimi współpracują ^[5]. Nie obejmują usług zewnętrznych, takich jak analityka, newsletter czy osadzone media, a usunięcie danych nie usuwa ich z kopii zapasowych ^[5]. Odpowiedzialność za treść polityki prywatności i jej aktualność spoczywa na właścicielu strony ^[5]. Autorów wtyczek podręcznik zachęca, by opisywali przetwarzanie danych funkcją wp_add_privacy_policy_content i dostarczali eksportery oraz narzędzia do usuwania danych ^[6].

Od strony bezpieczeństwa rola administratora oznacza, że wyciek danych ze strony, na przykład przez podatną wtyczkę, jest jego naruszeniem, nawet jeśli błąd popełnił autor wtyczki. Dlatego wybór wtyczek, aktualizacje i zarządzanie ryzykiem dostawców (TPRM) są częścią obowiązków z art. 32.