Source: https://sylwiaczub.pl/rodo-odbiorca-danych-czyli-kto/
Timestamp: 2019-09-19 19:29:18+00:00

Document:
RODO: odbiorca danych, czyli kto? – Sylwia Czub bloguje o danych osobowych
Jednocześnie, jeżeli w momencie gromadzenia danych, administrator nie planuje przekazywać od razu danych osobowych do wszystkich odbiorców (może to zależeć od konkretnych czynników), to informację o udostępnieniu należy podać w momencie udostępnienia, a nie gromadzenia (np. udostępnienie firmie windykacyjnej):
Motyw 61 RODO: Jeżeli dane osobowe można zgodnie z prawem ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w momencie pierwszorazowego ujawnienia danych temu odbiorcy.
Zgodnie z motywem 31: Organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są im niezbędne do przeprowadzenia określonego postępowania w interesie ogólnym zgodnie z prawem Unii lub prawem państwa członkowskiego. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych. Przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania.
Na stronach GIODO zostały opublikowane Wskazówki i wyjaśnienia dotyczące obowiązku rejestrowania czynności i kategorii czynności przetwarzania określonego w art. 30 ust. 1 i 2 RODO: Znaczenie pojęcia „odbiorcy danych” na gruncie RODO różni się od tego, jakie ma ono zgodnie z art. 7 pkt 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Zgodnie z art. 4 pkt 9 RODO, za odbiorcę uznaje się osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, z wyjątkiem organów publicznych, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego.
Na potrzeby realizacji obowiązku określonego w art. 30 ust. 1 przyjąć należy, że podmiotami objętymi definicją odbiorcy będą podmioty przetwarzające, natomiast nie będą nimi inne podmioty działające z upoważnienia administratora, w jego imieniu i na jego polecenie wewnątrz struktury organizacyjnej. Jak wskazano w komentarzu do art. 4 ust. 9 RODO. Ogólne rozporządzenie o ochronie danych. Komentarz Bielak-Jomaa Edyta (red.), Lubasz Dominik (red.), „Przyjęcie koncepcji, w której odbiorcą danych jest także osoba funkcjonująca w strukturze administratora, prowadzi do znacznego utrudnienia realizacji obowiązków przez administratora, a jednocześnie nie wzmacnia praw osób, których dane dotyczą. Zapewnienie podmiotowi danych wiedzy na temat przepływu danych w ramach struktury administratora mogłoby naruszać również zasadę proporcjonalności, ze względu na wrażliwość tego typu informacji, bez uzasadnienia w postaci podniesienia poziomu ochrony danych osobowych. Z tego względu opowiedzieć się należy za koncepcją uznania za odbiorcę podmiotu przetwarzającego, ale już nie innych podmiotów działających z upoważnienia administratora, w jego imieniu i na jego polecenie wewnątrz struktury organizacyjnej. Taki pogląd prezentowany jest także w doktrynie niemieckiej.” (Chomiczewski Witold, Czerniawski Michał, Drobek Piotr, Góral Urszula, Kuba Magdalena, Lubasz Dominik, Makowski Paweł Witkowska-Nowakowska Katarzyna, Komentarz do art. 4, w: E. Bielak-Jomaa, D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, LEX).
W związku w powyższymi informacjami, w mojej opinii w zakresie odbiorców, o których informację należy podać osobie, której dane dotyczą mieszczą się:
inni administratorzy danych, którzy otrzymają dane w związku z realizacją ich własnych celów (np. dane będą udostępniane partnerom biznesowym)
podmioty, którym dane zostały powierzone (taka jest bieżąca interpretacja przedstawiona powyżej)
organy publiczne z wyjątkiem organów publicznych, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego
W związku z powyższymi informacjami nie ma konieczności podawania informacji:
o organach publicznych, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego
o osobach upoważnionych, które przetwarzają dane na wyraźne polecenie/upoważnienie administratora danych
Jeżeli w momencie gromadzenia danych nie przekazujemy ich, np. do firmy windykacyjnej, to możemy poinformować, że dane mogą udostępnione takiej kategorii podmiotów lub przekazać taką informację dopiero w momencie udostępnienia.
Zwracam także uwagę, że administrator danych może wskazać konkretnych odbiorców (np. z nazwy) lub kategorię odbiorców (np. „podmioty, którym powierzono dane w celu zapewnienia bezpieczeństwa świadczonych usług).
← Szkolenie „Zostań Inspektorem Ochrony Danych”
Zasady zgłaszania IOD →

References: art. 30
 art. 7
 art. 4
 art. 30
 art. 4
 art. 4