Kim jest odbiorca danych według RODO

W art. 7 pkt 6 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych znajduje się definicja odbiorcy danych. Jest nim każdy, komu udostępnia się dane osobowe, z wyłączeniem:

• osoby, której dane dotyczą,
• osoby upoważnionej do przetwarzania danych,
• przedstawiciela, o którym mowa w art. 31a (chodzi o przedstawiciela w Rzeczypospolitej Polskiej wyznaczonego przez administratora danych spoza UE),
• podmiotu, o którym mowa w art. 31 (chodzi o procesora),
• organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem.

Ogólne rozporządzenie o ochronie danych (RODO) w art. 4 pkt 9 definiuje „odbiorcę” jako osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. W definicji tej czytamy też, że organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców. Przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania.

Czy organ administracji publicznej, który otrzymuje dane osobowe od innego organu administracji publicznej, jest odbiorcą danych? Zakładając, że organy działają w ramach swoich kompetencji, przekazywane dane dotyczą rozpoznawanej sprawy, a samo pozyskanie danych, jak i ich dalsze przetwarzanie odbywa się w zgodzie z zasadami ochrony danych, to taki organ administracji publicznej, otrzymujący dane osobowe w ramach konkretnego postępowania toczącego się zgodnie z prawem państwa członkowskiego (np. na podstawie Kodeksu postępowania administracyjnego obowiązującego w Polsce), nie jest odbiorcą danych zarówno w rozumieniu art. 7 pkt 6 ustawy, jak i art. 4 pkt 9 RODO.

Kwestia tego, czy dana osoba jest odbiorcą danych, czy nie wcale nie jest prosta i wątpliwości w tym zakresie są najzupełniej zasadne. Przykładem może być to, czy odbiorcami danych są pracownicy administratora danych, posiadający upoważnienia do przetwarzania danych osobowych. Nie zostało to jak dotąd jednoznacznie rozstrzygnięte, czy to w wytycznych Grupy Roboczej Art. 29, czy w stanowiskach GIODO.

Generalnie warto zapamiętać, że odbiorcą danych jest ten podmiot, któremu ujawnia się dane osobowe, np. podaje się je do wiadomości, przekazuje czy umożliwia zapoznanie z nimi w inny sposób. Nie ma znaczenia, kim jest podmiot, który dane ujawnia (czy jest administratorem danych, procesorem czy nawet osobą nieuprawnioną do przetwarzania danych osobowych).

Pojmowanie odbiorcy danych nie zmieni się więc po 25 maja 2018 r., tj. po rozpoczęciu stosowania RODO w drastyczny sposób (mimo zmiany definicji).