RODO-gorączka w centrach handlowych

Kiedy wszystkich ogarnęła RODO-gorączka, niektórzy przedsiębiorcy zaczęli masowo zawierać umowy o powierzenie przetwarzania danych osobowych. Praktykę taką stosowali także niektórzy najemcy, twierdząc że są administratorami danych osobowych swoich pracowników, w związku z czym wynajmujący, któremu te dane są udostępniane w trakcie trwania umowy najmu, jest ich procesorem.

Na pytanie, kto jest kim, odpowiadają nam same przepisy Rozporządzenia. Podmiot, który decyduje o celach i środkach przetwarzania danych jest bowiem ich administratorem (art. 4 pkt 7, RODO). Jest to jedyne i zarazem decydujące kryterium.

W związku z powyższym, jeżeli wynajmujący wymaga przedstawienia i aktualizowania przez najemcę listy osób kontaktowych, wprowadza i utrzymuje funkcjonowanie w budynku kart dostępu do pracowników najemców, używa formularzy awizacji, poprzez które również zbiera dane osobowe osób wykonujących prace, to jest on administratorem tych danych, ponieważ to on zadecydował o tym, że te dane będą gromadzone oraz określił cele i sposoby ich przetwarzania.

Odnosząc powyższe uwagi do szerszego katalogu umów (a w zasadzie do zawierania jakichkolwiek umów), obie strony są administratorem danych osobowych osób kontaktowych, reprezentantów, pracowników drugiej strony, które otrzymają w związku z realizacją umowy. Druga strona oczywiście jest administratorem danych swoich pracowników, ale w związku z ich zatrudnieniem. Nie ma natomiast żadnego wpływu na przetwarzanie danych swoich pracowników (adresów mailowych, numerów telefonu) przez kontrahenta.

Sięgając znowu do przepisów, RODO ma zastosowanie do operacji przetwarzania dokonywanych na zbiorach danych. Punktem odniesienia jest zatem właśnie zbiór danych (którym będą np. kontakty w skrzynce mailowej kontrahenta) a nie abstrakcyjna kategoria osób (pracownicy firmy X). Pamiętając o tej zasadzie, jasne będzie, że firma X nie ma wpływu na to, z jakiego oprogramowania korzysta kontrahent kontaktując się z pracownikami firmy X, w związku z czym w tym zakresie nie może być administratorem tych danych (nie decyduje o środkach przetwarzania). Jednocześnie obie strony będą przetwarzały dane, które otrzymają w takim samym celu (w celu wykonania umowy), ale każda z nich będzie w tym zakresie realizować swoje własne prawa i obowiązki.