Administrator danych a podmioty trzecie

Odpowiedź:

W myśl art. 31 ust. 1 Ustawy o ochronie danych osobowych,  administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Dane te mogą być jednak przetwarzane wyłącznie w zakresie i celu przewidzianym w umowie. Odnosząc te uwagi do sytuacji opisanej w pytaniu należy uznać, że uczelnia winna zawrzeć z samorządem studenckim umowę, której treść powinna obejmować zakres i warunki przetwarzania danych osobowych. Zgodnie z Ustawą podmiot upoważniony do przetwarzania danych (samorząd uczelni) winien przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych oraz spełnić wymagania określone w przepisach szczególnych. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.

Gdy chodzi zaś o kwestię odpowiedzialności obu podmiotów, odpowiedzialność za przestrzeganie przepisów Ustawy o ochronie danych osobowych spoczywa na administratorze danych (organie, jednostce organizacyjnej, podmiocie lub osobie decydujących o celach i środkach przetwarzania danych osobowych), co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową. Wynika z tego, że nie jest najbardziej istotną kwestia uznania, kto jest administratorem danych w rozumieniu ustawy, zwrócić bowiem należy uwagę na usytuowanie odpowiedzialności wobec osób trzecich, która dla podmiotu upoważnionego kształtuje się na takich samych zasadach, jak w przypadku administratora danych.