Kto jest administratorem danych osobowych przetwarzanych w urzędzie wojewódzkim?

Zwracam się z prośbą o opinię na temat prawidłowości zakwalifikowania wojewody jako administratora danych osobowych przetwarzanych w związku z realizacją wszystkich zadań przypisanych wojewodzie oraz związanych z funkcjonowaniem urzędu, realizowanych przez pracowników urzędu (oczywiście poza zadaniami przypisanymi ustawowo innym podmiotom, np. Komisji ds. orzekania o zdarzeniach medycznych). Czy sam wojewoda, czy może jednak wojewoda i dyrektor generalny urzędu są administratorami danych osobowych w urzędzie wojewódzkim?

Na wstępie - dla porządku - należy wskazać, że administratorem – w rozumieniu przepisów RODO (art. 4 pkt 7) – jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. W efekcie, pojęcie administratora ma bardzo szeroki zakres znaczeniowy, gdyż może nim być w zasadzie każdy podmiot, o ile ustala cele i sposoby przetwarzania danych osobowych.

W przypadku podmiotów szeroko rozumianego sektora publicznego podmiot będący administratorem może być wprost wskazany w konkretnym przepisie prawa, jednak najczęściej ma miejsce sytuacja, w której wskazanie podmiotu pełniącego tę rolę wymaga analizy przepisówstanowiących podstawę przetwarzania danych osobowych. O tym, czy dany organ jest administratorem, decyduje przede wszystkim rodzaj i charakter nadanych mu przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania.

W zależności więc od danych, które są przetwarzane, oraz podstawy prawnej przetwarzania i kompetencji poszczególnych podmiotów (organów) do przetwarzania, administratorem może być urząd, organ albo np. jednostka samorządu terytorialnego.

Rozstrzygając więc, który podmiot jest w danej sytuacji administratorem w odniesieniu do konkretnych danych osobowych,należy dokonać analizy przepisów prawa określających zadania podmiotów lub organów publicznych, dla których realizacji niezbędne jest przetwarzanie danych osobowych. Ocena będzie zależała od tego, o jakie dane osobowe oraz o jakie zadania chodzi w określonym przypadku.

W odniesieniu do urzędu wojewódzkiego pomocniczo można wskazać, że co do zasady w przypadku przetwarzania danych pracowników lub kandydatów do pracy administratorem jest jednostka organizacyjna będąca pracodawcą w rozumieniu prawa pracy (w przypadku pracowników urzędu wojewódzkiego pracodawcą jest ten urząd), natomiast - wobec danych interesantów (w tej samej jednostce organizacyjnej) za administratora może być uznany właściwy do realizacji określonych zadań (podejmowania decyzji, uchwał) - organ jednoosobowy lub kolegialny. W tym przypadku organem takim będzie zazwyczaj wojewoda, nie zaś dyrektor generalny. Dyrektor generalny urzędu co do zasady dokonuje jedynie pewnych czynności w imieniu kierownika jednostki, a nie w swoim własnym. Regulamin organizacyjny, plany działalności i inne wewnętrzne dokumenty warunkujące cel przetwarzania danych zatwierdza kierownik jednostki, a nie dyrektor generalny. Ponadto dyrektor również sam nie decyduje o sposobach przetwarzania, gdyż np. kwestie finansowe, muszą być zatwierdzone przez kierownika jednostki, co w znaczący sposób determinuje możliwość samodzielnego decydowania w tym zakresie.

2020-08-25