Współadministrowanie w relacji B2B (case study)

Jeden z kontrahentów (spółka A) świadczy usługi na rzecz klientów. Drugi natomiast (spółka B) jest właścicielem budynków i środków trwałych, ale też zapewnia monitoring wizyjny. Obydwaj kontrahenci zatrudniają pracowników mających dostęp do tych samych danych osobowych. Pracownicy spółki B dysponują dostępem do nagrań z monitoringu.

Jeżeli mianowicie co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. W drodze wspólnych uzgodnień współadministratorzy w przejrzysty sposób określają odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z RODO (art. 26 RODO).

Aby móc kogoś nazwać współadministratorem danych osobowych, najpierw musi on spełniać definicję „administratora danych osobowych”. Współadministrator to bowiem szczególna kategoria administratora danych osobowych – taki administrator, który wspólnie z innym administratorem ustala cele i sposoby przetwarzania konkretnych danych osobowych.

Z opisu sytuacji wynika, że obydwie firmy przetwarzają dane osobowe we własnym imieniu (w pewnym zakresie są to te same dane osobowe). Są one więc z pewnością administratorami danych osobowych. Ale nie w zakresie wszystkich danych. Spółka B pełni niejako funkcję takiego centrum usług wspólnych czy administrującego zasobami wspólnymi obu spółek. Jeżeli jest właścicielem monitoringu, to z tej racji ma także wyłączny dostęp do nagrań z monitoringu. A to oznacza, że decyduje o celach i sposobach przetwarzania danych z tego monitoringu. Tym samym to spółka B jest administratorem danych osobowych z monitoringu. Jeżeli chciałaby przekazać nagranie spółce A (a spółka ta będzie je przetwarzać w celach oznaczonych przez administratora), to konieczne byłoby zawarcie umowy powierzenia przetwarzania danych, w której spółka A byłaby procesorem.

Jeżeli obie te spółki wspólnie ustalają cele i sposoby przetwarzania (są odrębnymi administratorami w stosunku do konkretnych danych), to mogą zawrzeć uzgodnienia (np. umowę o współadministrowaniu). Sam fakt przetwarzania tych samych danych osobowych nie oznacza jeszcze, że dochodzi do współadministrowania.

W razie braku takich uzgodnień nie dochodzi do współadministrowania. Przykładowo w przypadku monitoringu pracownik spółki B może dane z monitoringu przetwarzać w innym celu i zakresie niż pracownik spółki A. Dane osobowe, nawet jeśli zostały udostępnione, a powierzone do przetwarzania, to w tym zakresie nie są objęte wspólnymi uzgodnieniami. W takim przypadku nie dochodzi więc do współadministrowania.