Kto – dotychczasowy czy nowy administrator danych – powinien spełnić obowiązek informacyjny wobec osób, których dane przetwarza w zbiorze, jeśli zbiór ten został przejęty przez nowego administratora danych?
| Podmiot udostępniający: | Zespół Rzecznika Prasowego Biura GIODO | |
| Wytworzył informację: | Małgorzata Kałużyńska-Jasak | 2010-03-10 |
| Wprowadził‚ informację: | Rafał Kreusch | 2010-02-12 15:20:22 |
| Ostatnio modyfikował: | Robert Czapski | 2013-11-28 12:56:59 |
Odpowiedź
Obowiązek ten ciąży na nowym administratorze danych, który od momentu rozpoczęcia przetwarzania przejętych danych powinien spełnić obowiązek informacyjny, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych.
Uzasadnienie
Zgodnie z art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o: adresie swojej siedziby i pełnej nazwie(imieniu nazwisku, miejscu zamieszkania – w przypadku gdy administratorem jest osoba fizyczna); celu i zakresie zbierania danych, a w szczególności o tym komu zostały one przekazane; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania, a także o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Do tych uprawnień zalicza się prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację (pkt 7) oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych (pkt 8). Spełnienie obowiązku informacyjnego wiąże się z przekazaniem osobie, której dane dotyczą, takich informacji, które umożliwią jej skorzystanie z przysługujących uprawnień, np. wspomnianego prawa do wniesienia sprzeciwu wobec przetwarzania jej danych, czy ewentualnej skargi na administratora danych.
Przejęcie zbioru przez nowego administratora danych powoduje zaprzestanie przetwarzania danych w dotychczasowym zbiorze. W takiej sytuacji dotychczasowy administrator kończy prowadzenie zbioru i przestaje być administratorem danych przetwarzanych w tym zbiorze. Ma on w związku z tym obowiązek poinformowania o tym Generalnego Inspektora Ochrony Danych Osobowych, który – na podstawie art. 44a pkt 1 ustawy – (po przeprowadzeniu postępowania administracyjnego w tej sprawie), wydaje decyzję o wykreśleniu zbioru z rejestru zbiorów danych osobowych. Natomiast nowy administrator po przejęciu danych osobowych może utworzyć nowy zbiór albo włączyć przejęte dane do innego prowadzonego przez siebie zbioru. Przykładowo, dane osobowe klientów ośrodka szkolno-wypoczynkowego, w związki z jego sprzedażą, zostały przekazane nowemu właścicielowi. Od momentu rozpoczęcia przetwarzania przejętych danych przez nowego administratora powinien on zrealizować wszystkie obowiązki wynikające z przepisów dotyczących ochrony danych osobowych, w tym m.in. obowiązek informacyjny określony w art. 25 ustawy o ochronie danych osobowych, obowiązek prawidłowego zabezpieczenia danych osobowych (art. 36-39a), czy obowiązek zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych.



