Podmiot przetwarzający

Podmiot przetwarzający to podmiot, który wykonuje operacje na danych osobowych na rzecz administratora i zgodnie z rolą wyznaczoną przez administratora. Pojęcie to nie opisuje wyłącznie prywatnej firmy ani konkretnej formy organizacyjnej. W tej roli może występować osoba fizyczna, osoba prawna, organ władzy publicznej, jednostka organizacyjna albo inny podmiot, o ile faktycznie przetwarza dane w imieniu administratora.

Najważniejszą przesłanką jest więc połączenie dwóch elementów: przetwarzania danych osobowych oraz działania w imieniu administratora. Sam fakt, że dany podmiot ma dostęp do danych albo wykonuje czynności związane z ich obsługą, nie wyjaśnia jeszcze jego roli. Istotne jest to, że realizuje przetwarzanie na rzecz administratora, a nie jako podmiot określający własny, niezależny cel takiego działania. Podmiot przetwarzający jest zatem wykonawcą czynności dotyczących danych, natomiast administrator pozostaje podmiotem, w którego imieniu te czynności są podejmowane.

Definicja zawarta w ustawie „Ochrona danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości” służy uporządkowaniu ról występujących przy przetwarzaniu danych osobowych. Pozwala wskazać, kto działa po stronie administratora i kto faktycznie wykonuje określone operacje na danych. Ma to znaczenie zwłaszcza wtedy, gdy przetwarzanie nie jest wykonywane bezpośrednio przez administratora, lecz przez inny podmiot.

W praktyce rozpoznanie podmiotu przetwarzającego pomaga ustalić, komu powierzono czynności związane z danymi oraz jak przebiega podział zadań między administratorem a wykonawcą tych czynności. Znaczenie ma nie nazwa podmiotu, jego forma prawna ani samo posiadanie danych, lecz rzeczywisty sposób działania i związek z administratorem. Pojęcie to wyznacza więc funkcjonalną rolę podmiotu uczestniczącego w przetwarzaniu danych w obszarze objętym ustawą, w tym w działaniach związanych z zapobieganiem i zwalczaniem przestępczości.