C-683/21

Odpowiedź sądu

Instytucja publiczna, która zleciła opracowanie aplikacji mobilnej i uczestniczyła w określaniu celów i sposobów przetwarzania danych, może być uznana za administratora, nawet jeśli sama nie przeprowadziła operacji przetwarzania, nie udzieliła zgody na udostępnienie ani nie nabyła aplikacji, chyba że wyraźnie sprzeciwiła się jej udostępnieniu przed tym faktem.

Uzasadnienie

Definicja administratora jest szeroka i obejmuje podmiot, który wpływa na cele i sposoby przetwarzania dla własnych interesów. Nawet brak faktycznego przetwarzania danych czy formalnego nabycia aplikacji nie wyklucza statusu administratora, jeśli podmiot ten aktywnie uczestniczył w procesie decyzyjnym dotyczącym przetwarzania.

Odpowiedź sądu

Nie, uznanie dwóch podmiotów za współadministratorów nie wymaga istnienia formalnych uzgodnień między nimi dotyczących określania celów i sposobów przetwarzania ani warunków współadministrowania.

Uzasadnienie

Współadministrowanie wynika z faktu wspólnego ustalania celów i sposobów przetwarzania. Obowiązek określenia zakresu odpowiedzialności w drodze uzgodnień pojawia się po zakwalifikowaniu podmiotów jako współadministratorów, a nie jako warunek wstępny.

Odpowiedź sądu

Tak, wykorzystywanie danych osobowych do testowania systemów informatycznych stanowi przetwarzanie w rozumieniu RODO, chyba że dane zostały zanonimizowane lub są fikcyjne.

Uzasadnienie

Definicja przetwarzania jest szeroka i obejmuje wszelkie operacje na danych osobowych. Cel operacji (np. testowanie) nie ma znaczenia dla zakwalifikowania jej jako przetwarzania, o ile dane są danymi osobowymi.

Odpowiedź sądu

Tak, administracyjne kary pieniężne na mocy art. 83 RODO mogą być nakładane wyłącznie wtedy, gdy zostanie wykazane, że administrator dopuścił się naruszenia umyślnie lub nieumyślnie.

Uzasadnienie

Przepisy RODO, w tym art. 83 ust. 2 lit. b), wskazują na umyślny lub nieumyślny charakter naruszenia jako czynnik brany pod uwagę przy nakładaniu kar. Brak winy wyklucza nałożenie kary pieniężnej.

Odpowiedź sądu

Tak, administrator ponosi odpowiedzialność za operacje przetwarzania dokonywane przez podmiot przetwarzający w jego imieniu, chyba że podmiot przetwarzający działał we własnych celach lub poza ramami ustalonymi przez administratora.

Uzasadnienie

Administrator jest odpowiedzialny za przetwarzanie dokonywane w jego imieniu. Jeśli podmiot przetwarzający przekroczy swoje uprawnienia lub działa we własnym celu, sam staje się administratorem w odniesieniu do tego przetwarzania.