Definicja art. 4 pkt 17 RODO

„Przedstawiciel” oznacza osobę fizyczną lub prawną mającą miejsce zamieszkania lub siedzibę w Unii, która została wyznaczona na piśmie przez administratora lub podmiot przetwarzający na mocy art. 27 do reprezentowania administratora lub podmiotu przetwarzającego w zakresie ich obowiązków wynikających z [RODO]. 

Kto może być przedstawicielem?

•      Osoba fizyczna mająca miejsce zamieszkania w UE
•       Osoba prawna mająca siedzibę w UE

Kto może wyznaczyć przedstawiciela?

•      Administrator niemający jednostki organizacyjne w UE
•       Podmiot przetwarzający niemający jednostki organizacyjnej w UE

którzy przetwarzają dane osobowe osób znajdujących się w Unii Europejskiej, a ich przetwarzanie będzie objęte tzw. terytorialnym zasięgiem stosowania przepisów RODO.

Inaczej rzecz ujmując, jeżeli administrator lub podmiot przetwarzający, który nie posiada jednostki organizacyjnej w UE przetwarza dane osobowe osób znajdujących się w Unii Europejskiej, albowiem czynności przetwarzania są związane z:

•        oferowaniem towarów lub usług takim osobom, których dane dotyczą w Unii Europejskiej (płatnie lub nieodpłatnie), lub
•        monitorowaniem ich zachowania, o ile do zachowania tego dochodzić będzie w Unii Europejskiej.

Więcej na temat terytorialnego zasięgu stosowania RODO – zob. Zasięg terytorialny stosowania RODO 

W jakim celu wyznacza się przedstawiciela?

Administrator lub podmiot przetwarzający niemający jednostki organizacyjnej w UE wyznacza przedstawiciela do reprezentowania ich w zakresie realizacji ich obowiązków wynikających z RODO.

Zadania przedstawiciela:

Głównym zadaniem przedstawiciela jest ułatwienie komunikacji pomiędzy administratorem/podmiotem przetwarzającym a osobami, których dane osobowe są przetwarzane lub organem nadzorczym. Chodzi o to, by podmioty danych mogły zwracać się do przedstawiciela we wszystkich sprawach związanych z przetwarzaniem danych osobowych. Przedstawiciel powinien wykonywać swoje zadania zgodnie z udzielonym przez administratora lub podmiotu przetwarzającego upoważnieniem, w tym współpracować z organem nadzorczym w odniesieniu do wszelkich działań służących zapewnieniu przestrzegania przepisów RODO.

Motyw 80 RODO (fragment)

 

Administrator lub podmiot przetwarzający powinien wyznaczyć przedstawiciela w wyraźny sposób za pomocą pisemnego upoważnienia do podejmowania działań w jego imieniu w odniesieniu do obowiązków administratora lub podmiotu przetwarzającego wynikających z niniejszego rozporządzenia.

 Czy zawsze trzeba wyznaczać przedstawiciela?

Nie. RODO przewidziało okoliczności, po zaistnieniu, których nie trzeba wyznaczać przedstawiciela.

Wyjątki!

Zgodnie z art. 27 ust. 2 RODO, administrator lub podmiot przetwarzający, o którym mowa wyżej, nie musi wyznaczać swojego przedstawiciela, w dwóch przypadkach:

•       po pierwsze, gdy przetwarzanie danych osobowych:
• •  ma charakter sporadyczny,
  • nie obejmuje – na dużą skalę – przetwarzania szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, ani przetwarzania danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO,
  • jest mało prawdopodobne, by ze względu na swój charakter, kontekst, zakres i cele powodowało ryzyko naruszenia praw lub wolności osób fizycznych.

Wskazane powyżej przesłanki muszą wystąpić łącznie.

•        po drugie, w sytuacji, gdy administrator jest organem lub podmiotem publicznym.

Uwaga! Nie ma obowiązku zgłaszania przedstawiciela do organu nadzorczego, ale należy poinformować osoby, której dane osobowe są przetwarzane o wyznaczeniu przedstawiciela podając jego tożsamość i dane kontaktowe (art. 13 ust. 1 lit. a i art. 14 ust. 1 lit. a RODO). W ten sposób spełniony jeden z kilku elementów obowiązku informacyjnego.

Więcej na temat przedstawiciela zob. – Przedstawiciel administratora danych osobowych

Źródła:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE z 2016 r., L 119/1 ze zm.)
2. Komentarz do art. 4 rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, pod red. P. Figielski, Wydawnictwo Wolters Kluwer Polska, Warszawa 2018, Lex
3. komentarz do art. 4 [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa, D. Lubasz, Wydawnictwo Wolters Kluwer, Warszawa 2018, Lex
4. Grupa Robocza Art. 27 Ds. Ochrony Danych, Wytyczne dotyczące inspektorów ochrony danych (‘DPO’), WP 243 rew.01, przyjęte w dniu 13 grudnia 2016 r. Ostatnio zmienione i przyjęte w dniu 5 kwietnia 2017 r. https://uodo.gov.pl/data/filemanager_pl/15.pdf, 11.04.2020 r.