Powrót do strony głównej „Wytyczne dotyczące ochrony danych dla organizatorów”
Wytyczne dotyczące ochrony danych – pytanie 12
Jakie są zobowiązania administratora danych?
Dotyczy scenariusza 2, z wyjątkiem korzystania z opracowanej przez Komisję usługi wymiany plików
Może się zdarzyć, że przedstawiciel grupy organizatorów będzie musiał wypłacić sygnatariuszom odszkodowanie za wszelkie poniesione szkody materialne (tj. koszty bezpośrednie) lub niematerialne (tj. utrata reputacji, wizerunku) spowodowane przetwarzaniem i wynikające z naruszenia przepisów RODO.
Przykłady:
- W przypadku ujawnienia (umyślnego lub wskutek niedbalstwa) informacji o tym, że pan Kowalski, pracownik i kierownik firmy działającej w branży chemicznej, popiera inicjatywę na rzecz zakazu stosowania pestycydów produkowanych przez jego pracodawcę: może to spowodować szkody materialne takie jak utrata pracy i szkody niematerialne takie jak utrata reputacji lub możliwości zatrudnienia.
- W przypadku ujawnienia zgromadzonych danych grupie organizatorów innej inicjatywy lub organizacji, która wykorzysta je do celów analizy politycznej, profilowania lub lobbyingu: może to spowodować szkody niematerialne.
Odpowiedzialność w tym względzie spoczywa również na podmiocie przetwarzającym, jeśli chodzi o szkody spowodowane przetwarzaniem, w przypadku gdy podmiot ten nie dopełnił obowiązków nałożonych zgodnie z RODO bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom.
Zarówno przedstawiciel, jak i podmiot przetwarzający zostają zwolnieni z odpowiedzialności za szkody spowodowane przetwarzaniem, jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania szkody.
Bez uszczerbku dla odpowiedzialności przedstawiciela członkowie grupy organizatorów ponoszą solidarną odpowiedzialność z tytułu wszelkich szkód spowodowanych przy organizacji inicjatywy za sprawą czynów zabronionych popełnionych umyślnie lub wskutek rażącego niedbalstwa, zgodnie z mającym zastosowanie prawem krajowym.
W przypadku utworzenia podmiotu prawnego w celu zarządzania inicjatywą odpowiedzialność w tym zakresie – wraz z funkcją administratora danych – przenosi się na ten podmiot prawny.
UWAGA:
W ramach scenariusza 1 odpowiedzialność przedstawiciela jest istotnie ograniczona, ponieważ najważniejsze obowiązki w odniesieniu do przetwarzania danych sygnatariuszy przenoszone są na Komisję.
Odniesienia:
- art. 5 rozporządzenia w sprawie europejskiej inicjatywy obywatelskiej
- rozdział VIII RODO
