Firmele de contabilitate, HR, SSM&PSI, Medicina Muncii, gazduire backup de date si pagini de web sunt considerate operatori imputerniciti?

Regulamentul (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a directivei 95/46/CE defineste notiunile de operator si persoana imputernicita de operator, astfel:

- operator inseamna persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care, singur sau impreuna cu altele, stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal;
- persoana imputernicita de operator inseamna persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care prelucreaza datele cu caracter personal in numele operatorului.

Astfel, operatorul este acea entitate care, pentru desfasurarea activitatii sale, prelucreaza date cu caracter personal in sensul ca el este cel care stabileste/decide care este scopul si modalitatile de prelucrare a datelor cu caracter personal.

In acest context, apreciem ca societatile de contabilitate si de resurse umane au calitatea de persoana imputernicita de operator, deoarece acestea prelucreaza datele personale primite de la operator in scopurile stabilite de acesta (realizarea evidentei contabile a operatorului si a evidentei muncii). De asemenea, apreciem ca si in cazul serviciilor SSM si PSI este vorba de calitatea de persoana imputernicita de operator a acestor prestatori.

Apreciem ca, in sensul Regulamentului 679/2016, furnizorul de servicii de medicina muncii nu are calitatea de persoana imputernicita de operator (angajatorul care l-a contractat), intrucat in acest caz, scopul si mijloacele prelucrarii sunt diferite de cele ale angajatorului, in sensul ca scopul este legat de stabilirea starii de sanatate a unei persoane, iar mijloacele de prelucrare sunt specifice furnizorilor de servicii medicale si astfel, practic, scopurile si mijloacele prelucrarii sunt stabilite de furnizorul de servicii medicale.

Referitor la prestatorii de servicii suport IT si gazduire backup de date si pagini de web, intrucat acest domeniu nu este unul reglementat (spre deosebire de celelalte, mentionate mai sus, care se desfasoara conform unor prevederi legale specifice), calitatea de persoana imputernicita trebuie analizata in functie de faptul daca operatorul este cel care stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal. In aceasta situatie, prestatorii de astfel de servicii au calitatea de persoana imputernicita.