Spółka amerykańska, która nie ma jednostek organizacyjnych w UE – w jakim języku prowadzi rejestr czynności przetwarzania

Spółka amerykańska (nieposiadająca jednostki organizacyjnej na terenie UE), która oferuje osobom przebywającym w Unii usługi i towary online i w związku z tym przetwarza ich dane osobowe, powinna ustanowić przedstawiciela administratora danych. Zgodnie z RODO przedstawiciel administratora danych musi mieć siedzibę w państwie członkowskim, w którym przebywają podmioty danych, których dane osobowe są przetwarzane w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane. W związku z tym spółka amerykańska powinna wyznaczyć swoich przedstawicieli w każdym z tych państw członkowskich UE, w którym przebywają osoby, których dane dotyczą, a których dane osobowe przetwarza w związku z oferowaniem im towarów lub usług.

Administrator danych powinien wyznaczyć swojego przedstawiciela w sposób wyraźny, najlepiej za pomocą pisemnego upoważnienia do podejmowania działań w jego imieniu. Zadaniem przedstawiciela jest wykonywanie zadań zgodnie z otrzymanym upoważnieniem i w zakresie określonym w RODO. Przede wszystkim chodzi o reprezentowanie administratora wobec organu nadzorczego w związku z obowiązkami administratora, które wynikają z przepisów RODO. Ponadto jest on osobą, do której mogą się zwracać – oprócz lub zamiast do administratora – w szczególności organy nadzorcze i osoby, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem.

Obowiązkiem przedstawiciela administratora danych jest m.in. prowadzenie rejestru czynności przetwarzania danych osobowych oraz rejestru wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora (art. 30 RODO). Ze sformułowania art. 30 RODO wynika, że obowiązek prowadzenia rejestrów obciąża każdego przedstawiciela administratora danych. Oznacza to, że każdy z przedstawicieli powołanych przez administratora danych musi prowadzić własne rejestry zgodnie z wytycznymi RODO. Rejestry te powinny mieć formę pisemną, przy czym dopuszczalna jest także forma elektroniczna.

Jeśli chodzi o język, w jakim takie rejestry powinny być prowadzone, to kwestia ta nie została wprost uregulowana w RODO. Jednakże analizując postanowienia rozporządzenia, można dojść do wniosku, że zalecane jest, aby był to język właściwy dla danego państwa członkowskiego, aby uniknąć wątpliwości co do jego treści i zawartości. Przedstawiciel administratora danych ma bowiem obowiązek udostępnienia rejestru organowi nadzorczemu na każde jego żądanie (art. 30 ust. 4) i może być adresatem ewentualnych działań organu nadzorczego.