Pytanie o to kogo należy uznać za administratora danych osobowych w akcji promocyjnej pojawia się stosunkowo często w praktyce prawa reklamy i w marketingu. Znajduje ono zastosowanie wówczas, gdy akcję realizuje podmiot trzeci (zazwyczaj agencja marketingowa) na rzecz swojego klienta. W takim ujęciu sponsor akcji formalnie jedynie zleca przeprowadzenie akcji, natomiast agencja na podstawie odrębnej umowy zajmuje się wszystkimi czynnościami wykonawczymi akcji we własnym imieniu. Może być przy tym tak, że akcja dotyczy osób, które są już w bazie danych osobowych sponsora, ale akcja może być też skierowana do osób trzecich, konsumentów, nieznanych jeszcze kontrahentowi.
Kto więc będzie administratorem danych osobowych w każdym z tych przypadków? Odpowiedź brzmi: „Generalnie zawsze będzie nim sponsor akcji, a w określonych przypadkach dodatkowo może być nim również agencja marketingowa”.
Dlaczego sponsor akcji jest administratorem danych, chociaż formalnie to nie on prowadzi akcję? Wynika to z treści art. 7 ust. 4 ustawy o ochronie danych osobowych, który definiuje podmiot administratora danych osobowych. Jest nim podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych. Należy zauważyć, że generalnie w relacjach sponsor (klient) – agencja marketingowa to realnie sponsor wyznacza kierunek akcji i finalnie decyduje o zasadach prowadzenia akcji i zastosowanych do tego środkach. Generalnie podejmowanie decyzji z uwagi na łączącą klienta z agencją stosunek cywilnoprawny, należy do klienta. Tym samym to sponsor (klient), a nie agencja, spełnia ustawowe przesłanki kwalifikujące go do miana administratora danych osobowych,
Agencja zazwyczaj będzie przetwarzać dane, jako podmiot, któremu powierzono przetwarzanie danych na podstawie art. 31 ustawy o ochronie danych osobowych. Więcej na ten temat przeczytasz tutaj.
W określonych przypadkach jednak również agencja może być uznawana za administratora danych osobowych (na gruncie ustawy możliwe jest, aby dwa podmioty były jednocześnie administratorami w zakresie przetwarzania tych samych danych osobowych). Z sytuacją taką będziemy mieli do czynienia w szczególności wówczas, gdy agencja będzie przetwarzała uzyskane dane, nie tylko na zlecenie klienta, ale również w innym celu. Sytuacji, które mogą uzasadniać taki stan rzeczy może być tutaj wiele.
