Operator wyszukiwarki jest administratorem danych osobowych w zakresie czynności przetwarzania jakim jest odsyłanie do strony zawierającej dane osobowe i wyświetlanie tego linku na liście wyników. Tym samym podlega regulacji przepisów o ochronie danych osobowych, w tym w zakresie spełniania przesłanek legalizacyjnych przetwarzania i zakazu przetwarzania danych osobowych wrażliwych

Zgodnie z definicją określoną w art. 7 pkt 4 ustawy administratorem danych osobowych jest ten, kto decyduje o celach i środkach. Tak więc, jeżeli zarówno z innych postanowień umowy jak i samego procesu przetwarzania danych wynika, iż podmiot wskazany w umowie jako ten, któremu powierzono przetwarzanie danych, w rzeczywistości decyduje o celach i środkach, należy uznać iż administratorem danych jest właśnie ten podmiot.

Przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo.

Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 ustawy o ochronie danych osobowych, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie.

Należy wskazać, że zgodnie z art. 47 ust. 1 ustawy o ochronie danych osobowych, przekazanie danych osobowych do państwa trzeciego może nastąpić, jeżeli państwo docelowe zapewnia na swoim terytorium odpowiedni poziom ochrony danych osobowych.

Administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnie z tymi celami, z zastrzeżeniem ust. 2 ustawy o ochronie danych osobowych.

Zgodnie z art. 22 ust. 4 1 rozporządzenia Ministra Zdrowia z dnia 19 kwietnia 2013r. w sprawie Systemu Rejestru Usług Medycznych Narodowego Funduszu Zdrowia administratorem danych przetwarzanych w Systemie RUM – NFZ jest minister właściwy do spraw zdrowia.

Generalny Inspektor Ochrony Danych Osobowych odmawia rejestracji zgłoszonego zbioru danych, jeżeli nie zostały spełnione wymogi określone w art. 41 ust. 1 ustawy o ochronie danych osobowych. Każdy administrator danych, bez względu na kategorię przetwarzanych danych oraz zagrożenia, ma obowiązek spełnić wymogi wskazane wprost w przepisach art. 36-39 powyższej ustawy.

Przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. Nie ma jednak dobra publicznego w ujawnianiu, bez zgody osoby, której dane dotyczą, danych osobowych osoby, która była oskarżona o popełnienie przestępstwa, ale postępowanie wobec niej zostało umorzone. W interesie publicznym jest, aby osoba, której organy państwa postawiły zarzuty, ale nie wykazały ich zasadności, nie ponosiła w związku z tym żadnych dodatkowych dolegliwości.

Ustawę o ochronie danych osobowych stosuje się również do osób fizycznych, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową lub zawodową. Ustawa ta nie ogranicza bowiem zastosowania jej przepisów do osób fizycznych, które mają zarejestrowaną działalność gospodarczą ale obejmuje swoim działaniem wszelkie przejawy aktywności związane z przetwarzaniem danych osobowych przez osobę fizyczną, które pozostają w związku z jej działalnością zarobkową lub zawodową. Działalność ta nie musi być wykonywana w sposób ciągły i zorganizowany.

Administrator danych obowiązany jest udzielić, w terminie 30 dni w formie zrozumiałej wnioskowanych przez osobę, której dane dotyczą, informacji. Odpowiedzi tej administrator obowiązany jest udzielić, nawet jeśli miałaby być to odpowiedź negatywna, oznaczająca, iż danych danej osoby nie przetwarza.

Na gruncie ustawy o ochronie danych osobowych administratorem danych osobowych jest jedynie ten podmiot, który decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym - także taki podmiot, który zarządza, zawiaduje (zob. Słownik poprawnej polszczyzny, pod red. W. Doroszewskiego, Warszawa 1994. s. 4) zbiorem danych (art. 50, 51, 54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i powierzonego mu w trybie wskazanym w art. 31 tej ustawy z tym zastrzeżeniem, że odpowiedzialność karna administrującego nie będącego administratorem danych wchodzi w rachubę gdy jego zachowanie - uznane za karalne przez ustawę - wynika z powierzonych mu czynności przetwarzania danych.

W świetle przepisów, ZTM jako przewoźnik był uprawniony do pozyskiwania danych osobowych Skarżącego jako osoby, która podróżowała środkiem komunikacji publicznej bez ważnego biletu.

Pozycja prokuratora, określona ustawowymi zadaniami, czyni zbędnym nadawanie mu przez administratora danych (czyli kierownika jednostki organizacyjnej) upoważnienia do przetwarzania danych osobowych. Inaczej przedstawia się natomiast sytuacja urzędników i innych pracowników prokuratury. Zasady ich zatrudnienia, obowiązki i prawa, określają odrębne przepisy.

Decyzje o celach i środkach przetwarzania danych osobowych pasażerów w każdym przypadku należą tylko i wyłącznie do przewoźnika. W konsekwencji, status administratora danych pasażerów zawsze będzie przysługiwał przewoźnikowi.