Zgodnie z art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

Skarżący wypełnił internetowy wniosek o otwarcie konta i przesłał go do administratora. Zawarł w nim m.in. dane dotyczące swojej osoby, a to: imiona i nazwisko, nazwisko panieńskie matki, nr PESEL, serię i numer dowodu osobistego, datę urodzenia, stan cywilny, adres zamieszkania i numer telefonu mobilnego oraz adres e-mail. Jednocześnie w powyższym wniosku, zakreślił opcjonalne "TAK", na wyrażenie zgody "na przetwarzanie przez m. moich danych osobowych w celach promocji i marketingu działalności prowadzonej m. w tym świadczonych usług oraz oferowanych produktów (zgodnie z art. 23 ust. 2 ustawy o ochronie danych osobowych)". Zauważyć w tym miejscu należy, że stosownie do treści art. 23 ust. 2 ustawy, zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania.

Przepis art. 18 ust. 1 ustawy z 30 sierpnia 1991 r. o zakładach opieki zdrowotnej stanowi, iż zakład opieki zdrowotnej obowiązany jest prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych zakładu, a także musi zapewniać ochronę danych zawartych w owej dokumentacji medycznej. Przepisy wskazują, że dokumentacja medyczna prowadzona przez zakład opieki zdrowotnej powinna w nim być nadal przechowywana po zakończeniu procesu leczenia, czy też nawet po zakończeniu korzystania przez danego pacjenta z usług zakładu.

Dokumentacja przebiegu i efektów kontroli oraz wystąpienia, stanowiska, wnioski i opinie będące rezultatem wykonywania przez kuratora oświaty zadań w zakresie nadzoru pedagogicznego mogą stanowić dane publiczne podlegające udostępnieniu w rozumieniu art. 6 ust. 1 pkt 4 lit. a ustawy o dostępie do informacji publicznej, jako informacja o sprawach publicznych - realizacji przez kontrolowaną w tym trybie placówkę zadań oświatowych określonych w ustawie o systemie oświaty (art. 1 ust. 1 ustawy o dostępie do informacji publicznej) pod warunkiem, że nie zachodzą w danym wypadku okoliczności ograniczające prawo do informacji publicznej, o jakich stanowi jej art. 5 ust. 1 i 2 ustawy o dostępie do informacji publicznej.

Przetwarzanie danych osobowych przez organy realizujące uprawnienia i obowiązki określone w przepisach ustawy o pomocy społecznej, w szczególności w jej art. 2, 3 i 36, jest dopuszczalne wtedy gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych). W omawianym przypadku proces przetwarzania danych skarżącej przez Miejski Ośrodek Pomocy Społecznej w K. jest realizowany wyłącznie w związku z prowadzonymi przez ten Ośrodek postępowaniami dotyczącymi przyznania jej świadczeń z zakresu pomocy społecznej na podstawie ustawy o pomocy społecznej.

Pozycja prokuratora, określona ustawowymi zadaniami, czyni zbędnym nadawanie mu przez administratora danych (czyli kierownika jednostki organizacyjnej) upoważnienia do przetwarzania danych osobowych. Inaczej przedstawia się natomiast sytuacja urzędników i innych pracowników prokuratury. Zasady ich zatrudnienia, obowiązki i prawa, określają odrębne przepisy.

Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy zezwalają na to przepisy prawa. Z chwilą całkowitej spłaty kredytu (zamknięcia rachunku bankowego) kończy się prawne zezwolenie na przetwarzanie danych osobowych tych osób, których rachunki zostały zamknięte – osiągnięty zostaje wówczas cel, w jakim dane te były przetwarzane.

Generalny Inspektor Ochrony Danych Osobowych nie jest organem właściwym do rozstrzygania spraw z zakresu udostępniania danych z ewidencji gruntów i budynków, a jego ewentualne rozstrzygnięcie byłoby dotknięte wadą nieważności, jako wydane z naruszeniem przepisów o właściwości (art. 156 § 1 pkt 1 Kodeksu postępowania administracyjnego.

Jedną z przesłanek legalności przetwarzania danych wymienioną w art. 161 ust 3 Prawa telekomunikacyjnego jest zgoda abonenta na przetwarzanie danych. Organ w toku postępowania poprzedzającego rejestrację danych ma tylko badać czy taka zgoda istnieje.

Uprawnienie do żądania udostępnienia pracownikowi dokumentów (kserokopii) złożonych w jego aktach osobowych nie mieści się w zakresie praw, które przysługują osobie w związku z przetwarzaniem jego danych osobowych, uprawnienia tego należy poszukiwać w treści praw i obowiązków wynikających ze stosunku pracy.

W świetle art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych nie można mówić o niezbędności przetwarzania danych osobowych skarżącej, albowiem żaden przepis prawa nie upoważnia organu prowadzącego szkołę do personifikowania tych danych, które są mu potrzebne do realizacji jego zadań. Dodatkowo, zakładając racjonalność ustawodawcy, trudno byłoby przyjąć, że organ prowadzący szkołę, realizując ustawowe zadania, permanentnie działa w warunkach stanu wyższej konieczności.

Zgodnie z art. 104 ust. 1 pkt 1 ustawy - Prawo bankowe, banki i osoby w nich zatrudnione oraz osoby, za których pośrednictwem bank wykonuje czynności bankowe, są obowiązane zachować tajemnicę bankową, która obejmuje wszystkie wiadomości dotyczące czynności bankowych i osób będących stroną uzyskane w czasie negocjacji oraz związane z zawarciem umowy z bankiem i jej realizacją, z wyjątkiem wiadomości, bez których nie jest możliwe należyte wykonanie zawartej przez bank umowy.

Wskazanie nazwy restauracji nie oznacza jeszcze ujawnienia danych jej właściciela i pracowników. Ustalenie takie wymaga bowiem dodatkowych nakładów i czasu. Przy zmiennym stanie osobowym pracowników nie była możliwa ich identyfikacja, osoby trzecie nie mają bowiem dostępu do dokumentacji pracowniczej. Ustalenie tożsamości właściciela wymagało zwrócenia się do ewidencji działalności gospodarczej, czy też dokonania takich ustaleń w samej restauracji.

Na gruncie ustawy o ochronie danych osobowych administratorem danych osobowych jest jedynie ten podmiot, który decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym - także taki podmiot, który zarządza, zawiaduje (zob. Słownik poprawnej polszczyzny, pod red. W. Doroszewskiego, Warszawa 1994. s. 4) zbiorem danych (art. 50, 51, 54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i powierzonego mu w trybie wskazanym w art. 31 tej ustawy z tym zastrzeżeniem, że odpowiedzialność karna administrującego nie będącego administratorem danych wchodzi w rachubę gdy jego zachowanie - uznane za karalne przez ustawę - wynika z powierzonych mu czynności przetwarzania danych.

Błędnym jest twierdzenie, iż imię i nazwisko oraz stanowiska pracownika państwowego (z wyjątkiem służb specjalnych) lub samorządowego podlega ochronie danych osobowych na podstawie przepisów ustawy o ochronie danych osobowych. Prawo obywatela do uzyskiwania informacji na ten temat stanowi Konstytucja RP w art. 61 ust. 1 stwierdzając m.in., iż "Obywatel ma prawo do uzyskiwania informacji o działalności organów władzy publicznej oraz osób pełniących funkcje publiczne (...)".