Czy przetwarzanie danych przedsiębiorców będzie łatwiejsze?
Dodano: 15-02-2016 w kategorii: Zasady przetwarzania danych osobowych, Obowiązki ADO i ABI, Kontrola GIODO. Dodane przez: Marta Kwiatkowska-Cylke.

W obszarze ochrony danych osobowych, zarówno na poziomie ustawodawstwa unijnego jak i krajowego, nie możemy ostatnio narzekać na nudę. Tym razem przedstawiamy zmiany uchwalone w ustawie z dnia 25 września 2015 r. o zmianie ustawy o swobodzie działalności gospodarczej oraz niektórych innych ustaw (Dz. U. 2015. 1893). Zmiany te wejdą w życie 19 maja 2016 r. i zmodyfikują zasady przetwarzania danych osobowych przedsiębiorców prowadzących działalność gospodarczą.

Powrót do przeszłości?

Nowelizacja wprowadzi do ustawy o swobodzie działalności gospodarczej art. 39b w następującym brzmieniu: „Do jawnych danych i informacji udostępnianych przez CEIDG nie stosuje się przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 i 1662 oraz z 2015 r. poz. 1309), z wyjątkiem przepisów art. 14-19a i art. 21-22a oraz rozdziału 5 tej ustawy".

Analizując oczekujące na wejście w życie przepisy warto odnieść się do archiwalnych norm, które obowiązywały do 31 grudnia 2011 r. Ówczesny art. 7a ust. 2 prawa działalności gospodarczej przewidywał, iż Ewidencja Działalności Gospodarczej (a więc poprzednik CEIDG) jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Przepis ten był interpretowany jako całkowite zniesienie obowiązku stosowania UODO w stosunku do danych przedsiębiorców.

Należy podkreślić, że takie całkowite wyłączenie UODO na gruncie nowych przepisów nie będzie możliwe. Z wprowadzonego do ustawy przepisu wynikają dwie podstawowe zasady przetwarzania danych osobowych przedsiębiorców.

Nie wszystkie dane podlegają wyłączeniu

Przede wszystkim zwolnienie z obowiązku stosowania UODO dotyczy jedynie takich danych i informacji o przedsiębiorcy, które są jawne i udostępniane przez CEIDG. Dlatego nie wszystkie dane osobowe przedsiębiorcy przetwarzane przez administratora danych osobowych będą podlegać zwolnieniu, a tylko te ujawnione w CEIDG.

Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG) udostępnia dość szeroki zakres danych o tych przedsiębiorcach, oczywiście w zakresie wskazanym w ustawie. Zgodnie z art. 37 ustawy o swobodzie działalności gospodarczej CEIDG udostępnia dane określone w art. 25 ww. ustawy z wyjątkiem numeru PESEL, daty urodzenia oraz adresu zamieszkania przedsiębiorcy, o ile nie jest on taki sam jak miejsce wykonywania działalności gospodarczej.

W związku z powyższym jawne mogą być – jeśli zostaną ujawnione w CEIDG - m.in. numer identyfikacyjny REGON, numer identyfikacyjny NIP, informacja o obywatelstwie polskim przedsiębiorcy, data rozpoczęcia działalności gospodarczej, adres poczty elektronicznej przedsiębiorcy oraz jego strony internetowej, informacje o istnieniu lub ustaniu małżeńskiej wspólności majątkowej, określenie przedmiotów wykonywanej działalności, informacja o wykreśleniu z CEIDG.

Kontrola GIODO

Należy również pamiętać, że podmiotu przetwarzający dane pobrane z CEIDG nadal będzie podlegał kontroli GIODO i będzie obowiązany do zabezpieczenia danych i informacji uzyskanych z CEIDG zgodnie z wymogami określonymi w UODO.

Problemy ze stosowaniem nowych regulacji

Na gruncie nowych przepisów powstać może sytuacja, w której dane o konkretnym przedsiębiorcy będą podlegały pod dwa rodzaje regulacji. Część informacji będzie kwalifikowana jako podlegająca wyłączeniu na podstawie art. 39 b ustawy o swobodzie działalności gospodarczej, a w część będzie traktowana jako dane osobowe podlegające w całości regulacji UODO. Z takim przypadkiem będziemy mieć do czynienia gdy obok danych dotyczących firmy przedsiębiorcy, miejsca prowadzenia przez niego działalności, numeru NIP będziemy przetwarzać numer telefonu oraz adres mailowy nie ujawniony w CEIDG. Dane w zakresie numeru telefonu oraz adresu mailowego nie będą podlegały zwolnieniu, bowiem nie zostały udostępnione przez CEIDG, a uzyskane z innych źródeł.

Istnieje ryzyko, że administratorzy danych osobowych nie zwrócą uwagi na ten niuans i potraktują wprowadzane przepisy jako podstawę do dowolnego przetwarzania wszystkich danych o przedsiębiorcach bez względu na źródło ich pozyskania oraz zakres zgormadzonych informacji. Można zakładać, że doprowadzi to do dużej liczby naruszeń zasad ochrony danych osobowych.

dane osobowe , kontrola GIODO , przetwarzanie danych