Analizując problemy dotyczące ochrony danych osobowych rzadko wspomina się, że ten obszar należy nie tylko do kompetencji GIODO, ale również prokuratury.
Niedopuszczalne przetwarzanie danych
Przede wszystkim karze podlega już samo przetwarzanie danych osobowych, jeżeli ich przetwarzanie nie jest dopuszczalne (czyli gdy nie są spełnione przesłanki z art. 23 lub art. 27 ustawy o ochronie danych osobowych), albo przez osobę, która nie jest uprawniona do przetwarzania danych (przypomnijmy, że takimi osobami są administrator danych, osoby mające upoważnienie nadane przez administratora oraz podmiot przetwarzający dane na zlecenie administratora). Przetwarzanie danych w celach marketingowych będzie „niedopuszczalne” i karalne, jeżeli osoba, do której dane należą, zgłosi sprzeciw wobec przetwarzania jej danych (zgodnie z art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych). Taki sprzeciw skutkuje bowiem całkowitym zakazem dalszego przetwarzania danych. Co istotne, aby doszło do przestępstwa, przetwarzanie danych musi nastąpić w zbiorze i musi być „umyślne”, co oznacza, że oskarżyciel musi wykazać, że sprawca miał zamiar popełnienia takiego czynu (chciał go popełnić lub przewidując możliwość jego popełnienia – godził się na to). W zależności od tego, czy w sposób niedopuszczalny przetwarzane są dane „zwykłe”, czy „wrażliwe”, sankcję za takie przetwarzanie stanowi grzywna, kara ograniczenia wolności oraz kara pozbawienia wolności do 2 lub 3 lat.
Udostępnienie danych
Nie mniej surowej sankcji (do 2 lat pozbawienia wolności) podlega osoba, która administrując zbiorem danych lub będąc obowiązana do ochrony danych osobowych udostępnia je lub umożliwia dostęp osobom nieupoważnionym (kara jest niższa, jeżeli sprawca działa nieumyślnie). Przestępstwo to może zostać przypisane każdej osobie, która zarządza, zawiaduje zbiorem danych lub danymi w procesie ich przetwarzania (zob. postanowienie Sądu Najwyższego z 11 grudnia 2000 roku, II KKN 438/00; w przypadku gdy administratorem danych jest spółka, osobami odpowiedzialnymi mogą być członkowie zarządu). Czyn może zostać popełniony także osoby fizyczne przetwarzające dane osobowe na podstawie upoważnienia nadanego przez administratora danych lub takie, którym przetwarzanie danych powierzono. Przestępstwo to może zostać popełnione także przez przekazanie danych osobowych podmiotowi z państwa trzeciego wbrew warunkom, o których mowa w ustawie o ochronie danych osobowych. Dla zakwalifikowania danego czynu jako przestępstwa nie ma znaczenia, czy wystąpiła jakakolwiek szkoda po stronie osoby, której dane dotyczą, ani to, czy nieupoważniony podmiot, któremu udostępniono dane, zapoznał się z nimi.
Naruszenie obowiązku zabezpieczenia danych
Chyba najczęściej spotykanym w praktyce czynem przeciwko ochronie danych osobowych jest naruszenie obowiązku ich zabezpieczenia przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem. Również to przestępstwo może popełnić nie tylko administrator danych lub osoba reprezentująca go, ale każda osoba, która danymi osobowymi faktycznie zarządza lub zawiaduje w procesie przetwarzania. Warto pamiętać, że już samo pozostawienie niezabezpieczonej szafy z danymi może wypełniać znamię przestępstwa – nie ma znaczenia, czy ktoś faktycznie próbował się z danymi zapoznać lub uszkodzić je. Sankcją za taki występek jest grzywna, kara ograniczenia wolności lub kara pozbawienia wolności do roku.
Inne czyny
Spotkanie z organami ścigania może też czekać osoby, które nie zgłaszają do rejestracji zbioru danych albo nie wypełniają obowiązku informacyjnego. Mogą one zostać ukarane grzywną, karą ograniczenia wolności lub pozbawienia wolności do roku.
Konsekwencje wyroku karnego
Policyjne statystyki za lata 1999-2011 pokazują, że przestępstwa z ustawy o ochronie danych osobowych są ścigane coraz intensywniej (w tym okresie dwukrotnie wzrosła ilość wszczętych postępowań i stwierdzonych przestępstw). Postępowania w tego typu sprawach przestają być rzadko spotykanym wyjątkiem. Przetwarzając dane osobowe warto mieć zatem na uwadze nie tylko pouczające decyzje GIODO, ale także realne konsekwencje ze strony organów ścigania, zwłaszcza że nawet jeśli sankcja wymierzona przez sąd karny pozornie nie będzie wysoka, to zostanie ona uwidoczniona w Krajowym Rejestrze Karnym, a wyrok karny może stanowić dla poszkodowanego rzetelną podstawę do roszczenia o zadośćuczynienie i odszkodowanie z tytułu naruszenia dóbr osobistych.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Natalia Zawadzka
Adwokat
