Nie każdy administrator musi zgłaszać zbiory!
W poprzednim poście pisaliśmy o obowiązku zgłaszania zbiorów do rejestru, prowadzonego przez Generalnego Inspektora Danych Osobowych. Dzisiejszy post poświęcony jest natomiast zwolnieniu z ogólnego obowiązku rejestracji. Ustawodawca przyjmuje, iż w pewnych przypadkach przetwarzanie określonych zbiorów danych jest tak oczywiste i nierozerwalnie związane z daną działalnością, że obowiązek z art. 40 można w nich znieść.
Katalog zwolnień z obowiązku rejestracji znaleźć można w art. 43 ust. 1, zgodnie z którym nie muszą rejestrować zbiorów administratorzy danych:
- zawierających informacje niejawne,
- które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy,
- organów uprawnionych do tych czynności,
- przetwarzanych przez właściwe organy dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym,
- przetwarzanych przez Generalnego Inspektora Informacji Finansowej,
- przetwarzanych przez właściwe organy na potrzeby udziału Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym,
- przetwarzanych przez właściwie organy na podstawie przepisów o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej,
- dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego,
- przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się,
- dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta,
- tworzonych na podstawie przepisów dotyczących wyborów do Sejmu, Senatu, Parlamentu Europejskiego, rad gmin, rad powiatów i sejmików województw, wyborów na urząd Prezydenta Rzeczypospolitej Polskiej, na wójta, burmistrza, prezydenta miasta oraz dotyczących referendum ogólnokrajowego i referendum lokalnego,
- dotyczących osób pozbawionych wolności na podstawie ustawy, w zakresie niezbędnym do wykonania tymczasowego aresztowania lub kary pozbawienia wolności,
- przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej,
- powszechnie dostępnych,
- przetwarzanych w celu przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego,
- przetwarzanych w zakresie drobnych bieżących spraw życia codziennego.
Jak interpretować powyższe zwolnienia?
Pamiętać należy, że zwolnienie z obowiązku rejestracji zbioru nie oznacza zwolnienia z pozostałych obowiązków, wynikających z ustawy o ochronie danych osobowych. Podmiot, korzystający ze zwolnienia na gruncie art. 43 ust. 1 nadal obciążony jest obowiązkiem poszanowania zasad przetwarzania danych osobowych, zapewnienia ich przetwarzania na podstawie przesłanek legalizacyjnych, obowiązkiem informacyjnym czy też obowiązkiem należytego zabezpieczenia danych osobowych.
Ponadto, podkreślić należy, że w/w przypadki zwolnienia z obowiązku rejestracji zbiorów stanowią wyjątek od ogólnej zasady, zgodnie z którą każdy administrator danych musi zgłaszać przetwarzane przez siebie zbiory. Tym samym, każde ze wskazanych zwolnień należy interpretować wąsko. Błędnym jest szerokie interpretowanie przesłanek zwolnienia z obowiązku rejestracji. Zbiór nie podlega rejestracji tylko i wyłącznie wtedy, gdy administrator ma do czynienia z jednym z przypadków wskazanych wprost w art. 43 ust. 1 ustawy o ochronie danych osobowych.
Omówienie przykładów zwolnień
Jednym z najważniejszych i najczęściej wykorzystywanych przypadków, w którym administrator korzysta z wyłączenia obowiązku rejestracji, jest przypadek opisany w art. 43 ust. 1 pkt 4 ustawy. Zgodnie z powołanym przepisem, zwolniony z rejestracji zbioru jest administrator danych przetwarzanych w związku z zatrudnieniem u niego, świadczeniem mu usług na podstawie umów cywilnoprawnych, a także administrator danych, dotyczących osób u niego zrzeszonych lub uczących się. W związku z tym, nie podlega rejestracji zbiór pracowników, zbiór byłych pracowników, zbiór stażystów czy też zbiór personelu świadczącego swoje usługi np. na podstawie umowy zlecenia. Pojawiają się również głosy, że z omawianego zwolnienia skorzystać można, przetwarzając zbiór danych osobowych kandydatów do pracy. Wydaje się jednak, że zwolnienie z obowiązku rejestracji nie obejmuje takiego przypadku. Zwolnienie z obowiązku rejestracji w przypadku zbioru personelu, stażystów, praktykantów, współpracowników czy byłych pracowników jest jak najbardziej uzasadnione. Rozszerzanie jednak tego wyjątku również na zbiór kandydatów do pracy, zwłaszcza dziś, gdy dzięki środkom komunikacji elektronicznej, do pracodawców wpływa bardzo dużo CV i gdy coraz popularniejsze jest tworzenie zbiorów, które można wykorzystać przy ewentualnych przyszłych rekrutacjach, wydaje się być sprzeczne z istotą omawianego przepisu.
Bardzo istotnym jest również art. 43 ust. 1 pkt 8, zgodnie z którym nie musi rejestrować zbioru administrator, przetwarzający dane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej. Aby skorzystać z tego zwolnienia, administrator przetwarzać musi dane tylko i wyłącznie w tym celu. Korzystanie ze zbioru choćby w celu windykacji czy realizacji celów marketingowych powoduje, że nie można już mówić o spełnieniu przesłanki do zwolnienia z rejestracji. Co ważne, zgodnie ze stanowiskiem GIODO już sam fakt wykorzystania danych poza celami rozliczeniowymi do celu realizacji umowy, przesądza o tym, że zbiór przestaje korzystać ze zwolnienia.
Wykreślenie zbiorów z rejestru
Art. 44a ustawy stanowi o możliwości wykreślenia zbiorów danych z rejestru. Wykreślenie jest dokonywane w drodze decyzji administracyjnej, jeśli zaprzestano przetwarzania danych osobowych, a także jeśli samej rejestracji dokonano z naruszeniem prawa. Wprowadzone w roku 2004 art. 44a rozwiązanie, zagwarantować ma aktualność rejestru, gdy zgłoszony zbiór już nie jest przetwarzany, czyli składające się na niego dane zostały usunięte. Pamiętać należy, że samo zarchiwizowanie danego zbioru i niekorzystanie z niego w codziennej praktyce nadal kwalifikowane jest jako przetwarzanie (art. 7 pkt 2 ustawy). Wykreślenie z rejestru dokonane być może zarówno na wniosek administratora, jak i z urzędu. Z wykreśleniem z urzędu będziemy mieć do czynienia w szczególności, gdy dokonano rejestracji, choć wystąpiła choćby jedna z przesłanek do odmowy rejestracji z art. 44 ust. 1.
Podsumowanie
Pamiętać należy przede wszystkim o tym, że zarejestrowanie zbioru przez GIODO wskutek zgłoszenia, złożonego przez administratora danych nie oznacza jeszcze, że administrator przetwarza dane osobowe zgodnie ze wszystkimi wymogami ustawy. Obowiązek rejestracyjny to jeden z wielu obowiązków administratora, które musi wykonywać z należytą starannością. Zgłaszanie zbioru do rejestracji ma charakter typowo formalny. Bardzo istotne jest natomiast to, jak zadeklarowane w zgłoszeniu procedury postępowania z danymi i mechanizmy pracy z danymi funkcjonują w danej strukturze w rzeczywistości. Poprawność tego elementu zweryfikować może GIODO kierując do danej jednostki kontrolę, nie zaś weryfikując formularz zgłoszeniowy.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
