Source: http://www.biznesnet.pl/2005/04/19/generalny-inspektor-ochrony-danych-osobowych-wyjasnia/
Timestamp: 2017-12-17 08:13:02+00:00

Document:
Generalny Inspektor Ochrony Danych Osobowych wyjaśnia…
Generalny Inspektor Ochrony Danych Osobowych odpowiada na pytania przedsiębiorców…
W świetle powyższej definicji należy przyjąć, że danymi osobowymi nie będą pojedyncze informacje o dużym stopniu ogólności, np. nazwa ulicy i numer domu czy wysokość wynagrodzenia. Informacja ta będzie jednak stanowić daną osobową wówczas, gdy zostanie zestawiona z innymi dodatkowymi informacjami, które w konsekwencji można odnieść do konkretnej osoby. Przykładem pojedynczej informacji stanowiącej daną osobową jest natomiast numer PESEL, który zgodnie z art. 31a ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (t. j. Dz. U. z 2001 r. Nr 87, poz. 960 ze zm.) jest 11-cyfrowym, stałym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery – liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną służącą do komputerowej kontroli poprawności nadanego numeru ewidencyjnego. Można więc stwierdzić, że numer PESEL ex definitione stanowi daną osobową, a jej przetwarzanie podlega wszelkim rygorom przewidzianym w ustawie o ochronie danych osobowych.
Na czym polega obowiązek informacyjny spoczywający na administratorze danych?
Obowiązek informacyjny jest jednym z podstawowych obowiązków, jakie ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) nakłada na administratorów danych.
Na gruncie powołanej ustawy rozróżnić należy dwie grupy przepisów regulujących ten obowiązek w zależności od tego, z jakiego źródła dane są pozyskiwane. Jedna grupa odnosi się do bezpośredniego zbierania danych od osoby, której one dotyczą (art. 24 ustawy), druga zaś dotyczy sytuacji, gdy dane zbierane są z innych źródeł – pośrednich (art. 25 ustawy).
Zgodnie z art. 24 ust. 1 ustawy o ochronie danych osobowych, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o:
adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku, celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
prawie dostępu do treści swoich danych oraz ich poprawiania, dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.
Z literalnego brzmienia cytowanego przepisu wynika, że obowiązek informacyjny, o którym przepis ten stanowi, winien być wykonany w momencie zbierania danych (np. w chwili podpisywania umowy lub wypełniania ankiety).
Obowiązek ten, stosownie do brzmienia ust. 2 cytowanego wyżej przepisu, jest wyłączony, gdy:
przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania, osoba, której dane dotyczą, posiada już informacje, o których mowa w ust. 1.
Na mocy art. 25 ustawy, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:
adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku, celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, źródle danych, prawie dostępu do treści swoich danych oraz ich poprawiania, o prawie wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację oraz wniesienia sprzeciwu wobec przetwarzania jej danych, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi; uprawnienia te przysługują wyłącznie w sytuacji, gdy administrator przetwarza dane na podstawie art. 23 ust. 1 pkt 4 i 5 ustawy, a więc, gdy przetwarzanie jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego oraz, gdy jest niezbędne do wypełnienia usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane – a przetwarzanie danych nie narusza praw i wolności osoby, której one dotyczą.
W przypadku zbierania danych nie od osoby, której one dotyczą, administrator jest obowiązany udzielić powyższych informacji bezpośrednio po utrwaleniu zebranych danych, a więc po zapisaniu danych w sposób umożliwiający ich dalsze przetwarzanie.
Przesłanki zwolnienia z przedmiotowego obowiązku enumeratywnie wymienione zostały w art. 25 ust. 2 ustawy. Obowiązek, o którym mowa w art. 24 i 25 ustawy, odnosi się do zbierania danych od dnia jej wejścia w życie, tj. od dnia 30 kwietnia 1998 r. Winien on być realizowany na etapie zbierania (gromadzenia) danych. Oznacza to, iż obowiązek informacyjny nie musi być realizowany wobec osób, których dane zostały zebrane przed dniem wejścia w życie ustawy, a po tym dniu są wyłącznie przechowywane. Natomiast w sytuacji, gdy administrator danych zebrał je przed dniem wejścia w życie ustawy, a po tej dacie dane te uzupełniał, uaktualniał, poszerzał ich zakres, wówczas obowiązany jest dopełnić ciążącego na nim obowiązku informacyjnego.
Zakresem przedmiotowym ustawy o ochronie danych osobowych objęte są więc wyłącznie dane dotyczące osób fizycznych. Jej przepisów nie stosuje się natomiast do przetwarzania informacji o innych podmiotach, w szczególności o osobach prawnych, jednostkach organizacyjnych nieposiadających osobowości prawnej oraz podmiotach prowadzących działalność gospodarczą w oparciu o przepisy ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (DZ. U. Nr 173, poz. 1807) w takim zakresie, w jakim dane te identyfikują podmiot w obrocie gospodarczym i ściśle wiążą się z prowadzoną przez niego działalnością gospodarczą.
Powyższe stanowisko prezentowane przez Generalnego Inspektora Ochrony Danych Osobowych podzielił również Naczelny Sąd Administracyjny, który w uzasadnieniu wyroku z dnia 28 listopada 2002 r. (sygn. akt II SA 3389/01) stwierdził, że ochrona danych osobowych „nie odnosi się do danych indywidualnych dających się powiązać z podmiotem gospodarczym albo inną osobą prawną lub jednostką organizacyjną niemającą osobowości prawnej, mimo, że dane te tworzą wspólnie z danymi osobowymi jedną kategorię danych jednostkowych.”
Kluczowe jednak znaczenie dla rozwiązania przedstawionego problemu miała nowelizacja ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178, ze zm.), na mocy której dodano art. 7a, wyłączający spod ochrony wynikającej z ustawy o ochronie danych osobowych, dane zawarte w ewidencji działalności gospodarczej. Przepis ten wyraźnie rozstrzygnął kwestię budzącą wcześniejsze wątpliwości.
W dniu 21 sierpnia 2004 r. weszły w życie przepisy ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. Nr 173, poz. 1807), które nie zawierają uregulowania analogicznego do art. 7 a ust. 2 ustawy Prawo działalności gospodarczej.
Należy podkreślić jednak, że zgodnie z art. 66 pkt 2 ustawy z dnia 2 lipca 2004 r. Przepisy wprowadzające ustawę o swobodzie działalności gospodarczej (Dz. U. Nr 173, poz. 1808), art. 7 a ust. 2 ustawy Prawo działalności gospodarczej zachował moc obowiązującą do dnia 31 grudnia 2006 r. A więc, pomimo, że w samej treści nowej ustawy o swobodzie działalności gospodarczej nie ma mowy o wyłączeniu danych zawartych w ewidencji działalności gospodarczej z reżimu ochrony ustanowionego w ustawie o ochronie danych osobowych, przepis ustawy Prawo działalności gospodarczej, regulujący to zagadnienie, pozostając nadal w mocy, stanowi integralną część prawa o swobodzie działalności gospodarczej. Trzeba także podkreślić, że w myśl art. 24 ust. 1 i 2 ustawy o swobodzie działalności gospodarczej, ewidencja działalności gospodarczej jest jawna i każdy ma prawo dostępu zarówno do zgromadzonych w niej danych, jak też do przeglądania akt ewidencyjnych przedsiębiorcy.
Z faktem, że podmiot, któremu powierzono dane nie staje się ich administratorem związane są określone skutki. Nie spoczywają na nim obowiązki, którymi ustawodawca obciążył administratora danych, m.in. obowiązek rejestracji. Podmiot będący odbiorcą danych jest jednak zobowiązany do podjęcia środków, o których mowa w art. 36 – 39 ustawy zabezpieczających przetwarzane dane oraz spełnienia wymagań określonych w aktach wykonawczych do ustawy o ochronie danych osobowych. Zastosowanie tych środków musi nastąpić przed przystąpieniem do przetwarzania danych, tj. np. przed ich uzyskaniem. W zakresie przestrzegania wymienionych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Ponadto podmiot, któremu przetwarzanie danych powierzono ponosi odpowiedzialność za naruszenie ustawy w zakresie działań niezgodnych z umową zawartą z administratorem danych.
Kolejny obowiązek ciążący na podmiocie, któremu przetwarzanie danych powierzono, dotyczy tych zleceniobiorców, których siedziba znajduje się w państwie trzecim. Taki podmiot jest zobowiązany do wyznaczenia swojego przedstawiciela w Rzeczypospolitej Polskiej (art. 31 a ustawy). Generalny Inspektor Ochrony Danych Osobowych jest uprawniony do kontroli zgodności przetwarzania danych przez podmiot, któremu przetwarzanie danych powierzono. Kontrola ta prowadzona jest na zasadach określonych w art. 14 – 19 ustawy o ochronie danych osobowych (art. 31 ust. 5 ustawy).
Czy pracodawca ma prawo publikować na swoich stronach internetowych takie dane osobowe pracowników jak ich imiona i nazwiska, stanowiska, dokładne miejsce pracy (nr pokoju, telefon, adres e-mail) bez zgody tych osób?
Pogląd ten podzielił w swoim orzecznictwie również Sąd Najwyższy (wyrok z dnia 19 listopada 2003 r. o sygn. I PK 590/02) stwierdzając, że „najistotniejszym składnikiem zakładu pracy (przedsiębiorstwa) są ludzie, a funkcjonowanie zakładu wiąże się nierozłącznie z kontaktami zewnętrznymi – z kontrahentami, klientami (…). Dlatego pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska w ramach instytucji. Przeciwne stanowisko prowadziłoby do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika.(…) Imiona i nazwiska pracowników widnieją na drzwiach w zakładach pracy, umieszcza się je na pieczątkach imiennych, pismach sporządzanych w związku z pracą, prezentuje w informatorach o instytucjach i przedsiębiorstwach, co oznacza, że zgodnie z powszechną praktyką są one zasadniczo jawne”.
Czy założyciel portalu internetowego musi zgłosić do rejestracji Generalnemu Inspektorowi bazę danych zawierającą informacje o osobach reprezentujących firmę (nazwiska osób ‘kontaktowych’), która zarejestrowała się w portalu? Czy dopuszczalne jest rozsyłanie drogą elektroniczną do innych firm, które mogłyby być zainteresowane korzystaniem z tego portalu, informacji o jego utworzeniu?
Podstawą zwolnienia administratora danych z obowiązku rejestracji zbioru danych osób “kontaktowych” jest art. 43 ust. 1 pkt 11 ustawy o ochronie danych osobowych. Przesłanka ta ma zastosowanie wobec zbiorów danych “przetwarzanych w zakresie drobnych bieżących spraw życia codziennego”.
Odnośnie możliwości rozsyłania, drogą elektroniczną, informacji o założeniu portalu do innych firm, czyli informacji o charakterze handlowym, kwestię tę regulują przepisy ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204, ze zm.), a nie ustawa o ochronie danych osobowych.
Art. 10 ust. 1 tej ustawy zakazuje przesyłania niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. Zgodnie z ust. 2 tego przepisu, informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji. Zgoda na przesyłanie informacji handlowej nie może być domniemana z oświadczenia woli o innej treści i może być w każdym czasie odwołana (art. 4 ustawy o świadczeniu usług drogą elektroniczną). W myśl art. 24 tej ustawy przesyłanie niezamówionej informacji handlowej podlega karze grzywny, a ściganie tego wykroczenia następuje na wniosek pokrzywdzonego. Działanie takie stanowi również czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. Nr 47, poz. 211 ze zm.).
Czy, ze względu na fakt, że w zbiorze danych pracowników znajdują się, poza danymi osobowymi pracowników, również informacje dotyczące członków ich rodzin (małżonków i dzieci), pracodawca ma obowiązek zgłoszenia do rejestracji GIODO zbioru danych osób u niego zatrudnionych?
Zgodnie z art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), administrator danych obowiązany jest zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Zgłoszenie zbioru danych do rejestracji stanowi zatem regułę. Z obowiązku rejestracji zwolnieni są jednak niektórzy administratorzy danych wymienionych w art. 43 ust. 1 powołanej ustawy.

References: art. 31
 art. 24
 art. 25
 art. 23
 art. 3
 art. 25
 art. 24
 art. 7
 art. 7
 art. 66
 art. 7
 art. 24
 art. 36
 art. 14
 art. 43

Art. 10
 art. 24
 art. 40
 art. 43
 art. 43