Source: http://www.abi-expert.pl/wydania/pazdziernik-grudzien-2019/art,2514,osoba-prawna-na-gruncie-motywu-14-rodo.html
Timestamp: 2020-01-25 17:55:31+00:00

Document:
„Osoba prawna” na gruncie motywu 14 rodo
13-11-2019 Autor: Patrycja Kozik
Choć zastosowanie rodo do osób fizycznych (podmiotów danych) nie budzi większych wątpliwości, wciąż nie jest do końca jasne, jak należy rozumieć pojęcie „osoba prawna” wskazane w motywie 14 rodo. W jakim zakresie motyw ten wpływa na wyznaczenie podmiotowego zakresu zastosowania przepisów o ochronie danych osobowych?
Rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych (art. 1 ust. 2 rodo). Zgodnie z art. 4 pkt 1 rodo „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Dlatego podmiotem, któremu przepisy rodo przyznają ochronę, jest osoba fizyczna.
Zakres podmiotowy – osoba fizyczna
W piśmiennictwie wskazuje się, że rozporządzenie nie wprowadza w zakresie rozumienia pojęcia „osoba fizyczna” dodatkowych regulacji, dlatego należy oprzeć się na znaczeniu, jakie pojęciu „osoba fizyczna” przypisuje prawo polskie. W świetle przepisów prawa cywilnego osobą fizyczną jest każdy człowiek, od chwili urodzenia do chwili śmierci. Prawo łączy fakt bycia osobą fizyczną z posiadaniem zdolności prawnej, a więc możności bycia podmiotem praw i obowiązków. Jednocześnie z perspektywy oceny, czy mamy do czynienia z danymi osobowymi, nie jest istotne, czy osoba posiada zdolność do czynności prawnych, czy ta zdolność jest pełna czy też została ograniczona (ma to jednak znaczenie w kontekście wykonywania uprawnień przez osobę, której dane dotyczą) – P. Fajgielski, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018.
W świetle odniesienia pojęcia danych osobowych do osób fizycznych oraz objęcia ich ochroną na mocy wskazanych przepisów, rodo nie będzie miało zastosowania do:
jednostek organizacyjnych, które mają zdolność prawną, ale nie posiadają osobowości prawnej.
Do wskazanych kwestii odnosi się motyw 14 rodo, zgodnie z którym „ochrona zapewniana niniejszym rozporządzeniem powinna mieć zastosowanie do osób fizycznych – niezależnie od ich obywatelstwa czy miejsca zamieszkania – w związku z przetwarzaniem ich danych osobowych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych odnośnie do osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej”.
O ile pierwsza część przytoczonego motywu preambuły, opowiadająca się za oderwaniem przyznania ochrony od statusu prawnego (obywatelstwa) czy miejsca zamieszkania osoby fizycznej nie budzi wątpliwości, o tyle przedmiotem wielu dyskusji jest zdanie drugie przytoczonego motywu – udzielenie odpowiedzi na pytanie, czy pojęcie danych osobowych obejmuje:
dane osobowe tzw. jednoosobowych przedsiębiorców, a więc osób fizycznych prowadzących działalność gospodarczą, których dane zawarte są w CEIDG;
dane osobowe członków organów jednostek organizacyjnych (np. członków zarządu spółki z o.o.);
informacje stanowiące część nazwy przedsiębiorcy (np. Jan Kowalski Import sp. z o.o.),
dane osobowe przedstawicieli przedsiębiorców (np. pełnomocników, prokurentów);
dane dotyczące pracowników lub współpracowników przedsiębiorców (np. dane wskazywane w umowie do kontaktu lub realizacji umowy).
Zakres podmiotowy – „jednoosobowi przedsiębiorcy”
Definicja danych osobowych odnosi się do osób fizycznych bez względu na rolę, jaką odgrywają (czy są konsumentami, przedsiębiorcami czy pracownikami itd.). Co ciekawe, w prawie cywilnym pojęcie konsumenta (np. w ramach umowy sprzedaży zawieranej online) odnosi się do relacji z przedsiębiorcą. Konsumentem nie można być w relacji z innym konsumentem (osobą dokonującą transakcji poza swoją działalnością gospodarczą lub zawodową). Natomiast takiego ograniczenia, co do zasady, nie ma w przepisach o ochronie danych. Regulacje rodo dotyczą każdego przetwarzania danych osobowych osób fizycznych.
Okoliczność, że osoba fizyczna prowadzi działalność gospodarczą, nie oznacza pozbawienia dotyczących jej informacji przymiotu danych osobowych (np. oznaczenie przedsiębiorcy, tj. firma w rozumieniu przepisów kc czy numer NIP osoby fizycznej), a w konsekwencji – braku obowiązku stosowania do nich przepisów rodo. Wyłączenie dotyczące tych danych w pełnym zakresie zawarte było w ustawie z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (dalej: usdg).
Ustawodawca w art. 39b usdg podkreślił, że do „jawnych danych i informacji udostępnianych przez CEIDG nie stosuje się przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, z wyjątkiem przepisów art. 14–19a i art. 21–22a oraz rozdziału 5”. Obowiązująca od 30 kwietnia 2018 r. ustawa z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy (uceidg), która obecnie określa zasady funkcjonowania Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), nie zawiera analogicznego wyłączenia. Takie wyłączenie w odniesieniu do osób fizycznych byłoby niezgodne z przepisami rodo (G. Sibiga, Dostosowywanie prawa polskiego do ogólnego rozporządzenia o ochronie danych, Warszawa 2016).
W trakcie prac nad obecnie obowiązującą uodo pojawiła się wątpliwość związana z tym, czy na gruncie motywu 14 rodo jego przepisy znajdą zastosowanie do osób fizycznych prowadzących działalność gospodarczą. Komisja Europejska wskazała, że jeżeli w polskim porządku prawnym osoby fizyczne prowadzące działalność gospodarczą nie są osobami prawnymi, lecz fizycznymi, w pełni podlegają nowym przepisom o ochronie danych osobowych.
Dane ewidencyjne „jednoosobowych przedsiębiorców” zawarte w CEIDG będą stanowiły dane osobowe objęte zakresem zastosowania rodo. Zgodnie z art. 5 ust. 1 uceidg są to następujące dane:
3) oznaczenie „w spadku”, jeżeli został ustanowiony zarząd sukcesyjny;
4) numer identyfikacyjny REGON przedsiębiorcy, o ile taki posiada;
5) numer identyfikacji podatkowej (NIP) przedsiębiorcy, o ile taki posiada, oraz informacje o jego unieważnieniu lub uchyleniu;
6) informacja o obywatelstwie przedsiębiorcy;
7) adres do doręczeń oraz – jeżeli przedsiębiorca takie miejsce posiada – adres stałego miejsca wykonywania działalności gospodarczej; dane dotyczące adresu są zgodne z oznaczeniami kodowymi przyjętymi w krajowym rejestrze urzędowym podziału terytorialnego kraju, o ile to w danym przypadku możliwe;
8) inne niż wymienione w pkt 7 dane kontaktowe przedsiębiorcy, w szczególności adres poczty elektronicznej, adres strony internetowej, numer telefonu, o ile dane te zostały zgłoszone przez przedsiębiorcę we wniosku o wpis do CEIDG;
9) przedmiot wykonywanej działalności gospodarczej według PKD na poziomie podklasy, w tym jeden przedmiot przeważającej działalności.
Tak samo należy traktować dane „jednoosobowych przedsiębiorców” zawarte np. na ich stronach internetowych, fakturach czy w umowach handlowych, których są stroną.
Zakres podmiotowy – dane osobowe wynikające z KRS
W przeciwieństwie do CEIDG, w którym zawarte są wyłącznie dane osobowe osób fizycznych, w KRS zawarte są przede wszystkim dane dotyczące jednostek organizacyjnych, w tym osób prawnych. Zgodnie z art. 3 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (dalej: ukrs) rejestr obejmuje podmioty, na które przepisy ustaw nakładają obowiązek uzyskania wpisu do KRS. W art. 36 ukrs wymieniono podmioty, które podlegają wpisaniu do rejestru przedsiębiorców KRS. Są to przede wszystkim spółki prawa handlowego (jawne, partnerskie, komandytowe, komandytowo-akcyjne, z ograniczoną odpowiedzialnością oraz akcyjne).
Choć dane takich podmiotów, zawarte w KRS (np. numer KRS, siedziba spółki z ograniczoną odpowiedzialnością), nie będą stanowiły danych osobowych, należy mieć na względzie, że w KRS znajdują się także dane osób pełniących różne funkcje, które wynikają z przepisów prawa w ramach współpracy z podmiotami wpisanymi do KRS. Ujawnieniu w KRS podlega również:
oznaczenie wspólników spółki jawnej;
oznaczenie partnerów spółki partnerskiej;
oznaczenie wspólników spółki komandytowej;
oznaczenie komplementariuszy spółki komandytowo-akcyjnej;
oznaczenie wspólników posiadających samodzielnie lub łącznie z innymi co najmniej 10% kapitału zakładowego spółki z ograniczoną odpowiedzialnością oraz liczba posiadanych przez tych wspólników udziałów i ich łączna wysokość;
w przypadku gdy spółka akcyjna ma tylko jednego akcjonariusza – jego oznaczenie, a także wzmianka, że jest on jedynym akcjonariuszem spółki (art. 38 pkt 9 lit. h i pkt 9a lit. i ukrs);
oznaczenie organu uprawnionego do reprezentowania podmiotu oraz osób wchodzących w jego skład, ze wskazaniem sposobu reprezentacji, a w przypadku gdy w spółkach osobowych nie ma takiego organu – wskazanie wspólników uprawnionych do reprezentowania spółki, a także sposobu reprezentacji (art. 39 pkt 1 ukrs);
dane dotyczące prokurentów oraz rodzaju prokury (art. 39 pkt 3 ukrs).
Autorka jest radcą prawnym w kancelarii GKK Gumularz Kozieł Kozik.

References: art. 4
 art. 39
 art. 14
 art. 21
 art. 5
 art. 3
 art. 36