Source: http://www.abi-expert.pl/wydania/kwiecien-czerwiec-2020/art,2665,zadanie-realizacji-prawa-do-sprostowania-danych.html
Timestamp: 2020-07-13 16:36:16
Legal References Found: art. 16
 art. 16
 art. 5
 art. 12
 art. 16
 art. 6
 art. 16

Document Content:
Kwiecień-czerwiec 2020 / Wydania / Kwartalnik ABI EXPERT
Strona główna WydaniaKwiecień-czerwiec 2020
Żądanie realizacji prawa do sprostowania danych
02-06-2020 Autor: Mateusz Siek
Sprostowanie danych, choć pozornie jest uprawnieniem niewymagającym interpretacji i łatwym do wykonania, to w praktyce może okazać się zagadnieniem wcale nie tak oczywistym. Problem powstaje wtedy, kiedy treść żądania powoduje, że zaciera się granica między sprostowaniem a usunięciem danych osobowych.
Większość z nas gładko przechodzi obok zagadnienia uprawnienia do sprostowania danych. Uznajemy bowiem, że dosłowne rozumienie polskiego tłumaczenia art. 16 rodo w zasadzie wyczerpuje ten temat: „osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia”. Jeżeli dane osobowe są nieprawidłowe, osoba, której dane dotyczą, może żądać ich poprawienia.
W drugim zdaniu art. 16 rodo określono prawo żądania uzupełnienia niekompletnych danych osobowych. Wydaje się, że tu również nie ma miejsca na wątpliwości. Dla przykładu jeżeli administrator dysponuje jedynie nazwą ulicy i numerem budynku, podczas gdy w budynku wydzielone są odrębne lokale, to wskazanie właściwego lokalu może odbywać się na zasadzie uzupełnienia niekompletnych danych. Jest to naprawdę istniejący adres, ale niepełny, który wymaga uzupełnienia.
Może się oczywiście okazać, że niekompletność danych implikuje ich nieprawidłowość, np. kiedy pracodawca nie dysponuje informacjami o poprzednich okresach zatrudnienia pracownika. Może wtedy dojść do nieprawidłowego określenia stażu pracy. W takim jednak przypadku zastosowanie powinno znaleźć zdanie pierwsze omawianego artykułu (sprostowanie).
Ponadto omawiany przepis określa możliwość „żądania” realizacji uprawnienia, na co słusznie zwraca uwagę Michał Czerniawski w komentarzu do tego przepisu1. Tym samym nie jest to uprawnienie bezwzględne i administrator danych może odmówić sprostowania danych w określonych okolicznościach, np. kiedy ma uzasadnione podejrzenie, że dane mają być zamienione na nieprawdziwe. Odpowiada to zasadzie prawidłowości z art. 5 ust. 1 lit. d rodo.
W przedmiocie sprostowania danych osobowych mamy przykład orzecznictwa pod rządami poprzednio obowiązującej ustawy o ochronie danych osobowych z 1997 r. Generalny Inspektor Ochrony Danych Osobowych decyzją z 25 maja 2006 r. (GI-DEC-DS.-175/06) nakazał Zakładowi Ubezpieczeń Społecznych sprostowanie nazwiska Pana ABÜ, z niepoprawnej formy „Bu” na „Bü”. Decyzja została wydana w związku z niezrealizowanym przez ZUS żądaniem sprostowania niepoprawnych danych osobowych. GIODO
uznał, że różnice w zapisie nazwiska faktycznie powodują nieprawidłowość przetwarzanych danych, a żądanie ich sprostowania powinno być zrealizowane.
Za znaczące dla oceny problematyki sprostowania uznać należy orzeczenie Trybunału Sprawiedliwości Unii Europejskiej z 20 grudnia 2017 r. w sprawie C-434/16 Peter Nowak przeciwko Data Protection Commissioner (Irlandia). W zasadniczej części odnosi się ono do stwierdzenia, że odpowiedzi na karcie egzaminacyjnej oraz komentarze egzaminatora stanowią dane osobowe egzaminowanego. W kontekście prawa do sprostowania dużo istotniejsze wydaje się jednak stwierdzenie, że dane te nie mogą być poprawiane na podstawie art. 12 lit. b dyrektywy 95/46/WE2. Jak wskazano, błędne odpowiedzi są z punktu widzenia przepisów prawa poprawnymi danymi osobowymi – odzwierciedlają poziom wiedzy lub umiejętności egzaminowanego. Tym samym TSUE zwrócił uwagę na istotny element omawianego uprawnienia – sprostować można wyłącznie nieprawidłowe dane osobowe. Choć orzeczenie wydano na podstawie uchylonej obecnie dyrektywy 95/46/WE, to w swojej istocie pozostaje aktualne.
Co się jednak dzieje w sytuacji, w której do firmy windykacyjnej wpływa pismo dłużnika, w którym, powołując się na art. 16 rodo, żąda on sprostowania nieprawdziwych danych o swoim miejscu zamieszkania i jednocześnie nie wskazuje aktualnego adresu? Na potrzeby tej analizy przyjmijmy, że dane dłużnika są przetwarzane na podstawie art. 6 ust. 1 lit. f rodo, czyli w prawnie uzasadnionym interesie administratora, jakim jest dochodzenie roszczeń. Natomiast ewentualna relacja administrator–podmiot przetwarzający oraz konieczność potwierdzenia tożsamości żądającego nie będą miały wpływu na analizę badanego przypadku. Powstaje pytanie, co w tym stanie faktycznym można lub trzeba zrobić w ramach otrzymanego żądania?
Przede wszystkim należy oczywiście zbadać, czy w ogóle mamy do czynienia z żądaniem sprostowania danych czy raczej żądaniem usunięcia danych nieprawidłowych. W art. 16 rodo nie określono obowiązku jednoczesnego podania właściwych, poprawnych danych. Może to sugerować, że już sama czynność poinformowania o posługiwaniu się nieprawidłowymi danymi będzie mieściła się w granicach „sprostowania”.
Autor jest inspektorem ochrony danych oraz właścicielem firmy Bezpieczeństwo Informacji Mateusz Siek; członkiem Stowarzyszenia Praktyków Ochrony Danych.