Zbiory danych osobowych w działalności przedsiębiorców

Przeczytaj także: Ochrona danych osobowych kontra przedsiębiorca

Te właśnie informacje ustawodawca określił mianem danych osobowych, wskazując, iż pod tym pojęciem należy rozumieć wszystko to, co pozwala, bez nadmiernych nakładów (czasu i środków) zidentyfikować określoną osobę fizyczną. Daną osobową będzie więc nie tylko PESEL, NIP bądź REGON, które w każdym przypadku pozwalają na określenie tożsamości ich właściciela, lecz w pewnych okolicznościach także kod pocztowy, wysokość osiąganych dochodów czy też zainteresowania określonej osoby. W działalności wielu przedsiębiorców takie właśnie, z pozoru mniej istotne, informacje pozwalają na odpowiednie przygotowanie oferty handlowej i skierowanie jej do konkretnego adresata, a w konsekwencji odniesienie sukcesu finansowego.

Nieprzypadkowo banki proponują kredyty głównie osobom, które właśnie kończą spłacać dotychczasowe zobowiązania, a po zalogowaniu się do portalu społecznościowego, na ekranie komputera, wyświetlają się reklamy zgodne z upodobaniami użytkownika. Oba w/w przykłady to efekt skutecznego i namacalnego przetwarzania danych osobowych.

Świadomość przedsiębiorców dotycząca tego co przetwarzać można, a czego gromadzić nie powinni stopniowo wzrasta. Przedsiębiorcy nadal pozostają natomiast nieświadomi licznych obowiązków, które wiążą się z problematyką danych osobowych, a których naruszenie skutkować może dla nich niezwykle dotkliwymi konsekwencjami. Treścią niniejszego wpisu chciałbym zwrócić uwagę na konieczność zgłaszania do Generalnego Inspektora Ochrony Danych Osobowych, określonej kategorii zbiorów danych osobowych, będących w posiadaniu przedsiębiorców.

Co do zasady obowiązek takiego zgłoszenia dotyczy wszystkich zbiorów danych, czyli każdego zestawu danych posiadającego strukturę oraz do którego możemy uzyskać dostęp, według określonych przez Nas kryteriów (np. kryterium alfabetycznego). Zbiorem danych będzie więc zarówno ogólnodostępny Krajowy Rejestr Karny, jak i akta pracownicze prowadzone indywidualnie przez każdego przedsiębiorcę, dla zatrudnionych u niego osób. Szczęśliwie jednak, oprócz ogólnej zasady, ze rejestracji podlegają wszelkie zbiory danych, ustawa o ochronie danych osobowych przewiduje także liczne wyjątki od wprowadzonej reguły (art. 43 ust. 1 ustawy). Oba powyższe przykłady nie będą więc podlegały konieczności zgłoszenia do GIODO, podobnie zresztą jak zbiór danych służący przedsiębiorcy wyłącznie do wystawiania faktur VAT, bądź posiadany przez lekarza zbiór informacji o pacjentach uczęszczających do przychodni lekarskiej.

Odmienne sytuacja będzie się jednak miała sytuacji gdy bank zacznie gromadzić dane osobowe swoich klientów (w związku z realizacją zawartej uprzednio umowy), bądź też gdy w celach marketingowych dane osobowe przetwarzał będzie deweloper lub osiedlowy klub fitness. W takich przypadkach ustawa nakazuje zgłoszenie posiadanych zbiorów do GIODO oraz obliguje przedsiębiorców do informowania Generalnego Inspektora o każdej istotnej zmianie, która w przyszłości zaistnieje w takim zbiorze (w terminie 30 dni od tejże zmiany).

Ustawa wprost wskazuje także, iż obowiązek dokonania stosownego zgłoszenia spoczywa każdorazowo na administratorze danych, czyli podmiocie decydującym o tym, w jakim celu i przy użyciu jakich środków określone dane osobowe będą przetwarzane (w zależności od formy prowadzonej działalności może to być osoba prowadząca jednoosobową działalności gospodarczą, wspólnik, bądź członek zarządu spółki prawa handlowego). Obowiązek zgłoszenia zbioru danych ma znaczenie o tyle, iż jeśli zbiór nie zostanie zgłoszony, przedsiębiorca nie powinien w ogóle określonych danych, w tymże zbiorze, przetwarzać. Jeśli natomiast naruszy w/w zakaz naraża się na odpowiedzialność karną, przewidującą sankcję w wymiarze kary pozbawienia wolności do dwóch lat. Co jednak często bardziej istotne, naruszenie przepisów ustawy o ochronie danych osobowych, bezpośrednio godzi w dobre imię przedsiębiorcy, w oczach jego obecnych, jak i potencjalnych klientów (abstrahując od możliwości poniesienia odpowiedzialności odszkodowawczej wobec osoby, której dobra osobiste przedsiębiorca naruszy, łamiąc ustawowe regulacje).

Z drugiej natomiast strony, sam proces rejestracji zbioru danych nie jest specjalnie czasochłonny, a zaświadczenie potwierdzające dokonaną rejestrację (przedsiębiorca, po zgłoszeniu stosownego żądania, otrzyma takie zaświadczenie od Generalnego Inspektora) stanowi jedną z form ochrony przed ewentualnymi roszczeniami cywilnoprawnymi osób, których dane osobowe przetwarzamy. Równocześnie, im większą wagę zyskują dane osobowe w Unijnym ustawodawstwie, tym większe jest prawdopodobieństwo, ze przewidziane przez ustawę konsekwencję faktycznie mogą dosięgnąć każdego, kto regulacji tych nie będzie przestrzegał.