Nielegalne pozyskiwanie danych z rejestrów publicznych — jaka obrona?

Powszechna dostępność rejestrów publicznych — takich jak Krajowy Rejestr Sądowy, CEIDG czy księgi wieczyste — bywa mylnie odczytywana jako zgoda na dowolne wykorzystanie znajdujących się w nich danych. Tymczasem informacje o osobach fizycznych pozostają danymi osobowymi w rozumieniu RODO, a ich dalsze przetwarzanie wymaga własnej podstawy prawnej. Pozyskanie i wykorzystanie takich danych bez podstawy może rodzić odpowiedzialność administracyjną i — w określonych sytuacjach — karną. Poniżej wyjaśniamy, na jakich przesłankach legalności można oprzeć obronę.

Podstawy prawne przetwarzania danych

Każde przetwarzanie danych osobowych musi opierać się na co najmniej jednej z przesłanek z art. 6 ust. 1 RODO: zgoda osoby, niezbędność do wykonania umowy, obowiązek prawny administratora, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym lub prawnie uzasadniony interes administratora. To, że dane pochodzą z rejestru publicznego, nie zwalnia z obowiązku posiadania takiej podstawy. Co istotne, przy pozyskaniu danych nie bezpośrednio od osoby (np. właśnie z rejestru) administrator co do zasady ma obowiązek informacyjny z art. 14 RODO — musi poinformować osobę m.in. o źródle danych, celu i tożsamości administratora, zwykle w rozsądnym terminie, nie później niż w ciągu miesiąca. Od obowiązku tego istnieją wyjątki (art. 14 ust. 5 RODO), np. gdy dane podlegają obowiązkowi zachowania tajemnicy lub gdy ich pozyskanie jest wyraźnie uregulowane prawem.

Możliwe linie obrony

Obrona przy zarzucie nielegalnego przetwarzania danych zwykle koncentruje się na wykazaniu legalności działania. Najczęstsze argumenty to: wskazanie konkretnej podstawy z art. 6 ust. 1 RODO (np. obowiązek prawny — lit. c, lub prawnie uzasadniony interes — lit. f, po przeprowadzeniu testu równowagi z prawami osoby); wykazanie dopełnienia obowiązku informacyjnego z art. 14 RODO; oraz — w sprawie karnej z art. 107 ustawy o ochronie danych osobowych — podważenie znamion czynu, w tym wykazanie braku zamiaru lub świadomości bezprawności (przestępstwo to można popełnić wyłącznie umyślnie). Trzeba przy tym pamiętać, że sama publiczna dostępność rejestru nie jest samodzielną przesłanką legalizującą każde dalsze wykorzystanie danych — to argument pomocniczy, nie zastępujący podstawy z art. 6.

Sankcje za naruszenie ochrony danych

Naruszenie RODO grozi przede wszystkim administracyjną karą pieniężną nakładaną przez Prezesa Urzędu Ochrony Danych Osobowych — do 20 mln euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od rodzaju naruszenia (art. 83 RODO). Niezależnie od tego osoba, której dane przetwarzano bezprawnie, może dochodzić odszkodowania na drodze cywilnej (art. 82 RODO). W warstwie karnej art. 107 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych przewiduje za przetwarzanie danych bez uprawnienia grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat 2, a przy danych szczególnych kategorii (art. 107 ust. 2) — do lat 3.