Nielegalne przetwarzanie danych osobowych – jak wygląda obrona?

Przetwarzanie danych osobowych bez podstawy prawnej rodzi ryzyko zarówno administracyjnych kar pieniężnych z RODO, jak i odpowiedzialności karnej z ustawy o ochronie danych osobowych. W praktyce skuteczna obrona organizacji opiera się na wykazaniu, że przetwarzanie miało legalną podstawę albo że nie było działaniem umyślnym. Poniżej najważniejsze linie obrony.

Legalna podstawa przetwarzania

Pierwsza linia obrony to wykazanie, że istniała jedna z podstaw przetwarzania z art. 6 ust. 1 RODO: zgoda osoby, której dane dotyczą, niezbędność do wykonania umowy, obowiązek prawny ciążący na administratorze, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym lub prawnie uzasadniony interes administratora. W przypadku danych szczególnych kategorii (np. o zdrowiu, pochodzeniu, poglądach) konieczna jest dodatkowa podstawa z art. 9 RODO, najczęściej wyraźna zgoda. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) to administrator musi umieć wykazać, że spełnił wymogi – ciężar dowodu legalności spoczywa na nim.

Zgoda i prawnie uzasadniony interes

Aby zgoda była ważna, musi być dobrowolna, konkretna, świadoma i jednoznaczna, a osoba może ją w każdej chwili wycofać. Powołanie się na prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) wymaga z kolei przeprowadzenia testu równowagi: interes administratora (np. zapobieganie oszustwom, dochodzenie roszczeń) nie może przeważać nad podstawowymi prawami i wolnościami osoby. Warto ten test udokumentować, bo w razie sporu administrator będzie musiał wykazać, że dokonał takiej oceny.

Brak umyślności i dowody działań zgodności

W postępowaniu karnym istotne jest, że przepisy karne ustawy o ochronie danych osobowych (art. 107) sankcjonują przetwarzanie danych przez osobę nieuprawnioną. Wykazanie braku umyślności lub działania w przekonaniu o legalności może osłabić odpowiedzialność karną. Niezależnie od tego mocnym argumentem jest dokumentacja działań zgodności: rejestr czynności przetwarzania, oceny skutków dla ochrony danych (DPIA), szkolenia pracowników i audyty. Dowodzą one starannego, a nie umyślnie naruszającego podejścia administratora.

Jakie kary realnie grożą

Administracyjne kary pieniężne z RODO mogą sięgać do 20 mln euro albo 4% rocznego światowego obrotu (art. 83 RODO) – w zależności od kategorii naruszenia. Niezależnie od tego art. 107 ustawy o ochronie danych osobowych przewiduje za przetwarzanie danych bez podstawy prawnej grzywnę, karę ograniczenia wolności albo pozbawienia wolności do 2 lat, a w przypadku danych szczególnych kategorii nawet do 3 lat. Przykładem dotkliwej kary administracyjnej była decyzja Prezesa UODO wobec spółki Morele.net (kara w wysokości ok. 2,8 mln zł za niewystarczające zabezpieczenia).