Nielegalne przetwarzanie danych osobowych - jakie obrony przysługują?

Przetwarzanie danych osobowych bez podstawy prawnej może rodzić zarówno odpowiedzialność administracyjną (kary Prezesa UODO na podstawie RODO), jak i odpowiedzialność karną (art. 107 ustawy z 10 maja 2018 r. o ochronie danych osobowych). To jednak nie oznacza automatycznej winy. Prawo przewiduje legalne podstawy przetwarzania oraz okoliczności, które wyłączają lub łagodzą odpowiedzialność. Poniżej omawiamy najczęstsze linie obrony i to, jak je udokumentować.

Zgoda i prawnie uzasadniony interes jako podstawy legalnego przetwarzania

RODO w art. 6 ust. 1 wymienia podstawy legalnego przetwarzania danych. Najczęściej powoływane to zgoda (lit. a) oraz prawnie uzasadniony interes administratora (lit. f). Zgoda musi być dobrowolna, świadoma, konkretna i jednoznaczna, a w przypadku danych szczególnej kategorii (art. 9 RODO) wymagana jest zgoda wyraźna. Osoba, której dane dotyczą, może ją w każdej chwili wycofać. Powołanie się na prawnie uzasadniony interes wymaga z kolei przeprowadzenia tzw. testu równowagi (LIA), w którym administrator ocenia, czy jego interes nie jest nadrzędny wobec praw i wolności osoby. Wykazanie istnienia jednej z tych podstaw jest najsilniejszą obroną przed zarzutem nielegalnego przetwarzania.

Brak umyślności i obowiązek wykazania zgodności

Czyn z art. 107 ustawy o ochronie danych osobowych jest przestępstwem umyślnym. Oznacza to, że przypadkowe lub nieumyślne udostępnienie danych co do zasady nie wyczerpuje jego znamion, choć może rodzić odpowiedzialność administracyjną lub cywilną. Z drugiej strony RODO nakłada na administratora zasadę rozliczalności (art. 5 ust. 2) - to administrator musi umieć wykazać, że przetwarza dane zgodnie z prawem. Dlatego rzetelna dokumentacja (rejestr czynności przetwarzania, zapisy zgód, oceny testu równowagi) jest jednocześnie elementem zgodności i materiałem dowodowym w razie sporu.

Kary i postępowanie

Na poziomie administracyjnym RODO przewiduje kary do 20 mln euro lub do 4% rocznego światowego obrotu przedsiębiorstwa - w zależności od kategorii naruszenia (niższy próg to 10 mln euro / 2%). Na poziomie karnym art. 107 ustawy o ochronie danych osobowych przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do 2 lat, a przy danych szczególnej kategorii do 3 lat. Skargę na nieprawidłowe przetwarzanie danych można złożyć do Prezesa Urzędu Ochrony Danych Osobowych (UODO).