Przekazanie wrażliwych informacji za granicę - jakie grożą sankcje i jak się bronić?

Pojęcie "przekazania wrażliwych informacji podmiotom zagranicznym" obejmuje w polskim prawie dwie zupełnie różne sytuacje, które często myli się ze sobą. Pierwsza to transfer danych osobowych poza Europejski Obszar Gospodarczy - reguluje go RODO (rozdział V) i ustawa o ochronie danych osobowych, a sankcją jest przede wszystkim administracyjna kara pieniężna nakładana przez Prezesa UODO. Druga to ujawnienie informacji prawnie chronionych - tajemnicy przedsiębiorstwa, tajemnicy zawodowej czy informacji niejawnych - co może być przestępstwem ściganym z Kodeksu karnego, włącznie ze szpiegostwem (art. 130 KK), gdy odbiorcą jest wywiad obcego państwa. Linia obrony zależy więc całkowicie od tego, w którym reżimie znalazła się Twoja sprawa. Poniżej rozkładamy oba na czynniki pierwsze i pokazujemy, gdzie szukać argumentów obronnych.

Dwa reżimy odpowiedzialności - administracyjny i karny

To rozróżnienie jest kluczowe, bo decyduje o całej strategii. Reżim administracyjny (RODO): jeżeli chodzi o dane osobowe klientów, pacjentów czy pracowników wysłane do firmy spoza EOG bez właściwej podstawy, sprawą zajmuje się Prezes Urzędu Ochrony Danych Osobowych (UODO), a maksymalna kara to 20 mln euro albo 4 proc. rocznego światowego obrotu, w zależności która kwota jest wyższa (art. 83 ust. 5 RODO). To postępowanie administracyjne, nie karne - nie ma tu wyroku ani wpisu do rejestru karnego. Reżim karny (KK): jeżeli ujawniono tajemnicę przedsiębiorstwa, tajemnicę zawodową lub informacje niejawne, sprawą zajmuje się prokuratura i sąd karny, grozi kara pozbawienia wolności, a w skrajnym wariancie - przekazania informacji obcemu wywiadowi - mówimy o zbrodni szpiegostwa zagrożonej karą do dożywocia. Pierwsza czynność obrońcy to zawsze precyzyjne ustalenie, jaki charakter mają przekazane informacje i kto jest organem prowadzącym.

Transfer danych osobowych poza EOG - kiedy jest legalny

RODO nie zakazuje przekazywania danych za granicę - określa warunki, na jakich jest to dopuszczalne. Transfer do państwa trzeciego (spoza EOG) jest legalny, gdy spełniona jest jedna z przesłanek z rozdziału V RODO: (1) decyzja Komisji Europejskiej o odpowiednim stopniu ochrony danego kraju (art. 45 RODO - tzw. decyzja adekwatności); (2) odpowiednie zabezpieczenia z art. 46 RODO, najczęściej standardowe klauzule umowne (SCC) zatwierdzone przez Komisję lub wiążące reguły korporacyjne (BCR); (3) wyjątki z art. 49 RODO, np. wyraźna zgoda osoby świadomej ryzyka albo niezbędność transferu do wykonania umowy. Po wyroku TSUE w sprawie Schrems II (C-311/18) samo zawarcie SCC nie wystarczy - administrator musi dodatkowo ocenić, czy prawo kraju odbiorcy faktycznie zapewnia ochronę (transfer impact assessment), i wdrożyć środki uzupełniające, np. szyfrowanie. Brak którejkolwiek z tych podstaw oznacza transfer nielegalny.

Obrona w postępowaniu przed Prezesem UODO

Gdy sprawa toczy się przed UODO, obrona koncentruje się na wykazaniu zgodności lub - gdy uchybienie nastąpiło - na ograniczeniu wysokości kary. Praktyczne kierunki obrony: po pierwsze, wykazanie istnienia ważnej podstawy transferu (decyzja adekwatności, SCC z oceną skutków, zgoda) i przedstawienie dokumentacji; po drugie, powołanie się na minimalizację danych (art. 5 ust. 1 lit. c RODO) - jeśli przekazano tylko dane niezbędne, naruszenie jest mniej dotkliwe; po trzecie, wykazanie wdrożonych zabezpieczeń technicznych i organizacyjnych (szyfrowanie, pseudonimizacja). Przy ustalaniu kary art. 83 ust. 2 RODO nakazuje organowi uwzględnić m.in. charakter i wagę naruszenia, jego nieumyślność, działania podjęte w celu zminimalizowania szkody oraz stopień współpracy z organem. Aktywna, dobrowolna współpraca i szybkie zgłoszenie naruszenia (art. 33 RODO) realnie obniżają sankcję. Od decyzji Prezesa UODO przysługuje skarga do Wojewódzkiego Sądu Administracyjnego.

Ujawnienie tajemnicy przedsiębiorstwa - art. 23 ustawy o zwalczaniu nieuczciwej konkurencji

Gdy przekazane informacje to know-how, baza klientów, technologia czy strategia firmy, w grę wchodzi art. 23 ustawy z 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji. Karze podlega ten, kto wbrew ciążącemu na nim obowiązkowi ujawnia innej osobie lub wykorzystuje we własnej działalności informację stanowiącą tajemnicę przedsiębiorstwa, jeżeli wyrządza to poważną szkodę przedsiębiorcy - grozi grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat. Surowiej karane jest wykorzystanie takiej informacji przez osobę, która bezprawnie ją uzyskała. Obrona w takiej sprawie skupia się na podważeniu, że informacja była faktycznie tajemnicą (czy podjęto rozsądne działania dla zachowania poufności - to przesłanka definicji z art. 11 ust. 2 u.z.n.k.), na braku obowiązku poufności po stronie oskarżonego albo na braku poważnej szkody. To przestępstwo ścigane jest na wniosek pokrzywdzonego.

Ujawnienie tajemnicy zawodowej i informacji niejawnych

Polski Kodeks karny chroni tajemnice zawodowe i służbowe. Art. 266 § 1 KK karze ujawnienie lub wykorzystanie wbrew przepisom ustawy lub przyjętemu zobowiązaniu informacji, z którą sprawca zapoznał się w związku z pełnioną funkcją, wykonywaną pracą lub działalnością - kara grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat; ściganie następuje na wniosek pokrzywdzonego. Funkcjonariusz publiczny ujawniający informację niejawną o klauzuli "zastrzeżone" lub "poufne", z którą zapoznał się w związku z pełnieniem funkcji, odpowiada z art. 266 § 2 KK. Najpoważniejszy reżim dotyczy informacji niejawnych o klauzuli "tajne" i "ściśle tajne": art. 265 § 1 KK przewiduje za ich ujawnienie karę pozbawienia wolności od 3 miesięcy do 5 lat. Ochrona tych informacji wynika z ustawy z 5 sierpnia 2010 r. o ochronie informacji niejawnych. W sprawach tych obrona analizuje, czy informacja rzeczywiście miała chroniony status, czy sprawca był do jej zachowania prawnie zobowiązany i czy działał umyślnie.

Najcięższy wariant - szpiegostwo (art. 130 KK)

Jeżeli wrażliwe informacje trafiają do obcego wywiadu, sprawa przestaje być sporem o dane, a staje się zbrodnią przeciwko Rzeczypospolitej. Art. 130 § 1 KK karze udział w działalności obcego wywiadu przeciwko RP karą pozbawienia wolności od roku do 10 lat. Gromadzenie lub przekazywanie wywiadowi wiadomości, których przekazanie może wyrządzić szkodę RP (art. 130 § 2 KK), jest zagrożone karą pozbawienia wolności na czas nie krótszy niż 3 lata. Przekazanie obcemu wywiadowi informacji niejawnych o klauzuli "tajne" lub "ściśle tajne" (art. 130 § 4 KK) - po nowelizacji zaostrzającej przepisy o szpiegostwie - zagrożone jest najsurowiej, łącznie z karą dożywotniego pozbawienia wolności. W takiej sprawie obrona wymaga obrońcy z doświadczeniem w sprawach z zakresu bezpieczeństwa państwa; kluczowe są kwestie zamiaru, rzeczywistego charakteru odbiorcy oraz tego, czy doszło do realnego zagrożenia interesów RP.

Jak adwokat buduje obronę - praktyczne kroki

Niezależnie od reżimu, schemat działania obrońcy jest podobny. Krok 1 - kwalifikacja: ustalenie, czy chodzi o dane osobowe (RODO/UODO), tajemnicę przedsiębiorstwa (u.z.n.k.), tajemnicę zawodową (art. 266 KK), informacje niejawne (art. 265 KK) czy szpiegostwo (art. 130 KK). Krok 2 - analiza dokumentacji: umowy powierzenia, klauzule SCC, polityki bezpieczeństwa, upoważnienia, rejestry czynności przetwarzania, zgody. Krok 3 - podstawa prawna lub zgoda: wykazanie, że transfer miał legalną podstawę albo że osoba wyraziła świadomą zgodę. Krok 4 - kwestia winy i zamiaru: w sprawach karnych ustalenie, czy działanie było umyślne i czy istniał obowiązek zachowania poufności. Krok 5 - łagodzenie skutków: zgłoszenie naruszenia, współpraca z organem, działania naprawcze - to realnie zmniejsza karę zarówno administracyjną, jak i karną. Im wcześniej skontaktujesz się z prawnikiem, tym więcej dowodów i argumentów da się zabezpieczyć.