Rejestracja zbiorów danych osobowych

Coraz większy zakres danych osobowych gromadzonych o każdym z nas przez różne instytucje, publiczne i prywatne, doprowadził do tego, że nie sposób już osobiście sprawować pieczę i kontrolę nad obiegiem tych informacji.

Ustawodawca wyszedł naprzeciw zapotrzebowaniu na kontrolę danych, zapewniając ustawową w tym zakresie ochronę. Podstawowym aktem prawnym regulującym kwestie ochrony danych osobowych, ich gromadzenia, przetwarzania, a także obowiązku rejestracji, jest ustawa z 29 sierpnia 1997 r. O ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm., zwana dalej Ustawą).

Ustawa wskazuje nie tylko, jakie informacje podlegają ochronie, ale także w szczegółowy sposób reguluje procedurę ich gromadzenia, nakładając na podmioty zbierające i przetwarzające dane szereg obowiązków. Ustawa dotyczy przetwarzania danych osobowych, gromadzonych w zbiorach prowadzonych w systemie papierowym (kartotekach, skorowidzach, księgach, wykazach i innych zbiorach ewidencyjnych) oraz w systemach informatycznych.

Wszelkie bazy danych, o których mówi ustawa należy zgłosić Generalnemu Inspektorowi Danych Osobowych. Przez zbiór danych, zgodnie z definicją zawartą w Ustawie, rozumie się „każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie”. Cechą wyróżniającą taki zbiór jest jego budowa, charakteryzująca się takim uporządkowaniem, które umożliwia odnalezienie określonych informacji według konkretnego kryterium. Takim kryterium, pozwalającym na wyszukanie konkretnych danych, na co należy zwrócić uwagę, może być nie tylko imię, nazwisko, data urodzenia, PESEL, ale także data zamieszczenia informacji w zbiorze. Jeśli zbiór danych spełnia ten warunek, baza musi być zarejestrowana.

Ustawa, a tym samym obowiązki z niej wynikające nie mają zastosowania w przypadkach:

● osób nieżyjących - ze względu na ochronę powszechnych dóbr osobistych (kult pamięci osoby zmarłej);

● informacji o przedsiębiorcach w zakresie, w jakim identyfikują podmiot w obrocie gospodarczym i ściśle wiążą się z prowadzeniem działalności gospodarczej;

● osób fizycznych, prawnych i jednostek organizacyjnych niebędących osobami prawnymi, o ile nie przetwarzają danych w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych;

● podmiotów mających siedzibę albo miejsce zamieszkania w państwie trzecim (tj. nienależącym do Europejskiego Obszaru Gospodarczego), wykorzystujących środki techniczne znajdujące się na terytorium Rzeczypospolitej Polskiej wyłącznie do przekazywania danych.

Jeśli danego podmiotu nie dotyczą wyłączenia, administrator danych obowiązany jest zgłosić posiadany zbiór do Generalnego Inspektora Ochrony Danych Osobowych, który prowadzi jawny rejestr takich zbiorów, sprawuje kontrolę nad prawidłowością procesu ich przetwarzania. Z informacjami zamieszczonymi w rejestrze można się zapoznać poprzez Internet, korzystając z systemu e-giodo. Ułatwieniem jest także to, że system e-giodo zapewnia możliwość wyszukiwania zbiorów danych za pomocą wielu kryteriów, takich jak: nazwa zbioru, nazwa administratora danych czy jego siedziba.

Istotnym obowiązkiem, który z mocy ustawy spoczywa na administratorze, jest obowiązek informacyjny na żądanie każdej osoby, której dane są przetwarzane. Dotyczy to zarówno przypadku, kiedy dane zbieramy bezpośrednio od osoby, której dotyczą, jak i w przypadkach gromadzenia tych informacji ze źródeł pośrednich, np. pozyskanych od innych podmiotów. Chodzi o to, aby na podstawie uzyskanych informacji, zainteresowany miał możliwość właściwej oceny sytuacji i podjęcia decyzji co do udostępnienia danych, a także aby mógł korzystać z praw przyznanych mu przez ustawę, w tym prawa żądania zmiany, a nawet usunięcia danych. Informacje te trzeba przekazać na żądanie osoby, której dane dotyczą. Informacja o tym musi mieć charakter indywidualny i absolutnie nie może być zastąpiona, np. ogłoszeniem czy też adnotacją umieszczoną w regulaminie, jeśli osoba nie ma możliwości, żeby bezpośrednio się zapoznać z jego treścią.

Ustawa nie zawiera jednak żadnych szczególnych wymogów co do formy udzielenia informacji, a co za tym idzie, jeśli ustawodawca nie narzuca żadnej formy, należy dojść do wniosku, że jest ona dowolna, czyli informacje mogą być udzielane nawet ustnie.

Status administratora danych może przysługiwać zarówno podmiotom publicznym, jak i prywatnym. Administratorem danych może być organ państwowy, organ samorządu terytorialnego, a także podmiot niepubliczny realizujący zadania publiczne, osoba fizyczna, osoba prawna oraz jednostka organizacyjna niebędąca osobą prawną, jeżeli przetwarza dane osobowe w związku z działalnością zarobkową. Administratorem danych jest bowiem każdy podmiot decydujący o celach przetwarzania danych osobowych. Nie ma przy tym znaczenia fakt, czy podmiot ten samodzielnie przetwarza dane, czy też zlecił ich przetwarzanie innemu podmiotowi, w drodze umowy

Każde przetwarzanie zwykłych danych osobowych, czyli dokonywanie na nich jakichkolwiek operacji, np. ich przechowywanie, wykorzystywanie, udostępnianie, zmienianie, należy uzasadnić spełnieniem jednego z warunków określonych w Ustawie. Wymienione w Ustawie warunki winno się traktować jako rozłączne, a co za tym idzie, nie trzeba spełniać ich kumulatywnie. Wykorzystywanie danych można uznać za legalne już w przypadku spełnienia jednego z warunków. Jeśli zatem wykorzystywanie danych służy do realizacji uprawnienia lub obowiązku określonego w przepisach prawa, nie jest wówczas potrzebne żądanie zgody osoby na wykorzystywanie danych, ani uzasadnianie, że przetwarzanie służy dobru publicznemu lub niezbędnym celom administratora. I tak, przetwarzanie danych osobowych jest możliwe, jeśli osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie informacji jej dotyczących. Watro zauważyć, że z przepisu wprawdzie nie wynika, aby zgoda na wykorzystywanie danych osobowych konkretnej osoby musiała mieć formę pisemną, jednak ze względów dowodowych oraz ze względu na wymagania przepisów dotyczących np. postępowania administracyjnego, zdecydowanie takie postępowania jest pożądane.

Przetwarzanie danych jest poza tym dopuszczalne w przypadku, kiedy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; kiedy jest to konieczne do realizacji umowy, jeśli stroną jest osoba, której dane dotyczą; kiedy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą oraz kiedy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego.