Absurdy RODO – wybrane przypadki
14.06.2019
Jesteśmy po pierwszej rocznicy stosowania przepisów RODO, a zatem jest to dobry czas na różnego rodzaju podsumowania. W niniejszym artykule przedstawię kilka praktyk w stosowaniu przepisów RODO, które można określić pojęciem „absurdów RODO”.
Zdecydowanie najczęściej spotykanymi absurdami są te dotyczące klauzul informacyjnych. RODO w artykułach 13. oraz 14. nakłada na administratorów danych osobowych obowiązek informowania podmiotów danych o wielu kwestiach związanych z przetwarzaniem ich danych. Nie ma wątpliwości, że w porównaniu do poprzedniego stanu prawnego treść tych obowiązków uległa znacznemu rozszerzeniu. Jako wymagane pojawiły się takie informacje jak dane kontaktowe Inspektora Ochrony Danych, podstawy prawne przetwarzania danych osobowych, czy informacje o czasie przechowywania danych. Dokładając do tego potencjalną karę w wysokości do 20 mln euro (lub 4% rocznego globalnego obrotu organizacji w zeszłym roku) mamy gotowy przepis na absurdalne podejście do spełnienia tego obowiązku.
W sposobie prezentowania treści obowiązków informacyjnych najlepiej daje się zauważyć wypaczenie sensu i ducha RODO. Klauzule są często bardzo rozbudowane, zajmują nawet kilka stron formatu A4. Wynika to np. z cytowania pełnych odwołań do przepisów RODO lub innych ustaw, na które powołuje się administrator – nagminnie wskazywana jest pełna nazwa RODO (a krótka ona nie jest) lub nazwy ustaw wraz z pozycjami z Dziennika Ustaw, w którym ustawa została opublikowana. Ponadto, klauzule często pisane są bardzo oficjalnym językiem prawniczym, który powszechnie uznawany jest za niezrozumiały. Wydaje się zatem, że osoby wdrażające nowe treści klauzul informacyjnych zapominają, że przed art. 13. i 14. RODO znajduje się art. 12., który zobowiązuje administratora do przedstawiania treści informacyjnych „…w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.”
Absurdy pojawiają się również przy decydowaniu o tym, komu klauzula informacyjna ma być prezentowana. Zdarza się, że firmy chcą spełniać obowiązek informacyjny do prezesa spółki kontrahenta lub innych osób reprezentujących spółkę podczas negocjowania umów. Nierzadko spotyka się również klauzule przeznaczone dla handlowców kontrahenta, których dane znajdują się na wizytówkach. Powodem takich absurdalnych pomysłów może być interpretowanie przepisów RODO wyłącznie literalnie (np. definicja „osoby, której dane dotyczą”) i pomijanie kontekstu pozyskiwanych danych oraz roli jaką dana osoba pełni w organizacji. Z pomocą może przyjść w tym przypadku koncepcja tzw. danych służbowych, którą przybliżyliśmy na łamach RodoRadar’u (link: https://rodoradar.pl/przetwarzanie-sluzbowych-danych-osobowych/).
Nieproporcjonalnie ostrożnościowe podejście do RODO przejawia się również przy zawieraniu umów powierzenia przetwarzania danych osobowych. Celem tego rodzaju umów jest uregulowanie odpowiedzialności podmiotu przetwarzającego względem administratora, ale ich zastosowanie ma miejsce tylko w przypadku gdy podmiot przetwarzający przetwarza dane osobowe „w imieniu” administratora. Jest to kluczowy aspekt w trakcie ocenienia, czy w danym procesie powierzenie przetwarzania danych osobowych w ogóle ma miejsce.
Absurd w tym obszarze polega na powierzaniu danych kontaktowych osób, które podpisują z ramienia kontrahentów dwustronne umowy, ponieważ trudno wskazać jakiego rodzaju czynności na tych danych miałyby być wykonywane w imieniu drugiego kontrahenta. Podobne problemy praktyczne powoduje podpisywanie umów powierzenia z dostawcami, których usługi nie dotyczą przetwarzania danych osobowych. Przykładem może być współpraca z serwisem sprzątającym lub hydraulicznym. Tego rodzaju dostawca nie wykonuje czynności na danych osobowych, ale administratorzy nalegają na podpisanie z nim umowy powierzenia, ponieważ osoby sprzątające mogą przebywać w obszarze przetwarzania danych osobowych. Wydaje się to zdecydowanie nadmiarowe i może rodzić więcej problemów w praktyce, niż spokój oparty na złudnym przekonaniu o zabezpieczeniu interesów administratora.
RODO jest aktem prawnym, którego interpretowanie wyłącznie literalnie prowadzi do absurdalnych wniosków i niewdrażalnych rekomendacji. Takie podejście prowadzi do ośmieszenia reformy RODO (czego przykłady można napotkać w mediach regularnie) oraz wzrostu kosztów dostosowania firm do regulacji. Naszym klientom zawsze zalecamy stosowanie podejścia zdroworozsądkowego i patrzenia na przepisy RODO przez pryzmat praw podmiotów danych i ogólnego sensu reformy, a nie wyłącznie jako przykrego obowiązku administracyjnego.
Z tej samej kategorii
Kategorie
