Udostępnienie danych byłego administratora – kiedy jest legalne?

Czy można udostępnić dane byłego administratora?

Tak, ale tylko wtedy, gdy administrator dysponuje konkretną podstawą prawną przetwarzania i udostępnienia danych. Zgodnie z art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), przetwarzanie danych osobowych, w tym ich ujawnienie osobie trzeciej, musi być zgodne z prawem i oparte na jednej z przesłanek legalizujących.

W opisanej sytuacji najczęściej nie będzie podstaw do automatycznego przekazania danych tylko dlatego, że były pracownik twierdzi, iż chce pozwać byłego administratora. Samo powołanie się na przyszły proces nie tworzy po stronie obecnego administratora obowiązku ujawnienia danych.

Znaczenie ma też to, o jakie dane chodzi. Im szerszy zakres żądania, tym większe ryzyko naruszenia zasady minimalizacji z art. 5 ust. 1 lit. c RODO. Czasem do dochodzenia roszczeń wystarczy imię, nazwisko i adres do doręczeń, a nie pełen zestaw danych.

Jakie podstawy prawne mogą wchodzić w grę?

W praktyce trzeba rozważyć przede wszystkim trzy sytuacje.

Jeżeli dane są potrzebne do wytoczenia powództwa, istotny bywa też art. 6 ust. 1 lit. f RODO w związku z motywem 47 RODO, który wskazuje, że za prawnie uzasadniony interes może zostać uznane przetwarzanie danych do dochodzenia roszczeń. Nie oznacza to jednak, że każde żądanie trzeba uwzględnić. Nadal trzeba ocenić, czy udostępnienie jest rzeczywiście niezbędne oraz proporcjonalne.

Zobacz również:

dane potrzebne do pozwu

Czy art. 6 ust. 1 lit. f RODO pozwala ujawnić dane?

Może pozwalać, ale nie zawsze. Administrator powinien zbadać co najmniej trzy elementy:

• cel i interes wnioskodawcy – czy rzeczywiście chodzi o obronę lub dochodzenie praw,
• niezbędność – czy bez tych konkretnych danych wnioskodawca nie może realnie podjąć dalszych działań,
• test równowagi – czy interes wnioskodawcy nie ustępuje prawu do prywatności osoby, której dane mają zostać ujawnione.

W praktyce administrator powinien zażądać doprecyzowania celu wniosku i wykazania, dlaczego dane są potrzebne. Może np. poprosić o wskazanie rodzaju planowanego roszczenia, związku tej osoby ze sprawą oraz zakresu danych niezbędnych do podjęcia działań prawnych. Nie chodzi o badanie, czy przyszły pozew będzie zasadny, ale o ocenę, czy istnieje realny i konkretny interes prawny, a nie tylko ciekawość lub konflikt osobisty.

Jeżeli wnioskodawca może dochodzić swych praw w inny, mniej ingerujący sposób, odmowa będzie zwykle bezpieczniejsza. Dotyczy to zwłaszcza sytuacji, gdy dane można uzyskać przez sąd, komornika, organ administracji albo inny legalny kanał. W podobnych sprawach dotyczących udostępnienie tożsamości osoby występującej w związku z dochodzeniem lub obroną praw również kluczowe jest badanie proporcjonalności.

Kiedy odmowa udostępnienia jest najbezpieczniejsza?

Odmowa będzie najczęściej prawidłowa, gdy:

• wnioskodawca nie wskazał konkretnego celu albo celu nie uwiarygodnił,
• żąda zbyt szerokiego zakresu danych,
• administrator nie widzi podstawy z art. 6 ust. 1 RODO,
• istnieją inne drogi uzyskania danych mniej ingerujące w prywatność,
• ujawnienie mogłoby narazić osobę, której dane dotyczą, na nieuzasadnione naruszenie prywatności lub bezpieczeństwa.

W takim wariancie warto wskazać wnioskodawcy, że może dochodzić danych w toku postępowania sądowego. Jeżeli sprawa zmierza do procesu cywilnego, sąd może podejmować czynności dowodowe zgodnie z przepisami ustawy z 17 listopada 1964 r. – Kodeks postępowania cywilnego, w tym zobowiązać określony podmiot do przedstawienia dokumentu lub informacji potrzebnych do rozstrzygnięcia sprawy, jeżeli spełnione są warunki procesowe.

Nie ma natomiast ogólnego przepisu, który nakazywałby każdemu administratorowi przekazywanie danych na samo prywatne wezwanie osoby planującej pozew.

Jak odpowiedzieć na wniosek byłego pracownika?

Jeżeli do administratora wpływa zwykły wniosek o udostępnienie danych osoby trzeciej, nie jest to co do zasady realizacja prawa dostępu z art. 15 RODO, ponieważ wnioskodawca nie domaga się informacji o swoich danych, lecz o danych innej osoby. Z tego powodu miesięczny termin z art. 12 ust. 3 RODO nie zawsze będzie tu stosowany wprost jako tryb realizacji praw osoby, której dane dotyczą. Mimo to odpowiedź warto przekazać niezwłocznie i w rozsądnym terminie organizacyjnym, najlepiej pisemnie lub mailowo, aby zachować ślad decyzyjny.

Dobra odpowiedź powinna:

• wskazywać, że administrator przeanalizował wniosek,
• podawać, że udostępnienie danych wymaga podstawy z art. 6 ust. 1 RODO,
• wyjaśniać, dlaczego w danej sprawie administrator nie stwierdził wystarczającej podstawy,
• w razie potrzeby wskazywać legalną alternatywę, np. drogę sądową.

Przykładowa odpowiedź:

„W odpowiedzi na Pana/Pani wniosek informujemy, że udostępnienie danych osobowych osoby trzeciej może nastąpić wyłącznie przy istnieniu odpowiedniej podstawy prawnej, o której mowa w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Po analizie przedstawionych okoliczności nie stwierdziliśmy podstaw do samodzielnego ujawnienia żądanych danych. Jeżeli uzyskanie tych informacji jest niezbędne do dochodzenia roszczeń, może Pan/Pani rozważyć skorzystanie z właściwych środków procesowych przed sądem lub zwrócenie się do uprawnionego organu.”

Zobacz również:

kontrola w jednostce budżetowej a przepisy RODO

Jakie ryzyka grożą przy błędnej decyzji?

Nieuprawnione udostępnienie danych może prowadzić do:

• naruszenia zasad przetwarzania z art. 5 ust. 1 RODO i braku podstawy z art. 6 ust. 1 RODO,
• skargi do Prezesa Urzędu Ochrony Danych Osobowych, który działa na podstawie ustawy z 10 maja 2018 r. o ochronie danych osobowych,
• roszczenia odszkodowawczego osoby, której dane ujawniono, na podstawie art. 82 ust. 1 i 2 RODO,
• odpowiedzialności karnej z art. 107 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych, jeżeli przetwarzanie danych nastąpiło, choć nie było dopuszczalne albo do ich przetwarzania sprawca nie był uprawniony.

Odmowa udostępnienia danych zwykle jest mniej ryzykowna, ale też może skutkować:

• skargą wnioskodawcy do Prezesa UODO,
• koniecznością wyjaśnienia, jak administrator przeprowadził ocenę podstaw prawnych,
• zarzutem utrudniania dochodzenia roszczeń, jeśli odmowa była automatyczna i niepoparta analizą.

Dlatego najgorszym rozwiązaniem jest decyzja „na wyczucie”. Administrator powinien umieć wykazać, dlaczego ujawnił albo nie ujawnił danych, i odnieść się do konkretnej przesłanki z art. 6 ust. 1 RODO.

Przykłady

Poniższe sytuacje pokazują, jak w praktyce zmienia się ocena legalności ujawnienia danych zależnie od celu, zakresu żądania i dostępnych alternatyw.

FAQ

Czy sam zamiar wniesienia pozwu wystarcza do otrzymania danych?

Nie. To zbyt mało. Trzeba jeszcze wykazać, że ujawnienie konkretnych danych jest niezbędne i ma podstawę z art. 6 ust. 1 RODO.

Czy administrator musi pytać byłego administratora o zgodę?

Nie ma takiego obowiązku. Zgoda z art. 6 ust. 1 lit. a RODO jest tylko jedną z możliwych podstaw i w praktyce często nie będzie najlepszym rozwiązaniem.

Czy można udostępnić tylko część danych?

Tak, jeżeli administrator dojdzie do wniosku, że istnieje podstawa prawna, powinien ograniczyć zakres do minimum zgodnie z art. 5 ust. 1 lit. c RODO.

Czy odmowa zawsze jest prawidłowa?

Nie zawsze. Odmowa też wymaga analizy. Jeżeli istnieje konkretna podstawa prawna albo wiążące żądanie sądu lub organu, administrator może być zobowiązany do przekazania danych.

Czy wnioskodawca może złożyć skargę do UODO?

Tak. Jeżeli uzna, że administrator błędnie odmówił albo bezprawnie ujawnił dane, może złożyć skargę do Prezesa UODO.

Źródła

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), w szczególności art. 5 ust. 1 lit. a i c, art. 5 ust. 2, art. 6 ust. 1 lit. a, c i f, art. 12 ust. 3, art. 15, art. 82 oraz motyw 47 – EUR-Lex

2. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych – Dz.U. 2018 poz. 1000

3. Ustawa z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego – ISAP