Sankcje za przetwarzanie danych, których przetwarzanie nie jest dopuszczalne

Niestety brak jest jednoznaczniej wykładni przepisów w tej materii. Przetwarzanie danych osobowych w zbiorze przez osobę nieuprawnioną oznacza przetwarzanie danych osobowych w zbiorze przez osobę, która nie jest administratorem danych i której nie zostało nadane przez niego upoważnienie do przetwarzania danych osobowych.

Dominuje teza o konieczności uprzedniego (względem przetwarzania) wyrażenia zgody. Zgoda wywiera bowiem skutek ex nunc, tj. na przyszłość. Przemawia za tym ustanowiony w art. 24 ustawy o ochronie danych osobowych obowiązek informacyjny (tj. podanie do wiadomości osobie, której dane dotyczą, informacji o administratorze i przetwarzaniu danych), konieczność zachowania szczególnej staranności przez administratora przetwarzającego dane osobowe (art. 26 ust. 1), a także odpowiedzialność karna za niedopuszczalne przetwarzanie danych, ewentualnie przez nieuprawniony podmiot (art. 49 ust. 1). Ponadto ustawodawca wyraźnie przewiduje sytuacje, w których przetwarzanie jest dopuszczalne „w oczekiwaniu” na zgodę uprawnionego (np. art. 23 ust. 3). Każdy przypadek konieczności legalizacji przetwarzania przez późniejsze uzyskanie zgody osoby, której dane dotyczą, świadczy o niezachowaniu wymaganej staranności. Do późniejszego wyrażenia zgody nie można stosować art. 63 § 1 Kodeksu cywilnego, ponieważ przepis ten dotyczy zgody osoby trzeciej na dokonanie czynności prawnej, a przetwarzanie danych osobowych należy do działań faktycznych.

Oczywiście jest to pogląd doktrynalny. Istnieje także pogląd przeciwny dopuszczający możliwość późniejszego wyrażenia zgody.

W opisanej sytuacji bez zgody będą dokonane co najmniej dwie czynności: zebranie danych i ich przechowywanie – do chwili uzyskania zgody. Można więc przyjąć, że pośrednie zbieranie danych jest niezmiernie utrudnione, gdy przesłanką przetwarzania jest zgoda osoby, której one dotyczą. Musi być ona uprzednia (np. przez przekazanie oświadczenia o zgodzie osobie trzeciej).

W mojej ocenie jednak przekonywujący jest pogląd o konieczności uzyskania uprzedniej zgody na przetwarzanie. Przestępstwo z art. 49 ustawy ma charakter formalny, tj. karane jest samo spełnienie jego znamion bez konieczności wywołania skutków.