Jakie są zasady RODO dotyczące udostępniania danych?

Zasady RODO dotyczące udostępniania danych – ryzyko wysokich kar

Stosowanie zasad RODO dotyczących udostępniania danych chroni firmy przed dotkliwymi konsekwencjami prawnymi oraz utratą zaufania klientów. Prawidłowe przekazywanie informacji osobowych minimalizuje ryzyko wystąpienia incydentów naruszających prywatność, ograniczając jednocześnie negatywny rozgłos i kosztowne roszczenia. Przyswojenie procedur zapewnia pełne bezpieczeństwo przetwarzania informacji w każdej organizacji.

RODO: kluczowe zasady udostępniania danych osobowych w pigułce

Wiele firm zastanawia się, czy można po prostu przekazać dane osobowe innemu podmiotowi. Odpowiedź brzmi: to zależy. RODO nie zabrania udostępniania danych, ale otacza je sztywnym gorsetem zasad. Udostępnienie to nieformalne przekazanie kontroli – dane trafiają do nowego administratora, który przetwarza je we własnych, niezależnych celach. To fundamentalna różnica wobec powierzenia przetwarzania, gdzie kontrolę zachowuje pierwotny administrator.

Podstawy prawne: kiedy możesz udostępnić dane bez zgody?

Sercem każdego legalnego udostępnienia jest podstawa prawna z art. 6 RODO. To mit, że zawsze potrzebujesz zgody osoby. W praktyce zgoda jest tylko jedną z sześciu możliwości i bywa zawodna, bo można ją cofnąć.

Prawnie uzasadniony interes administratora – gdzie leży granica?

To najtrudniejsza, ale też jedna z najczęściej stosowanych podstaw. Brzmi niejasno? Właśnie dlatego UODO zaleca przeprowadzenie tzw. testu równowagi.

Sprowadza się on do trzech pytań. 1. Cel i konieczność: Czy udostępnienie jest niezbędne do osiągnięcia konkretnego, prawowitego celu (np. dochodzenia roszczeń, zapobiegania oszustwom)? 2. Wpływ na osobę: Czy udostępnienie danych jest proporcjonalne, a interesy, prawa i wolności osoby nie są nadmiernie naruszone?

Tutaj kluczowe jest, czy dane są szczególnie wrażliwe. 3. Zabezpieczenia: Czy wprowadzono odpowiednie środki techniczne i organizacyjne (np. pseudonimizację), by zminimalizować wpływ na osobę? Przykład z życia: Bank chce udostępnić dane dłużnika firmie windykacyjnej. Test równowagi może wypaść pozytywnie, jeśli udostępniane są tylko niezbędne dane kontaktowe i kwota zadłużenia, a nie pełna historia transakcji. Jeśli jednak bank przekazałby dodatkowo informację o chorobie klienta, test prawdopodobnie by nie przeszedł.

Pozostałe podstawy: umowa, prawo i obowiązek

Jeżeli udostępnienie danych jest niezbędne do wykonania umowy zawartej z osobą – to podstawa jest prosta. Podobnie, gdy wynika to z przepisu prawa (np. obowiązek przekazania danych do ZUS) lub konieczności ochrony żywotnych interesów. W przypadku realizacji zadania publicznego (np. przez urząd) również istnieje podstawa. Klucz to dokumentacja. Musisz móc wskazać konkretny przepis lub zapis w umowie.

Praktyczny schemat decyzji: krok po kroku

Decyzja o udostępnieniu danych nie powinna być spontaniczna. Oto uproszczony schemat myślowy, który pomoże uniknąć błędów.

Krok 1: Cel i podstawa. Jasno określ, po co dane są udostępniane. Następnie znajdź dla tego celu podstawę prawną w art. 6 RODO.

Jeśli jej nie ma – STOP. Krok 2: Minimalizacja i bezpieczeństwo. Przeanalizuj, które konkretnie dane pola są absolutnie niezbędne. Adres do wysyłki? Tak. PESEL i data urodzenia do marketingowej współpracy? Prawdopodobnie nie. Zastanów się, czy dane można pseudonimizować. Krok 3: Ocena odbiorcy. Czy nowy administrator ma zapewnić odpowiedni poziom bezpieczeństwa? Czy przetwarza dane w kraju zapewniającym odpowiednią ochronę (np. w UE)? Krok 4: Informacja i dokumentacja. Przygotuj aktualizację klauzuli informacyjnej. Następnie udokumentuj samą decyzję, jej uzasadnienie prawne oraz zakres przekazanych danych. To twoja polisa na wypadek kontroli.

Obowiązek informacyjny: co powiedzieć osobie?

To element, o którym wiele firm zapomina. Zgodnie z art. 14 RODO, jeśli pozyskujesz dane nie od osoby, musisz ją poinformować o tym w ciągu rozsądnego okresu (maks. miesiąc). Przy udostępnieniu oznacza to, że musisz poinformować o fakcie przekazania danych, podając tożsamość nowego administratora lub co najmniej jego kategorię (np. firmy współpracujące w zakresie windykacji) oraz cel przetwarzania. Wyobraź sobie, że klient dowiaduje się od windykatora, że jego dane są tam przetwarzane, ale nigdy nie został o tym uprzedzony przez bank. To prosta droga do skargi do UODO. Informację można przekazać przy najbliższym kontakcie, ale lepiej zrobić to od razu.

Ryzyko i konsekwencje: co grozi za błąd?

Naruszenia dotyczące udostępniania danych należą do poważnych. Urząd Ochrony Danych Osobowych może nałożyć kary finansowe do 20 milionów euro lub 4% całkowitego rocznego światowego obrotu firmy. W Polsce kary są niższe, ale wciąż dotkliwe. W latach 2022-2024 UODO nałożył kary za naruszenia RODO przekraczające łącznie 20 milionów złotych, a znaczną część stanowiły przypadki nieprawidłowego przekazywania danych. ^[1] Ale to nie tylko kara. To także utrata zaufania klientów, negatywne nagłośnienie sprawy i potencjalne roszczenia od osób, których dane dotyczą. Koszt naprawienia reputacji często przewyższa samą karę.

Udostępnienie a powierzenie: gdzie jest różnica?

Udostępnienie danych

• Każdy z administratorów (ten, który udostępnia i ten, który otrzymuje) odpowiada samodzielnie za zgodność swojego przetwarzania z RODO.
• Nie jest wymagana umowa powierzenia, choć warto mieć porozumienie regulujące kwestie współpracy i bezpieczeństwa.
• Wymagana jedna z podstaw z art. 6 RODO (np. zgoda, prawnie uzasadniony interes) dla samego faktu przekazania.
• Przekazanie danych innemu, niezależnemu administratorowi danych. Odbiorca sam decyduje o celach i środkach przetwarzania.
• Sklep internetowy przekazuje dane klienta, który nie odebrał przesyłki, firmie windykacyjnej. Windykacja to nowy, niezależny cel.

Powierzenie przetwarzania

• Główną odpowiedzialność ponosi administrator. Musi on wybrać godnego zaufania procesora i nadzorować go na mocy umowy powierzenia (art. 28 RODO).
• Umowa powierzenia przetwarzania danych (DPA) jest obowiązkowym elementem tej relacji.
• Podstawą jest realizacja celu administratora zlecającego. Nie potrzebujemy dodatkowej podstawy dla samego faktu powierzenia.
• Administrator (podmiot zlecający) korzysta z usług procesora (podmiotu przetwarzającego), który działa wyłącznie na jego zlecenie.
• Firma powierza zewnętrznej agencji hostingowej przechowywanie swojej bazy danych klientów na serwerach. Cel przetwarzania (obsługa klienta) pozostaje ten sam.

Błąd hurtowni budowlanej "Dom-Bud" z Katowic

"Dom-Bud", średniej wielkości hurtownia, prowadziła program lojalnościowy. W 2023 roku nawiązała współpracę marketingową z producentem farb, postanawiając przekazać mu dane kontaktowe swoich klientów zainteresowanych remontami.

Dział prawny założył, że podstawą będzie zgoda, ale nikt nie zweryfikował zapisów w klauzuli. Okazało się, że klienci zgadzali się tylko na marketing od samej hurtowni. Przekazanie danych producentowi było nielegalne.

Problem wyszedł na jaw, gdy kilkadziesiąt osób zaczęło skarżyć się na natrętne telefony od doradcy farbiarskiego. Klienci czuli się oszukani, a UODO wszczął postępowanie. Kosztowało to firmę nie tylko karę, ale i masowe rezygnacje z programu lojalnościowego.

Po tym incydencie "Dom-Bud" wdrożył prosty schemat decyzyjny dla każdego pomysłu na współpracę. Teraz zanim cokolwiek zrobią z danymi, pytają: 'Czy mamy na to wyraźną, konkretną podstawę w klauzuli?'. To proste pytanie uratowało ich przed kolejnymi problemami.