W ostatnim artykule ustaliliśmy, że Mikołaj jest administratorem danych osobowych przekazywanych mu w listach w celu dostarczenia wymarzonych prezentów poprzez załogę niezastąpionych reniferów. Jak każdy realnie stąpający po ziemi przedsiębiorca, Mikołaj może jednakże rozważyć rozszerzenie zakresu działalności swojego przedsiębiorstwa poprzez świadczenie innych usług, np. sprzedaż składanek zawierających najpopularniejsze świąteczne hity 🙂🙂🙂. Co prawda, raczej jest to wątpliwe z uwagi na ogrom pracy, jaki ma miejsce w fabryce Mikołaja w Laponii w okresie świątecznym, ale warto przysłowiowo „dmuchać” na zimne 🙂. Czy w takim przypadku Mikołaj mógłby wykorzystać pozyskane dane dzieci w innym celu niż ten, dla którego zostały zebrane?
Odpowiedź nie jest taka prosta i zależy od szeregu okoliczności. Co do zasady, należy wskazać, iż w większości przypadków brzmiałaby „NIE”. Ale odpuśćmy już Mikołajowi – według otrzymanych przez Redakcję RODOkompasu informacji od Renifera Rudolfa – Rzecznika Mikołaja ds. Public Relations, Mikołaj obecnie odpoczywa po pracowitych Mikołajkach i ani mu się śni rozwijać działalności fabryki (przynajmniej na razie) 🙂.
Przechodząc już do sprawy na poważnie, przyjrzyjmy się zatem innym przedsiębiorcom. Ostatnio, jedna z naszych Czytelniczek zgłosiła Redakcji RODOkompasu, iż jeden z podmiotów, pomimo zażądania zaprzestania przetwarzania jej danych w celach marketingowych, skontaktował się z nią ponownie. Co ciekawe, już podczas pierwszego kontaktu, nasza Czytelniczka miała świadomość, iż nigdy nie wyrażała zgody na kontakt telefoniczny w celu otrzymywania ofert produktów i usług tego podmiotu, co wyraźnie zaznaczyła podczas rozmowy telefonicznej i w związku z tym zażądała zaprzestania przetwarzania jej danych w tym celu. Czy podmiot ten naruszył przepisy o ochronie danych osobowych? Niewątpliwie tak. Na wytłumaczenie jego postępowania, a zarazem pewną jej „obronę” należy wskazać, iż wynikało ono zapewne z braku świadomości prawnej. Spółka ta nie uzyskała bowiem bezprawnie danych Czytelniczki – posiadała je na podstawie zawartej z nią umowy. Jednakże mogła je przetwarzać wyłącznie w celu realizacji tej umowy. Z góry także prostuję – przytoczenie tej sytuacji ma wyłącznie jeden cel – uzasadnienie, jak ważna jest świadomość, która na kanwie tej sytuacji zaistniała (niestety) tylko po jednej stronie – naszej Czytelniczki. Redakcji RODOkompasu nie chodzi o to, aby wyłapywać błędy i „karcić”, ale o to aby uzmysłowić jak ważne jest budowanie świadomości – zarówno praw, jak i obowiązków.
Mimo, iż RODO nie mówi o świadomości wprost czy nie ustanawia z niej zasady, to z całą pewnością można stwierdzić, iż jest to fundament, od którego każdy z administratorów danych osobowych powinien rozpocząć „budowę” nietypowej inwestycji, jaką jest wdrażanie RODO 🙂. Z kolei, w ślad za naszą Czytelniczką, każda osoba powinna uświadomić sobie, jakie prawa jej przysługują. Rozwiązania przyjęte przez administratorów powinny być zatem w harmonii z prawami osób, których dane dotyczą. Chodzi przecież o osiągnięcie w ten sposób wspólnego celu – ochrony prywatności. Gramy zatem do jednej bramki🙂.
No właśnie, a jakie prawa przysługiwałyby naszej Czytelniczce na gruncie RODO w zaistniałej sytuacji?
Z całą pewnością prawo do usunięcia danych, uregulowane w przepisie art. 17 RODO, tzw. „prawo do bycia zapomnianym”. Zgodnie z tym przepisem, osoba której dane dotyczą ma prawo żądać od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator jest zobowiązany bez zbędnej zwłoki ten obowiązek spełnić. Z uwagi na niezwykłą istotność tego prawa, zostanie mu poświęcony odrębny artykuł w ramach prowadzonego cyklu „Z RODOkomapsem przez zmiany”.
W przypadku, gdy z uwagi na takie przetwarzanie danych doszłoby do szkody (czy to majątkowej czy to niemajątkowej), istnieje możliwość uzyskania od administratora odszkodowania zgodnie z art. 82 RODO, ale to również pole do bardziej dogłębnych rozważań.
Co jeżeli zgoda na kontakt telefoniczny w celach marketingowych zostałaby udzielona?
Zmodyfikujmy powyższy stan faktyczny i załóżmy, iż nasza Czytelniczka udzieliła wcześniej taką zgodę. Wówczas, oprócz wyżej wskazanych praw, istniałaby możliwość jej wycofania. Jak wskazuje art. 7 ust. 3 RODO, wycofanie zgody jest możliwe w każdym czasie. Co istotne, wycofanie zgody musi być równie łatwe, jak jej wyrażenie, co oznacza, iż administrator musi trochę się „pogłowić”, jak skutecznie zrealizować ten obowiązek. Zarazem, aby złagodzić trochę ciężar tego obowiązku, RODO wskazuje, iż wycofanie zgody w żaden sposób nie wpływa na zgodność z prawem przetwarzania danych, które miało miejsce przed złożeniem takiego oświadczenia. Administratorzy mogą zatem odetchnąć z ulgą (przynajmniej) w takim zakresie🙂.
Potwierdza się zatem po raz kolejny, powszechna i utarta zasada w myśl której „nieznajomość prawa szkodzi”. RODO jest jej świetnym i żywym przykładem, a w zasadzie pokuszę się nawet o stwierdzenie, iż zasada ta już dawno na gruncie żadnego aktu prawnego nie nabierała tak istotnego znaczenia. Administratorze – buduj zatem solidną świadomość prawną! 🙂
Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa oraz ma charakter wyłącznie informacyjny. Stanowi wyraz poglądów jego autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.
