Zarząd każdej osoby prawnej składa się z osób fizycznych. Osoby takie działają zatem w imieniu i na rzecz takiego podmiotu. W konsekwencji wiąże się to z koniecznością pozyskiwania i udostępniania danych piastunów tego organu na potrzeby danej spółki czy innej osoby prawnej. Czy dane takie stanowią dane osobowe, a tym samym czy są to dane chronione RODO? Odpowiedzi na to pytanie w ostatnim czasie udzielił Prezes Ochrony Danych Osobowych.

Dane członków zarządu = dane osobowe = ochrona RODO

Takie stanowisko prezentuje Prezes Urzędu Ochrony Danych Osobowych [1]. Jak wskazuje Prezes Urzędu, „motyw 14 RODO wyjaśnia, że ochrona zapewniana przez RODO dotyczy osób fizycznych, niezależnie od ich obywatelstwa lub miejsca zamieszkania, w związku z przetwarzaniem ich danych osobowych”. Nadto, zgodnie z definicją zawartą w art. 4 pkt 1 RODO „dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Zarówno na etapie powstawania jak i funkcjonowania danej osoby prawnej, konieczne jest pozyskanie jej danych takich jak: imię i nazwisko, adres czy numer PESEL. Dane te ujawniane są także w Krajowym Rejestrze Sądowym, tj. publicznym rejestrze prowadzonym przez właściwe sądy rejonowe w których zamieszczane są dane pozwalające m.in. na weryfikację informacji o osobach prawnych. Prezes Urzędu stwierdził tym samym, iż dane członków zarządu są danymi osobowymi, a zatem RODO swoją ochroną obejmuje te dane, co w konsekwencji powoduje konieczność wykonania obowiązków informacyjnych wobec tych osób na podstawie art. 13 i 14 RODO przed podmioty będące administratorami takich danych.

Co z motywem 14 RODO?

Ze zdania drugiego motywu 14 RODO wynika, iż nie ma ono zastosowania do przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. Treść tego zdania „kusi” do wyciągnięcia wniosku, iż dane osób wchodzących w skład zarządu osoby prawnej to dane dotyczące osoby prawnej, a tym samym iż dane takie nie stanowią danych osobowych. Prezes Urzędu stanowczo zaprzecza możliwości takiej interpretacji, wskazując iż zakres danych członków zarządu pozwala na ich identyfikację, co powoduje iż są to dane osobowe.

Wśród specjalistów z zakresu ochrony danych pojawiły się głosy krytykujące to stanowisko. Po części należy się z tym zgodzić – osoby działające w ramach zarządu osób prawnych działają w ich imieniu i w związku z tym udostępniają w szerokim zakresie swoje dane. Stanowisko PUODO prowadzi do sytuacji, w której w ramach umów niejednokrotnie konieczne będzie wykonanie dosyć uciążliwego obowiązku informacyjnego. Z drugiej jednak strony, motyw 14 RODO nie daje wyraźnej i jednoznacznej podstawy aby możliwe było uznanie, iż takie dane stanowią dane osoby prawnej. Wniosek jest taki, że w tym zakresie w RODO doszło do niedopatrzenia lub mamy do czynienia niejako z luką, którą Prezes Urzędu postanowił wypełnić bezpieczniejszą interpretacją wskazując na obowiązek ochrony danych piastunów organów osób prawnych.