Grudzień to magiczny okres. Dla dzieci jest to szczególny moment corocznej „zadumy” nad tym jak najpełniej wyrazić swoje marzenia w liście do Świętego Mikołaja. Dzisiejsze imieniny Mikołaja skłoniły redakcję Rodokompasu do zastanowienia się nad zagadnieniem czy Święty Mikołaj jest administratorem danych osobowych przekazywanych mu w listach? I czy sam list jest już zgodą na przetwarzanie danych w nim zawartych?  🎁🎅🎄

Administratorem danych osobowych (ADO) na tle RODO jest osoba fizyczna, prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.

Czy zatem ADO dla zbioru danych osobowych grzecznych i zbioru zasługujących na rózgę dzieci jest Mikołaj? Co prawda cel wyznaczają tu (nie ukrywajmy) nadawcy listu, jednak przyjmując, iż Mikołaj dla dostarczenia właściwym dzieciom ich upragnionych prezentów tworzy bazę danych składającą się z imienia i nazwiska, niezbędnego adresu komina pod który się uda w Wigilię, listy dobrych i złych uczynków danego dziecka, a co najważniejsze zamówionego i wymarzonego podarku, który elfy w jego zakładzie produkcyjnym w Laponii muszą wyprodukować, należy uznać, iż Mikołaj przetwarza dane osobowe dzieci i to on decyduje o środkach i celach w tym zakresie.

Idąc dalej, jeżeli Mikołaj jest Administratorem Danych Osobowych to w natłoku grudniowej pracy nie może zapominać o ciążących na nim obowiązkach.  

Administrator Danych Osobowych musi bowiem zastosować środki techniczne i organizacyjne -organizacja fabryki Świętego to niewątpliwie najlepiej prosperująca firma na świecie – zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien:

1. zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną (dorosłym), przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,

2.  zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane,

3. dopuścić do przetwarzania wyłącznie osoby- raczej elfy i renifery, choć renifer jako przewoźnik to inna historia, posiadające upoważnienie i

4. prowadzić rejestr – elfów i reniferów – upoważnionych do przetwarzania danych osobowych oraz ich ewidencję.

Na tle RODO będzie musiał dokonać analizy zabezpieczeń już w fazie projektowania procesu przetwarzania danych osobowych (jeszcze przed otrzymaniem listów), ocenić ryzyko naruszenia danych osobowych i dobrać odpowiednie środki techniczne i organizacyjne. RODO nakłada także obowiązek prowadzenia rejestru czynności przetwarzania (o którym pisaliśmy już wcześniej – tu się Święty będzie musiał namęczyć). Ciąży na nim także obowiązek informacyjny wobec osób, których dane przetwarza. Jeśli Mikołaj spełni obowiązek informacyjny, nie będzie na świecie dziecka, który by w niego nie wierzył….

Może się okazać, iż Święty Mikołaj nie będzie zwolniony z kolejnego obowiązku jakie nałoży RODO i będzie musiał powołać kompetentną i niezależną Śnieżynkę na stanowisko Inspektora Ochrony Danych.

Czy list do Świętego Mikołaja to zgoda na przetwarzanie danych?

Zgoda na tle RODO to  dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.  RODO posługuje się pojęciem „okazania woli”, które zastąpi „oświadczenie woli” z obecnie obowiązującej ustawy o ochronie danych osobowych. Taka zmiana ma kluczowe znaczenie, zwłaszcza w kontekście motywu 32 preambuły RODO, gdzie wskazano że zgoda może polegać na :

• zaznaczeniu okienka wyboru podczas przeglądania strony internetowej

• na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego

• a także na innym oświadczeniu lub zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała zaproponowane przetwarzanie jej danych osobowych.

Mikołaj zdaje się być uratowany! Samo wysłanie listu ze wskazaniem swoich danych osobowych i rzecz jasna prezentu na tle RODO wydaje się być zgodą – bo w dostateczny sposób uwidacznia wolę w zakresie zgody na przetwarzanie tych danych.

Oczywiście z ostrożności Mikołaj powinien przygotować formularz świątecznych zgłoszeń z check box-em zgody na przetwarzanie danych wnioskujących o prezenty na Gwiazdkę. To już Mikołaj na miarę XXI wieku!

A tak na poważnie, wiele podmiotów stoi przed dylematem czy w zakresie zbiorów danych osobowych, które posiada jest administratorem danych osobowych czy podmiotem przetwarzającym. Musi zatem zadać sobie pytanie czy to on decyduje o środkach i celu przetwarzanych danych oraz czy ma stosowną podstawę prawną niezbędną do przetwarzania jak przykładowo zgoda osoby której dane dotyczą bądź obowiązek wynikający z przepisów prawa. Odpowiedź na to podstawowe pytanie w sposób prawidłowy generuje właściwe wypełnianie ciążących obowiązków, obecnie na tle ustawy o ochronie danych osobowych a od 25 maja 2018 r na tle Rozporządzenia Unii Europejskiej.

O wypełnianie obowiązków przez Św. Mikołaja nie mamy się co martwić. Znając jego magiczne zdolności nie zgubi się on w tych wszystkich obowiązkach i jak co roku na czas obdaruje dzieci.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego  autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.