Kiedy dane osobowe mogą być przedmiotem obrotu bądź wymiany?

Obrót bazami danych nie jest zabroniony, o ile odbywa się w sposób zgodny z prawem. Podmiot gromadzący dane osobowe musi dochować należytej staranności zarówno na etapie gromadzenia, przechowywania, jak i udostępniania tych danych innym podmiotom, ponieważ ustawa o ochronie danych nakłada na administratorów określone obowiązki.

Po pierwsze, przetwarzanie danych osobowych uzależnione jest od zgody osoby, której te dane dotyczą. Zgodnie z art.7 pkt 5 ustawy o ochronie danych osobowych, przez zgodę osoby, której dane dotyczą rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie.Taka zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści i może zostać odwołana w każdym czasie.

Chodzi przede wszystkim o to, żeby z treści zgody na przetwarzanie danych osobowych wynikało w sposób nie budzący wątpliwości, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane. Wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi. Stanowisko takie wyraził także Naczelny Sąd Administracyjny w wyroku z dnia 4 kwietnia 2003 r. (sygn. akt II SA 2135/2002), w którego sentencji zawarł stwierdzenie, iż „Zgoda na przekazywanie danych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania. Czynności takiej nie konwaliduje późniejsze poinformowanie o treści regulaminu, ani możliwość zgłoszenia zastrzeżeń wobec pewnych form przetwarzania danych”.

Jeżeli dane osobowe mają być przedmiotem obrotu bądź wymiany, taka informacja powinna znaleźć się w treści zgody na przetwarzanie danych, z uwzględnieniem komu dane te będę przekazywane (podmiotom wymienionym z nazwy, podmiotom powiązanym kapitałowo z administratorem danych, itp.). Zgodnie z poglądami doktryny trudno uznać za skuteczną zgodę, która upoważnia do przetwarzania danych bliżej nieokreślone „podmioty współpracujące z administratorem”. Należy też mieć na uwadze, że przekazując dane osobowe mogą być przetwarzanie wyłącznie w celu, w jakim zostały zebrane przez administratora. Troska o to, by posiadane dane były merytorycznie poprawne i adekwatne w stosunku do celów jest bowiem jednym z podstawowych obowiązków administratora (art. 26.1 ustawy o ochronie danych).

Kary za udostępnianie danych osobowych lub umożliwianie dostępu do nich osobom nieupoważnionym reguluje art. 51 ust. 1 ustawy o ochronie danych osobowych. Osoby odpowiedzialne za tego typu zdarzenia zagrożone są karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2.

W przypadku, gdy sprzedażą baz danych zajmuje się nieuczciwy pracownik lub inna osoba, która weszła w ich posiadanie nielegalnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 267 kk).

Autor: Przemysław Adamus, aplikant radcowski w Kancelarii „Rachelski i Wspólnicy Kancelaria Prawnicza” Spółka Komandytowa