RODO nakazuje udostępnianie jak najszerszych informacji

Jeśli zainteresowany żąda przekazania kopii przetwarzanych danych, to nie wystarczy udostępnienie ogólnego ich zestawienia. Czasem trzeba nawet przekazać całe dokumenty.

Aby móc dochodzić praw, wpierw trzeba wiedzieć, że dana firma w ogóle przetwarza nasze dane, w jakim celu to robi, komu udostępnia, skąd je ma. Dlatego też art. 15 RODO nakazuje administratorom udostępniać wszystkie te informacje na żądanie zainteresowanego. To jednak nie wszystko. Zgodnie z ust. 3 tego przepisu (patrz: grafika) trzeba mu dostarczyć „kopię danych osobowych podlegających przetwarzaniu”.

Przepis może budzić wątpliwości interpretacyjne. Pojawiły się one m.in. przed austriackim sądem. Obywatel tego kraju zażądał od agencji doradztwa handlowego dostarczenia kopii dokumentów, w tym wiadomości elektronicznych i wyciągów z baz danych zawierających jego dane „w standardowym formacie”. Firma poprzestała na przekazaniu streszczenia wykazu jego danych osobowych podlegających przetwarzaniu. Nie usatysfakcjonowało to mężczyzny, który wniósł skargę do organu ochrony danych (Österreichische Datenschutzbehörde; dalej: DSB). Została ona oddalona. DSB uznał, że przekazanie streszczenia wykazu danych jest wystarczające. Sprawa trafiła do sądu, a ten postanowił poprosić o pomoc w interpretacji Trybunał Sprawiedliwości Unii Europejskiej. Cztery pytania prejudycjalne zmierzały do ustalenia zakresu informacji, jakie powinny zostać przekazane na żądanie zainteresowanego.

Szeroka interpretacja

TSUE swą analizę zaczyna od tego, że art. 15 ust. 3 RODO uznaje za rozwinięcie ust. 1 tego przepisu. Obowiązek dostarczenia kopii danych nie jest więc odrębnym uprawnieniem, tylko dookreśleniem tego, co wynika z art. 15 ust. 1 RODO. Pojęcie kopii nie odnosi się zaś do dokumentu jako takiego, ale do danych osobowych, które zawiera i które powinny być kompletne.

Następnie trybunał przypomniał, że interpretacja przepisu musi uwzględniać jego cel. A celem tym jest umożliwienie zainteresowanemu sprawdzenia, czy jego dane są prawidłowe i przetwarzane zgodnie z prawem.

„W szczególności owo prawo dostępu jest niezbędne, aby umożliwić osobie, której dane dotyczą, skorzystanie, w stosownych przypadkach, z prawa do sprostowania danych, prawa do usunięcia danych (prawa do bycia zapomniany), prawa do ograniczenia przetwarzania, a także prawa do sprzeciwu (…) oraz prawa do dochodzenia roszczeń w przypadku poniesionej szkody” – podkreślono w uzasadnieniu wyroku.

Celów tych nie da się zrealizować, gdy zainteresowany nie otrzyma wszystkich informacji dotyczących przetwarzania danych. Kopia danych powinna odtwarzać w całości i wiernie dane.

– Orzeczenie jest istotnym krokiem na rzecz szerokiego rozumienia prawa dostępu do kopii danych osobowych. Trybunał właściwie wyłączył możliwość dokonywania własnych opracowań przez administratora treści zgromadzonych danych w celu ich przekazania osobie, której dane dotyczą, jeżeli osoba ta zażąda wiernej kopii własnych danych, np. tak jak w tej sprawie wiadomości elektronicznych czy wyciągów z baz danych. Niedopuszczalne staje się zatem zupełnie samodzielne ustalanie przez administratora, jakie informacje i w jakiej formie przekazać osobie wykonującej swoje prawo dostępu. Z wyroku wynika, że w jak najszerszym zakresie należy uwzględniać preferencje osoby, której dane dotyczą – zauważa prof. Grzegorz Sibiga z Instytutu Nauk Prawnych PAN, partner w kancelarii Traple Konarski Podrecki i Wspólnicy.

– Samo pojęcie danych osobowych musi być rozumiane szeroko, ponieważ obejmuje ono dane nie tylko zgromadzone przez administratora, lecz także przez niego wywnioskowane, np. dokonana przez administratora ocena wypłacalności klienta – dodaje prawnik.

Liczy się kontekst

Trybunał podkreślił, że informacje przekazywane zainteresowanemu muszą być zrozumiałe. To, jego zdaniem, może oznaczać czasem nawet konieczność dostarczenia fragmentów czy nawet całych dokumentów. Tylko wówczas osoba, której dane są przetwarzane, może bowiem zrozumieć cały kontekst.

„W szczególności gdy dane osobowe są generowane z innych danych lub gdy dane te wynikają z wolnych pól, a mianowicie z braku informacji ujawniających informację o osobie, której dane dotyczą, kontekst, w jakim dane te są przetwarzane, jest niezbędnym elementem umożliwiającym osobie, której dane dotyczą, uzyskanie przejrzystego dostępu i zrozumiałego przedstawienia tych danych” – można przeczytać w uzasadnieniu wyroku.

– TSUE uznaje, że dane należy udostępnić w takiej formie, w jakiej jest to możliwe. Rozstrzygnięcie, czy ma to być kopia (wierne powielenie dokumentu – jego fizyczna kopia), pozostawia się udostępniającemu, z tym że, jeśli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez RODO, to trzeba dostarczyć taką kopię, co wynika z kontekstu danej sytuacji – komentuje Tomasz Osiej, radca prawny i prezes zarządu firmy doradczej Omni Modo.

Zwraca uwagę, że wyrok jest nieco zawiły i salomonowy, a bardziej czytelne wskazówki można wyczytać z wytycznych Europejskiej Rady Ochrony Danych (01/2022).

– Kierunek, który wyznaczył TSUE, a wcześniej EROD, to założenie, że w zasadzie udzielamy informacji jak najszerzej, zrozumiale i mając na względzie przede wszystkim interes podmiotu danych – podkreśla Tomasz Osiej.©℗

orzecznictwo