Czy pracodawca może przeprowadzić badanie trzeźwości pracownika?

badanie trzeźwości

Celem wpisu jest odpowiedź na pytanie, czy pracodawca może samodzielnie przeprowadzić badanie trzeźwości pracownika. W jakich warunkach jego zachowanie uznane będzie za zgodne z zasadą legalności, rzetelności, celowości i adekwatności celu, jakim jest zapewnienie bezpieczeństwa w miejscu pracy? Z uwagi na złożoność problematyki artykuł został podzielony na kilka segmentów:

  1. Analiza dopuszczalności przeprowadzenia badania trzeźwości pracownika na gruncie ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi;
  2. Trzeźwość pracownika w świetle orzecznictwa sądów powszechnych;
  3. „Za” i „przeciw” przeprowadzania samodzielnego badania trzeźwości przez pracodawcę. Uchybienia w badaniu przeprowadzanym przez pracodawcę;
  4. Ocena adekwatności przetwarzania danych osobowych pracownika.

 

Analiza dopuszczalności przeprowadzenia badania trzeźwości pracownika na gruncie ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi

Ustawa o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (dalej: ustawa) nie przesądza wprost o tym, że pracodawca może samodzielnie przeprowadzić badanie trzeźwości pracownika za pomocą alkomatu. Nakłada jednak na pracodawcę obowiązek niedopuszczenia pracownika do pracy, jeżeli zachodzi uzasadnione podejrzenie, że stawił się do pracy w stanie po użyciu alkoholu albo spożywał go w pracy – nie jest więc konieczne, aby podejrzenie dotyczyło nietrzeźwości pracownika. Ustawa odróżnia bowiem pojęcie stanu nietrzeźwości (zawartość alkoholu w organizmie w wydychanym powietrzu wynosi powyżej 0,25 mg/1 dm3) i stanu po użyciu alkoholu (0,1-0,25 mg/1 dm3). Przyjmuje się więc, że na pracodawcę nałożony jest obowiązek niedopuszczenia pracownika do pracy, jeżeli ma uzasadnione przypuszczenie, że zatrudniony przyszedł do pracy co najmniej w tak rozumianym stanie po użyciu alkoholu[i] (a więc także gdy stawił się do pracy w stanie nietrzeźwości), ale również wtedy, gdy podejrzewa, że pracownik po prostu spożywał alkohol w pracy (a tym bardziej gdy był świadkiem spożywania alkoholu przez podwładnego) – już niezależnie od zawartości alkoholu w jego organizmie.

W przypadku takiego niedopuszczenia okoliczności stanowiące podstawę decyzji pracodawcy powinny być podane pracownikowi do wiadomości. Oczywistym jest, że regulacja wspomnianego obowiązku pracodawcy jest szczególnie ważna w przypadku zawodów, z którymi wiąże się ryzyko narażenia zdrowia i życia ludzkiego na niebezpieczeństwo, na przykład gdy praca polega na przewozie osób w ramach komunikacji miejskiej albo łączy się z udzielaniem świadczeń zdrowotnych w placówkach medycznych. Ustawa wymaga jednak odsunięcia pracownika w każdym przypadku, gdy podejrzenie spożycia alkoholu w pracy lub stawienia się do niej w stanie po jego użyciu jest uzasadnione. Należy bowiem pamiętać, że nietrzeźwy pracownik może również stanowić zagrożenie dla innych zatrudnionych, dla mienia pracodawcy czy też samego siebie. Do samego niedopuszczenia pracownika do pracy wystarczy więc zauważenie typowych oznak upojenia alkoholowego w jego zachowaniu czy też wyczucie od niego woni alkoholu. Ponieważ jednak kwestia tego, czy podejrzenie było uzasadnione, może być sporna, wyniki badań trzeźwości mogłyby okazać się pomocne przy rozwianiu ewentualnych wątpliwości.

 

Trzeźwość pracownika w świetle  orzecznictwa sądów powszechnych

Sąd Najwyższy stwierdził, że aby można było uznać, że pracownik pozostaje w dyspozycji pracodawcy, konieczna jest jego gotowość do pracy, którą automatycznie wyklucza jego nietrzeźwość. W praktyce więc pracodawcy uznają zazwyczaj spożywanie alkoholu w trakcie pracy lub przed jej rozpoczęciem za ciężkie naruszenie podstawowych obowiązków pracowniczych. Konsekwencją takiego naruszenia jest możliwość rozwiązania przez pracodawcę umowy o pracę bez wypowiedzenia z winy pracownika. Zgodnie z orzecznictwem sądów odpowiednie udowodnienie, że do takiego naruszenia doszło, należy do pracodawcy rozwiązującego umowę, co zresztą w konsekwencji zapewnia mu pewną ochronę przed zarzutami naruszenia przepisów kodeksu pracy ze strony pracowników. Zgodnie bowiem z regulacjami kodeksu pracownikowi, z którym rozwiązano umowę o pracę bez wypowiedzenia z naruszeniem przepisów o rozwiązywaniu umów o pracę, przysługuje roszczenie o przywrócenie do pracy na poprzednich warunkach albo o odszkodowanie. W przypadku, gdy pracodawca chce rozwiązać umowę bez wypowiedzenia czy też wyciągnąć wobec pracownika konsekwencje dyscyplinarne (na przykład zastosować karę pieniężną), przydatne dla pracodawcy okaże się oficjalne potwierdzenie przypuszczeń wynikami badań trzeźwości. Czy może on jednak przeprowadzić takie badania samodzielnie?

 

„Za” i „przeciw” przeprowadzania samodzielnego badania trzeźwości przez pracodawcę. Uchybienia w badaniu przeprowadzanym przez pracodawcę.

Nie ulega wątpliwości, że ustawa upoważnia pracodawcę do żądania przeprowadzenia badań przez uprawniony organ powołany do ochrony porządku publicznego (przede wszystkim przez Policję, ale także straże gminne). Art. 17 ust. 3 ustawy zapewnia też prawo do takiego żądania osobie przez pracodawcę upoważnionej (na przykład pracownikom ochrony zakładu pracy) i samemu pracownikowi podejrzewanemu o spożycie alkoholu.

Często przyjmuje się jednak, że pracodawca może także sam w takim uzasadnionym przypadku poddać pracownika badaniu alkomatem – pod warunkiem, że na taką kontrolę pracownik wyrazi zgodę. Gdy zaś pracownik jej nie wyrazi, pracodawcy pozostaje żądanie przeprowadzenia badania przez Policję. Można nieraz spotkać się z poglądem, że to właśnie ze względu na wspomniany brak możliwości zastosowania pewnego rodzaju przymusu zmieniono przepis art. 17 ust. 3 ustawy, według którego jeszcze przed lipcem 2011 r. przeprowadzenia takiego badania trzeźwości mógł żądać tylko i wyłącznie pracownik.

Pracownik jednak, mimo zmian w przepisach, zachował swoje uprawnienie. Możliwe jest bowiem wystąpienie sytuacji odwrotnej. Kiedy pracodawca uzna, że zachodzi uzasadnione prawdopodobieństwo, że pracownik spożywał alkohol, ten może zażądać przeprowadzenia kontroli trzeźwości przez Policję, aby obalić podejrzenia pracodawcy, a w konsekwencji nie stracić wynagrodzenia za dany dzień w pracy.

Warto jednak rozważyć zmiany w tym przepisie pod innym kątem. Przed nowelizacją przepis zobowiązywał pracodawcę do zapewnienia przeprowadzenia badania stanu trzeźwości pracownika na jego żądanie. Przepis nie wskazywał więc, kto ma tego badania dokonać. W poprzednim stanie prawnym wydawało się oczywiste, że może je przeprowadzić również sam pracodawca. Być może jest to przyczyna tego, że takie badanie jest wciąż często uważane za dopuszczalne. Aktualnie zaś wskazane w przepisie jest wprost, że to uprawniony organ ma dokonać kontroli trzeźwości. Przy założeniu racjonalności działań ustawodawcy można uznać, że uściślenie przepisu w tym zakresie nie jest przypadkowe i wyklucza dopuszczaną wcześniej możliwość samodzielnego przeprowadzenia badania przez pracodawcę.

Część doktryny (m.in. dr Marcin Wujczyk[ii]) stoi jednak na stanowisku, że wprowadzenie tej zmiany wcale takiej możliwości nie eliminuje (o ile pracownik wyraża na kontrolę zgodę), a jedynie dodatkowo wprost dopuszcza przeprowadzenie badania przez uprawnione organy. Można sobie przecież wyobrazić sytuację, w której pracodawca chciałby przeprowadzić samodzielną kontrolę, a nieufny pracownik zażądałby badania przeprowadzonego przez inną osobę czy lepszym urządzeniem albo przypadek, w którym pracodawca żądałby przeprowadzania badania przez organ tylko z tego powodu, że sam nie jest w posiadaniu alkomatu. Na korzyść wskazanego poglądu przemawia fakt, że nie istnieje też przepis zakazujący przeprowadzenia kontroli samodzielnie przez pracodawcę.

          Jak można zauważyć, ze względu na to, że kwestia samodzielnego przeprowadzenia kontroli przez pracodawcę nie jest uregulowana wprost w przepisach, nie jest ona jednoznacznie rozstrzygnięta, a opinie na jej temat są zróżnicowane. Niektórzy twierdzą, że nic nie stoi takiej kontroli na przeszkodzie, o ile pracownik wyrazi zgodę na badanie. Warto jednak zauważyć, że w orzecznictwie wskazuje się, że odmowa takiej zgody na wstępie stawia pracownika w gorszej pozycji[iii]. Automatycznie zakłada się, że jakby był trzeźwy, to poddałby się badaniu bez zawahania, natomiast nie udzielając zgody w pewnym sensie utwierdza pracodawcę w przekonaniu, że spożywał alkohol. Dodatkowo pracownik, będąc w stosunku podległości względem pracodawcy, zdaje się nie mieć w tej sytuacji rzeczywistego wyboru, czy podda się badaniu – ze względu na obawę o wyciągnięcie wobec niego negatywnych konsekwencji z powodu takiej odmowy.

W praktyce zdarza się, że pracodawcy przeprowadzają kontrole trzeźwości na losowo wybranym pracowniku, tłumacząc się tym, iż jest to jeden z efektywniejszych sposobów odstraszenia pracowników od spożywania alkoholu w pracy. Wydaje się, że wyrywkowe sprawdzanie pracowników pod kątem ich trzeźwości (w przypadku braku uzasadnionego prawdopodobieństwa spożycia alkoholu) jest niczym nieuzasadnione. Poza tym trzeba podkreślić, że takie działanie może się wiązać z naruszeniem ich dóbr osobistych. Nawet wśród zwolenników teorii, że pracodawca może przeprowadzać samodzielnie badania, można spotkać się z poglądem, że kiedy nie występuje uzasadnione prawdopodobieństwo spożycia alkoholu, lepiej kontroli nie przeprowadzać – trzeba się bowiem liczyć z tym, że pracownicy mogą takie działania podważać.

Warto zauważyć, że można spotkać się z poglądem, iż z uwagi na to, że przepisy ustawy nie przewidują wprost przeprowadzenia przez pracodawcę samodzielnej kontroli trzeźwości pracownika, warto uregulować tę kwestię w aktach wewnętrznych zakładu, takich jak na przykład regulamin pracy. Nie jest to oczywiście obligatoryjne, jednak w praktyce może wiele ułatwić. A ponieważ kodeks pracy wprowadza jedynie przykładowy katalog kwestii, które powinny się znaleźć w takim regulaminie, to nic nie stoi na przeszkodzie, aby uregulować w nim właśnie kwestię badań trzeźwości przeprowadzanych przez pracodawcę – oczywiście przy założeniu, że uznajemy je za ogólnie dopuszczalne. Dzięki temu pracownicy mają być świadomi, w jakich okolicznościach może nastąpić kontrola trzeźwości w zakładzie pracy, kto może ją przeprowadzić, w jaki sposób i na jakich zasadach. Wydaje się, że szczegółowe określenie istotnych kwestii związanych z kontrolą trzeźwości pozwoli uniknąć w przyszłości nieporozumień między pracodawcą a pracownikami.

Ponieważ nie ma bezpośredniej podstawy prawnej do przeprowadzania kontroli trzeźwości przez pracodawców, zdarza się także, że od razu żądają oni przeprowadzenia kontroli przez Policję, nie wiedząc, czy sami mogą ją przeprowadzić. Moim zdaniem takie podejście jest jak najbardziej uzasadnione, ponieważ nie ulega wątpliwości, że wtedy ich działanie będzie zgodne z prawem. Co więcej, uważam, że – z uwagi na brak ustawowych podstaw do takich działań – kontrole przeprowadzane samodzielnie przez pracodawców nie powinny być uznawane za dopuszczalne. Jednak nie chciałabym niczego przesądzać. Każdy przypadek wymaga bowiem szczegółowej, indywidualnej analizy. Często bywa tak, że z obserwacji pracownika przez pracodawcę wynika, że dowody potwierdzające, że pracownik jest nietrzeźwy, okazują się niezbędne. I tu właśnie nieraz wchodzi w grę zbieranie zeznań świadków zdarzenia czy badanie alkomatem – przy czym warto podkreślić, że pracodawca powinien zadbać o to, by alkomat posiadał wszystkie niezbędne certyfikaty i atesty (oczywiście formalnego wymogu ich posiadania nie ma, jednak zmniejsza to ryzyko, że wynik badania zostanie zakwestionowany). W praktyce z przebiegu takiego badania sporządza się protokół, w którym opisuje się okoliczności uzasadniające jego przeprowadzenie[iv].

 

Ocena adekwatności przetwarzania danych osobowych pracownika

Zastanówmy się jeszcze, jak należy patrzeć na badania trzeźwości z punktu widzenia ustawy o ochronie danych osobowych. Informacje stanowiące wyniki przeprowadzonych badań można zakwalifikować jako tak zwane dane wrażliwe – w tym przypadku dane o stanie zdrowia albo informacje o nałogach. Należy zauważyć, że pracodawca (jako administrator danych), przetwarzając dane pracownika, zobowiązany jest do spełnienia przesłanki uzasadniającej wykonywanie operacji na danych osobowych. Z przetwarzaniem danych zwykłych, jak na przykład imię, nazwisko czy miejsce zamieszkania, nie ma większego problemu. Sytuacja komplikuje się, kiedy w grę wchodzi przetwarzanie danych wrażliwych. Przetwarzania takich danych ustawa generalnie zakazuje, chyba że mamy do czynienia z jednym z wymienionych w niej wyjątków. W analizowanym przypadku możemy rozważać zastosowanie art. 27 ust. 2 pkt 6 lub ewentualnie pkt 2 ustawy o ochronie danych osobowych jako podstawy przetwarzania. Konieczne jest więc istnienie aktu prawnego, w ramach którego wskazany jest zakres danych, których przetwarzanie jest niezbędne do wykonywania zadań administratora danych (pracodawcy) odnoszących się do zatrudnienia lub na gruncie której przetwarzanie danych o stanie zdrowia jest w pełni dopuszczalne, a która zapewnia gwarancje ich ochrony. W omawianym przypadku zakres lub dopuszczalność przetwarzania wskazuje ustawa o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi, którą uzupełnia rozporządzenie Ministra Zdrowia w sprawie badań na zawartość alkoholu w organizmie. Powstaje jednak pytanie, czy może to stanowić podstawę przetwarzania danych w przypadku, gdy pracodawca przeprowadzi kontrolę trzeźwości samodzielnie. W mojej opinii przepisy ustawy na to nie pozwalają. Być może należy uznać, że właśnie ta kwestia przesądza o niedopuszczalności przeprowadzenia samodzielnego badania przez pracodawcę.

Warto zauważyć, że niejednokrotnie zdarza się, że pracodawcy zbierają od pracowników zgody na przetwarzanie danych wrażliwych. Czy jest to jednak dobre i skuteczne? Trudno byłoby jednoznacznie stwierdzić, że tak. Zgodnie bowiem z orzecznictwem Naczelnego Sądu Administracyjnego brak równowagi w relacji między pracownikiem a pracodawcą stawia pod znakiem zapytania dobrowolność wyrażenia zgody na przetwarzanie jego danych[v]. Pozyskane zgody mogą być więc zakwestionowane podczas kontroli przez inspektorów GIODO.

[i] M. Kuba, Prawne formy kontroli pracownika w miejscu pracy, 4.2.1-4.2.2, 2014 r.

[ii] M. Wujczyk, Prawo pracownika do ochrony prywatności, 12. Prawo pracownika do prywatności a kontrola trzeźwości pracownika i zażywania przez niego substancji psychotropowych, 2012 r.

 

[iii] Wyrok SN z dnia 24 maja 1985r., sygn. I PRN 39/85

 

[iv] M. Wujczyk, Prawo pracownika do ochrony prywatności, 12. Prawo pracownika do prywatności a kontrola trzeźwości pracownika i zażywania przez niego substancji psychotropowych, 2012 r.

 

[v] Wyrok NSA z dnia 1 grudnia 2009 r., sygn. I OSK 249/09

Wypełniasz zgłoszenie zbioru danych do GIODO? Zobacz, o czym powinieneś pamiętać!

Zgłoszenie zbioru – pamiętaj o prawidłowym formularzu rejestracyjnym.

Zgłoszenie zbioru danych do rejestracji w GIODO można skutecznie złożyć jedynie poprzez wypełnienie aktualnego formularza zgłoszenia. Obecnie obowiązujący formularz, który umożliwia zgłoszenie zbioru, określony jest przez przepisy rozporządzenia Ministra Spraw Wewnętrznych i administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. Nr 229, poz. 1536). zgłoszenie zbioruUwaga, zgłoszenie zbioru dokonane nie za pomocą formularza bądź na nieaktualnym jego wzorze (w obiegu internetowym można się natknąć na stare formularze) nie zostanie przyjęte przez Urząd. Jeżeli ktoś nie ma ochoty wertować przepisów albo chce mieć po prostu pewność, że jego zgłoszenie będzie dokonane na prawidłowym wzorze powinien odwiedzić stronę internetową GIODO (www.giodo.gov.pl). Tam, w zakładce e-GIODO, znajduje się program służący do wypełniania formularza zgłoszenia drogą elektroniczną.

Nie zapomnij się podpisać.

Zgłoszenie zbioru, jak każde urzędowe podanie, powinno być opatrzone podpisem osoby upoważnionej do reprezentacji wnioskodawcy. Wnioskodawcą jest administrator danych, czyli zgodnie z przepisami ustawy o ochronie danych osobowych, to organ, jednostka administracyjna, podmiot lub osoba decydujące o celach i środkach przetwarzania danych osobowych. W przypadku osoby fizycznej prowadzącej działalność gospodarczą sytuacja jest prosta – wystarczy by na końcu formularza rejestracyjnego osoba taka złożyła czytelny podpis. W przypadku osób prawnych, bądź innych jednostek organizacyjnych potrzebny będzie podpis osoby bądź osób upoważnionych do reprezentacji takich podmiotów. W przypadku spółek prawa handlowego oraz stowarzyszeń czy fundacji sposób reprezentacji ujawniony jest w Rejestrze Przedsiębiorców Krajowego Rejestru Sądowego. Dlatego na formularzu zgłoszenia dokonywanego przez powyższe podmioty powinny podpisać się osoby, których prawo do reprezentacji danego podmiotu ujawnione jest w aktualnym Rejestru Przedsiębiorców. Wgląd do Centralnej Informacji Krajowego Rejestru Sądowego możliwy jest za pośrednictwem strony internetowej Ministerstwa Sprawiedliwości (ems.ms.gov.pl).

Co stanie się, gdy prześlemy do urzędu zgłoszenie niewłaściwie podpisane? W przypadku, gdy formularz zgłoszenia nie zostanie w ogóle podpisany, bądź podpis będzie nieczytelny, czy też podpis złoży osoba, która nie jest uprawniona do reprezentacji administratora danych, zgłoszenie nie będzie rozpatrywane, a organ ds. ochrony danych osobowych wezwie wnioskodawcę do usunięcia braków formalnych związanych z niewłaściwym podpisem w trybie określonym przez Kodeks postępowania administracyjnego. Gdy w wyznaczonym terminie nie uzupełnimy takiego braku, to nasze zgłoszenie zostanie pozostawione bez rozpoznania.

Formularz wypełniany elektronicznie na stronie internetowej Generalnego Inspektora można podpisać używając podpisu elektronicznego. Nic nie stoi na przeszkodzie żeby zgłosić zbiór danych za pośrednictwem strony internetowej nie dysponując podpisem elektronicznym. Jednak należy wtedy pamiętać, że po przesłaniu formularza drogą elektroniczną należy go wydrukować, podpisać ręcznie i przesłać do urzędu.

Formularz może również zostać podpisany przez osobę upoważnioną przez administratora danych (pełnomocnika). W takim przypadku należy pamiętać o załączeniu do formularza zgłoszenia oryginału bądź urzędowo poświadczonej kopii pełnomocnictwa wraz z dowodem zapłaty opłaty skarbowej w kwocie 17 złotych.

Nie przesyłaj zawartości zbiorów danych osobowych.

Wbrew temu, co sądzą niektórzy Generalny Inspektor Ochrony Danych Osobowych nie posiada bazy danych osobowych gromadzonych w zbiorach, które podlegają obowiązkowi rejestracji przez poszczególnych administratorów danych. Zgłoszenie zbioru nie polega na przekazywaniu Generalnemu Inspektorowi danych osobowych, a jedynie informacji o prowadzeniu takiego zbioru. Dlatego też nie należy załączać do zgłoszenia wydruków, czy też nośników, na których zapisana jest zawartość zbiorów danych osobowych.

Przepisy ustawy o ochronie danych osobowych nie wymagają również, aby wraz ze zgłoszeniem zbioru danych przesyłać dokumentację dotyczącą ochrony danych osobowych (politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym). Taka dokumentacja powinna znajdować się w siedzibie administratora danych. Jeżeli organ ochrony danych osobowych będzie chciał się zapoznać z treścią takiej dokumentacji, sam się o nią upomni.

Jeden zbiór danych na jednym formularzu.

Zgodnie z definicją określoną w ustawie o ochronie danych osobowych, zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Pojęcie zbioru danych obejmuje zarówno zbiory prowadzone w formie tradycyjnej (papierowej) jak i zbiory, w których dane przetwarzane są za pomocą systemu informatycznego. W praktyce administratorzy danych często mylą pojęcie zbioru danych z pojęciem bazy danych (do którego ustawa o ochronie danych osobowych w ogóle się nie odnosi). Tymczasem w jednej bazie danych może znajdować się nawet kilka zbiorów danych! Elementami decydującymi o odrębności zbioru danych są przede wszystkim: podstawa prawna przetwarzania danych, cel przetwarzania danych, a także zakres przetwarzanych danych w zbiorze. Posługując się tymi kryteriami możemy odróżniać zbiory danych od siebie. Konsekwencją mylenia bazy danych ze zbiorem danych bardzo często jest błąd polegający na zgłoszeniu przez administratora danych kilku zbiorów na jednym formularzu. Jest to działanie niewłaściwe – formularz zgłoszenia jest tak skonstruowany, że pozwala na scharakteryzowanie tylko jednego zbioru. Wykorzystanie jednego formularza do zgłoszenia więcej niż jednego zbioru danych nie pozwoli na prawidłowe odczytanie informacji, które decydują o tożsamości danego zbioru. Dlatego też, zgłaszając zbiór do rejestracji, administrator danych powinien pamiętać, iż w jednym formularzu zgłoszenia zbioru danych do rejestracji należy podać tylko informacje o jednym zbiorze danych osobowych. Częstym błędem popełnianym przez administratorów danych jest zgłaszanie na jednym formularzu zbioru danych klientów oraz zbioru danych odbiorców newslettera. Zbiory te wyraźnie różnią się celem przetwarzania danych (realizacja umowy oraz wysyłka newslettera), a przede wszystkim zakresem przetwarzanych w nich danych. W przypadku zbioru klientów przetwarzany może być dość szeroki zakres danych, w zależności od rodzaju umowy zawieranej z klientem. Natomiast do wysyłania newslettera najczęściej wykorzystywany jest jedynie adres e-mail.

Nie zaznaczaj danych „na zapas”.

Wypełniając punkty zgłoszenia dotyczące zakresu danych przetwarzanych w zbiorze zaznacz tylko te dane, które rzeczywiście zamierzasz przetwarzać i które są niezbędne, aby zrealizować cel przetwarzania. Chodzi tu o dość często spotykane zbieranie szerszego zakresu danych niż jest rzeczywiście wykorzystywany. Tymczasem jedną z zasad, których obowiązek przestrzegania ma administrator danych jest tzw. zasada adekwatności. Zgodnie z jej treścią, administrator danych przetwarzający dane osobowe jest w szczególności obowiązany zapewnić, aby dane te były adekwatne w stosunku do celów, w jakich są przetwarzane.

Generalny Inspektor bada, czy zasada ta jest przestrzegana również w postępowaniu związanym z rejestracją zbioru. Jeżeli uzna, że cel przetwarzania danych można osiągnąć przetwarzając mniejszy zakres danych niż ten wskazany w formularzu zgłoszenia, może nawet wydać decyzję odmawiająca rejestracji zbioru danych!

Dane osobowe to dane osób fizycznych.

Treści art. 2 ust. 1 ustawy o ochronie danych osobowych stanowi, że „ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych”, natomiast zgodnie z ustawową definicją danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Oznacza to, że ustawa o ochronie danych osobowych odnosi się wyłącznie do danych osób fizycznych. W związku z tym, mimo, że często w jednej bazie danych (np. klientów) znajdują się dane osób fizycznych razem z danymi osób prawnych (np. spółek), to tych drugich nie należy wpisywać do formularza zgłoszenia zbioru danych.

Nie każdy zbiór trzeba zgłaszać.

O ile zasadą jest, że zbiory danych osobowych należy zgłaszać do rejestracji Generalnemu Inspektorowi, to jednak występuje dość dużo wyjątków od tej reguły. Katalog zbiorów danych, które nie podlegają obowiązkowi rejestracji znajduje się w art. 43 ust. 1 ustawy o ochronie danych osobowych. Zanim zgłoszenie zbioru, sprawdź w powyższym przepisie, czy przypadkiem nie należy on do grupy zbiorów, których nie trzeba zgłaszać Generalnemu Inspektorowi.

Jednym z najczęściej występujących przykładów zwolnienia z obowiązku rejestracji dotyczy zbiorów danych pracowniczych. Zgodnie z przepisem art. 43 ust. 1 pkt 4 ustawy o ochronie danych osobowych z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych w związku z zatrudnieniem u nich. Sformułowanie „w związku” wskazuje, że ze zwolnienia to dotyczy zbiorów danych zarówno obecnych jak i byłych pracowników jak również kandydatów do pracy u administratora. Analogicznie, na podstawie tego samego przepisu, zwolnione z rejestracji są zbiory danych dotyczące świadczenia administratorowi usług na podstawie umów cywilnoprawnych (np. umów o dzieło, umów zlecenia).

Prowadzisz sklep internetowy i zastanawiasz się, czy zgłaszać zbiór danych klientów tego sklepu, z uwagi na opisane w art. 43 ust. 1 pkt 8 zwolnienie dotyczące zbiorów danych przetwarzanych wyłącznie w celu wystawienia faktury lub rachunku? Przepis ten wskazuje jasno, że chodzi o zbiory prowadzone wyłącznie w celu wystawienia faktury lub rachunku. Natomiast zbiory klientów sklepów internetowych prowadzone są w celu realizacji umowy sprzedaży. Mieści się w tym obsługa klienta (kontakt, odpowiedzi na zapytania), wysyłka towaru, jak również rozpatrywanie reklamacji. W związku z czym, zbiory takie z całą pewnością nie podlegają zwolnieniu z rejestracji na podstawie powyższego przepisu.

Czy prawo do bycia zapomnianym działa?

nieznanyW ostatnim czasie firma Google, udostępniająca internautom najbardziej rozpoznawalną na świecie wyszukiwarkę internetową opublikowała statystyki dotyczące korzystania z formularza służącego do usuwania danych o sobie z wyników wyszukiwarki. Dzięki tej informacji możemy dowiedzieć się o jak rzeczywiście działa ten aspekt ochrony naszej prywatności.

Ale zanim o statystykach najpierw kilka słów o tym, czym w ogóle jest owe prawo. Tak naprawdę możemy mówić o realnym zastosowaniu tego uprawnienia od maja 2014 r., gdy to ogłoszony został wyrok Trybunału Sprawiedliwości Unii Europejskiej w sprawie Hiszpana, który pozwał spółkę Google o to, że po wpisaniu w wyszukiwarkę internetową jego imienia i nazwiska pojawiają się informacje o jego długach sprzed kilkunastu lat (sygn. sprawy C 131/12). Informacje, te co prawda są prawdziwe, natomiast argumentował konieczność usunięcia tym, że wszelkie długi zostały spłacone i nie chce być łączony z tą konkretną sprawą. Firma Google przed majem 2014 r. nie chciała tego typu informacji usuwać z wyników wyszukiwań, uzasadniając to tym, że to nie ona je udostępnia, a jedynie daje możliwość ich znalezienia. Trybunał Sprawiedliwości UE w uzasadnieniu wyroku wskazał, podstawy, dzięki którym będzie można złożyć wniosek dotyczący usunięcia danych osobowych z wyników wyszukiwania, jeżeli informacje na temat osoby, której wynik wyszukiwania dotyczy są „niepełne, nieistotne lub nieaktualne”. Jeżeli dane nie zostaną usunięte z wyników wyszukiwani przez dostawcę wyszukiwarkę to wtedy można złożyć skargę do właściwego organu, którym w Polsce jest Generalny Inspektor Ochrony Danych Osobowych, który ma wśród swoich kompetencji możliwość stosowania sankcji administracyjnych w celu wykonania obowiązków o charakterze niepieniężnym w postaci m.in. grzywny w wysokości do 50 tyś. zł. w przypadku jednokrotnego naruszenia, a nawet do 200 tyś. zł. w przypadku wielokrotnych naruszeń.

Wspomniany wyrok wymusił pewne działania na hegemonie internetu jakim jest firma Google i są już pierwsze tego wyniki w  postaci powołania przez Google –  Rady Ekspertów mającą za cel opracowanie zasad dotyczących usuwania linków z wyszukiwarki i w następstwie stworzenie specjalnego formularza, za pomocą którego możemy zgłosić link, który chcemy usunąć z wyszukiwarki. Formularz dostępny jest w polskiej wersji językowej pod linkiem: https://support.google.com/legal/contact/lr_eudpa?product=websearch. Pamiętać należy o tym, żeby zgłaszać informacje, które są „niepełne, nieistotne lub nieaktualne”, inaczej możemy spotkać się z odmową usunięcia informacji.

W ostatnim czasie firma Google ogłosiła raport dotyczący skuteczności działania prawa do bycia zapomnianym, według którego od momentu uruchomienia możliwości usuwania lików z wyników przeglądarki (czyli od końca maja 2014 r.) do momentu ogłoszenia raportu (końca września 2014 r.) do Google wpłynęło blisko 150 tyś wniosków (w tym około 3700 z Polski) o usunięcie 500 tyś linków. Wskazana statystyka stawia nasz kraj poniżej średniej europejskiej, która wynosi około 4800 wniosków na kraje objęte obowiązywaniem wyroku. Google usunął jedynie 170 tyś. wniosków, czyli jedynie 1/3 zgłoszonych wniosków.

Z powyższych statystyk można wysnuć wniosek, że obywatele UE są zainteresowani usuwaniem informacji na ich temat z internetu, a Wyrok Trybunału Sprawiedliwości UE wprowadził dyskusję na temat prywatności w internecie na inny tor, który jest tylko początkiem szerszych zmian.