Nie korzystasz ze zbioru danych – czy musisz go wykreślić z GIODO

Podstawą do wykreślenia zgłoszonego już zbioru są przesłanki wskazane w art. 44a uodo, a więc:

• zaprzestano przetwarzania danych w zarejestrowanym zbiorze,

• rejestracji dokonano z naruszeniem prawa.

Wykreślenie zbioru następuje w drodze decyzji administracyjnej.

Pierwsza z przesłanek wykreślenia zbioru z rejestru wydaje się prosta do zinterpretowania. Zgodnie z nią, w sytuacji gdy administrator rezygnuje z prowadzenia określonego zbioru i go likwiduje, występuje do GIODO z wnioskiem o wykreślenie zbioru z rejestru.

Błędy przy zastosowaniu tego przepisu polegają przede wszystkim na przekonaniu, że ADO, który zaprzestał wykorzystywania danych zawartych w zbiorze do celów, dla których ten zbiór założył, automatycznie może wystąpić o wykreślenie. Zdarza się jednak, że dane w zbiorze są zachowywane dla tzw. celów archiwalnych. W takim przypadku nie zachodzi przesłanka zaprzestania przetwarzania danych, a jedynie zmianie ulega cel przetwarzania. Przechowywanie danych osobowych w celach archiwalnych to także ich przetwarzanie i w takim przypadku wniosek o wykreślenie zbioru nie będzie zasadny.

Może zdarzyć się jednak inna sytuacja, gdy ADO zachowa w zbiorze część zebranych informacji, ale w takim zakresie, który nie pozwala już na identyfikację osoby fizycznej ani bezpośrednio, ani w sposób pośredni. W takiej sytuacji zbiór traci swój charakter osobowy i może zostać wykreślony z rejestru GIODO.

Druga z przesłanek (gdy rejestracji dokonano z naruszeniem prawa) nie jest dookreślona w przepisach prawa. W ustawie wskazano jedynie, że wykreślenia dokonuje się także w przypadku, gdy rejestracja została dokonana z naruszeniem przepisów prawa, bez wskazania, na czym ta bezprawność miałaby polegać ani jaki jest wymiar bezprawności. W związku z tym administrator powinien odnieść się do tego, jakie przepisy zostały naruszone przy dokonanej rejestracji. W tym przypadku częściej jednak mogą wystąpić sytuacje, gdy wykreślenie zbioru następuje z urzędu, na skutek kontroli GIODO.

Oceniając naruszenie prawa przy rejestracji, należy w szczególności odnieść się do warunków, które stanowią o odmowie rejestracji. Do takich należą między innymi wymogi dotyczące treści zgłoszenia, zapewnienie zasad ochrony danych, wskazane w art. 23–art. 28 uodo.

Można zaliczyć też do nich sytuacje, gdy administrator danych osobowych nie zapewnił, aby urządzenia i systemy informatyczne służące do przetwarzania zbioru danych spełniały podstawowe warunki techniczne i organizacyjne, określone w przepisach wykonawczych do ustawy.

Jednak może wystąpić również sytuacja, w której podmiot, który zgłosił zbiór danych do rejestracji, stwierdza, po weryfikacji podstaw prawnych i faktycznych, że dokonał zgłoszenia zbioru, dla którego nie jest administratorem danych osobowych, gdyż nie decyduje o celach i środkach przetwarzania.

Administrator danych, składając wniosek o wykreślenie zbioru, powinien wskazać powód wykreślenia oraz uzasadnienie wniosku, które jest niezbędne, aby GIODO mógł ocenić, czy wniosek jest zasadny. Generalny inspektor sprawdza, czy administrator danych zaprzestał przetwarzania danych w zbiorze ewentualnie, czy faktycznie zostały naruszone przepisy prawa przy dokonywaniu rejestracji.

Jeśli administrator danych twierdzi, że zaprzestał przetwarzać dane, powinien wskazać, co stało się z danymi – czy je faktycznie usunął i zbiór został usunięty, czy przechowuje nadal – w takim przypadku nie dokonuje się wykreślenia zbioru, ale aktualizacji celu przetwarzania.