Prawo do kopii danych osobowych

Trybunał Sprawiedliwości UE rozpatrywał sprawę, która trafiła do niego ze względu na zaskarżenie decyzji austriackiego organu ochrony danych osobowych, przez osobę, której to dane były przetwarzane. Przetwarzaniem zajmowała się agencja doradztwa handlowego. Na żądanie swoich klientów dostarcza ona informacji dotyczących wypłacalności osób trzecich - taką właśnie osobą był skarżący. Zażądał on od agencji dostępu do dotyczących go danych osobowych, które są przez firmę przetwarzane, w tym także kopii dokumentów, takich jak wiadomości elektroniczne i wyciągi z bas danych. 

Agencja dostarczyła jedynie streszczenie wykazu danych osobowych skarżącego, które podlegały przetwarzaniu. Wniósł on skargę do austriackiego urzędu zajmującego się ochroną danych, który z kolei uznał, że działanie agencji nie nosi znamion naruszenia prawa skarżącego do dostępu do jego danych. Z decyzją nie zgadzał się skarżący, w związku z czym sprawa trafiła do sądu krajowego. 

Ten jednak powziął wątpliwość, jak powinien być rozumiany obowiązek dostarczenia osobie, której dane dotyczą, kopii danych podlegających przetwarzaniu. 

• Odpowiedzialność inspektora ochrony danych za szkodę - na jakich zasadach 
• UODO wyjawił plan kontroli sektorowych na 2023 rok 

Ważne: “Prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza, zgodnie z brzmieniem art. 15 ust. 3 zdanie pierwsze RODO, przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, lub też wyciągów z baz danych, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez rozporządzenie. Należy jednak uwzględnić prawa i wolności osób trzecich.”

• RODO w małych i średnich przedsiębiorstwach – poradnik EROD 
• Procedura ochrony danych osobowych przy pracy zdalnej z Kodeksu pracy od 7 kwietnia 2023 r. 

Przepis art. 15 ust. 3 rozporządzenia RODO nie zawiera definicji pojęcia kopia. Trybunał uznał zatem, że powinno się uwzględnić zwyczajowe znaczenie tego pojęcia - czyli wierne powielenie lub wierną transkrypcję oryginału. Nie można uznać by ogólny opis danych, które podlegały przetwarzaniu czy jedynie odesłanie do kategorii danych wypełniały definicję pojęcia kopia. Należy więc przyjąć szerokie rozumienie pojęcia kopia. 

Jednak pojęcie to nie odnosi się do jako takiego dokumentu, a jedynie do danych osobowych, które są w nim zawarte. Ma to pozwolić osobie, której dane dotyczą na weryfikację nie tylko, czy dane są prawidłowe, lecz także czy są przetwarzane zgodnie z prawem. 

Obowiązkiem administratora danych jest również udzielenie osobie, której dane są przetwarzane, wszelkich informacji w formie zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej. Co do zasady powinna to być informacja udzielona na piśmie, ewentualnie elektronicznie - chyba, że osoba w sposób wyraźny żąda udzielenia informacji w formie ustnej. 

Aby umożliwić zrozumienie przetwarzanych danych, może okazać się niezbędne przekazanie także fragmentów dokumentów czy wyciągów z baz danych. Jest tak szczególnie w przypadku, gdy dane są generowane z innych danych. Kontekst jest więc elementem koniecznym dla uznania, że informacja na temat danych jest zrozumiała. 

• Usuwanie danych osobowych z dokumentów – w praktyce 
• Dane osobowe pracowników należy przekazywać zgodnie z polityką ochrony danych osobowych