sprzedaż bazy danych

Sprzedaż bazy danych bez zgody osób w niej zawartych narusza przepisy o ochronie danych osobowych.

Sprzedaż bazy danych – czym jest to pojęcie

Sprzedaż bazy danych oznacza odpłatne przekazanie uporządkowanego zbioru informacji innemu podmiotowi, który chce wykorzystać te dane we własnych działaniach. Taki zbiór może obejmować dane klientów, potencjalnych klientów, kontrahentów, użytkowników formularzy, uczestników wydarzeń albo osób zapisanych do newslettera. W praktyce przedmiotem obrotu bywają zarówno całe zestawienia, jak i wybrane rekordy, na przykład lista osób zainteresowanych określoną usługą, regionem lub kategorią produktów.

Samo techniczne przekazanie pliku nie przesądza jeszcze o zgodności działania z prawem. Znaczenie ma przede wszystkim to, jakie informacje znajdują się w bazie, skąd zostały pozyskane, w jakim celu je zebrano oraz czy osoby, których dane dotyczą, zostały prawidłowo poinformowane o możliwości przekazania danych innemu administratorowi. Osobnego sprawdzenia wymaga podstawa prawna przetwarzania, zakres udzielonych zgód, sposób zabezpieczenia informacji i rola podmiotów uczestniczących w całym procesie.

Warto odróżnić sprzedaż bazy danych od sprzedaży narzędzia informatycznego, licencji na program do zarządzania kontaktami lub usługi wykonania kopii zapasowej. W tych sytuacjach może dochodzić do przekazania infrastruktury albo dostępu technicznego, lecz nie musi to oznaczać legalnego prawa do wykorzystywania zawartych w niej danych w celach handlowych. Ocenie podlega rzeczywisty sposób użycia informacji, a nie nazwa umowy lub określenie użyte w ofercie.

Sprzedaż bazy danych a kontekst techniczny i porównania

W środowisku informatycznym baza danych może być zapisana jako tabela w systemie zarządzania bazą, arkusz kalkulacyjny, plik tekstowy, eksport z aplikacji CRM albo zestaw rekordów przechowywany w usłudze internetowej. Forma zapisu nie zmienia charakteru informacji. Jeżeli rekord pozwala bezpośrednio lub pośrednio zidentyfikować osobę fizyczną, przekazanie takiego rekordu może podlegać przepisom dotyczącym danych osobowych.

Inaczej należy analizować zbiór zawierający wyłącznie dane podmiotów gospodarczych, a inaczej listę imion, nazwisk, numerów telefonów, adresów poczty elektronicznej lub historii kontaktu z konkretnymi osobami. Dane firmowe mogą jednak zostać powiązane z osobą fizyczną, na przykład jednoosobowym przedsiębiorcą albo konkretnym pracownikiem wskazanym jako kontakt. Dlatego samo umieszczenie informacji w kolumnie „firma” nie przesądza o wyłączeniu ochrony.

Nie należy również utożsamiać anonimizacji z pseudonimizacją. Dane rzeczywiście anonimowe nie pozwalają na odtworzenie tożsamości osoby przy użyciu rozsądnie dostępnych środków. Pseudonimizowane rekordy nadal mogą pozostawać danymi osobowymi, jeżeli administrator dysponuje kluczem lub innymi informacjami umożliwiającymi identyfikację. Przed przekazaniem zestawienia konieczne jest zatem sprawdzenie, czy usunięcie imienia lub adresu wystarczy do ograniczenia ryzyka, czy też potrzebne są dodatkowe działania.

Ważne jest także rozróżnienie między udostępnieniem danych a powierzeniem przetwarzania. Przy powierzeniu usługodawca działa na udokumentowane polecenie administratora i w określonym zakresie, na przykład prowadzi wysyłkę korespondencji albo utrzymuje system. Przy udostępnieniu odbiorca może otrzymać własne uprawnienia do korzystania z informacji. Błędne zakwalifikowanie relacji może prowadzić do niewłaściwej umowy, braku wymaganych informacji dla osób oraz problemów z wykazaniem legalności operacji.

Sprzedaż bazy danych i typowe problemy

Jednym z najczęstszych problemów jest brak wiarygodnego źródła danych. Zestawienie pobrane z nieznanego miejsca, skopiowane z publicznej strony lub zebrane przez formularz bez jasnej informacji o celu może być trudne do wykorzystania zgodnie z prawem. Nie wystarcza stwierdzenie, że adres poczty elektronicznej był widoczny w internecie. Publiczna dostępność informacji nie oznacza automatycznie zgody na jej masowe wykorzystanie lub dalszą odsprzedaż.

Ryzyko powstaje również wtedy, gdy osoba wyraziła zgodę na otrzymywanie wiadomości od jednego podmiotu, a następnie jej dane zostają przekazane wielu innym podmiotom. Istotny jest zakres zgody, jej treść, możliwość jej wycofania oraz to, czy odbiorca został wskazany w sposób zrozumiały. Ogólne sformułowania o partnerach handlowych mogą wymagać dodatkowej oceny, szczególnie gdy osoba nie mogła ustalić, kto faktycznie otrzyma jej dane i w jakim celu.

Problematyczne bywa także kupowanie baz zawierających informacje nieaktualne, błędne lub zebrane bez odpowiedniej dokumentacji. Taki zakup może powodować skargi, konieczność obsługi żądań osób, ryzyko naruszenia poufności oraz spory pomiędzy sprzedawcą i nabywcą. Odpowiedzialność nie zawsze kończy się na podmiocie, który pierwotnie pozyskał dane. Nabywca powinien potrafić wykazać, że przed rozpoczęciem przetwarzania sprawdził źródło, zakres oraz podstawę prawną przekazania.

Osobną kategorię stanowią dane szczególnych kategorii, informacje o sytuacji zdrowotnej, poglądach, przekonaniach, przynależności związkowej, lokalizacji lub zachowaniach zakupowych. Ich obrót wymaga szczególnej ostrożności, a w niektórych przypadkach może być niedopuszczalny albo wymagać dodatkowych przesłanek. Zwiększonej uwagi wymagają również dane dzieci, dane logowania, numery dokumentów, informacje finansowe i wszelkie zestawienia, których ujawnienie może narazić osoby na szkodę.

Sprzedaż bazy danych – praktyczne wskazówki przed przekazaniem

Przed zawarciem umowy warto sporządzić opis zbioru bez przekazywania pełnej kopii. Należy określić kategorie osób, rodzaje danych, przybliżony okres ich pozyskania, źródła, cele pierwotne i planowane cele odbiorcy. Pomocne jest ustalenie, czy dane były pozyskiwane bezpośrednio od osób, od partnerów, z rejestrów publicznych czy z innych systemów. Brak odpowiedzi na te pytania powinien być sygnałem do wstrzymania transakcji.

Dokumentacja powinna wyjaśniać, kto jest administratorem, kto działa na jego polecenie, jaki jest zakres uprawnień odbiorcy oraz kiedy dane mają zostać usunięte lub zwrócone. Warto uwzględnić zasady kontroli dostępu, szyfrowania, rejestrowania operacji, obsługi żądań osób i zgłaszania incydentów. Przekazanie pliku zwykłą wiadomością może być niewystarczające, jeżeli zawiera on dane umożliwiające identyfikację lub informacje poufne.

Przed sprzedażą należy zweryfikować, czy osoby otrzymały wymagane informacje o administratorze, celu, podstawie prawnej, okresie przechowywania i odbiorcach. Jeżeli dane mają być wykorzystywane do marketingu, trzeba dodatkowo przeanalizować zasady komunikacji elektronicznej, sprzeciwu oraz wycofania zgody. Nie powinno się obiecywać nabywcy nieograniczonego prawa do kontaktowania się z osobami, jeśli zakres pierwotnego pozyskania danych był węższy.

Rozsądne jest przeprowadzenie próby na ograniczonej, kontrolowanej części zbioru, po uprzednim usunięciu informacji zbędnych do oceny. Należy też sprawdzić mechanizmy usuwania duplikatów, aktualizacji rekordów i oznaczania osób, które zgłosiły sprzeciw. Przydatny może być audyt ścieżki pochodzenia danych, ponieważ pozwala ustalić, kiedy i przez kogo konkretny rekord został dodany lub zmieniony. W razie wątpliwości dokumentacja i konsultacja z osobą odpowiedzialną za ochronę danych są ważniejsze niż szybkie sfinalizowanie transakcji.

Sprzedaż bazy danych – kiedy zgłosić się do serwisu

Problemy z bazą danych nie zawsze wynikają z samej treści umowy. Czasem przyczyną jest uszkodzony plik, błędne kodowanie znaków, utrata części rekordów, awaria dysku, nieprawidłowy eksport z aplikacji albo brak możliwości odczytu kopii zapasowej. W takich sytuacjach przed dalszym kopiowaniem lub przekazywaniem danych warto zabezpieczyć nośnik, ograniczyć dostęp i przygotować opis objawów. Każda operacja na kopii powinna być wykonywana z uwzględnieniem poufności informacji znajdujących się w zbiorze.

Do serwisu można zgłosić się, gdy potrzebne jest odzyskanie dostępu do lokalnego pliku, sprawdzenie nośnika, wykonanie bezpiecznej kopii lub uporządkowanie technicznej strony migracji danych. Warszawskie Pogotowie Komputerowe 24/7 może stanowić punkt kontaktu przy problemach sprzętowych i organizacyjnych związanych z przechowywaniem plików, przy czym zgodność sprzedaży bazy z przepisami wymaga odrębnej oceny prawnej. Przed przekazaniem urządzenia lub kopii należy ograniczyć zakres danych do niezbędnego minimum i jasno ustalić, jakie czynności mają zostać wykonane.

Jeżeli doszło do przypadkowego ujawnienia bazy, wysłania pliku do niewłaściwego odbiorcy albo utraty nośnika, należy możliwie szybko ustalić zakres zdarzenia, zabezpieczyć dostęp, zachować dostępne logi i poinformować osobę odpowiedzialną za ochronę danych. Nie powinno się samodzielnie usuwać śladów zdarzenia ani nadpisywać potencjalnie istotnych plików. Szybka reakcja techniczna pomaga ograniczyć dalsze ujawnienie informacji, natomiast decyzje dotyczące obowiązków administratora powinny zostać podjęte na podstawie pełnej analizy konkretnego przypadku.