udostępnianie danych osobowych bez zgody

Udostępnianie danych osobowych bez zgody narusza RODO i naraża administratora na odpowiedzialność.

Udostępnianie danych osobowych bez zgody – czym jest

Udostępnianie danych osobowych bez zgody oznacza przekazanie, ujawnienie, opublikowanie albo umożliwienie dostępu do informacji dotyczących konkretnej osoby, gdy nie istnieje odpowiednia podstawa prawna takiego działania. Może chodzić zarówno o przekazanie danych jednej osobie, jak i o umieszczenie ich w miejscu dostępnym dla większej grupy odbiorców. Dane osobowe to nie tylko imię, nazwisko i numer telefonu. W zależności od sytuacji mogą nimi być także adres poczty elektronicznej, adres zamieszkania, numer identyfikacyjny, wizerunek, dane dotyczące zatrudnienia, informacje o lokalizacji, identyfikator internetowy, adres IP lub zestaw informacji pozwalający ustalić tożsamość określonej osoby.

Sam brak zgody nie zawsze oznacza naruszenie przepisów. Zgoda jest tylko jedną z podstaw legalnego przetwarzania danych. W niektórych sytuacjach udostępnienie może być uzasadnione wykonaniem umowy, obowiązkiem prawnym, ochroną żywotnych interesów, realizacją zadania publicznego albo prawnie uzasadnionym interesem administratora. Konieczne jest jednak każdorazowe ustalenie, czy wybrana podstawa rzeczywiście pasuje do konkretnego celu, zakresu danych i grupy odbiorców. Nie można przyjmować, że samo posiadanie danych daje swobodę ich dalszego przekazywania.

Znaczenie ma również sposób pozyskania informacji. Dane podane w formularzu, korespondencji, dokumentach pracowniczych, systemie obsługi klienta lub podczas rozmowy nie stają się automatycznie publiczne. Osoba, której dane dotyczą, może oczekiwać, że zostaną wykorzystane w określonym celu, a nie przekazane innemu podmiotowi, opublikowane w internecie albo wykorzystane do kontaktu marketingowego. Zakres dozwolonego działania wyznaczają między innymi cel przetwarzania, zasada minimalizacji, obowiązek przejrzystości oraz zasady bezpieczeństwa.

Udostępnianie danych osobowych bez zgody a podstawa prawna

Przy ocenie legalności udostępnienia należy oddzielić zgodę od innych przesłanek dopuszczających przetwarzanie. Zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może wynikać z domyślnego zaznaczenia pola, braku sprzeciwu albo ogólnego stwierdzenia ukrytego w rozbudowanym regulaminie. Powinna dotyczyć jasno określonego celu, a osoba udzielająca zgody powinna wiedzieć, kto będzie wykorzystywać dane, w jakim zakresie i w jakim celu. W razie potrzeby zgoda może zostać wycofana, przy czym wycofanie nie wpływa na zgodność działań dokonanych wcześniej na jej podstawie.

Inaczej wygląda sytuacja, gdy przekazanie danych jest wymagane przez przepis prawa. Przykładem może być przekazanie określonych informacji uprawnionemu organowi na podstawie formalnego żądania. W takim przypadku nie jest potrzebna odrębna zgoda osoby, lecz trzeba sprawdzić zakres żądania, umocowanie organu oraz to, czy przekazywane są wyłącznie dane konieczne. Nie powinno się wysyłać pełnej dokumentacji, gdy do realizacji obowiązku wystarczy ograniczony zestaw informacji.

Podstawą może być również wykonanie umowy albo podjęcie działań przed jej zawarciem. Takie uzasadnienie nie obejmuje jednak dowolnego przekazywania danych. Jeżeli dane klienta są potrzebne do realizacji konkretnej usługi, można przekazać je podmiotowi uczestniczącemu w wykonaniu tej usługi w niezbędnym zakresie. Nie wynika z tego automatycznie możliwość wykorzystania tych samych informacji do dodatkowych celów, w szczególności do reklamy, tworzenia profilu lub przekazania kolejnemu odbiorcy.

W praktyce trzeba odróżnić administratora od podmiotu przetwarzającego. Administrator ustala cele i sposoby przetwarzania, natomiast podmiot przetwarzający wykonuje określone czynności w jego imieniu. Przekazanie danych podmiotowi współpracującemu nie zwalnia z obowiązku weryfikacji zabezpieczeń, zakresu dostępu, zasad poufności i podstawy prawnej. Pracownik, wykonawca albo współpracownik powinien otrzymywać dostęp tylko do tych informacji, które są potrzebne do wykonania przypisanych zadań.

Udostępnianie danych osobowych bez zgody – typowe sytuacje i skutki

Do nieprawidłowego udostępnienia może dojść przez pomyłkę, pośpiech, niewłaściwą konfigurację systemu albo brak kontroli nad obiegiem dokumentów. Częstym przykładem jest wysłanie wiadomości do niewłaściwego odbiorcy, dołączenie pliku zawierającego dane innych osób, pozostawienie dokumentu w miejscu dostępnym dla osób nieuprawnionych lub przekazanie listy adresów poczty elektronicznej wszystkim adresatom bez użycia pola ukrytej kopii. Naruszeniem może być także publiczne zamieszczenie zdjęcia, listy uczestników, wyników postępowania albo korespondencji zawierającej dane pozwalające zidentyfikować osobę.

Ryzyko powstaje również przy udostępnianiu informacji w mediach społecznościowych, komunikatorach, grupach dyskusyjnych i serwisach ogłoszeniowych. To, że materiał został pozyskany z internetu albo był wcześniej dostępny dla ograniczonego grona, nie zawsze pozwala na dalsze rozpowszechnianie. Należy ustalić, czy publikujący ma prawo wykorzystywać dany materiał, czy cel ponownego użycia jest zgodny z pierwotnym celem oraz czy ujawnienie nie narusza prywatności osoby przedstawionej lub opisanej.

Skutki mogą obejmować obowiązek usunięcia danych, ograniczenie przetwarzania, poinformowanie osoby, której dane dotyczą, oraz zgłoszenie naruszenia organowi nadzorczemu, jeżeli wymagają tego okoliczności. W zależności od ryzyka może powstać potrzeba zawiadomienia osób, których dane ujawniono, aby mogły podjąć działania ochronne. Osoba poszkodowana może domagać się także naprawienia szkody majątkowej lub niemajątkowej, jeżeli doszło do naruszenia jej praw i interesów.

Odpowiedzialność może dotyczyć administratora, a w określonych okolicznościach także innych osób uczestniczących w procesie przetwarzania. Znaczenie ma nie tylko sam fakt ujawnienia informacji, ale również skala zdarzenia, rodzaj danych, liczba osób, czas dostępności materiału, możliwość dalszego rozpowszechniania oraz reakcja po wykryciu problemu. Szybkie odcięcie dostępu, zabezpieczenie dowodów i rzetelna ocena zdarzenia mogą ograniczyć następstwa, choć nie usuwają automatycznie wcześniejszego naruszenia.

Udostępnianie danych osobowych bez zgody – praktyczne zabezpieczenia

Najważniejszym zabezpieczeniem jest ustalenie jasnych zasad przed rozpoczęciem przetwarzania. Powinno się określić, jakie dane są potrzebne, w jakim celu będą używane, kto może uzyskać dostęp i jak długo informacje mają być przechowywane. Pomaga rejestr czynności przetwarzania, opis uprawnień użytkowników, procedura zatwierdzania nowych odbiorców oraz zasada regularnego przeglądu dostępów. Osoby pracujące z dokumentami powinny wiedzieć, jak rozpoznawać dane osobowe, jak korzystać z poczty elektronicznej i gdzie zgłaszać podejrzenie pomyłki.

Przy wysyłaniu dokumentów należy sprawdzić adresata, nazwę załącznika, zawartość pliku i zakres informacji. Warto usuwać zbędne dane przed przekazaniem dokumentu, stosować ograniczenia dostępu oraz wybierać sposób przekazania adekwatny do wrażliwości informacji. Samo zabezpieczenie hasłem nie zastępuje prawidłowej podstawy prawnej, ale może ograniczyć skutki przejęcia wiadomości lub pliku. Hasło powinno być przekazywane innym kanałem niż dokument, a dostęp do plików powinien wygasać, gdy przestaje być potrzebny.

Nie należy używać wspólnych kont, pozostawiać aktywnych dostępów byłym pracownikom ani przechowywać kopii danych w przypadkowych lokalizacjach. Przy publikacji materiałów warto sprawdzić, czy dokument nie zawiera ukrytych arkuszy, komentarzy, historii zmian, metadanych lub danych osób trzecich. Przed udostępnieniem zdjęcia trzeba zweryfikować, czy widoczne osoby mogą zostać rozpoznane i czy publikacja jest zgodna z celem, dla którego materiał powstał.

W razie pomyłki nie powinno się czekać na rozwój sytuacji. Należy ustalić, co zostało ujawnione, komu, kiedy i przez jaki kanał, a następnie ograniczyć dostęp, poprosić odbiorcę o usunięcie kopii, zachować informacje potrzebne do analizy oraz powiadomić osobę odpowiedzialną za ochronę danych. Przydatne jest prowadzenie wewnętrznego rejestru incydentów, nawet gdy po analizie nie ma obowiązku zgłoszenia naruszenia. Pozwala to wykrywać powtarzające się błędy i zmieniać procedury w sposób oparty na rzeczywistych zdarzeniach.

Kiedy udostępnianie danych osobowych bez zgody wymaga konsultacji

Konsultacja jest wskazana, gdy nie ma pewności, czy odbiorca jest uprawniony do otrzymania informacji, gdy planowane jest przekazanie danych poza pierwotny cel albo gdy dane mają trafić do szerokiego grona osób. Szczególnej ostrożności wymagają informacje dotyczące zdrowia, sytuacji rodzinnej, finansów, karalności, lokalizacji, dokumentów tożsamości oraz dane dzieci. W takich przypadkach nawet pozornie niewielkie ujawnienie może zwiększyć ryzyko oszustwa, nękania, dyskryminacji lub utraty kontroli nad informacją.

Pomocne może być przygotowanie krótkiego opisu zdarzenia: jakie dane ujawniono, ilu osób dotyczy problem, kto mógł uzyskać dostęp, czy materiał został skopiowany oraz jakie działania już podjęto. Nie powinno się przesyłać pełnych dokumentów osobom, których uprawnienia nie zostały potwierdzone. Do wstępnej oceny wystarcza często zanonimizowany opis, fragment pozbawiony danych identyfikujących albo informacja o rodzaju dokumentu.

W sprawach związanych ze sprzętem komputerowym i nośnikami danych można skorzystać z pomocy Warszawskiego Pogotowia Komputerowego 24/7 przy ocenie technicznych śladów zdarzenia, zabezpieczeniu urządzenia lub uporządkowaniu dostępu do plików. Wymaga to jednak rozdzielenia pomocy technicznej od decyzji prawnej dotyczącej podstawy przetwarzania. Samo odzyskanie, skopiowanie lub przeniesienie plików nie powinno prowadzić do ich dodatkowego ujawnienia, dlatego zakres dostępu powinien zostać wcześniej określony i ograniczony do niezbędnych czynności.

Jeżeli dane zostały już udostępnione bez właściwej podstawy, warto działać bez zwłoki, ale z zachowaniem porządku dowodowego. Należy ograniczyć dalsze rozpowszechnianie, odnotować podjęte działania, ustalić zakres naruszenia i ocenić ryzyko dla osób, których informacje dotyczą. W razie wątpliwości dotyczących obowiązków administratora przydatna jest konsultacja z osobą zajmującą się ochroną danych lub z prawnikiem. Ostateczna ocena zależy od konkretnego celu, rodzaju danych, sposobu udostępnienia i okoliczności całego zdarzenia.