Rozmowa z adw. Rafałem Rozwadowskim z kancelarii Mamiński i Wspólnicy

Krzysztof Sobczak: Wiele obowiązków dla firm i instytucji, wynikających z nowego unijnego prawa o ochronie danych osobowych, zależy od tego, czy gromadzą one i przetwarzają dane wrażliwe. Ale czy unijne rozporządzenie definiuje, jakie to są dane?

Rafał Rozwadowski: Katalog takich danych, na gruncie rozporządzenia ogólnego (RODO), nazywanych tam danymi szczególnej kategorii, zawiera artykuł 9 RODO, który wskazuje, że są zasady określonego postępowania z tymi danymi. I tam ten katalog danych faktycznie jest, i rzeczywiście od tego, czy określona informacja zawiera dane z tego katalogu,  uzależnionych jest wiele różnych czynności.

Czy jeśli do pana zwróci się klient o wyjaśnienie, czy gromadzone przez niego dane należą do tej kategorii i czy ma on związane z tym obowiązki, to potrafi pan udzielić jednoznacznej odpowiedzi?

Tak, chociaż to zależy od specyfiki podmiotu. Rozporządzenie wymienia, że są to dane osobowe ujawniające pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe – to nowość, tego w dotychczasowych krajowych i unijnych przepisach nie było – przynależność do związków zawodowych, dane genetyczne, biometryczne. A także dane dotyczące zdrowia, seksualności lub orientacji seksualnej. Właśnie te dane rozporządzenie zalicza do kategorii danych szczególnej kategorii.
 

A czy informacje o zarobkach i sytuacji majątkowej uznawane są za wrażliwe? W Polsce dość powszechne jest takie właśnie ich traktowanie.

Rozporządzenie nie wymienia ich w tej grupie. Rzeczywiście, w powszechnym odbiorze one są u nas uznawane za dane wrażliwe. Ale z formalnego punktu widzenia, bazując na przepisie unijnego rozporządzenia, nie ma podstaw do takiego traktowania tych danych.

No to sięgnijmy po taki kontekst. Urzędy skarbowe dużo wiedzą o naszych dochodach i majątku. Czy będą zobowiązane do stosowania najwyższych standardów bezpieczeństwa, zarezerwowanych dla administratorów danych wrażliwych?

Moim zdaniem, nie. Jestem zwolennikiem ścisłego traktowania tego przepisu. Jest taka ogólna zasada, która mówi o tym, że jest otwarty katalog danych osobowych zwykłych. Czyli ten katalog danych w zależności np. od zmian w technologii może być inaczej traktowany. Jednak ustawodawca polski i unijny wprowadził zamknięty katalog danych wrażliwych, czy danych szczególnej kategorii. Stan majątkowy i zarobki nie wchodzą w zakres tego katalogu. A więc ja bym nie interpretował tego zbioru rozszerzająco i nie zaliczał tych informacji do kategorii danych wrażliwych.
 

A jeśli w jakimś urzędzie lub instytucji publicznej składamy wniosek o jakieś świadczenie czy zasiłek i podajemy do tego informacje o swoim trudnym położeniu?

To zależy od tego, jakie dane podajemy. Jeśli będą to informacje o stanie naszego zdrowia, to urząd powinien  traktować je jako dane wrażliwe. Ale już informacji o dochodach – nie. Ogólnie przyjmuję taką  zasadę odróżniania danych wrażliwych od zwykłych, że dane wrażliwe to są takie, których ujawnienie w jakikolwiek sposób może powodować szczególną stygmatyzację osoby, której one dotyczą. Z uwagi na różne uwarunkowania – np. socjologiczne, społeczne. W konsekwencji ustawodawca unijny i polski przyjął, że ujawnienie pewnych kategorii informacji może powodować duży uszczerbek dla praw osoby, której dane są przetwarzane. No i uznał, że pochodzenie rasowe czy etniczne mają taki charakter, poglądy polityczne również, przekonania religijne też. Ale również przynależność do związków zawodowych. Podobnie orientacja seksualna. Bardzo dobrze wiemy, że są to tematy, które mogą prowokować różne reakcje. Ale takie dane, które często składamy w urzędach, czyli miejsce zamieszkania czy pesel, informacje o rodzinie, nie są danymi wrażliwymi, choć niektóre z nich w rozumieniu potocznym mogą się takie wydawać. 
 

Często trzeba też dostarczyć różne dane o zarobkach i stanie posiadania, gdy ubiegamy się o jakieś świadczenie.

To są dane zwykłe. Które oczywiście też podlegają ochronie, ale już nie tak restrykcyjnej. Ogólnie panuje zasada, iż dane zwykłe można przetwarzać, chyba że zachodzi przeszkoda dla ich przetwarzania, a dane wrażliwe, dane szczególnej kategorii podlegają zakazowi przetwarzania, chyba że zachodzi wyjątkowa okoliczność zezwalająca na takie przetwarzanie.

Na gruncie RODO takie informacje są specjalnie potraktowane, bowiem to rozporządzenie przewiduje oddzielną kategorię danych dotyczących wyroków skazujących i naruszeń prawa. One podlegają w rzeczywistości – w mojej ocenie – podwyższonej ochronie, jak dane wrażliwe. A więc kancelaria prawna musi ocenić, czy posiada takie dane. Prowadzenie wszelkich kompletnych rejestrów takich danych wolno dokonywać wyłączenie pod nadzorem władz publicznych, lub w oparciu o przepisy prawa, które zabezpieczają w pełni prawa i wolności osób, których takie dane dotyczą. Kancelarii dotyczą zasadniczo wszystkie te same zasady jak wszystkich innych administratorów danych, a dodatkowo mamy jeszcze swoje samorządowe regulacje dotyczące tajemnicy zawodowej. A więc w sposób szczególny i wyjątkowy musimy dbać o solidne zabezpieczenie tych danych.
 

Odnoszę wrażenie, że w Polsce mamy tendencję do rozszerzającej interpretacji definicji danych wrażliwych. Bo na przykład dość powszechnie traktuje się informacje dotyczące majątku czy zarobków jako podlegające specjalnej ochronie, a tymczasem nowe unijne regulacje nie zaliczają ich do kategorii danych wrażliwych.

Myślę, że ten katalog danych wrażliwych powinien być traktowany relatywnie wąsko. Jest to o tyle istotne, że rozszerzające interpretowanie tego katalogu tworzyłoby dość trudną sytuację dla tych podmiotów, które takie dane przetwarzają, albo stoją przed decyzją o przetwarzaniu takich danych. Ja uważam, ale widzę też, że taki jest pogląd doktryny, że ten katalog danych wrażliwych, czy danych szczególnej kategorii, powinien być interpretowany wąsko. Ale trzeba pamiętać, że te kategorie danych wrażliwych same w sobie też będą wymagały interpretacji i wykładni. O tym trzeba będzie dyskutować nieustannie, ponieważ rozwój technologii i możliwości przetwarzania określonych danych, np. przy wykorzystaniu fotografii, nagrań video, wymagać będzie odpowiedzi, czy w określonych sytuacjach trzeba je będzie uznawać za dane wrażliwe.
A generalnie uważam, że podkatalog danych szczególnej kategorii, czy też danych wrażliwych, powinien być interpretowany wąsko. Jeśli więc powstaje nowa kategoria danych, to powinna ona być konfrontowana z tymi kategoriami, które dotychczas zostały wskazane jako dane wrażliwe.