Stanowisko UODO w sprawie spełniania obowiązku informacyjnego względem przedstawicieli spółek

W dniu 30 czerwca 2020 r. na stronie internetowej Urzędu Ochrony Danych Osobowych zamieszczono informację dotyczącą dopełniania obowiązku informacyjnego na mocy art. 13 i 14 RODO (tj. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.; Dz.U.UE.L.2016.119.1 z dnia 2016.05.04) względem reprezentantów spółek w postępowaniach administracyjnych. Prezes Urzędu Ochrony Danych Osobowych wskazał, iż w sytuacji, gdy w treści dokumentacji dotyczącej postępowań administracyjnych pojawiają się dane osób upoważnionych do reprezentacji spółek bądź osób uprawnionych do składania oświadczeń w ich imieniu, tj. członków zarządu, prokurentów i pełnomocników, należy względem nich spełnić obowiązek informacyjny.

Obowiązek informacyjny w świetle RODO

Obowiązkiem informacyjnym jest przedstawienie podmiotowi danych szeregu informacji w jaki sposób i w jakim zakresie jego dane osobowe będą przetwarzane. W szczególności są to informacje dotyczące danych administratora, celu, zakresu i okresu przetwarzania danych.

Prezes Urzędu Ochrony Danych Osobowych (dalej jako: „UODO”) wskazał że, zgodnie z art. 1 ust. 2 RODO ochronie podlegają podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. W motywie 14 RODO unijny ustawodawca podkreślił zaś, że ochrona zapewniana przez RODO dotyczy osób fizycznych, niezależnie od ich obywatelstwa lub miejsca zamieszkania, w związku z przetwarzaniem ich danych osobowych. Danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą).

Co istotne, w motywie 14 RODO wyjaśniono, że RODO nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. Zatem rozporządzenie stanowi wprost, że ochrona danych osobowych ma zastosowanie względem osób fizycznych, a nie osób prawnych.

Jednakże, w opinii Prezesa UODO, zdarzają się sytuacje, w których dane o charakterze osobowym będą związane z danymi dotyczącymi osób prawnych. Mowa tutaj o danych osobowych osób pełniących funkcję organów osoby prawnej. Na podstawie zaprezentowanej przez Prezesa UODO opinii należy uznać, że tego typu dane powinny być objęte ochroną na podstawie art. 13 i 14 RODO, zatem wobec tych osób powinien być spełniony obowiązek informacyjny.

​

Stanowisko Komisji Europejskiej i TSUE

Prezes UODO przedstawiając swoje stanowisko w sprawie, powołał się na opinię Komisji Europejskiej, która uznała, że adresy e-mail pracowników osób prawnych zawierające dane osobowe takie jak imiona i nazwiska, podlegają ochronie wskazanej w RODO. Ponadto przywołany został wyrok Trybunału Sprawiedliwości UE z 9 marca 2017 r. w sprawie C-398/15, w którym uznano, że okoliczność, iż informacje wpisują się ramy działalności zawodowej, nie oznacza, że nie można ich scharakteryzować jako danych osobowych.

Na tej podstawie Prezes Urzędu uznał, że dane osób fizycznych pełniących funkcje członków organów osoby prawnej oraz jej pełnomocników i pracowników, stanowią dane osobowe, i nie należy ich traktować jako danych osoby prawnej.

Podsumowanie

Wyżej przedstawione wytyczne Prezesa UODO spotkały się z krytyką środowiska prawniczego i uważane są za nadmiernie uciążliwe i zarazem niewspółmierne do wykładni celowościowej przedstawionych przepisów rozporządzenia. Niemniej jednak, podczas nawiązywania współpracy z osobami prawnymi należy uwzględnić stanowisko Prezesa UODO, bowiem niespełnienie obowiązku informacyjnego obarczone jest surowymi sankcjami. Co więcej, administratorzy danych osobowych powinni na bieżąco monitorować wytyczne wydawane przez UODO bowiem opisywana sytuacja może powodować wiele kontrowersji, a co za tym idzie, w najbliższym czasie można spodziewać się kolejnych opinii w tej sprawie.