Przetwarzanie danych: granica między karą pieniężną a przestępstwem

Kto trafia tu z pismem o danych osobowych

Najczęściej jest to właściciel firmy, który dostał pismo od organu nadzorczego z pytaniami o sposób przetwarzania danych klientów. Firma obsługuje odbiorców we Włoszech, korzysta z włoskich dostawców usług informatycznych i nagle okazuje się, że ktoś złożył skargę. Przedsiębiorca nie wie, czy to rutynowa kontrola, czy początek sprawy, która może skończyć się w prokuraturze.

Inna sytuacja to dyrektor lub menedżer, który po wycieku danych dowiaduje się, że zgłoszono naruszenie. Pracownik wysłał przez pomyłkę plik z danymi do niewłaściwego adresata albo ktoś z zewnątrz włamał się do systemu. Pyta, czy musi zawiadomić organ, osoby, których dane dotyczą, i czy za to odpowiada osobiście.

Jest też osoba, której dane zostały użyte bez jej zgody. Ktoś założył na jej nazwisko konto, wykorzystał jej zdjęcie lub numer dokumentu, rozesłał jej dane osobom postronnym. Zastanawia się, czy to przestępstwo, czy sprawa administracyjna, i gdzie ma się zgłosić. Nie wie też, czy zgłoszenie w Polsce wystarczy, skoro sprawca działał z Włoch.

Pracownik, który stracił pracę po tym, jak pracodawca monitorował jego korespondencję, to osobna sytuacja. Chce wiedzieć, czy kontrola była dopuszczalna i czy zebrane w ten sposób materiały można wykorzystać przeciwko niemu. Wspólny wątek jest ten sam: granica między sprawą administracyjną a karną nie przebiega tam, gdzie się jej spodziewamy, i wymaga analizy konkretnego przypadku.

Wszystkie te osoby łączy pytanie o cel: do czego dane były potrzebne i komu przyniosły korzyść lub szkodę.

Decyzje przy piśmie z organu nadzorczego: odpowiedzieć, wyjaśnić, zmienić

Po otrzymaniu pisma firma stoi przed kilkoma wyborami. Każdy z nich ma swój koszt.

• Odpowiedzieć szybko i szczegółowo. Zaleta: pokazuje gotowość do współpracy i skraca postępowanie. Cena: każde zdanie trafia do akt, a opis celu przetwarzania danych bywa później zestawiany z treścią pisma w sprawie karnej. Odpowiedź, która wprost przyznaje, że dane służyły korzyści firmy, może zmienić charakter sprawy.
• Najpierw ustalić cel przetwarzania. Zaleta: wiadomo, czy w grę wchodzi tylko naruszenie administracyjne, czy także element, który ma znaczenie dla odpowiedzialności karnej. Cena: czas, a organ nadzorczy ma własne terminy i nie czeka.
• Wprowadzić zmiany w firmie przed odpowiedzią. Zaleta: pokazuje naprawę. Cena: zmiany wykonane w pośpiechu mogą wyglądać na ukrywanie wcześniejszego stanu, jeśli nie zostaną udokumentowane.
• Zawiadomić osoby, których dane dotyczą. Zaleta: ogranicza szkodę i spełnia obowiązek. Cena: informacja wychodzi poza firmę i może wywołać falę zapytań.

Kolejność ma znaczenie. Najpierw należy ustalić fakty, potem odpowiedzieć organowi, a na końcu zmieniać procedury, ale zawsze z zachowaniem dokumentacji wcześniejszego stanu.

Przy każdej z tych decyzji trzeba pamiętać, że organ nadzorczy i prokuratura mogą wymieniać informacje. Odpowiedź napisana dla któregoś z urzędów bywa czytana przez inny, a opis celu przetwarzania, który w postępowaniu administracyjnym wydaje się bezpieczny, w sprawie karnej może zostać zinterpretowany inaczej. Dlatego pismo powinno być sformułowane tak, by zawierało fakty niezbędne, a nie oceny, i by nie przyznawało więcej, niż wynika z dokumentów. Takie sformułowanie wymaga czasu, więc warto poprosić o przedłużenie terminu, jeśli jest to możliwe.

Rejestry i zapisy, które pokazują cel przetwarzania danych

O tym, czy naruszenie jest tylko administracyjne, czy też przestępstwem, decyduje cel przetwarzania, a ten wynika z dokumentów firmy. Poniższa lista wskazuje, co zebrać i dlaczego.

• Rejestr czynności przetwarzania. Pokazuje, jakie dane firma zbiera, w jakim celu i komu je udostępnia. Brak rejestru bywa sam w sobie zarzutem.
• Umowy z dostawcami i powierzenia przetwarzania. Wyjaśniają, kto zajmuje się danymi i na jakich zasadach, co ma znaczenie przy ustalaniu, kto odpowiada za naruszenie.
• Zgody i klauzule informacyjne. Wzory przekazywane klientom i pracownikom, z datami wprowadzenia zmian.
• Zapisy zdarzeń w systemach. Logi dostępu, historia zmian, informacje o tym, kto pobrał dane i kiedy. Należy je zabezpieczyć w oryginale.
• Regulaminy i procedury wewnętrzne. W tym zasady korzystania z poczty i sprzętu przez pracowników oraz zasady monitoringu.
• Korespondencja o naruszeniu. Zawiadomienia do organu, do osób poszkodowanych, wymiana wiadomości w firmie.
• Dowody szkolenia pracowników. Listy obecności, materiały, zaświadczenia.

Wszystkie te dokumenty warto zabezpieczyć w stanie sprzed naruszenia. Firma, która po wycieku zmienia rejestry i regulaminy, powinna zachować kopię wersji pierwotnej wraz z datą zmiany, bo organ zapyta, jak wyglądały zasady w chwili zdarzenia. Zapisy z systemów informatycznych mają ograniczony czas przechowywania, więc prośbę o ich zachowanie trzeba skierować do osoby odpowiedzialnej za IT natychmiast, na piśmie. Dobrze zapisać także, kto miał uprawnienia administratora i kiedy je nadano lub odebrano.

Sprawa o dane w firmie: klienci, pracownicy i systemy

Postępowanie dotyczące danych osobowych zmienia codzienne funkcjonowanie firmy, zanim ktokolwiek wyda rozstrzygnięcie. Klienci pytają, czy ich dane są bezpieczne, a część z nich zawiesza współpracę do czasu wyjaśnienia. Kontrahenci we Włoszech, którzy sami podlegają obowiązkom, proszą o dodatkowe zapewnienia i dokumenty. Dział obsługi dostaje maile, na które nie ma prostej odpowiedzi.

Pracownicy odczuwają skutki przez zaostrzone procedury, które utrudniają pracę, i przez poczucie, że ktoś ich kontroluje. Jeśli wprowadzono monitoring poczty czy systemów, pojawia się pytanie, czy był legalny i czy pracownicy zostali o nim poinformowani. Źle przeprowadzone działania naprawcze bywają źródłem nowych zarzutów.

W systemach informatycznych oznacza to zmiany: ograniczenie dostępu, blokady, zmiana haseł, czasem wyłączenie funkcji. Każda taka zmiana powinna być udokumentowana, aby wiadomo było, co było przed nią i dlaczego ją wprowadzono. Firma, która nie prowadzi takiej dokumentacji, traci możliwość wykazania, że reagowała odpowiednio.

Dla osób zarządzających sprawa ma wymiar osobisty. Pojawia się pytanie, kto podejmował decyzje o systemach, kto podpisywał umowy z dostawcami i kto wiedział o wycieku. Rozmowy w firmie stają się ostrożniejsze, a atmosfera napięta. Warto z góry ustalić, kto z kim rozmawia o sprawie i w jakiej formie.

Warto z góry przygotować krótką, spójną informację dla klientów i pracowników, którą zatwierdzi obrońca. Wypowiedzi składane ad hoc przez różne osoby w firmie tworzą niespójny obraz i bywają później cytowane przeciwko niej. Spójność w komunikacji nie oznacza zatajania, tylko ostrożność w ocenach, które nie zostały jeszcze ustalone.

Pytania do obrońcy o granicę między karą pieniężną a przestępstwem

Rozmowa o danych osobowych jest rzeczowa, jeśli zna się pytania, które warto zadać. Poniższe pochodzą z praktyki w tej materii.

• Czy w mojej sprawie istnieje element, który może przesuwać ją z administracyjnej na karną, na przykład cel osiągnięcia korzyści?
• Jak organ nadzorczy ocenia cel przetwarzania i jakie dokumenty mają największe znaczenie dla tej oceny?
• Czy muszę zawiadomić organ i osoby, których dane dotyczą, i w jakiej formie?
• Czy odpowiadam osobiście, czy tylko firma, i od czego to zależy?
• Czy odpowiedź organowi nadzorczemu może zostać wykorzystana w postępowaniu karnym?
• Czy monitorowanie pracowników było dopuszczalne i jakie dokumenty to potwierdzają?
• Jeśli to moje dane zostały wykorzystane, gdzie i w jakiej formie złożyć zawiadomienie?
• Czy skarga złożona w Polsce wystarczy, jeśli sprawca działał z Włoch?

Warto poprosić obrońcę o wskazanie, które z odpowiedzi zależą od dokumentów, a które od oceny organu. Dzięki temu łatwiej zaplanować, co przygotować przed kolejnym pismem.

Dobrze zapytać także o to, jak sprawa wpłynie na bieżącą działalność, na przykład na umowy z kontrahentami we Włoszech i na przetargi. Warto ustalić, kiedy firma ma obowiązek poinformować klientów, a kiedy może poczekać na ustalenia. Obrońca, który nie obiecuje wyniku, powinien umieć wskazać, które elementy sprawy są przewidywalne, a które zależą od oceny organu. Odpowiedzi warto zanotować, bo sprawa o dane bywa długa i pytania wracają.

Czego nie robić po wykryciu naruszenia danych

W dniach po naruszeniu firma działa pod presją i łatwo o błędy.

• Nie usuwać logów ani plików, aby „zatrzeć ślady wycieku”. Usunięcie dowodów wygląda na ukrywanie i szkodzi bardziej niż sam wyciek.
• Nie odpowiadać organowi nadzorczemu bez analizy celu przetwarzania. Opis zawarty w odpowiedzi trafia do akt i może posłużyć w sprawie karnej.
• Nie obwiniać publicznie pracownika ani dostawcy. Oskarżenie wypowiedziane w mediach lub w mailu bywa cytowane i rodzi spory.
• Nie wprowadzać monitoringu pracowników w trybie awaryjnym bez zasad. Kontrola prowadzona bez informacji i podstawy sama bywa naruszeniem.
• Nie ignorować pytań osób, których dane wyciekły. Brak odpowiedzi zwiększa liczbę skarg.
• Nie omawiać sprawy w otwartych kanałach firmowych. Wiadomości są dostępne wielu osobom.

• Nie wysyłać do organu pisma bez konsultacji z obrońcą, jeśli w grę wchodzi cel korzyści. Krótkie sformułowanie w piśmie bywa podstawą oceny karnej.
• Nie przerzucać odpowiedzialności na dostawcę w korespondencji z klientami. Takie wiadomości są cytowane w sporach i w postępowaniu.
• Nie zwalniać administratora systemu w gniewie. Osoba znająca konfigurację jest potrzebna obronie, a konflikt zamienia ją w przeciwnika.
• Nie pozwalać, by dane z naruszenia krążyły po firmie w celu „analizy”. Każda kopia zwiększa skalę zdarzenia.

Za każdym z tych zakazów stoi prosta obserwacja: wyciek jest zdarzeniem, które można opisać, a reakcja firmy jest zachowaniem, które się ocenia. Organy patrzą nie tylko na to, co się stało, lecz także na to, jak firma zareagowała, i czy jej działania były zgodne z dokumentami.

Dane z Polski przetwarzane we Włoszech

Gdy dane klientów z Polski trafiają do włoskich systemów albo odwrotnie, pytania mnożą się. Które organy są właściwe, w jakim języku prowadzić korespondencję, gdzie złożyć zawiadomienie? Odpowiedzi zależą od tego, gdzie ma siedzibę administrator, gdzie znajdują się serwery i w czyim imieniu działa dostawca. Dla firmy, która obsługuje klientów w kilku krajach, jest to źródło nieporozumień.

Korespondencja z organem nadzorczym we Włoszech odbywa się w języku włoskim. Odpowiedź napisana po angielsku lub po polsku może zostać odrzucona albo wymagać tłumaczenia, a termin biegnie. Tłumaczenie powinno uwzględniać terminologię techniczną, bo przekład słów takich jak „przetwarzanie”, „powierzenie” czy „administrator” ma konsekwencje prawne.

Dokumenty firmy, takie jak umowy i procedury, są zwykle po polsku, a dostawcy włoscy mają własne wzory. Spójność tych dokumentów jest argumentem obrony, ale niespójność trzeba umieć wyjaśnić. Dlatego warto zestawić je przed odpowiedzią i ustalić, które fragmenty mają znaczenie dla sprawy.

Gdy to Pani lub Pana dane zostały wykorzystane, zawiadomienie można zwykle złożyć w miejscu zamieszkania, ale dalsze losy sprawy zależą od tego, gdzie działał sprawca. Obrońcy w Polsce i we Włoszech powinni uzgodnić, kto prowadzi którą część. Konsulat nie zajmuje się takimi sprawami, ale może pomóc w uwierzytelnieniu dokumentów.

Warto też sprawdzić, w jakim języku klienci otrzymali informacje o przetwarzaniu danych. Klauzula napisana wyłącznie po polsku, choć dotyczy włoskich odbiorców, bywa podważana jako niezrozumiała, i odwrotnie.

Jak kancelaria porządkuje sprawę o dane osobowe

Zlecenie zaczyna się od wiadomości na adres avvmassimoromano@gmail.com z kopią pisma organu nadzorczego albo opisem zdarzenia. Dobrze dołączyć dokumenty, o których mowa wyżej, nawet w niepełnym zestawie. Telefon służy do uzgodnienia, jaka decyzja jest najpilniejsza, na przykład czy zbliża się termin odpowiedzi.

Obrońca zaczyna od ustalenia roli klienta: administratora, podmiotu przetwarzającego, pracownika, osoby zarządzającej albo osoby, której dane dotyczą. Od tego zależy, które pytania są kluczowe. Następnie bada cel przetwarzania, bo to on decyduje o granicy między sprawą administracyjną a karną. Wnioski przekazuje po polsku, z oznaczeniem dokumentów, które trzeba uzupełnić.

Odpowiedź dla organu nadzorczego przygotowuje się w języku włoskim po uzgodnieniu treści z Panią lub Panem. Nic nie jest wysyłane bez zgody klienta. Kancelaria ma biura w Rzymie, Mediolanie i Neapolu, więc kontakty z organami są prowadzone na miejscu. Gdy część sprawy toczy się w Polsce, obrońca koordynuje się z prawnikiem po polskiej stronie.

W sprawach pilnych kontakt telefoniczny jest możliwy także poza godzinami biurowymi.

Kancelaria wyjaśnia także, które czynności można podjąć od razu, a które trzeba odłożyć do czasu poznania pism organu. Zakres zlecenia i sposób rozliczenia ustala się przed rozpoczęciem pracy, na piśmie. Pani lub Pan dostaje po każdym etapie krótką informację po polsku o tym, co zostało zrobione, i co jest następne. Dzięki temu decyzje zapadają na podstawie wiedzy, a nie domysłów.

Słowa z pism organu nadzorczego i prokuratury

Pisma w sprawach o dane osobowe używają pojęć, które mają ścisłe znaczenie. Oto te, które pojawiają się najczęściej.

• trattamento dei dati personali – przetwarzanie danych osobowych, czyli każda operacja na danych: zbieranie, przechowywanie, udostępnianie, usuwanie.
• titolare del trattamento – administrator danych, podmiot, który decyduje o celach i sposobach przetwarzania.
• violazione dei dati personali – naruszenie ochrony danych, na przykład wyciek lub nieuprawniony dostęp.
• autorità di controllo – organ nadzorczy, który prowadzi postępowanie i może nakładać kary pieniężne.
• sanzione amministrativa – kara pieniężna nakładana przez organ nadzorczy; to rozstrzygnięcie administracyjne, nie wyrok.
• illecito trattamento – nielegalne przetwarzanie; w przypadku celu korzyści lub szkody może mieć charakter przestępstwa.
• danno – szkoda wyrządzona osobie, której dane dotyczą; jej wystąpienie bywa warunkiem odpowiedzialności karnej.
• interessato – osoba, której dane dotyczą.

• finalità di profitto – cel osiągnięcia zysku; element, który może przenieść sprawę z administracyjnej na karną.
• archivio – zbiór danych, którego ujawnienie lub pozyskanie na dużą skalę bywa odrębnym czynem.
• provvedimento – rozstrzygnięcie organu nadzorczego, od którego przysługuje środek zaskarżenia.

Znaczenie tych słów zależy od kontekstu, dlatego tłumaczenie powinno uwzględniać zdanie, w którym się pojawiają. W pismach organu nadzorczego te same terminy bywają używane luźniej niż w pismach prokuratury, gdzie każde słowo ma konsekwencje dla kwalifikacji czynu. Jeśli pismo budzi wątpliwości, warto je zaznaczyć i omówić z obrońcą przed odpowiedzią.