Ustawa o ochronie sygnalistów a ochrona danych osobowych – część II

W poprzednim wpisie poświęconym zagadnieniu ochrony danych osobowych w kontekście procesu whistleblowingu, mogli Państwo przeczytać m. in. o obowiązku zapewnienia bezpieczeństwa danych osobowych ciążącym na podmiocie prawnym będącym administratorem danych. Trzeba jednak pamiętać, że to nie jedyne zobowiązanie tych podmiotów mając na uwadze regulacje dotyczące ochrony danych osobowych. Pozostałe to m.in. obowiązek przetwarzania danych w określonym celu i zakresie czy obowiązek informacyjny.

Obowiązki podmiotu prawnego jako administratora danych osobowych (ciąg dalszy)

Przetwarzanie danych osobowych w określonym celu i zakresie.

Obowiązek usunięcia danych nie mających znaczenia dla rozpatrzenia zgłoszenia.

Art. 5 RODO zawiera podstawowe zasady przetwarzania danych osobowych. Jedną z nich jest zasada ograniczonego celu. Zgodnie z nią, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. W kontekście procesu whistleblowingu, dane osobowe są przetwarzane w celu przyjęcia zgłoszenia, jego weryfikacji i podjęcia działań następczych. Zatem, o ile zebrane dane w związku ze zgłoszeniem, będą przetwarzane w ww. celach, będzie ono zgodne z RODO.

Inną zasadą, na którą trzeba zwrócić uwagę w związku z procedurą zgłoszeń jest zasada minimalizacji danych, według której dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. W związku z tym, administrator danych, którym jest podmiot prawny (w rozumieniu ustawy o ochronie sygnalistów), może przetwarzać tylko te dane, które są konieczne do realizacji celów procesu whistleblowingu. W tym przypadku, przepisy ustawy o ochronie sygnalistów uzupełniają regulacje RODO. Ustawa ta wprost przewiduje brak możliwości zbierania danych nie mających znaczenia dla rozpatrzenia zgłoszenia oraz obowiązek ich niezwłocznego usunięcia (w sytuacji przypadkowego ich zebrania). Podmiot prawny, który będzie dysponował danymi, które nie będą potrzebne do realizacji celu ochrony sygnalisty, będzie zobowiązany do ich usunięcia w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.

Obowiązek informacyjny

Z pewnością każdy z nas w praktyce wielokrotnie spotkał się z klauzulami informacyjnymi w związku z przetwarzaniem danych osobowych. Stanowią one wyraz realizacji obowiązku informacyjnego administratorów danych osobowych. Każdy bowiem administrator ma obowiązek podejmowania odpowiednich środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, udzielić osobie, której dane dotyczą, wszelkich informacji wymienionych w art. 13 i 14 RODO. Zatem, jeśli podmiot prawny, do którego wpłynie zgłoszenie naruszenia prawa, jest administratorem danych, musi spełnić obowiązek informacyjny.

1)        Obowiązek informacyjny wobec sygnalisty.

Obowiązek informacyjny wobec sygnalisty wynika z art. 13 RODO. W tym bowiem przepisie przewidziano konieczność poinformowania osoby (której dane dotyczą), która przekazuje swoje dane (czyli sygnalista) administratorowi (czyli podmiotowi prawnemu, do którego wpłynie zgłoszenie). Podmiot ten powinien poinformować sygnalistę  w szczególności o:

• swojej tożsamości i danych kontaktowych oraz, gdy ma to zastosowanie, tożsamości i danych kontaktowych swojego przedstawiciela;
• danych kontaktowych inspektora ochrony danych (gdy ma to zastosowanie);
• celach przetwarzania danych osobowych, oraz podstawie prawnej przetwarzania;
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO – prawnie uzasadnionych interesach realizowane przez administratora lub przez stronę trzecią;
• odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej (gdy ma to zastosowanie);
• okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• prawie do żądania od administratora dostępu do danych osobowych dotyczących sygnalisty, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• prawie wniesienia skargi do organu nadzorczego;
• tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Aby administrator danych prawidłowo zrealizował obowiązek informacyjny, musi podać sygnaliście ww. informacje w odpowiednim czasie, tj. podczas pozyskiwania danych osobowych. Wobec tego, przykładowo, jeśli podmiot prawny wprowadzi system zgłoszeń za pośrednictwem aplikacji, wówczas w chwili dokonywania zgłoszenia, powinna pojawić się klauzula informacyjna, z którą sygnalista będzie mógł się zapoznać.

2)        Obowiązek informacyjny wobec innych osób (w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą).

W związku z procesem whistleblowingu, podmiot prawny będzie przetwarzał dane osobowe nie tylko sygnalisty, ale również innych osób, w tym m. in. świadków naruszeń. W takim przypadku, ich dane najprawdopodobniej zostaną przekazane podmiotowi prawnemu przez samego sygnalistę w związku z dokonanym zgłoszeniem. Stąd na tym podmiocie, jako administratorze danych, będzie ciążył obowiązek informacyjny. Podmiot prawny będzie zobowiązany do przekazania tej osobie informacji szczegółowo wymienionych w art. 14 ust. 1 i 2 RODO. Jednakże w tym przypadku poza przepisami RODO trzeba również sięgnąć do regulacji przewidzianych w ustawie o ochronie sygnalistów. Zgodnie z nią, administrator nie będzie zobowiązany do przekazania w procesie whistleblowingu, np. świadkowi, informacji o źródle pochodzenia jego danych osobowych. Przy czym to wyłączenie będzie aktualne wyłącznie wówczas, gdy sygnalista spełni warunki objęcia go ochroną (zgodnie z art. 6 ustawy o ochronie sygnalistów). Ewentualnie możliwe będzie przekazanie świadkowi ww. informacji (tj. źródle pochodzenia danych osobowych), gdy sygnalista wyrazi wyraźną zgodę na ujawnienie swojej tożsamości.

Podsumowując, poza informacją o źródle pochodzenia danych osobowych, podmiot prawny jako administrator danych osobowych, powinien zrealizować obowiązek informacyjny wobec innych osób, których dane pozyska w procesie przyjmowania zgłoszeń.

Jednakże warto jednocześnie wspomnieć o wyjątku od obowiązku spełnienia obowiązku informacyjnego, który zwalnia administratora w całości z jego realizacji. Dotyczy on przypadku, gdy spełnienie obowiązku informacyjnego może uniemożliwić lub poważnie utrudnić realizację celów przetwarzania (czyli weryfikację zgłoszenia czy podjęcie działań następczych). W takiej sytuacji administrator będzie zobowiązany do podjęcia odpowiednich środków, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, tj. sygnalisty.

3)        Obowiązek informacyjny wobec innych osób (w przypadku zbierania danych od osoby, której dane dotyczą).

W sytuacji prowadzenia czynności wyjaśniających przez podmiot prawny, może mieć miejsce sytuacja, w której świadek naruszenia będzie składał wyjaśnienia. W takim przypadku podmiot prawny będzie przetwarzał dane osobowe ww. świadka. W związku z tym będzie musiał spełnić wobec niego obowiązek informacyjny przekazując mu informacje wymienione w art. 13 ust. 1 i 2 RODO (wskazane w pkt 1) powyżej) podczas pozyskiwania danych osobowych świadka. Stąd, w przypadku projektowania systemu whistleblowingu trzeba pamiętać, aby podmiot prawny spełnił obowiązek informacyjny wobec innych osób, których dane osobowe przetwarza w związku z dokonanym zgłoszeniem.

Podsumowanie

Kolejnym obowiązkiem podmiotu prawnego będącego administratorem danych osobowych w procesie whistleblowingu jest konieczność prowadzenia odpowiednich rejestrów. O rodzajach rejestrów i szczegółowych wymogach, które powinny one spełniać dowiedzą się Państwo z kolejnego wpisu.