Dlaczego nie można pozwalać na skanowanie dowodu?

Monika Krześniak-Sajewicz: W maju zacznie obowiązywać unijne rozporządzenie RODO o ochronie danych osobowych. Co ono będzie oznaczać dla zwykłego Kowalskiego? Obywatel będzie mieć prawo do całkowitego usunięcia danych. Od kogo i w jaki sposób może tego zażądać?

Maciej Kawecki, Ministerstwo Cyfryzacji: - Z każdym rozpoczęciem przetwarzania danych osobowych administrator ma obowiązek o tym poinformować Kowalskiego. Odpowiednie klauzule powinny znaleźć się w serwisach internetowych czy społecznościowych, więc od razu powinien wiedzieć o każdym takim przypadku.

- Możemy sobie wyobrazić sytuację, w której taki przykładowy Kowalski chce, żeby Facebook czy inny portal społecznościowy usunął jego dane. W tym przypadku występuje z takim żądaniem i wówczas portal internetowy powinien to wykonać zarówno na poziomie podstawowej bazy danych jak i kopii zapasowych. Jednak mogą być sytuacje, w których przedsiębiorca będzie mógł skutecznie odmówić wymazania danych.

Kto i w jakich sytuacjach będzie mógł tego odmówić?

- Przykładowo, jeśli zamówię w księgarni internetowej książkę czy kupię sprzęt AGD i właśnie zostało dostarczone zamówienie, a następnego dnia zażądam usunięcia moich danych osobowych. A co w sytuacji, gdy złożę reklamację? Taki sklep, chroniąc się przed ewentualnymi przyszłymi roszczeniami, może skutecznie odmówić usunięcia danych, bo ma uzasadnienie do ich gromadzenia. W praktyce więc "prawo do bycia zapomnianym" więcej obiecuje niż daje, bo już dziś w systemie prawnym funkcjonuje żądanie usunięcia danych osobowych. Różnica polega głównie na tym, że od momentu wejścia w życie RODO czyli od maja, niezrealizowanie tego prawa będzie zagrożone bardzo wysoką karą w wysokości do 20 mln euro i dodatkowo wprowadza się obowiązek "niezwłocznego" usunięcia danych.

W jakich sferach więc w praktyce to prawo będzie skutecznie stosowane, a w jakich mniej ze względu na specyfikę działalności?

- Uważam, że największe zastosowanie znajdzie w serwisach społecznościowych, wyszukiwarkach internetowych, stronach internetowych przedsiębiorców, np. jeśli nasz były pracodawca zamieszcza na swoich stronach www nasz wizerunek, to ma obowiązek na każdorazowe żądanie byłego pracownika go usunąć. Inna sytuacja z życia - jeśli nie chcemy, żeby na stronach przedszkola, do którego chodziło moje dziecko było jego zdjęcie - mimo, że kiedyś wyraziliśmy na to zgodę, to również na nasz wniosek przedszkole ma obowiązek go usunąć. Podsumowując, moim zdaniem wyszukiwarki internetowe i serwisy społecznościowe to są te obszary, gdzie "prawo do bycia zapomnianym" będzie najpełniej wykorzystywane i najbardziej bezwzględnie.

Czy wyszukiwarki czy portale społecznościowe będą musiały swoim użytkownikom ułatwić wnioskowanie o usunięcie danych?

- Powinni to ułatwić, tak jak zrobił to Google po wyroku Trybunału Sprawiedliwości Unii Europejskiej w 2014 roku. Wówczas Google stworzył specjalny formularz, za pośrednictwem którego wskazuje się które dane i na jakiej podstawie i skąd mają być usunięte.

Jednak niewiele osób o tym wie i z tego korzysta. Jak pan ocenia wiedzę przeciętnego użytkownika portali i serwisów internetowych dotyczącą tego jak sprawdzić kto i w jaki sposób przechowuje nasze dane i tego, że możemy żądać ich usunięcia?

- Świadomość jest bardzo niska, zarówno jeśli chodzi o przedsiębiorców jak i obywateli, ale powoli rośnie.

Inna zasada, którą RODO wprowadza, to prawo dostępu i wglądu obywatela w jego dane. Co to oznacza?

- Każdy ma prawo dostępu do swoich danych oraz ich zaktualizowania. To jest zasada, która dziś już jest, choć nie jest sankcjonowana, natomiast to czego nie ma w obecnych przepisach i będzie całkowitą nowością, to obowiązek wydania na żądanie kopii danych. Czyli ja jako Kowalski mogę wystąpić np. do banku o wszystkie informacje związane z moim rachunkiem bankowym i operacjami na nim, przeprowadzanymi i bank jest zobowiązany do dostarczenia mi kopii danych na trwałym nośniku. Bank skopiuje więc treść moich danych i je mi przekaże. Przy czym już dziś w bankach funkcjonuje możliwość przenoszenia rachunków, podobnie jak w przypadku przenoszenia numerów telefonów do innego operatora, natomiast w innym branżach będzie to duże wyzwanie dla przedsiębiorców.

Czy RODO wreszcie skuteczniej rozprawi się z krążącymi bez kontroli bazami danych klientów i nękaniem ich przez telemarketerów, wszelkiej maści sprzedawców garnków, którzy wydzwaniają, a na pytanie skąd mają dane osobowe i telefon, oświadczają, że telefon został wybrany losowo?

- Są to najczęściej działania nielegalne, za które będą groziły sankcje. Mogę podać przykład mojej sytuacji, sprzed kilku dni. Kilka razy z rządu dzwonił do mnie telemarketer i rozmowa przebiegała niemal klasycznie, czyli najpierw zapytał wymieniając moje imię czy może przedstawić szczegóły oferty pożyczki tzw. chwilówki, a na pytanie skąd ma mój numer telefonu, odpowiedział, że został wybrany losowo. Po dopytaniu czy imię i nazwisko też zostało wybrane losowo nastąpiła już konsternacja. Dlatego, że w praktyce, zdecydowana większość takich przypadków, to wcale nie są numery telefonu wybrane losowo, ale nielegalne przekazywanie i wykorzystywanie baz danych. Zakładam, że przy użyciu nowych przepisów będziemy walczyć z taką praktyką.

Czy odbierając taki telefon, będę mogła zażądać usunięcia moich danych?

- Tak, to przykład możliwości użycia prawa do "bycia zapomnianym" czyli natychmiastowego usunięcia moich danych osobowych. Jako świadomi konsumenci powinniśmy poinformować, że w przeciwnym przypadku złożymy skargę do Prezesa Urzędu Ochrony Danych Osobowych (powstanie w miejsce GIODO - red.), która może finalnie zakończyć się nałożeniem kary. Nawet wysokiej.

Czyli po wejściu w życie RODO, firmy telemarketingowe nie będą mogły się uciekać do tłumaczenia, że numer telefonu został wybrany losowo?

- Sam numer telefonu to już są dane osobowe, bo często pozwala na naszą identyfikację. A już w przypadku, gdy zestawiamy go z imieniem i nazwiskiem, nie mamy żadnych wątpliwości co do tego. Nawet gdy jest wybrany losowo, to w momencie kiedy zaczynamy rozmowę, powinniśmy rozpocząć od obowiązku informacyjnego oraz zgody osoby, do której jest wykonywany telefon. Wreszcie, w większości przypadków to zwyczajnie nieprawda, że numer jest wybrany losowo.

Co w praktyce powinnam takiemu telemarketerowi, który mnie nęka telefonami powiedzieć, żeby wreszcie przestał wydzwaniać?

- Poinformować, że nie został wykonany obowiązek informacyjny, czyli nie podał z jakiego źródła pozyskał moje dane. Jeśli powie, że dane zostały wylosowane, to także mam prawo zażądać usunięcia danych, a w przeciwnym przypadku mogę wystąpić ze skargą do organu nadzorczego. Powinniśmy sięgnąć po ten środek, zwłaszcza, gdy jest to ta sama firma lub firmy z tej samej grupy właścicielskiej.

Jest jeszcze jedno uprawnienie, a mianowicie prawo do przeniesienia danych. W jaki sposób ma to ułatwić życie?

- Możemy zażądać przeniesienia danych do innej instytucji, np. jeśli składam wniosek kredytowy do banku, a uzyskam decyzję odmowną, mogę zażądać, żeby treści danych z tego wniosku zostały przekazane do innego banku, który ewentualnie może poprosić o uzupełnienia danych, ale część już będzie miał. To jest duże obciążenie dla firm, ale ułatwienie dla konsumentów. Trzeba jednak samemu pamiętać, że przysługuje nam takie prawo, bo nikt nas zapewne o tym nie poinformuje.

Czy RODO skuteczniej pozwoli walczyć z powszechną praktyką kopiowania, kserowania dokumentów osobistych? Z taką procedurą spotykamy się na każdym kroku, zimą najczęściej w wypożyczalniach narciarskich, ale także wynajmując apartament czy hotel i w wielu innych sytuacjach...

- Już teraz kopiowanie dokumentów dowodu osobistego czy prawa jazdy co do zasady legalne jest dosłownie w kilku przypadkach, przede wszystkim mogą to robić banki, w pozostałych takie działanie nie mogą mieć miejsca, bo są łamaniem prawa. Na dowodzie osobistym znajdują się dane wykraczające najczęściej poza cel np. w przypadku starych dowodów to jest kolor oczu, wzrost, adres zamieszkania. W przypadku nowych dowodów to chociażby zdjęcie biometryczne. Trzeba też pamiętać, że dowód nie jest naszą własnością, ale dokumentem przekazanym nam przez Państwo, pozwalającym nas identyfikować. W związku z tym ustawa o dowodach wskazuje zasady posługiwania się takimi dokumentami. Trzeba wreszcie mieć świadomość, że na rynku tzw. chwilówek skan dowodu osobistego często wystarczy do tego, żeby zaciągnąć pożyczkę. W związku z tym kopiowanie dowodów jest też zwyczajnie niebezpieczne. Nie oznacza, to że chociażby właściciel wypożyczalni nart nie może poprosić nas o PESEL czy numer telefonu. Ma prawo to zrobić i ma prawo to spisać, natomiast nie może gromadzić skanów dowodu.

Dlaczego sytuacja jest taka, że mimo tego, to wciąż powszechna praktyka, spotykana na każdym kroku, a nie słychać o żadnych kontrolach i karach za takie postępowanie?

- To nie pytanie do Ministra Cyfryzacji tylko GIODO. To organ ma instrumenty prawne do przeprowadzenia kontroli. Na pewno system ochrony naszej prywatności w całej UE jest niewydolny. W Polsce naruszenie prywatności nie jest karane, nie ma przepisów pozwalających na nałożenie jakiejkolwiek kary finansowej. Jedyne co można dziś zrobić, to wydać decyzję nakazującą "usunięcie naruszenia", czyli zaprzestanie takiej praktyki, ale w tej decyzji nie ma kary finansowej. Na pewno potrzeba również efektywniejszych działań ze strony polskiego regulatora, co liczymy ulegnie zmianie.

- To się powinno zmienić, przede wszystkim dlatego, że GIODO otrzymał dwukrotnie wyższy budżet na swoje działania i wierzymy, że pozwoli mu to na skuteczniejsze ściganie takich przypadków.

Czyli dziś kopiowanie dowodów jest nielegalne, ale nie ma za to kary?

- W przepisach o ochronie danych osobowych nie ma możliwości nałożenia za takie działania kary finansowej. Można jedynie wydać decyzję o zaprzestaniu naruszenia, ale to jest bardziej kara wizerunkowa.

RODO to zmieni?

- RODO wymusi efektywniejsze przestrzeganie przepisów. To co dzisiaj jest zakazem często nierespektowanym, wierzę stanie się zakazem respektowanym. Na to wpływa też zwiększająca się świadomość po stronie przedsiębiorców. Przykładanie coraz większej roli do wartości danych jako takich. Efektywniejszy organ, który musi też stworzyć poczucie nieuchronności kary w razie naruszeń. Wreszcie, same kary przy poczuciu ich nieuchronności pełnią funkcję dyscyplinującą. Moim marzeniem byłoby, gdyby kar było jak najmniej, ale sama wizja ich otrzymania dyscyplinowała do efektywnej ochrony naszej prywatności. I nie chodzi tutaj oczywiście tylko o skany dowodów osobistych, ale szerzej, każde naruszenia.

Na jaki przepis mam się powołać odmawiając skopiowania dowodu?

- Dziś możemy się powołać na art. 23 ustawy o ochronie danych osobowych, wskazujący na podstawy prawne przetwarzania danych - przy skanowaniu dowodów podstaw prawnych najczęściej nie ma. W nowym porządku prawnym będzie to art. 6 rozporządzenia 2016/679.

Kiedy możemy liczyć na przepisy krajowe wdrażające RODO? Przedsiębiorcy na to czekają.

- Projekt ustawy o ochronie danych osobowych w ciągu najbliższych dni skierowany zostanie na Komitet ds. Europejskich a więc już po uzgodnieniach międzyresortowych. Będziemy starali się, by jak najszybciej trafił na posiedzenie Rządu. Cały czas pracujemy też nad zmianą ok. 140 ustaw sektorowych.

Rozmawiała Monika Krześniak-Sajewicz

Pobierz darmowy: PIT 2017