Odpowiedź podsekretarza stanu w Ministerstwie Spraw Wewnętrznych
na interpelację nr 20546
w sprawie handlu danymi osobowymi
Szanowna Pani Marszałek! W nawiązaniu do pisma ministra spraw wewnętrznych z dnia 30 sierpnia 2013 r. (BMP-0713-1-23/2013/KP) przekazującego interpelacje posła na Sejm RP pana Krzysztofa Brejzy w sprawie: handlu danymi osobowymi (SPS-023-20546/13), nielegalnego zbierania danych osobowych (SPS-023-20539/13) oraz zmiany ustawy o ochronie danych osobowych (SPS-023-20541/13) uprzejmie informuję, co następuje.
Na wstępie pragnę zaznaczyć, że przedmiot interpelacji pana posła leży przede wszystkim w zakresie kompetencji generalnego inspektora ochrony danych osobowych (dalej: GIODO). W szczególności do GIODO należy sprawowanie kontroli, czy przetwarzanie danych przez administratorów danych objętych zakresem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.) - dalej: u.o.d.o. - odbywa się zgodnie z jej przepisami oraz wydawanie indywidualnych decyzji administracyjnych w tym zakresie. MAC odpowiedzialne jest jedynie za formułowanie polityki RP w zakresie ochrony danych osobowych, w szczególności podczas prac na forum Unii Europejskiej.
Tylko podmioty dysponujące jedną z przewidzianych w u.o.d.o. podstaw prawnych są uprawnione do przetwarzania danych osobowych. Najczęstszą w praktyce podstawą przetwarzania jest zgoda podmiotu danych. Należy jednocześnie nadmienić, iż zgodnie z art. 7 ust. 5 u.o.d.o. zgoda na przetwarzanie danych osobowych nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, może ona także być odwołana w każdym czasie.
Osobom, które naruszają przepisy w zakresie ochrony danych osobowych, grożą sankcje administracyjne i karne. Za niedopełnienie obowiązku informacyjnego wobec podmiotu danych, zgodnie z art. 54 u.o.d.o., kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w u.o.d.o., podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. MAC nie dysponuje informacjami co do częstotliwości wyciągania konsekwencji prawnych względem osób, które nielegalnie handlują danymi osobowymi. W posiadaniu takich danych jest GIODO. Mogą one być także dostępne za pośrednictwem corocznych sprawozdań GIODO przyjmowanych przez Sejm. Ponadto to GIODO jest instytucją, która może realnie ocenić skalę omawianego zjawiska.
Należy podkreślić, iż w ocenie MAC polskie przepisy umożliwiają podmiotom danych skuteczną ochronę swoich uprawnień w zakresie danych osobowych. Osoby, których prawo do ochrony danych osobowych zostało naruszone, mogą dochodzić swoich praw w drodze postępowania administracyjnego lub sądowego. Organem właściwym do wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych jest, jak wspomniano powyżej, GIODO.
W nawiązaniu do pytania o możliwość rozszerzenia definicji danych osobowych, aby obejmowała ona także numery telefonów, pragnę zaznaczyć, iż obecnie na forum Rady Unii Europejskiej toczą się prace nad reformą przepisów w zakresie ochrony danych osobowych. W dniu 25 stycznia 2012 r. Komisja Europejska przedstawiła pakiet zmian prawa UE w zakresie ochrony danych, w tym wniosek dotyczący rozporządzenia ogólnego o ochronie danych1). Nowe regulacje mają zastąpić obecnie obowiązującą dyrektywę 95/46/WE2). Projektowane rozporządzenie jest odpowiedzią na szybki rozwój społeczeństwa informacyjnego, a jednym z rozwiązań, które zawiera, jest istotne rozszerzenie zakresu definicji danych osobowych, tak aby dostosować ją do wymogów społeczeństwa informacyjnego. Przedstawiciele MAC wielokrotnie, tak na forum krajowym, jak i międzynarodowym, wyrażali swoje poparcie dla rozszerzenia definicji danych osobowych. Jednocześnie należy podkreślić, iż obywate,l chcąc chronić swoją prywatność przed niechcianymi telefonami firm oferujących produkty lub usługi, powinien bardzo uważnie podejmować decyzję co do udzielenia zgody na przetwarzanie swoich danych osobowych. W praktyce bowiem większość operacji przetwarzania danych odbywa się właśnie na podstawie zgody udzielonej przez podmiot danych, np. przy przystępowaniu do różnego rodzaju konkursów lub promocji. Każdy powinien także pamiętać, iż raz udzieloną zgodę można w każdej chwili odwołać - wystarczy poinformować o tym administratora danych. Jak już wspomniano, każdy obywatel, którego prawa w zakresie ochrony danych osobowych zostały naruszone, może szukać pomocy u GIODO oraz w sądach administracyjnych.
W odniesieniu do przetwarzania informacji dotyczących kodów pocztowych zbieranych od konsumentów informuję, iż podanie kodu pocztowego powinno być w każdym przypadku całkowicie dobrowolne. To tylko i wyłącznie od konsumenta zależy, czy ujawni on tę informację. W ocenie MAC w żaden sposób nie może zależeć od niej możliwość dokonania zakupu towaru lub usługi. Jednocześnie zwracam uwagę, iż kod pocztowy jako taki nie stanowi danych osobowych w rozumieniu przypisów u.o.d.o. Dopiero zestawiony z innymi danymi może stać się informacją, która może zostać uznana za dane osobowe. Definicja ustawowa stanowi bowiem, iż dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Zgodnie z art. 6 ust. 3 u.o.d.o. informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. W podanym przez pana posła przykładzie zestawienie numeru karty kredytowej z kodem pocztowym może w określonych sytuacjach umożliwić identyfikację danej osoby, jednakże co do zasady wymagałoby to wspomnianych wyżej nadmiernych kosztów, czasu i działań. W określonych sytuacjach istnieje jednak możliwość, iż kod pocztowy spełni ustawowe przesłanki danych osobowych, w takim przypadku administrator danych jest zobowiązany do uczynienia zadość obowiązkowi informacyjnemu wobec podmiotu danych.
Mam nadzieję, że przedstawione informacje zostaną uznane przez pana posła za wyczerpujące.
Z poważaniem
Podsekretarz stanu
Roman Dmowski
Warszawa, dnia 27 września 2013 r.