Prawo do uzyskania kopii danych osobowych jest jednym z tych praw, które po raz pierwszy zostały nam przyznane dopiero w przepisach RODO. Od rozpoczęcia stosowania ogólnego rozporządzenia minęło już ponad pięć lat, więc stopniowo zaczynają się pojawiać rozstrzygnięcia TSUE dotyczące pierwszych spraw powstałych na kanwie przepisów RODO. Tak też się stało w odniesieniu do prawa do uzyskania kopii danych osobowych – wyrokiem w sprawie C 487/21 Österreichische Datenschutzbehörde TSUE rozstrzygnął chyba najbardziej istotną kwestię związaną z wykonywaniem tego prawa. Ale nie uprzedzajmy faktów.
Dostęp każdego z nas do informacji na nasz temat to fundament ustroju informacyjnego naszego państwa, gwarantowany także przez art. 8 Karty praw podstawowych. Historycznie rzecz biorąc, przyjmował on postać prawa wglądu do danych, które rozumiano jako prawo dostępu do treści danych osobowych, bez wglądu do nośników danych – taka wykładnia była powszechnie akceptowana w Polsce i w innych krajach Unii na gruncie dyrektywy 95/46/EW, czyli poprzedniczki RODO. Nieco upraszczając, w ramach korzystania z tego prawa można było otrzymać raport z bazy zawierającej nasze dane z treścią tych danych, ale zajrzeć do tej bazy już nie; można było otrzymać treść danych o nas, jakie zebrał administrator, ale kopii dokumentów, z których skorzystał, już nie. A takie kopie dokumentów czasem okazują się przydatne, np. w kontekście toczonych przez nas sporów.
Czytaj więcej
Dane zbierane w celu zwalczania szczególnie groźnej przestępczości nie mogą służyć do ścigania przestępstw korupcyjnych – uznał Trybunał Sprawiedliwości UE.
Problem z takim rozumieniem prawa dostępu do danych jest jednak tego rodzaju, że obecnie w art. 15 RODO akcentowane jest słowo „kopia” – powstało więc pytanie, czy być może „przepis ten ustanawia ogólne prawo osoby, której dane dotyczą, do otrzymania kopii – również – całych dokumentów, w których przetwarzane są dane osobowe tej osoby”; pytanie, które legło u postaw wyroku w spr. C 487/21. Czy więc musimy przekazać kopie dokumentów, czy wystarczy raport z bazy danych?
Wniosek wypływający z wyroku TSUE ws. C 487/21 sprowadza się do konkluzji, że osobom, których dane dotyczą, co do zasady nie przysługuje prawo do żądania kopii fragmentów dokumentów lub całych dokumentów. „Co do zasady”, bo kopie dokumentów jednak trzeba przekazać, jeżeli spełnione są dwa warunki:
a) przekazanie dokumentów jest niezbędne do umożliwienia wykonywania praw,
b) to prawa przyznane przez RODO.
Jak więc postępować w przypadku otrzymania wniosku o kopię danych osobowych? W ogromnej większości przypadków prawidłowe będzie postępowanie, do jakiego zdążyliśmy się już przyzwyczaić, czyli przekazanie wnioskodawcy treści jego (jej) danych osobowych w postaci wyciągu, zestawienia, wydruku z bazy danych itp. Będą jednak takie przypadki, gdy takie standardowe podejście nie wystarczy – będzie tak wtedy, gdy od przekazania kopii nośnika uzależniona jest możliwość korzystania z praw osoby, której dane dotyczą, przyznanych jej przez RODO.
Konieczność przekazania kopii nośnika nie wystąpi więc zawsze wtedy, gdy jest to konieczne do umożliwienia wykonywania praw przysługujących osobie, np. prawa do sądu, a wyłącznie w odniesieniu do takich praw, które zostały jej przyznane przez przepisy RODO.
TSUE wskazuje dwa przypadki, gdy przekazanie kopii nośnika będzie konieczne: „gdy dane osobowe są generowane z innych danych lub gdy dane te wynikają z wolnych pól, a mianowicie z braku informacji ujawniających informację o osobie, której dane dotyczą”.
Pierwszy przypadek to sytuacja, gdy administrator danych na podstawie danych osoby, której dane dotyczą, samodzielnie tworzy nowe kategorie danych odnoszące się do tej osoby. Przykładowo, instytucja finansowa ocenia zdolność kredytową swego klienta na podstawie danych uzyskanych z innych źródeł; jeżeli osoba, której dane dotyczą, twierdzi, że ocena jest nieprawidłowa, wówczas, aby umożliwić wykonanie prawa do sprostowania danych, musi uzyskać dostęp do dokumentów źródłowych.
Drugi przypadek to sytuacja, gdy „dane te [dane osobowe] wynikają z wolnych pól”, a więc sytuacje, gdy osoba, której dane dotyczą, nie podała swych danych osobowych, a informacja ta została wykorzystana w procesie przetwarzania jej danych. Przykładowo, osoba, której dane dotyczą, pozostawiła w ankiecie wolne (puste) pole oznaczone jako „zainteresowana”. Następnie osoba ta – w jej mniemaniu – jest traktowana jak osoba, która udzieliła na to pytanie odpowiedzi, bo np. otrzymuje korespondencję przeznaczoną – w swojej ocenie – dla osób charakteryzujących się konkretnymi zainteresowaniami. Aby umożliwić takiej osobie wykonanie prawa do sprostowania danych musi ona uzyskać dostęp do dokumentów źródłowych.
Obydwa przypadki odnoszą się do prawa do sprostowania danych osobowych, przyznanego przez art. 16 RODO. Aby dane sprostować, trzeba je najpierw zrozumieć. I taki też będzie najczęstszy przypadek, w którym żądanie udostępnienia kopii nośników będzie żądaniem zasadnym: przypadek, w którym jest to niezbędne dla zrozumienia treści danych osobowych.
A jak postępować, żeby minimalizować problemy związane ze zrozumieniem treści danych? Korzystać z możliwości, o jakiej mowa w motywie 63 preambuły do RODO, odnoszącym się do możliwości zapewniania dostępu do danych osobowych poprzez zdalny dostęp „do bezpiecznego systemu, który zapewni osobie, której dane dotyczą, bezpośredni dostęp do jej danych osobowych”. Prezentowanie w takim systemie dokumentów źródłowych eliminuje ten problem w całości, a prezentowanie w nim danych osobowych przetwarzanych przez administratora pozwala na jego ograniczenie, ale nie wyeliminuje go w całości.
Autor jest adwokatem, partnerem w Barta Litwiński Kancelaria Radców Prawnych i Adwokatów
