Chociaż już od 1 stycznia 2012 r. przepisy ustawy o ochronie danych osobowych stosuje się do ochrony wszystkich osób fizycznych, niezależnie od tego, czy prowadzą one, czy też nie, działalność gospodarczą, to problem rejestracji zbiorów zawierających takie dane wciąż budzi wątpliwości. Wszystko się zaczęło, gdy uchylony został art. 7a ust. 2 ustawy prawo działalności gospodarczej, który wyłączał dane osobowe zawarte w ewidencji działalności gospodarczej spod przepisów ustawy o ochronie danych osobowych. Obecnie rygory tej ustawy obowiązują dla danych wszystkich osób fizycznych, ?a tym samym administrator danych osób prowadzących działalność gospodarczą zobowiązany jest do spełnienia obowiązków wynikających z jej przepisów.
Podstawowe obowiązki
Przede wszystkim administrator danych powinien ?w każdym przypadku dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby były one przetwarzane zgodnie z prawem, zbierane dla oznaczonych, zgodnych z prawem celów, merytorycznie poprawne ?i adekwatne w stosunku do celów, w jakich są przetwarzane oraz przechowywane ?w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Administrator jest także zobowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych informacji odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Wyjątki od reguły
Stosowanie ustawy do danych osób prowadzących działalność wiąże się także ?z obowiązkiem zgłoszenia zbioru do rejestracji, określonego w art. 40 ustawy. Zgłoszenie zbioru do rejestracji generalnemu inspektorowi ochrony danych osobowych jest regułą, od której wyjątki zostały wymienione w art. 43 ust. 1 pkt 1–11. Może być więc tak, że do zbioru danych osób fizycznych prowadzących działalność gospodarczą znajdzie zastosowanie jedna z tych przesłanek ?i obowiązek rejestracji nie powstanie. W praktyce najczęściej może tu chodzić o dwie sytuacje. Jedna z nich to przetwarzanie danych osób fizycznych prowadzących działalność gospodarczą w związku ze świadczeniem przez te osoby usług administratorowi danych na podstawie umów cywilnoprawnych (np. umowy-zlecenia, umowy o dzieło). Tę przesłankę wskazuje art. 43 ust. 1 pkt 4. Jeżeli natomiast administrator przetwarza takie dane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej, wówczas będzie on zwolniony z obowiązku zgłoszenia zbioru do rejestracji na podstawie art. 43 ust. 1 pkt 8 ustawy. Warto jednak pamiętać, że wyjątki te nie mogą być interpretowane rozszerzająco. Przykładowo, wystawianie faktur może być tylko ostatnim etapem realizacji jakiejś umowy, podczas gdy wcześniej jej wykonanie wiązało się z wykonywaniem innych czynności, np. składaniem i przyjmowaniem zamówień, wystawianiem protokołów lub innych dokumentów. W takim przypadku dane osoby fizycznej – przedsiębiorcy wykorzystywane są także w innych celach i zbiór danych powinien zostać zarejestrowany.
