Prowadząc działalność gospodarczą, przedsiębiorca sprzedaje swoje towary lub świadczy usługi m.in. na rzecz osób fizycznych. W ramach działalności zdarza się, że gromadzi on, czy to na komputerze, czy też na innym nośniku dane kontrahentów. Zapisuje i tym samym utrwala imię, nazwisko, adres zamieszkania czy też numer telefonu. Jeżeli dane są uporządkowane i skatalogowane, czyli tworzą zbiór, przedsiębiorca powinien liczyć się z tym, że jego działania powinny być zgodne z przepisami o ochronie danych osobowych.

Wszelkie informacje o osobie fizycznej, które ją identyfikują lub pozwalają na jej zidentyfikowanie bez ponoszenia przez przedsiębiorcę istotnych kosztów w tym zakresie, stanowią dane osobowe w rozumieniu ustawy o ochronie danych osobowych. O danych osobowych można mówić wyłącznie w odniesieniu do informacji dotyczących osób fizycznych. Zatem dane, które dotyczą np. spółek jawnych, stowarzyszeń, spółek kapitałowych, nie stanowią danych osobowych w rozumieniu ustawy.

Istota przetwarzania

Każda czynność czy też każda operacja wykonywana na danych osobowych stanowi ich przetwarzanie. Przedsiębiorca przetwarza zatem dane osobowe m.in. przez to, że zbiera, przechowuje, a nawet usuwa dane swoich klientów. Nie ma zatem znaczenia, czy zebrane dane będą wykorzystywane tylko na potrzeby wykonania montażu okien zamówionych przez klienta, naprawy komputera w domu klienta czy też udzielania korepetycji uczniowi szkoły podstawowej.

Jeżeli przedsiębiorca posiada dane osobowe swoich kontrahentów, jest obowiązany stosować się do przepisów ustawy o ochronie danych osobowych i związanych z tą ustawą obowiązków, w tym m.in. obowiązku rejestracji zbioru danych oraz obowiązku zabezpieczenia zgodnie z wymogami ustawy.

Jawna, ale chroniona

Od 1 lipca 2011 roku przestał obowiązywać przepis art. 7a ust. 2 ustawy – Prawo działalności gospodarczej, który stanowił, że ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Aktualnie obowiązująca ustawa o swobodzie działalności gospodarczej również przewiduje, że dane osobowe przedsiębiorców w zakresie określonym w tej ustawie są jawne, jednak brak jest informacji o wyłączeniu stosowania do tych danych przepisów ustawy o ochronie danych osobowych.

W konsekwencji należy przyjąć, że zbieranie, przechowywanie czy też prace nad danymi osobowymi osób fizycznych prowadzących działalność gospodarczą – także nad tymi danymi, które są udostępnione na stronie internetowej Centralnej Ewidencji i Informacji o Działalności Gospodarczej – ograniczone jest przez przepisy ustawy o ochronie danych osobowych.

Takie stanowisko zajmuje również generalny inspektor ochrony danych osobowych, który na swojej stronie internetowej zamieścił stosowną informację na temat rejestracji zbioru danych osobowych osób fizycznych prowadzących działalność gospodarczą (http://www.giodo.gov.pl/1520021/j/pl) .

Jeżeli więc przedsiębiorca pragnie stworzyć zbiór (bazę) danych osobowych wszystkich osób fizycznych prowadzących działalność w danej miejscowości, to jest zobowiązany spełnić wymagania przewidziane w ustawie o ochronie danych osobowych, w tym m.in. powinien zarejestrować taki zbiór u GIODO.

—Mateusz Oskroba, prawnik, Kancelaria Prawna Piszcz, Norek i Wspólnicy