Czy po zakończeniu działalności gospodarczej przedsiębiorca musi wykreślać zbiory danych z rejestru GIODO?

Osoby prowadzące działalność gospodarczą, tak samo jak inne podmioty przetwarzające dane, mają obowiązek, wynikający z art. 40 ustawy o ochronie danych osobowych, zgłaszać zbiory danych osobowych do Generalnego Inspektora Ochrony Danych Osobowych. Nie każdy zbiór podlega zgłoszeniu, np. zwolnione są dane przetwarzane w związku z zatrudnieniem (pracownicy), czy przetwarzane tylko i wyłączenie w celu wystawienia faktury. Katalog zwolnień jest określony w art. 43 ust. 1 i 1a ustawy o ochronie danych osobowych. Nie podlegają zwolnieniu dane przetwarzane w związku z prowadzeniem sklepu internetowego (baza klientów), czy wysyłaniem newslettera. Informację o przetwarzaniu tych danych przesyła się do GIODO, który umieszcza ją w jawnym rejestrze prowadzonym pod adresem egiodo.giodo.gov.pl.

Czy zakończenie działalności przez przedsiębiorcę, oznacza konieczność wykreślenia zgłoszonych wcześniej zbiorów z rejestru GIODO? Czy przedsiębiorca ma jakieś konkretne obowiązki wobec organu ochrony danych, jeżeli zamyka działalność?

Zgodnie z art. 44a Ustawy o.d.o. wykreślenie z rejestru zbiorów danych osobowych jest dokonywane, w drodze decyzji administracyjnej, jeżeli zaprzestano przetwarzania danych w zarejestrowanym zbiorze.

Polecamy produkt: Monitor prawa pracy i ubezpieczeń

Należy zatem rozważyć, czy rzeczywiście zakończyło się przetwarzanie danych w zbiorze. Jeżeli zgłoszony do rejestru GIODO przez przedsiębiorcę zbiór danych dotyczył klientów jego sklepu internetowego pomimo, że zakończył już działalność, nadal ma on obowiązek przechowywać dokumentację związaną z działalnością na wypadek kontroli skarbowej. Oznacza to, że nie zakończyło się przetwarzanie danych. Nie ma podstawy do wykreślenia zbioru z rejestru prowadzonego przez GIODO, do momentu gdy minie określony przepisami prawa czas przechowywania dokumentacji i zostanie ona zniszczona.

Drugim typowym zbiorem danych zgłaszanym przez przedsiębiorcę jest newsletter. W momencie zaprzestania działalności gospodarczej, przedsiębiorca przestaje go wysyłać. Jest zobowiązany zniszczyć wszystkie dane, które były przetwarzane w tym celu. Po dokonaniu tej czynności może (a nawet powinien) wykreślić zbiór z rejestru GIODO. Ponieważ jest to czynność dokonywana przez organ w drodze decyzji administracyjnej, należy dokonać opłaty skarbowej (dane znajdują się na stronie GIODO) oraz złożyć wniosek z krótkim uzasadnieniem, dlaczego zbiór należy wykreślić. Z doświadczenia wiem, że organ oczekuje deklaracji, że zakończyło się przetwarzanie i wszystkie dane zostały usunięte. Jest to o tyle ważne, że często podmioty zgłaszające wykreślenie zbioru z rejestru, uznają że zaprzestanie czynności jest podstawą do wykreślenia. Liczy się zakończenie całego procesu przetwarzania danych.