Osoby prowadzące działalność gospodarczą, tak samo jak inne podmioty przetwarzające dane, mają obowiązek, wynikający z art. 40 ustawy o ochronie danych osobowych, zgłaszać zbiory danych osobowych do Generalnego Inspektora Ochrony Danych Osobowych. Nie każdy zbiór podlega zgłoszeniu, np. zwolnione są dane przetwarzane w związku z zatrudnieniem (pracownicy), czy przetwarzane tylko i wyłączenie w celu wystawienia faktury. Katalog zwolnień jest określony w art. 43 ust. 1 i 1a ustawy o ochronie danych osobowych. Nie podlegają zwolnieniu dane przetwarzane w związku z prowadzeniem sklepu internetowego (baza klientów), czy wysyłaniem newslettera. Informację o przetwarzaniu tych danych przesyła się do GIODO, który umieszcza ją w jawnym rejestrze prowadzonym pod adresem egiodo.giodo.gov.pl.
Czy zakończenie działalności przez przedsiębiorcę, oznacza konieczność wykreślenia zgłoszonych wcześniej zbiorów z rejestru GIODO? Czy przedsiębiorca ma jakieś konkretne obowiązki wobec organu ochrony danych, jeżeli zamyka działalność?
Zgodnie z art. 44a Ustawy o.d.o. wykreślenie z rejestru zbiorów danych osobowych jest dokonywane, w drodze decyzji administracyjnej, jeżeli zaprzestano przetwarzania danych w zarejestrowanym zbiorze.
Polecamy produkt: Monitor prawa pracy i ubezpieczeń
Należy zatem rozważyć, czy rzeczywiście zakończyło się przetwarzanie danych w zbiorze. Jeżeli zgłoszony do rejestru GIODO przez przedsiębiorcę zbiór danych dotyczył klientów jego sklepu internetowego pomimo, że zakończył już działalność, nadal ma on obowiązek przechowywać dokumentację związaną z działalnością na wypadek kontroli skarbowej. Oznacza to, że nie zakończyło się przetwarzanie danych. Nie ma podstawy do wykreślenia zbioru z rejestru prowadzonego przez GIODO, do momentu gdy minie określony przepisami prawa czas przechowywania dokumentacji i zostanie ona zniszczona.
Drugim typowym zbiorem danych zgłaszanym przez przedsiębiorcę jest newsletter. W momencie zaprzestania działalności gospodarczej, przedsiębiorca przestaje go wysyłać. Jest zobowiązany zniszczyć wszystkie dane, które były przetwarzane w tym celu. Po dokonaniu tej czynności może (a nawet powinien) wykreślić zbiór z rejestru GIODO. Ponieważ jest to czynność dokonywana przez organ w drodze decyzji administracyjnej, należy dokonać opłaty skarbowej (dane znajdują się na stronie GIODO) oraz złożyć wniosek z krótkim uzasadnieniem, dlaczego zbiór należy wykreślić. Z doświadczenia wiem, że organ oczekuje deklaracji, że zakończyło się przetwarzanie i wszystkie dane zostały usunięte. Jest to o tyle ważne, że często podmioty zgłaszające wykreślenie zbioru z rejestru, uznają że zaprzestanie czynności jest podstawą do wykreślenia. Liczy się zakończenie całego procesu przetwarzania danych.
Aby dokonać wykreślenia, należy odnaleźć numer wpisu, pod którym został zarejestrowany zbiór w rejestrze GIODO. Tutaj przedsiębiorcę może czekać niespodzianka, gdyż czas oczekiwania na zarejestrowanie jest długi i może okazać się, że pomimo zgłoszenia, zbiór nie został jeszcze zarejestrowany. W tej sytuacji nie ma możliwości jego wyrejestrowania. Z punktu widzenia przedsiębiorcy wszystkie obowiązki określone przepisami prawa zostały dopełnione – dokonał on zgłoszenia zbioru danych zwykłych do rejestru GIODO, czas zarejestrowania tego zbioru jest już nieistotny. Na dzień dzisiejszy nie ma on możliwości wyrejestrowania tego zbioru (bo nie ma go jeszcze w rejestrze. Pozostaje mu czekać do maja 2018 roku, kiedy rejestr zbiorów GIODO zastąpią rejestry administratorów danych (zgodnie z ogólnym rozporządzeniem o ochronie danych osobowych). Dodam, że obowiązek prowadzenia rejestrów przez przedsiębiorcę będzie dotyczył tylko podmioty publiczne, dużych przedsiębiorców oraz tych, których podstawą działalności jest przetwarzanie danych.
Zobacz serwis: Spółki