Wpada wiadomość e-mail: były pracownik, niezadowolony klient albo konkurent żąda dostępu do danych na podstawie art. 15 RODO — „wszystkich danych, jakie Państwo o mnie zapisali, wraz z kopią". To, co brzmi niewinnie, jest dwojakie jednocześnie: obowiązkiem z twardym terminem co do zasady jednego miesiąca oraz narzędziem taktycznym, którym nadawca może zdobyć amunicję do procesu przed sądem pracy, sporu o czyn nieuczciwej konkurencji albo o odszkodowanie. Kto odpowie za późno, ryzykuje skargę, odszkodowanie i karę pieniężną. Kto pochopnie wyda wszystko, narusza być może prawa osób trzecich albo odsłania własne wewnętrzne sprawy. Ten tekst pokazuje Państwu, co muszą Państwo wydać, gdzie leżą granice — i jak terminowo oraz prawidłowo załatwić żądanie dostępu do danych w Niemczech.
Po wypowiedzeniu były pracownik żąda dostępu do „wszystkich danych" — e-maili, ocen, notatek z rozmowy kadrowej. Dzieje się to rzadko z troski o ochronę danych: często chodzi o to, by w procesie przed sądem pracy dotrzeć do wewnętrznych ocen i korespondencji. Muszą Państwo odpowiedzieć terminowo — ale dokładnie zbadać, co jest danymi osobowymi, a gdzie granicę wyznaczają prawa osób trzecich albo tajemnice przedsiębiorstwa.
Klient, z którym był kłopot — reklamacja, otwarta należność, wypowiedziana umowa — nagle żąda pełnego dostępu wraz z kopią. Także tu termin jednego miesiąca biegnie od otrzymania. Kto go przekroczy albo odpowie tylko niepełnie, dostarcza drugiej stronie dodatkowego punktu zaczepienia: skargę do organu nadzorczego i możliwe roszczenie o odszkodowanie.
Żądanie dostępu może też służyć zdobyciu informacji, których inaczej by się nie dostało — w sporze konkurencyjnym, przy końcu umowy, w konflikcie. Motyw obcy ochronie danych nie odbiera automatycznie podstawy roszczeniu, lecz przesuwa spojrzenie na granice: co jest naprawdę danym osobowym wnioskodawcy — a co obcymi danymi albo chronionymi wewnętrznymi sprawami, których nie wolno wydać razem z resztą?
Roszczenie ma dwa stopnie. Najpierw osoba, której dane dotyczą, może żądać potwierdzenia, czy w ogóle przetwarzane są dotyczące jej dane osobowe. Jeśli tak, przysługuje jej prawo dostępu do tych danych oraz do szeregu dodatkowych informacji (art. 15 ust. 1 RODO). Te dodatkowe informacje są w przepisie wyliczone wyczerpująco, a Państwa odpowiedź powinna przechodzić je po kolei: cele przetwarzania (lit. a), kategorie przetwarzanych danych (lit. b), odbiorcy lub kategorie odbiorców, którym dane ujawniono lub zostaną ujawnione, w szczególności w państwach trzecich (lit. c), planowany okres przechowywania lub, jeśli to niemożliwe, kryteria jego ustalenia (lit. d).
Dochodzi do tego wskazanie na prawa osoby, której dane dotyczą — sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw (lit. e) —, prawo do wniesienia skargi do organu nadzorczego (lit. f), wszelkie dostępne informacje o źródle danych, jeśli nie zebrano ich od samej osoby (lit. g), oraz istnienie zautomatyzowanego podejmowania decyzji, w tym profilowania, wraz z istotnymi informacjami o zasadach ich podejmowania oraz o znaczeniu i przewidywanych konsekwencjach (lit. h). Gdy dane przekazywane są do państwa trzeciego, należy poinformować o odpowiednich gwarancjach (art. 15 ust. 2 RODO). Ta struktura jest zarazem Państwa listą kontrolną: odpowiedź, która pomija poszczególne punkty, jest niepełna — a niepełny dostęp można traktować jak nieudzielony.
Praktycznie najbardziej drażliwą częścią jest kopia. Administrator dostarcza kopię danych osobowych podlegających przetwarzaniu (art. 15 ust. 3 zd. 1 RODO). Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, mogą Państwo pobrać rozsądną opłatę wynikającą z kosztów administracyjnych (zd. 2). Jeśli żądanie złożono elektronicznie, informacji udziela się w powszechnie używanym formacie elektronicznym, chyba że wskazano inaczej (zd. 3). Kopia oznacza przy tym faktycznie przetwarzane dane wnioskodawcy — niekoniecznie wydanie kompletnych dokumentów czy całych akt, lecz zawarte w nich dane osobowe tej osoby.
Tu leży druga wielka pułapka: wydać za dużo. Prawo do uzyskania kopii nie może bowiem niekorzystnie wpływać na prawa i wolności innych osób (art. 15 ust. 4 RODO). Korespondencja e-mailowa zawiera często również dane osób trzecich — innych pracowników, klientów, partnerów handlowych. Wewnętrzne dokumenty mogą zawierać tajemnice przedsiębiorstwa albo oceny innych osób. Kto na życzenie pełnego dostępu odruchowo odpowie wydaniem całej skrzynki pocztowej albo całych segregatorów akt, narusza być może prawa tych osób trzecich i odsłania własne wewnętrzne sprawy. Prawidłową odpowiedzią jest dlatego przygotowanie: wyodrębnienie danych osobowych wnioskodawcy, zaczernienie lub pominięcie obcych danych, ochrona tajemnic przedsiębiorstwa — i udokumentowanie tego wyważenia w sposób zrozumiały.
Praktyka Niech Państwo traktują „za dużo" i „za mało" jako dwa równie wielkie ryzyka. Wydanie za mało prowadzi do skargi i żądania odszkodowania z powodu niepełnego dostępu; wydanie za dużo narusza prawa osób trzecich i dostarcza wnioskodawcy materiału, który mu się nie należy — właśnie w sporze pracowniczym albo konkurencyjnym. Między obiema pomyłkami leży staranny przegląd: które dane są danymi osobowymi tego wnioskodawcy, a co należy do kogoś innego?
Centralny termin nie stoi w art. 15, lecz w art. 12: administrator udziela osobie, której dane dotyczą, informacji o działaniach podjętych na jej żądanie bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od otrzymania żądania (art. 12 ust. 3 zd. 1 RODO). „Bez zbędnej zwłoki" znaczy bez zawinionego ociągania się — miesiąc jest granicą zewnętrzną, nie Państwa budżetem czasu. Zegar rusza z otrzymaniem żądania, a nie dopiero wtedy, gdy przyporządkują je Państwo wewnętrznie lub przygotują.
Jest zawór bezpieczeństwa: termin można przedłużyć o kolejne dwa miesiące, jeśli jest to konieczne z uwagi na złożoność i liczbę żądań (art. 12 ust. 3 zd. 2 RODO). To przedłużenie nie następuje jednak samo z siebie: muszą Państwo poinformować osobę, której dane dotyczą, w ciągu pierwszego miesiąca o przedłużeniu oraz o przyczynach opóźnienia (zd. 3). Kto pozwoli miesiącowi upłynąć i dopiero potem „dokłada" informację, skutecznie z przedłużenia nie skorzystał. Jeśli na żądanie nie podejmą Państwo działań, również muszą Państwo najpóźniej w ciągu miesiąca poinformować osobę o przyczynach oraz o możliwości wniesienia skargi do organu nadzorczego lub środka ochrony prawnej przed sądem (art. 12 ust. 4 RODO). Milczenie nie jest więc dopuszczalne w żadnej konstelacji.
Ważne są jeszcze dwie modalności. Po pierwsze weryfikacja tożsamości: jeśli mają Państwo uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, mogą Państwo zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości (art. 12 ust. 6 RODO). To Państwa ochrona przed wydaniem wrażliwych danych osobie nieuprawnionej — nie wolno jej jednak nadużywać jako taktyki zwłoki. Po drugie forma: dostępu udziela się w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, na piśmie lub elektronicznie (art. 12 ust. 1 RODO).
Praktyka Niech Państwo natychmiast odnotują dzień otrzymania każdego żądania dostępu i wpiszą termin jednego miesiąca — wraz z terminem kontrolnym wyraźnie przed nim. Najdroższą pułapką jest pozwolić, by termin jednego miesiąca upłynął niepostrzeżenie, bo najpierw sprawdza się, czy „w ogóle trzeba odpowiadać". A jeśli potrzebują Państwo więcej czasu: przedłużenie o dwa miesiące muszą Państwo zakomunikować aktywnie i w ciągu pierwszego miesiąca — inaczej się rozpłynie.
Zasada jest jasna: dostępu udziela się bezpłatnie (art. 12 ust. 5 zd. 1 RODO). Za pierwszy dostęp i pierwszą kopię nie wolno Państwu więc pobierać pieniędzy. Wyjątek istnieje tylko w wąsko zakreślonym przypadku: przy żądaniach ewidentnie nieuzasadnionych lub — w szczególności ze względu na ich ustawiczny charakter — nadmiernych mogą Państwo pobrać rozsądną opłatę albo odmówić podjęcia działań na żądanie (art. 12 ust. 5 zd. 2 RODO). To narzędzie przeciw zalewowi żądań albo pieniackiemu, uporczywemu żądaniu.
Rozstrzygające zdanie stoi na końcu przepisu: to administrator musi wykazać ewidentnie nieuzasadniony lub nadmierny charakter żądania (art. 12 ust. 5 ostatnie zd. RODO). Ciężar dowodu spoczywa więc na Państwu. To czyni odmowę ryzykowną: kto niesłusznie odrzuci żądanie jako „nadmierne", nie tylko nie odpowiedział, lecz naruszył obowiązek — ze wszystkimi skutkami od skargi po karę pieniężną. Motyw obcy ochronie danych po stronie wnioskodawcy — na przykład czyste wywiadowstwo w sporze pracowniczym lub konkurencyjnym — według orzecznictwa nie odbiera roszczeniu podstawy bez dalszych okoliczności; „ewidentnie nieuzasadnione" lub „nadmierne" należy rozumieć wąsko. Zasięg tej granicy nadużycia jest w orzecznictwie TSUE i BGH w ruchu i podlega badaniu w każdym przypadku — niech się Państwo nie zdają na ryczałtowe „to przecież tylko wywiadowstwo".
Prawo dostępu jest prawnie instrumentem ochrony danych — praktycznie bywa często używane jako przygotowanie innego sporu. Zwolniony pracownik, który chce pozwać przed sądem pracy, szuka przez art. 15 RODO dostępu do wewnętrznych ocen, e-maili i notatek. Klient w sporze o należność chce zobaczyć, co wewnętrznie o nim odnotowano. To, co Państwo wydadzą, może zostać Państwu przedstawione w dalszym procesie. Nie wynika z tego usprawiedliwienie, by dostępu odmówić albo go przewlekać — jedno i drugie jest groźniejsze. Wynika z tego raczej nakaz staranności: prawidłowo i w pełni co do danych osobowych wnioskodawcy, ale w granicach tam, gdzie chodzi o dane osób trzecich, tajemnice przedsiębiorstwa i wewnętrzne kształtowanie woli.
Praktycznie znaczy to: niech Państwo czysto rozdzielą to, co jest danym osobowym wnioskodawcy (to należy do dostępu), od tego, co jest obcymi danymi albo chronionymi wewnętrznymi sprawami (to pozostaje na zewnątrz albo zostaje zaczernione, art. 15 ust. 4 RODO). Ta linia podziału to prawnicza praca precyzyjna — i właśnie punkt, w którym pochopna reakcja „wszystko albo nic" robi się kosztowna. Kto wyda wszystko, oddaje pozycje i narusza prawa osób trzecich; kto nie wyda nic albo za mało, produkuje samoistne naruszenie ochrony danych.
Obowiązek udzielenia dostępu nie jest ukształtowany bez skutków. Jeśli nie odpowiedzą Państwo, odpowiedzą za późno albo błędnie, osobie, której dane dotyczą, otwiera się kilka dróg. Najpierw skarga do organu nadzorczego, na którą przy Państwa bezczynności muszą Państwo nawet sami wskazać (art. 12 ust. 4 RODO). Dochodzi do tego odszkodowanie: kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo do odszkodowania od administratora (art. 82 ust. 1 RODO); administrator zwalnia się z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy (art. 82 ust. 3 RODO). Właśnie spóźniony lub niepełny dostęp stał się osobnym polem roszczeń odszkodowawczych.
Do tego dochodzi ryzyko nadzorcze. Prawo dostępu należy do praw osoby, której dane dotyczą, z art. 12–22 RODO — a naruszenia tych praw wchodzą w wyższy pułap kar pieniężnych: do 20 milionów euro lub, w przypadku przedsiębiorstwa, do 4 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 83 ust. 5 RODO). To ten sam ostry pułap, który obowiązuje przy naruszeniu zasad przetwarzania — znak tego, jaką wagę rozporządzenie przypisuje prawom osoby, której dane dotyczą. Praktyczny wniosek jest prosty: żądanie dostępu to nie formalność, lecz obwarowany karą i odpowiedzialnością proces, który trzeba potraktować poważnie i terminowo.
Niech Państwo natychmiast odnotują dzień otrzymania — od niego biegnie termin jednego miesiąca z art. 12 ust. 3 RODO. Niech Państwo wpiszą dodatkowo wyraźny termin kontrolny. Ten jeden znacznik czasu rozstrzyga później o „terminowo" albo „za późno" i nie da się go odtworzyć wstecz.
Przy uzasadnionych wątpliwościach mogą Państwo zażądać dodatkowych danych do potwierdzenia tożsamości (art. 12 ust. 6 RODO). To chroni Państwa przed wydaniem osobie nieuprawnionej — niech to Państwo wykorzystają rzeczowo, nie jako zwłokę, bo termin biegnie dalej.
Niech Państwo ustalą systematycznie, jakie dane osobowe wnioskodawcy leżą w których systemach — CRM, e-mail, akta osobowe, kopie zapasowe, dostawcy usług. Tylko kto ma przegląd, może odpowiedzieć w pełni, a zarazem w granicach. Zadbany rejestr czynności przetwarzania jest tu na wagę złota.
Niech Państwo wyodrębnią dane osobowe wnioskodawcy i zaczernią lub usuną obce dane oraz chronione wewnętrzne sprawy (art. 15 ust. 4 RODO). Niech Państwo udokumentują to wyważenie — jest ono dowodem, że nie wydali Państwo ani za dużo, ani za mało.
Jeśli sprawa jest złożona, niech Państwo przedłużą o maksymalnie dwa miesiące — ale zakomunikują to osobie, której dane dotyczą, wraz z przyczynami w ciągu pierwszego miesiąca (art. 12 ust. 3 RODO). Niezakomunikowane przedłużenie jest bezskuteczne.
Zwłaszcza gdy za żądaniem stoi spór — wypowiedzenie, konkurencja, należność — o pierwsze ustawienie zwrotnicy rozstrzyga termin, zakres i odpowiedzialność. Niech Państwo zlecą zbadanie zakresu i granic, dopóki termin jest jeszcze otwarty, a nie dopiero po skardze do organu nadzorczego.
Trzeba odróżnić dwa bardzo różne ryzyka. Jednym jest ryzyko nadzorcze i odpowiedzialnościowe: nieudzielony, spóźniony lub błędny dostęp może pociągnąć skargę do organu nadzorczego, roszczenie odszkodowawcze osoby, której dane dotyczą (art. 82 RODO), oraz karę pieniężną w wyższym pułapie do 20 milionów euro lub 4 procent rocznego światowego obrotu (art. 83 ust. 5 RODO). Drugim jest ryzyko procesowo-taktyczne, by w sporze pracowniczym lub konkurencyjnym nieprzemyślanym dostępem osłabić własną pozycję. Oba ryzyka da się wyraźnie stłumić przez staranne, terminowe załatwienie sprawy.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o pilne prowadzenie sprawy przy aktualnym żądaniu w biegnącym terminie jednego miesiąca, o odparcie ewidentnie nadużywanego uporczywego żądania, czy o czyste przygotowanie obszernych akt osobowych z prawami osób trzecich, robi to całą różnicę dla nakładu i pilności. Rząd wielkości poznają Państwo, gdy tylko dowiemy się, o co chodzi — a z reguły prawidłowy, terminowy dostęp jest wyraźnie tańszy niż naprawa przewleczonego lub chybionego.
Bez zbędnej zwłoki, a w każdym razie w ciągu jednego miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). Przy złożonych lub licznych żądaniach mogą Państwo przedłużyć o kolejne dwa miesiące — ale muszą Państwo zakomunikować to osobie, której dane dotyczą, wraz z przyczynami w ciągu pierwszego miesiąca, inaczej przedłużenie jest bezskuteczne. „Bez zbędnej zwłoki" znaczy bez zawinionego ociągania się; miesiąc jest granicą zewnętrzną.
Muszą Państwo dostarczyć kopię przetwarzanych danych osobowych wnioskodawcy (art. 15 ust. 3 RODO), przy żądaniu elektronicznym w powszechnie używanym formacie elektronicznym. Nie oznacza to jednak ryczałtowego wydania całych skrzynek pocztowych lub segregatorów akt: prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych osób (art. 15 ust. 4 RODO). Obce dane i chronione wewnętrzne sprawy należy zaczernić lub wyłączyć.
Tylko pod wąskimi warunkami. Odmówić albo pobrać opłatę mogą Państwo przy żądaniach ewidentnie nieuzasadnionych lub — w szczególności ze względu na ustawiczny charakter — nadmiernych (art. 12 ust. 5 RODO), a ciężar wykazania spoczywa na Państwu. Sam motyw obcy ochronie danych według orzecznictwa nie odbiera roszczeniu podstawy bez dalszych okoliczności. Niesłusznie odrzucony dostęp jest samoistnym naruszeniem — w razie wątpliwości lepiej odpowiedzieć terminowo i starannie.
Co do zasady nic: dostęp i pierwsza kopia są bezpłatne (art. 12 ust. 5, art. 15 ust. 3 RODO). Rozsądną opłatę wynikającą z kosztów administracyjnych mogą Państwo pobrać tylko za kolejne kopie albo przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych. Za zwykły pierwszy dostęp nie wolno Państwu żądać pieniędzy.
Termin biegnie jak przy każdym innym żądaniu i muszą Państwo terminowo oraz w pełni udzielić dostępu do jego danych osobowych. Zarazem wskazana jest szczególna staranność, bo dostęp może zostać użyty w procesie przed sądem pracy: niech Państwo czysto rozdzielą dane osobowe wnioskodawcy od danych osób trzecich i chronionych wewnętrznych spraw (art. 15 ust. 4 RODO). Ani przewlekać, ani ryczałtowo wydawać wszystkiego — jedno i drugie Państwu szkodzi.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Zwłaszcza gdy żądanie dostępu jest świeże, a termin jednego miesiąca biegnie, liczy się każdy dzień — proszę opisać sprawę raczej wcześniej, zanim termin się zaostrzy.
„Przy prawie dostępu rozstrzyga nie to, czy się odpowiada, lecz czy robi się to terminowo i z właściwą granicą — w pełni co do danych wnioskodawcy, a w granicach tam, gdzie zaczynają się prawa osób trzecich i tajemnice przedsiębiorstwa", mówi adwokat Sebastian Müller.
Ten artykuł dotyczy prawa dostępu do danych z perspektywy przedsiębiorstwa w Niemczech. Jeśli dopiero porządkują Państwo strukturę spółki, obowiązki i rejestry, pomagają w tym teksty Odpowiedzialność członka zarządu w Niemczech, Rejestr handlowy w Niemczech oraz Założenie GmbH w Niemczech — wszystkie w świecie Spółki i odpowiedzialność.
Proszę krótko opisać, o co chodzi — otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę