RODO play: zakres odpowiedzialności strony w praktyce prawnej

Współczesny rynek usług prawnych i biznesowych coraz częściej mierzy się ze zjawiskiem, które w kuluarach określa się mianem „RODO play”. Pojęcie to odnosi się do strategicznego, a niekiedy wręcz instrumentalnego wykorzystywania uprawnień wynikających z Ogólnego Rozporządzenia o Ochronie Danych (RODO) w celu uzyskania przewagi procesowej, negocjacyjnej lub biznesowej. Choć intencją europejskiego ustawodawcy było wyposażenie osób fizycznych w realne narzędzia kontroli nad ich danymi osobowymi, w praktyce granica między realizacją przysługujących praw a ich nadużyciem bywa niezwykle cienka. Niniejsza analiza ma na celu szczegółowe omówienie zakresu odpowiedzialności stron zaangażowanych w tego typu procedury, ze szczególnym uwzględnieniem ryzyk, jakie niesie za sobą nieprzemyślana taktyka procesowa.

Teza publikacji: Granice legalności działań w ramach RODO play

Główną tezą niniejszego opracowania jest stwierdzenie, że instrumentalne inicjowanie postępowań przed organem nadzorczym oraz masowe składanie wniosków o realizację praw podmiotowych nie może stanowić uniwersalnego narzędzia nacisku bez ponoszenia odpowiedzialności prawnej. Administratorzy danych nie są bezbronni wobec działań o charakterze nękania lub prób obejścia innych przepisów prawa (np. procedury cywilnej czy karnej). Z kolei podmioty danych, decydując się na tzw. „RODO play”, muszą liczyć się z tym, że ich działania zostaną zakwalifikowane jako nadużycie prawa podmiotowego, co w skrajnych przypadkach może prowadzić do odpowiedzialności odszkodowawczej lub procesowej.

Na czym polega zjawisko RODO play w praktyce?

Zjawisko to najczęściej przejawia się w określonych schematach zachowań. Osoba fizyczna (często reprezentowana przez profesjonalnego pełnomocnika lub działająca w ramach sporu z byłym pracodawcą bądź kontrahentem) składa do administratora niezwykle szeroki wniosek, żądając np. kopii wszystkich przetwarzanych danych, szczegółowych informacji o celach przetwarzania, a także natychmiastowego usunięcia danych (tzw. prawo do bycia zapomnianym). Często wnioskom tym towarzyszy ukryty cel – np. pozyskanie dowodów do planowanego procesu cywilnego z pominięciem sądowej procedury dowodowej, bądź też wywarcie presji finansowej na administratora, dla którego obsługa tak skomplikowanego żądania wiąże się z ogromnym nakładem pracy i kosztów.

Kogo dotyczy problem i jakie podmioty są najbardziej narażone?

Problem ten dotyczy przede wszystkim podmiotów masowo przetwarzających dane osobowe, takich jak operatorzy telekomunikacyjni, instytucje finansowe, ubezpieczyciele, a także duże platformy e-commerce. Druga grupa to pracodawcy, zwłaszcza w obliczu konfliktów zwalnianych pracowników z działami HR. W tych relacjach wniosek oparty na przepisach RODO staje się elementem przetargowym. Z drugiej strony, stroną inicjującą są osoby fizyczne, które – świadomie bądź nie – ryzykują zarzutem działania w złej wierze, jeśli ich jedynym celem jest sparaliżowanie pracy przedsiębiorstwa lub wymuszenie określonych ustępstw.

Podstawa prawna: Równowaga między prawami a obowiązkami

Kluczowe znaczenie dla oceny legalności działań stron mają przepisy RODO regulujące prawa osób, których dane dotyczą, oraz zasady ich realizacji. Zgodnie z art. 12 ust. 5 RODO, jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, administrator może pobrać rozsądną opłatę, uwzględniającą administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań, albo odmówić podjęcia działań w związku z żądaniem. To właśnie ten przepis stanowi główną linię obrony administratorów przed agresywną taktyką „RODO play”.

Obowiązki administratora w obliczu taktycznych wniosków

Administrator danych nie może z góry zignorować żadnego wniosku, nawet jeśli uważa go za element złośliwej gry rynkowej. Każde żądanie wymaga indywidualnej analizy. Do podstawowych obowiązków administratora należy:

Weryfikacja tożsamości wnioskodawcy: Administrator musi upewnić się, że osoba żądająca dostępu do danych jest rzeczywiście tą, za którą się podaje. W przeciwnym razie grozi mu zarzut ujawnienia danych osobie nieuprawnionej.
Analiza merytoryczna żądania: Należy ocenić, czy żądane dane nie podlegają wyłączeniom (np. ze względu na tajemnicę zawodową, prawa osób trzecich lub obowiązek ich przechowywania na podstawie odrębnych przepisów prawa, np. podatkowych).
Zachowanie formy komunikacji: Odpowiedź powinna być udzielona w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

Rola organu nadzorczego i kluczowe terminy procesowe

Jeżeli administrator odmówi realizacji żądania lub nie odpowie na nie w terminie, strona wnioskująca może wnieść skargę do organu nadzorczego – w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (PUODO). W tym kontekście kluczowe znaczenie mają terminy:

Termin na odpowiedź: Administrator ma obowiązek udzielić informacji o podjętych działaniach bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania.
Przedłużenie terminu: W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę wniosków. Administrator musi jednak poinformować o tym wnioskodawcę w ciągu miesiąca od otrzymania żądania, podając przyczyny opóźnienia.
Termin na wniesienie skargi: Podmiot danych może złożyć skargę do organu nadzorczego w każdym czasie po bezskutecznym upływie terminu lub po otrzymaniu decyzji odmownej.

Najczęstsze błędy i ryzyka w praktyce prawnej

Zarówno administratorzy, jak i wnioskodawcy popełniają w toku „RODO play” szereg błędów, które mogą skutkować poważnymi konsekwencjami prawnymi. Do najczęstszych błędów administratorów należą: całkowite ignorowanie wniosków w nadziei, że sprawa „przycichnie”, brak udokumentowania procesu decyzyjnego (co uniemożliwia wykazanie przed organem nadzorczym, dlaczego wniosek uznano za nadmierny), oraz pochopne usuwanie danych, które są niezbędne do obrony przed roszczeniami cywilnymi. Z kolei wnioskodawcy ryzykują przede wszystkim ujawnieniem własnej złej wiary, co może skutkować obciążeniem ich kosztami postępowania lub powództwem wzajemnym o naruszenie dóbr osobistych przedsiębiorstwa.

Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której były pracownik firmy handlowej, będący w sporze sądowym o nadgodziny, składa do byłego pracodawcy wniosek o udostępnienie kopii wszystkich wiadomości e-mail, w których pojawia się jego nazwisko, obejmujących okres pięciu lat pracy. Pracodawca, zdając sobie sprawę, że odnalezienie i zanonimizowanie tysięcy wiadomości (w celu ochrony danych innych pracowników i tajemnic przedsiębiorstwa) zajmie setki godzin pracy działu IT i kadr, odmawia realizacji wniosku w tym zakresie, powołując się na jego nadmierność i próbę obejścia przepisów Kodeksu postępowania cywilnego dotyczących wyjawienia środków dowodowych. Pracownik składa skargę do PUODO. Organ nadzorczy, badając sprawę, dochodzi do wniosku, że żądanie w tak szerokim zakresie rzeczywiście miało charakter nadmierny i służyło celom pozaprawnym, niezwiązanym z ochroną prywatności, i oddala skargę. Pracodawca unika kary, jednak musiał precyzyjnie wykazać i udokumentować nakład pracy, jaki wiązałby się z realizacją wniosku.

Skutki prawne i finansowe naruszeń

Niewłaściwe rozegranie procesu związanego z wnioskami RODO niesie za sobą realne sankcje. Organ nadzorczy może nałożyć na administratora administracyjną karę pieniężną w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Ponadto, na mocy art. 82 RODO, każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie. Oznacza to ryzyko kosztownych procesów odszkodowawczych przed sądami powszechnymi.

Podsumowanie i rekomendacje dla praktyków

Strategia „RODO play” to obosieczna broń. Administratorzy danych muszą wypracować jasne i powtarzalne procedury weryfikacji oraz obsługi wniosków, aby nie narazić się na zarzut bezczynności. Każda odmowa musi być szczegółowo uzasadniona i oparta na dowodach wykazujących nadmierność żądania. Z kolei podmioty danych powinny pamiętać, że instrumentalne korzystanie z uprawnień może zostać zweryfikowane przez organ nadzorczy lub sąd powszechny jako nadużycie prawa, co zniweczy zamierzony cel taktyczny i narazi ich na odpowiedzialność cywilną.