Art. 28 rodo ma podwójny charakter. Jest przepisem należącym zarówno do prawa publicznego (relacje między państwem a podmiotami prawa), jak i prywatnego (relacje między równorzędnymi podmiotami prawa). W obydwu tych sferach wywołuje swoiste, równolegle istniejące skutki.
Publicznoprawny charakter przepisu
Jako przepis publicznoprawny:
- Określa prawa i obowiązki podmiotów, które art. 4 rodo kwalifikuje jako administratora i procesora. Nakłada na te podmioty obowiązek nadania umowie powierzenia formy dokumentu (pisemnego lub elektronicznego), w którym te prawa i obowiązki zostaną wymienione. Z punku widzenia prawa publicznego sama umowa tych praw i obowiązków nie kreuje, nie ma więc charakteru konstytutywnego, tylko deklaratywny, inaczej niż umowy z k.c. z punktu widzenia prawa prywatnego. Umowy z k.c. kreują stan prawny, który powstaje częściowo w drodze oświadczeń woli, a częściowo wynika z przepisów bezwzględnie wiążących przy danym typie umowy, tudzież z zasad współżycia społecznego i z ustalonych zwyczajów – wszystko to na zasadzie swobody umów, w tym swobody samego kontraktowania (co do zasady umowy nikt nie ma obowiązku zawierać, wyjątkiem jest np. obowiązek takiego świadczenia wynikający z umowy przedwstępnej).
- Ze swobody kontraktowania wynika fakt, że jeśli podmiot prawa cywilnego nie wyrazi zgody na związanie się skutkami umowy, to obowiązki z niej wynikające nie będą go obciążały. A więc nie ma bezwzględnej intencji ustawodawcy związania podmiotu prawa skutkami danego typu umowy, ta intencja jest względna zależy od tego czy sam podmiot wyrazi taką wolę. Dokładnie odwrotnie jest w przypadku art. 28 rodo, tu intencja ustawodawcy jest bezwzględna, od samego podmiotu nic nie zależy. Oczywiście ustawodawca nie zmusi go żeby fizycznie podpisał umowę, ale jednocześnie fakt niepodpisania umowy nie może zniweczyć bezwzględnej intencji ustawodawcy, polegającej na wyznaczeniu praw i obowiązków podmiotów, które w innym miejscu kwalifikuje jako administratora i procesora. Od woli podmiotów zależy zawarcie umowy głównej, od nich zależy czy z jednej strony będą decydowali o celach i sposobach przetwarzania i z drugiej strony czy będą przetwarzali dane na cudzy rachunek (w cudzym imieniu), ale jeśli to zrobią to o skutkach z art. 28 rodo zdecydował za nich prawodawca.
Prywatnoprawny charakter przepisu
Jako przepis prywatnoprawny:
- Wyznacza naturalia negotii, czyli skutki czynności prawnej niezależne od woli stron. Źródłem tych naturalia negotii jest czynność prawna, która przesądziła o roli administratora i procesora, czyli umowa główna, zazwyczaj umowa o świadczenie usług, a także (czy nawet tym bardziej, bo decyduje stan faktyczny a nie stan prawny, choć zwykle się pokrywają) samo zachowanie stron z którego wynika ich rola. Z zachowania stron wynikają oświadczenia woli (art. 60 k.c.), które stanowią niezbędny zakres konsensu, decydujący o dojściu do skutku czynności prawnej, jaką jest umowa powierzenia. Forma pisemna jest zastrzeżona tylko dla celów dowodowych, rodo nie przewiduje rygoru nieważności (art. 73 par.1 k.c.). Ponadto dokonać czynności prawnej można nawet wbrew swojej woli, bo w oparciu o zasadę zaufania, na której opiera się całe prawo cywilne, liczy się intencja zademonstrowana, a nie wewnętrzna, bo tylko zademonstrowana jest widoczna dla uczestników obrotu. Wynika z tego, że umowa powierzenia zastaje zawarta, przez sam fakt dokonania ważnej czynności prawnej przesądzającej o roli administrator/procesor (um. głównej), nawet jeśli strony nie nadały um. powierzenia wymaganej przez rodo formy.
- Umowa ta może zawierać też accidentalia negotii, ponieważ przepis mówi, że naturalia negotii zawiera „w szczególności”, czyli w zakresie niesprzecznym z normami bezwzględnie wiążącymi strony mogą uzupełnić stosunek prawny zgodnie ze swoją wolą. W jakimś zakresie skutki prawne powstaną również na podstawie art. 354 k.c., który stanowi metanormę, odpowiadającą jednej z zasad inferencji (wnioskowania z norm o normach, tu konkretnie wnioskowanie z celu na środki).
- Rola tej umowy w zakresie objętym regulacją art. 28 rodo ma więc wyłącznie walor informacyjny, tak jak art. 13 i 14 rodo. Z tym że art. 13 i 14 nakłada obowiązek pouczenia podmiotu danych, natomiast art. 28 rodo nakłada obowiązek wzajemnego pouczenia się przez podmioty które przetwarzają dane osobowe. I tak jak za brak pouczenia podmiotu danych przewidziana jest kara administracyjna, tak samo kara administracyjna przewidziana jest za brak wzajemnego pouczenia, ponieważ w obydwu przypadkach, brak pouczenia obniża bezpieczeństwo konsumenta, który jako strona słabsza wobec przedsiębiorcy wymaga ochrony. Brak pouczenia podmiotu danych skutkuje jego niewiedzą na temat swoich uprawnień, a brak wzajemnego pouczenia skutkuje niewiedzą na temat swoich obowiązków podmiotów, które zdecydowały się na przetwarzanie danych.
- W zakresie wykraczającym poza regulację art. 28 umowa ma charakter konstytutywny o ile zawiera postanowienia które regulują kwestie inne niż art. 28 rodo i z naturą stosunku powierzenia niesprzeczne lub w sposób niesprzeczny rozwijają to co wynika z art. 28 rodo (to i tak w znacznej mierze będzie wynikało z art. 354 k.c.). Do takich postanowień raczej nie można zaliczyć świadczenia wzajemnego, za obowiązki które zostały wyznaczone jako naturalia negotii. To tak jakby w umowie darowizny zastrzec świadczenie wzajemne, wtedy traci kwalifikację i ewentualnie zyskuje inną, np. umowy sprzedaży. Procesor nie powinien za wykonywanie swoich obowiązków żądać wynagrodzenia od administratora, tak jak administrator nie powinien żądać wynagrodzenia za wypełnianie swoich obowiązków od osoby, której dane dotyczą. Umowa powierzenia nie ma charakteru handlowego, nie opiera się na świadczeniach wzajemnych stron, nie ma na celu osiągania zysku, ma jedynie maksymalne zabezpieczenie przetwarzania danych, a beneficjentem ma być podmiot danych, którego bezpieczeństwo wzrasta. Takie postanowienie o odpłatności jest nieważne, ale nie jest to nieważność która wpływałaby na losy całej czynności prawnej, chyba ze z okoliczności by wynikało że bez postanowienia o odpłatności czynność prawna (ta główna np. umowa o świadczenie usług, nie sama umowa powierzenia) nie zostałaby dokonana, czyli podmioty nie zdecydowały by się zachowywać w sposób kwalifikujący je jako administratora i procesora (art. 58 ust. 3 k.c.).
Konkluzja
- Z powyższego wynika, że instytucja prawna o której mowa w art. 28 rodo, zasługuje na miano umowy w zakresie wykraczającym poza regulację art. 28 rodo, natomiast co do postanowień narzuconych przez ten przepis jest klauzulą informacyjną, której „nieprzekazanie” partnerowi biznesowemu zagrożone jest sankcją.