Pracownik firmy przez pomyłkę wysłał umowę do nie tej osoby co trzeba. W następstwie zdarzenia wyciekło:

• imię i nazwisko
• pesel
• dane teleadresowe
• treść umowy

UODO ustalił, że zaistniało wysokie ryzyko naruszenia praw lub wolności osoby, uzasadniające zarówno zgłoszenie do organu (art. 33 rodo) jak i zawiadomienie osoby (art. 34 rodo). Ponieważ spółka nie dokonała ani jednego (z analizy ryzyka wynikającego z naruszenia odo wyszło jej że prawdopodobieństwo naruszenia praw lub wolności osoby jest małe) organ nałożył na nią karę w wysokości 282 tyś zł.

Na skutek skargi sprawą zajął się WSA (sygn. II SA/Wa 219/24). Sąd stwierdził, że wprawdzie nie ma dowodów ani przekonującego uzasadnienia decyzji, że ryzyko (wynik mnożenia prawdopodobieństwa i wagi)  jest wysokie ale prawdopodobieństwo jest wyższe niż małe, dlatego zgłoszenia do UODO należało dokonać, a zawiadomienia osoby niekoniecznie. Decyzję więc uchylił co oznacza, że sprawa trafi do ponownego rozpoznania.

Stanowisko zarówno UODO jak i Sądu jest błędne co do oceny prawdopodobieństwa naruszenia praw lub wolności osoby. W kluczowym fragmencie uzasadnienia Sąd stwierdza:

W rozpatrywanym przypadku charakter i rodzaj udostępnionych danych w dużym stopniu umożliwiał ustalenie tożsamości konkretnej osoby bezpośrednio w oparciu o dane osobowe, których dotyczy naruszenie, bez szczególnej potrzeby gromadzenia dodatkowych informacji pozwalających określić tę tożsamość. W tych okolicznościach osoba, której dane zostały udostępnione utraciła możliwość sprawowania kontroli nad swoimi danymi osobowymi i tym samym doznała naruszenia jej prawa do ochrony danych osobowych (art. 51 ust. 1 Konstytucji RP).

Te okoliczności pozwalają zdaniem Sądu przyjąć, że nie została spełniona określona w art. 33 ust. 1 rozporządzenia nr 2016/679 przesłanka zwalniająca administratora danych z obowiązku zgłoszenia organowi nadzoru faktu naruszenia danych osobowych. Należy zatem podzielić stanowisko Prezesa UODO co do tego, że prawdopodobieństwo, by stwierdzone naruszenie ochrony danych osobowych rodziło ryzyko naruszenia praw lub wolności osoby, której dane zostały ujawnione, nie jest małe. Skarżąca miała zatem obowiązek zgłoszenia tego naruszenia organowi nadzoru.

Pierwsze co jest uderzające to wypowiedź ta jest sprzeczna, jeden akapit wyklucza drugi. W pierwszym Sąd oświadcza, że doszło do naruszenia praw osoby (pewność) a w drugim że ryzyko naruszenia nie jest małe (niepewność). Sąd stwierdza, że samo to że zakres danych pozwala na identyfikację (bez tego rodo w ogóle nie miało by zastosowania) powoduje, że doszło do utraty kontroli nad danymi, co stanowi naruszenie praw osoby. Jest to fundamentalny błąd który prowadzi do dalszych negatywnych konsekwencji, nie tylko w tej sprawie ale w każdej innej jeśli to nieporozumienie będzie się utrzymywało.

Utrata kontroli nad danymi nie jest naruszeniem praw lub wolności (art. 33 rodo) tylko naruszeniem ochrony danych osobowych (art. 4 pkt 12 rodo – nieuprawnione ujawnienie). Dopiero zaistnienie tej przyczyny uruchamia potrzebę badania jakie jest ryzyko skutku (naruszenia praw lub wolności). Niejako usprawiedliwieniem tego błędu jest sam tekst rodo, ponieważ motywy 75 i 85 sprzecznie wypowiadają się o utracie kontroli nad danymi. Motyw 75 prawidłowo stwierdza ze utrata kontroli nad danymi jest naruszeniem odo (przyczyną) która może ale nie musi prowadzić do naruszenia praw lub wolności (skutek), natomiast motyw 85 wprost, błędnie (odmiennie) stwierdza, że jedną z postaci naruszenia praw (skutku) jest utrata kontroli nad danymi.

Jeśli już zostanie prawidłowo ustalone, że utrata kontroli nad danymi (ujawnienie) nie stanowi naruszenia praw lub wolności, to otwiera się droga do analizy czy w konkretnych okolicznościach może do tego doprowadzić i z jakim ryzykiem (prawdopodobieństwem i wagą). O konieczności zastosowania art. 33 rodo decyduje jedynie parametr prawdopodobieństwa. Nawet jeśli waga jest błaha ale prawdopodobieństwo jest wyższe niż małe należy zgłaszać.

Kluczowe jest pytanie co musi się stać, żeby prawdopodobieństwo skutecznego wykorzystania w sposób negatywny ujawnionych danych (naruszenia praw lub wolności) było wyższe niż małe. Odpowiedź jest prosta – muszą trafić w ręce przestępcy. Dlatego atak hakerski nie przysparza dylematów, wiadomo że prawdopodobieństwo jest wyższe niż małe. Ale omyłkowo wysłany mail, do jednej czy nawet kilku osób… Jakie jest prawdopodobieństwo, że trafi do przestępcy. Samo uzasadnienie wyroku dostarcza materiału żeby to stwierdzić. W jednym z lat poprzedzających odnotowano 8096 prób wyłudzeń kredytów. Załóżmy nawet, że każda próba pochodziła od osobnego przestępcy i że było ich na okrągło 10 tyś. 40 mln/10 tyś daje 4 tyś. Szansa że mail trafi do przestępcy jest jak 1:4000. Powiedzieć, że mało prawdopodobne to jest eufemizm. Tymczasem zarówno organ nadzorczy jak i Sąd twierdzą, że prawdopodobieństwo jest wyższe niż małe. Nawet EROD w Wytycznych 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, przyjęte 14 grudnia 2021 r., wersja 2.0, pkt 106, zakres danych: imię nazwisko, adres zamieszkania, cena i wygląd butów – ujawniony jednej osobie, uznał za generujący niskie ryzyko i stwierdził że nie wymaga ani zgłoszenia do organu ani zawiadomienia osoby. Czyli uznał, że utrata kontroli nad takim zakresem danych (naruszenie odo) nie powoduje prawdopodobieństwa naruszenia praw lub wolności w stopniu wyższym niż małe. Uznał tym samym że sama utrata kontroli nad danymi nie stanowi naruszenia praw lub wolności.

Oczywiście 10 tyś przestępców, to nie wszyscy, ale ta liczba jest najistotniejsza z punktu widzenia analizy bo wiadomo że mają modus operandi polegający na wyłudzeniach kredytów (wykorzystaniu danych osobowych). UODO chcąc stwierdzić jakie jest prawdopodobieństwo naruszenia praw lub wolności w wyniku omyłkowego wysłania maila powinien ustalić ilu jest innych przestępców statystycznie np. w kategorii kradzieże i ocenić z jakim prawdopodobieństwem mail trafi do takiego. Przykładowo niechby ich było 10x tyle co cyberprzestępców czyli 100 tyś. To daje prawdopodobieństwo 1:400 – nadal małe.

Wskazówką co do stopni prawdopodobieństwa (małe, średnie, duże) mogą być recepty zawierające informację o prawdopodobieństwie działań niepożądanych:

Wysokie prawdopodobieństwo: oznacza to, że pojawia się ono częściej niż u 1 na 10 pacjentów;

Średnie prawdopodobieństwo: takie działanie pojawia się rzadziej niż u 1 na 10 pacjentów, ale jednocześnie częściej niż u 1 na 100;

Małe prawdopodobieństwo: rzadziej niż u 1 pacjenta na 100, ale częściej niż u 1 na 1000.

Trzeba mieć nadzieję, że ta sprawa albo inna tego typu, trafi do NSA i tam zostanie rozstrzygnięte co oznacza prawdopodobieństwo, co to jest naruszenie odo a co naruszenie praw lub wolności i czym jest utrata kontroli nad danymi, a także czy przy stosowaniu art. 33 rodo należy brać pod uwagę parametr wagi, bo zgodnie z fragmentem uzasadnienia decyzji:

Warto podkreślić, że dokonując oceny pod kątem ryzyka naruszenia praw lub wolności osób fizycznych, od której uzależnione jest dokonanie zgłoszenia naruszenia ochrony danych osobowych oraz zawiadomienie o naruszeniu osoby, której dane dotyczą, należy łącznie uwzględnić czynnik prawdopodobieństwa i wagę potencjalnych negatywnych skutków. Wysoki poziom któregokolwiek z tych czynników ma wpływ na wysokość ogólnej oceny, od której uzależnione jest wypełnienie obowiązków określonych w art. 33 ust. 1 i art. 34 ust. 1 rozporządzenia 2016/679. Mając na uwadze, że ze względu na zakres ujawnionych danych osobowych w analizowanym przypadku wystąpiła możliwość zmaterializowania się poważnych negatywnych konsekwencji dla osoby, której dane dotyczą (jak wyżej wykazano), to wagę potencjalnego wpływu na prawa lub wolności osoby fizycznej należy uznać za wysoką. Jednocześnie prawdopodobieństwo wystąpienia wysokiego ryzyka w następstwie przedmiotowego naruszenia nie jest małe i nie zostało wyeliminowane. Tym samym stwierdzić należy, że w związku z przedmiotowym naruszeniem wystąpiło wysokie ryzyko naruszenia praw lub wolności osoby, której dane dotyczą, co w konsekwencji determinuje obowiązek dokonania zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz zawiadomienia o naruszeniu Podmiotu Danych.

tymczasem przepis brzmi:

1. W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.

Gdyby tu chodziło o kombinację prawdopodobieństwa i wagi to przepis nie mówiłby o prawdopodobieństwie tylko o ryzyku. Przepis zaś mówi, że zgłaszać nie trzeba jeśli jest małe prawdopodobieństwo bez względu na wartość parametru wagi ryzyka.

Osobną kwestią jest ocena czy wyciek ten powodował wysokie ryzyko (prawdopodobieństwo x waga) uzasadniające zawiadomienie osoby. W tym zakresie Sąd prawidłowo wątpi w wysokie ryzyko i wskazuje, że UODO wysokiego ryzyka nie wykazał. Sąd podkreśla, że zestaw danych jak: imię nazwisko pesel, nie wydaje się wystarczający do kradzieży tożsamości.

Zdaniem Sądu, organ nie wykazał przekonywująco, że w praktyce jest możliwe, np. legalne zaciąganie zobowiązań wyłącznie na podstawie danych obejmujących imię i nazwisko oraz numer PESEL oraz miejscowość i kod pocztowy, ani że na podstawie takich danych można również zawrzeć umowy pożyczki, nawet w instytucjach pozabankowych czy parabankowych, za pośrednictwem Internetu lub telefonicznie. Powoływany szeroko w uzasadnieniu zaskarżonej decyzji wyrok Sądu Rejonowego w […] dotyczył sytuacji podjęcia próby wyłudzenia kredytu, w której posłużono się nie tylko numerem PESEL, ale także numerem dowodu osobistego, który był wprawdzie nieważny, jednak był wydany danej osobie. Powyższe w żaden sposób nie potwierdza zatem, że możliwe jest uzyskanie kredytu jedynie na podstawie numeru PESEL oraz imienia i nazwiska. Podawane przez organ dane liczbowe dotyczące rosnącej liczby wyłudzeń kredytów, również nie potwierdzają, że w tych przypadkach doszło do skutecznego wyłudzenia kredytu na podstawie jedynie numeru PESEL i imienia i nazwiska. Argumentacja organu nie potwierdza zatem tak przyjętej tezy.

I co ważne Sąd tu nie kwestionuje wysokiego ryzyka ze względu na parametr wagi, tylko twierdzi że jest nieprawdopodobne żeby wycieknięty zakres danych umożliwiał naruszenie praw lub wolności, nawet gdyby pechowo trafił do osoby, która miałaby wolę żeby go wykorzystać do przestępstwa. W innymi miejscu, jak zostało wyżej wskazane, niekonsekwentnie twierdzi Sąd że doszło do naruszenia praw osoby (pewność). Jeśli by rzeczywiście doszło, to było by to coś więcej niż tylko wysokie ryzyko naruszenia praw (niepewność), i w takim razie konsekwentnie należałoby twierdzić, że wymagane jest również zawiadomienie z art. 34 rodo.

W uzasadnieniu zarówno decyzji jak i wyroku próżno szukać innych realnych naruszeń praw lub wolności oprócz „flagowej” kradzieży tożsamości. A jeśli tak to nawet jakby pechowo mail z danymi trafił do przestępcy, ten nie mógłby z nimi nic zrobić, bo chwilówki nie weźmie a do niczego innego taki zakres nie jest „przydatny”. Jeśli taki zestaw mógłby do czegoś posłużyć to milion takich zestawów jest dla każdego (w tym przestępców) dostępny w rejestrze KRS – obywatel w tym ado ma prawo oczekiwać od państwa konsekwencji, albo taki zakres danych wiąże się z prawdopodobieństwem wyższym niż małe i nie powinien być dostępny publicznie, albo jeśli jest dostępny to nie można oczekiwać, na etapie analizy czy zgłaszać naruszenie do UODO, innej oceny niż dokonał ustawodawca.

Na koniec warto jeszcze zwrócić uwagę, że organ nadzorczy wyciąga niewłaściwe wnioski z fragmentu Wytycznych 9/2022 o „zaufanym odbiorcy” a nie przytacza fragmentu, który ewidentnie przemawia za brakiem obowiązku zgłaszania w okolicznościach niniejszej sprawy. To że EROD jako przykład „wyeliminowania prawdopodobieństwa” naruszenia praw lub wolności podaje omyłkowe wysłanie danych do odbiorcy z którym ado pozostaje w stałych kontaktach, nie oznacza że wysłanie do przypadkowej nieznanej osoby wiąże się z prawdopodobieństwem wyższym niż małe. O prawdopodobieństwie decyduje statystyka, w tym wypadku ilość przestępców w kraju lub regionie, gdzie trafił omyłkowy mail/list.

Natomiast UODO pomija poniższy fragment:

75. W art. 33 ust. 1 RODO wyraźnie stwierdzono, że nie ma obowiązku zgłaszania organowi nadzorczemu naruszeń, co do których „jest mało prawdopodobne, by […] skutkował[y] ryzykiem naruszenia praw lub wolności osób fizycznych”. Przykładem może być sytuacja, w której dane osobowe już są publicznie dostępne i ujawnienie takich danych nie wiąże się z prawdopodobnym ryzykiem dla danej osoby fizycznej.

Z fragmentu tego wynika, że jeśli dane są już publicznie dostępne, nie ma obowiązku zgłaszania naruszenia. Taki zakres danych jak imię nazwisko i pesel jest publicznie dostępny w rejestrze KRS, dlatego że jego wyciek nie tylko do jednej ale do miliardów ludzi (do każdego kto ma Internet), nie wiąże się z prawdopodobieństwem wyższym niż małe – tak to trafnie ocenił polski ustawodawca. Co prawda w tym fragmencie EROD miał na myśli publicznie dostępne dane konkretnej osoby które wyciekły z innego miejsca, ale to samo można odnieść do zakresu danych, który jest publicznie dostępny ze względu na obowiązujące przepisy (ocenę ustawodawcy), ponieważ w jednym i drugim przypadku publiczna dostępność jest legalna.

Na koniec warto przypomnieć, że niezbędne jest ścisłe i konsekwentne posługiwanie się nomenklaturą:

• incydent
• naruszenie odo
• naruszenie praw lub wolności
• naruszenie rodo

Z oceną tą nie zgodził się WSA, stwierdzając m.in. że skoro dane zostały opublikowane nieograniczonej liczbie osób, to nie może być mowy o osobistej lub domowej czynności. Na skutek skargi kasacyjnej Prezesa UODO sprawa znalazła się przed NSA. Prezes Urzędu Ochrony Danych Osobowych podnosił, że

„nieograniczona dostępność profilu na portalu społecznościowym nie przesądza sama w sobie, że przetwarzanie wykracza poza zakres przetwarzania osobistego lub domowego. Bowiem by uznać, że przetwarzanie wykracza poza powyższy zakres konieczne jest by dostępność danych zamieszczonych na profilu na portalu społecznościowym była powiązana z działalnością zawodową lub handlową, co w niniejszej sprawie nie miało miejsca.”.

NSA przychylił się do stanowiska WSA, co jednak warto odnotować stało się to m.in. w oparciu o wykładnię zd. 3 motywu 18 rodo. Motyw ten brzmi:

Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową.

Działalność osobista lub domowa może między innymi polegać na

•             korespondencji i przechowywaniu adresów,

•             podtrzymywaniu więzi społecznych oraz

•             działalności internetowej podejmowanej w ramach takiej działalności.

Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.

Tak NSA tłumaczy znaczenie zdania 3 tego motywu:

Wyjaśnić należy, że przez „środki przetwarzania danych” w tym przypadku rozumieć należy miejsce lub nośnik, na którym dane się znajdują, czyli właśnie wymienione wcześniej prywatne notatniki, kalendarze lub urządzenia elektroniczne, na których przechowywane są np. listy kontaktów, numery telefonów, adresy i inne dane osobowe. Dopóki środki te (przetwarzania danych przez osobę fizyczną) dostępne są jedynie w granicach tzw. zacisza domowego lub innego prywatnego miejsca (np. auta) osoby przetwarzającej dopóty jest to przetwarzanie w ramach czynności o czysto osobistym i domowym charakterze. Jednakże w sytuacji, gdy z inicjatywy podmiotu przetwarzającego dostęp do tego typu „środka przetwarzania danych” zostanie udzielony szerszemu gronu działanie takie będzie znajdowało się pod ochroną wynikającą z RODO. Wskazuje na to wyraźnie zdanie trzecie motywu 18 wyjaśniającego treść art. 2 ust. 2 lit. c RODO.

Jest to błędna interpretacja. Zdanie trzecie odnosi się do dostawców rozwiązań informatycznych za pomocą których ma miejsce działalność internetowa. Czyli udostępniają środki przetwarzania takie spółki jak Meta w przypadku Facebooka, a nie osoba fizyczna która ma konto na portalu społecznościowym. Środkiem przetwarzania nie jest tu samo miejsce czy nośnik, ponieważ wobec takich środków nie występuje rola ado/proc, ale aplikacja internetowa (komunikator, portal) którą dostarcza podmiot trzeci i przy okazji świadczenia tej usługi występuje w roli przewidzianej przez rodo. Rola ado/proc występuje ze względu na przetwarzanie (wykorzystywanie poprzez dokonywanie operacji na danych), a nie ze względu na posiadanie miejsca lub nośnika, dlatego nie jest możliwe żeby w zd. 3 prawodawcy chodziło jedynie o posiadacza miejsca lub nośnika, bez połączenia tego posiadania ze świadczeniem usługi. Zdanie trzecie uzupełnia zdanie drugie, wyjaśniając że choć osoba która przetwarza dane w celach osobistych nie podlega rodo, to podlega rodo dostawca usługi z której korzysta ta osoba – przykładowo nie podlega rodo użytkownik który w chmurze przechowuje informacje o innych osobach (np. zdjęcia z wakacji z rodziną, znajomymi) w celach osobistych, ale podlega rodo dostawca chmury (usługodawca).

NSA zwrócił również uwagę na kwestię kręgu osób którym udostępniono dane podzielając stanowisko wyrażone przez Grupę Roboczą Art. 29, że jeśli krąg ten jest nieograniczony nie może być mowy o charakterze czysto osobistym:

Podsumowując powyższe należy uznać, że co do zasady treści publikowane na portalach społecznościowych przez osoby fizyczne nie są objęte działaniem rozporządzenia RODO, o ile działalność ta nie ma zawodowego lub handlowego charakteru i dostęp do nich mają tylko podmioty wyselekcjonowane przez osobę udostępniającą. Innymi słowy w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto „osobistym lub domowym charakterze”. Takie stanowisko zaprezentowane zostało również w wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 11 grudnia 2014 r., C-212/13, na który powołał się m.in. Sąd pierwszej instancji.

W związku z powyższym z perspektywy analizowanej sprawy zasadnicze znaczenie ma, czy dane skarżącej udostępnione na portalu uczestnika zostały udostępnione w sposób „otwarty” umożliwiający każdej osobie, nawet nienależącej do osób dopuszczonych przez uczestnika, dostęp do umieszczonych tam treści.

Co do samej publikacji trafnie UODO podnosił, że czynność nie traci osobistego charakteru, przez to tylko, że wychodzi poza zacisze domowe.

Natomiast faktycznie WSA i NSA podtrzymują linię orzeczniczą dominującą już przed rodo, ponieważ już wtedy TS twierdził, że opublikowanie w Internecie danych osobowych w celach osobistych nie podlega wyłączeniu od stosowania dyrektywy (na podobnej zasadzie twierdzono, że domowy, osobisty monitoring jeśli wykracza na drogę publiczną nie podlega wyłączeniu). Jak widać UODO chciał odejść od tej interpretacji ale nieskutecznie (nie przekonał NSA).

Podobnie o stosowaniu rodo do przetwarzania w celach osobistych wypowiedział się sąd w Holandii.

Samo wydanie (i co za tym idzie sprzedaż) książki nawet jeśli autorem jest osoba nieprofesjonalna, nie będzie można raczej zaliczyć do działalności czysto osobistej a tym bardziej domowej, więc z tego wyjątku nie da się skorzystać. Tym nie mniej prawodawca europejski przewidział w art. 85 i motywie 153 rodo, że ustawodawcy krajowi mają przyjąć przepisy ograniczające stosowanie rodo. Takim przepisem jest art. 2 uodo2018:

Art.  2.  [Ograniczenie stosowania przepisów do działalności związanej z materiałami prasowymi, działalności literackiej, artystycznej oraz wypowiedzi akademickich]

1. Do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe (Dz. U. z 2018 r. poz. 1914), a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679.

2. Do wypowiedzi akademickiej nie stosuje się przepisów art. 13, art. 15 ust. 3 i 4, art. 18, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679.

Jak widać wyłączenie jest obszerne, właściwie niewyłączonym obowiązkiem pozostaje zapewnienie bezpieczeństwa danych, ale ponieważ ujawnienie jest celem samego przetwarzania, to istotny pozostaje taki aspekt bezpieczeństwa jak nieuprawniona modyfikacja (integralność) nie zaś zapewnienie poufności.

Autor i wydawca nie muszą też podpisywać umowy powierzenia.

NSA zgodnie z przewidywaniami oddalił skargę kasacyjną UODO. To nie powoduje zaskoczenia, ale warto zwrócić uwagę na argumentację Sądu odnośnie podstawy legalizacyjnej jaką jest zgoda osoby. NSA prezentuje świeże spojrzenie na zagadnienie zwracając uwagę, że zgoda z rodo jest tak naprawdę swoistym uzgodnieniem między stronami procesu (czyli wykazuje cechy czynności dwustronnej), i organ nadzorczy nie ma kompetencji żeby to uzgodnienie podważać. Zgoda ma ścisły związek z zasadą minimalizacji i wręcz wypełnia treścią zasadę minimalizacji. NSA dokonał wykładni zasady minimalizacji odwołując się do motywu 39 rodo. Zauważył że rodo wymaga aby administrator zastanowił się czy cel który chce osiągnąć można by osiągnąć bez przetwarzania danych jednocześnie bez ponoszenia nieproporcjonalnych dodatkowych kosztów.

Zwrócono uwagę na specyficzną konstrukcję przesłanki zgody, która różni się od pozostałych tym że nie określa celu w samym akcie prawnym jakim jest rodo, ale pozostawia określeniu celu samym stronom przetwarzania (ado i osoba).

Pada sformułowanie daleko idące, że jeśli tylko zgoda spełnia wymogi rodo to nawet jeśli osoba zgodziłaby się na przetwarzanie naruszające obiektywnie zasadę minimalizacji, miarodajna dla oceny legalności jest ocena subiektywna stron procesu. Czyli Sąd opowiada się za prymatem autonomii woli osoby, której dane dotyczą, nawet jeśli jej wola była by dla niej niekorzystna lub naruszałaby obiektywne wymogi wynikające z norm rodo, czyli przykładowo osoba może skutecznie i niepodważalnie zgodzić się na przetwarzanie przez czas dłuższy niż jest to administratorowi obiektywnie potrzebne zgodnie z zasadami wyrażonymi w art. 5 rodo.

Poniżej najciekawsze fragmenty uzasadnienia:

Po drugie, rozstrzyga o dopuszczalności przetwarzania danych osobowych wyłącznie w takich układach, w których nie da się podać innych rozsądnych sposobów osiągnięcia celu tego przetwarzania. Prawodawca unijny nie dookreślił, co należy rozumieć przez inną niż przetwarzanie danych osobowych rozsądną alternatywę osiągnięcia celu przetwarzania. W ocenie Naczelnego Sądu Administracyjnego chodzi tu o wskazanie takich działań, które bez konieczności przetwarzania danych osobowych pozwolą osiągnąć określony cel, a jednocześnie nie generują zasadniczo wyższych „kosztów” materiałowych, finansowych, czasowych i osobowych od tych, jakie należałoby ponieść, gdyby do realizacji tego celu doszło poprzez przetwarzanie danych osobowych. W istocie chodzi więc o skonfrontowanie wielkości szeroko ujętych kosztów dwóch trybów osiągnięcia tego samego celu: trybu uwzględniającego przetwarzanie danych osobowych i trybu, który takiego przetwarzania nie uwzględnia. W tej perspektywie zasada minimalizacji danych zobowiązuje zatem do tego, aby nie dochodziło do przetwarzania danych osobowych w tych skonfigurowaniach, w których cel, dla którego to przetwarzanie miało być prowadzone, z wykorzystaniem porównywalnych zasobów, można osiągnąć bez przetwarzania danych osobowych.

Po trzecie, zasadę minimalizacji danych należy rozumieć również w ten sposób, że jeżeli nie można osiągnąć założonego celu bez przetwarzania danych osobowych, to dane, które podlegają przetwarzaniu muszą być do tego celu adekwatne, stosowne i ograniczone. W tym ujęciu zasada minimalizacji danych wprowadza swego rodzaju rygor proporcjonalności przetwarzania danych. Chodzi więc o to:

1) aby administrator pozyskał wyłącznie taki rodzaj danych osobowych, których przetworzenie jest niezbędne do osiągnięcia celu przetwarzania;

2) aby administrator pozyskał dane osobowe w minimalnej wystarczającej ilości dla osiągnięcia celu przetwarzania;

3) aby administrator przetwarzał je wyłącznie w taki sposób, który jest niezbędny do osiągnięcia celu przetwarzania;

4) aby administrator przetwarzał dane osobowe wyłącznie przez czas niezbędny do osiągnięcia celu przetwarzania.

Uwzględnienie przyjętych założeń uzasadnia wniosek, że zasada minimalizacji danych dopuszcza przetwarzanie danych osobowych wyłącznie wtedy, gdy jest to niezbędne do osiągnięcia celu przetwarzania i wyłącznie w zakresie, w ilości, w sposób i przez czas, jakie są niezbędne do osiągnięcia celu przetwarzania. Powyższy wniosek znajduje bezpośrednie potwierdzenie w treści art. 17 ust. 1 lit a RODO, który uprawnia do żądania usunięcia swoich danych osobowych, gdy „nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane”. Niezbędność danych osobowych do celu przetwarzania wyraża więc istotę regulacyjnej funkcji zasady minimalizacji danych. (…)

W przekonaniu Naczelnego Sądu Administracyjnego należy zwrócić uwagę na specyficzną konstrukcję warunków dopuszczalności przetwarzania danych osobowych. Otóż w art. 6 ust. 1 lit. b-f RODO określono cele przetwarzania danych osobowych rozstrzygając, iż są to: wykonanie umowy (lit. b), wypełnienie obowiązku prawnego ciążącego na administratorze (lit. c), ochrona żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (lit. d), wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. e), osiągnięcie celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (lit. f).

Pierwszy warunek legitymizujący przetwarzanie danych osobowych, określony w art. 6 ust. 1 lit. a RODO, został skonstruowany inaczej. Dopuszcza on przetwarzanie danych osobowych, gdy osoba, której dane dotyczą wyraziła zgodę na to przetwarzanie w jednym lub większej liczbie określonych celów. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit a RODO wymaga więc określenia celu przetwarzania, jednakże samo RODO tego celu nie identyfikuje. Pozwala na określenie celu (lub celów) przetwarzania albo administratorowi danych, albo osobie, której dane dotyczą. W jednym i drugim układzie działaniem koniecznym dla stwierdzenia, że przetwarzanie jest zgodne z prawem konieczna jest zgoda podmiotu, którego dotyczą dane osobowe. (…)

W ocenie Naczelnego Sądu Administracyjnego istnieje silne skorelowanie normatywne pomiędzy zasadą ograniczoności celu (art. 5 ust. 1 lit. b RODO) a konstrukcją zgody na przetwarzanie danych osobowych. Nadanie zgodzie na przetwarzanie danych osobowych cech wymaganych przepisami RODO – dobrowolności, konkretności, świadomości i jednoznaczności (art. 4 pkt 11) – jest bowiem równoznaczne w skutkach z ustalaniem celu tego przetwarzania w sposób konkretny, wyraźny i prawnie uzasadniony (art. 5 ust. 1 lit. b). Jeżeli administrator danych osobowych, realizując ciążący na nim obowiązek informacyjny – art. 13 ust. 1 RODO – najpóźniej w momencie zbierania danych osobowych poinformuje osobę, której te dane dotyczą, o celu przetwarzania danych, zakresie przetwarzanych danych, sposobie przetwarzania danych, okresie przetwarzania danych i osoba ta w warunkach dobrowolności wyrazi zgodę na to przetwarzanie, należy przyjąć, że zasada ograniczenia celu przetwarzania została zrealizowana.

Przedstawione uwarunkowania realizacji zasady ograniczenia celu przetwarzania danych oraz cech, jakie powinna posiadać zgoda na przetwarzanie danych mają zasadnicze znaczenie na wyznaczenie granic stosowania i normowania zasady minimalizacji danych. W ocenie Naczelnego Sądu Administracyjnego wyrażenie zgody na przetwarzanie danych osobowych z zachowaniem rygorów przewidzianych w postanowieniach RODO wyznacza ramy dopuszczalnego działania administratora danych osobowych, które z założenia nie mogą naruszać zasady minimalizacji danych. Wyrażając zgodę na przetwarzanie danych, najpóźniej w momencie rozpoczęcia zbierania danych przez administratora, osoba której te dane dotyczą:

• akceptuje cel przetwarzania danych,
• akceptuje rodzaj (zakres) przetwarzanych danych,
• akceptuje ilość przetwarzanych danych,
• akceptuje sposób przetwarzania danych,
• akceptuje okres przetwarzania danych.

Wyrażenie zgody na przetwarzanie danych osobowych jest więc swego rodzaju uzgodnieniem pomiędzy administratorem danych a osobą, której dotyczą przetwarzane dane, treścią którego jest wspólna ocena, że dla realizacji zaakceptowanego przez te podmioty celu, najlepszym rozwiązaniem będzie przetwarzanie, w przyjęty sposób, określonych zakresowo i ilościowo danych osobowych, przez niezbędny czas. Podmioty procesu przetwarzania danych (administrator i osoba, której dotyczą dane) wspólnie formułują subiektywną ocenę, że będzie on zgodny – między innymi – z zasadą minimalizacji danych.

Przyjęte założenie w kontekście podniesionego w skardze kasacyjnej zarzutu naruszenia art. 5 ust. 1 lit. c RODO ma kardynalne znaczenie. Wyłącza bowiem możliwości podważenia treści zgody na przetwarzanie danych osobowych przez organ nadzoru (PUODO). Naczelny Sąd Administracyjny nie podziela stanowiska organu, że posiada on kompetencję do podważenia prawidłowo wyrażonej zgody na przetwarzanie danych osobowych, poprzez wykazanie, że dla osiągnięcia wskazanego przez administratora danych osobowych celu przetwarzania, wystarczające jest podjęcie innych działań, ingerujących w dane osobowe w niższym stopniu lub w ogóle. Jeżeli podstawą przetwarzania danych osobowych jest zgoda osoby, której te dane dotyczą i jest to zgoda wyrażona w sposób zgodny z rygorami RODO, organ nadzoru nie może kwestionować przyjętego przez strony celu przetwarzania, zakresu i ilości przetwarzanych danych, sposobu ich przetwarzania oraz okresu ich przetwarzania. Wymienione parametry przetwarzania wiążąco dookreślają strony procesu przetwarzania danych osobowych. Jedyny wyjątek od tej reguły został przewidziany w art. 9 ust. 2 lit a RODO, który wyłącza możliwość wyrażenia zgody na przetwarzanie tzw. wrażliwych danych osobowych, jeżeli prawo Unii lub prawo państwa członkowskiego przewidują, że nie można wyłączyć zakazu ich przetwarzania. Skarżący kasacyjnie organ nie wykazał przepisów prawa, które in concreto wyłączałyby możliwość wyrażenia zgody na przetwarzanie przez szkołę danych biometrycznych dzieci.

Naczelny Sąd Administracyjny nie podziela stanowiska organu, że zaaprobowanie ocen prawnych Sądu pierwszej instancji może prowadzić do gromadzenia wszelkich danych osobowych niezależnie od celu przetwarzania. Raz jeszcze należy podkreślić, że przy przetwarzaniu danych osobowych na podstawie prawidłowo wyrażonej zgody osoby, której dane dotyczą to strony procesu przetwarzania danych uzgadniają, jakie dane uznają za niezbędne do osiągnięcia przyjętego celu przetwarzania. Jeżeli organ nadzoru nie wykaże wadliwości samej zgody lub przepisów wyłączających zniesienie zakazu przetwarzania danych wrażliwych (art. 9 ust. 2 lit a in fine), nie ma możliwości formułowania zarzutu naruszenia zasady minimalizacji danych wywodząc brak adekwatności procesu przetwarzania danych do założonego celu przetwarzania. (…)

Raz jeszcze należy podkreślić, że jeżeli osoba, której dotyczą dane, na mocy przyznanej jej treścią art. 6 ust. 1 lit. a bądź art. 9 ust. 2 lit a RODO autonomii, świadomie, dobrowolnie, konkretnie, jednoznacznie, a w odniesieniu do danych wrażliwych również wyraźnie zgodzi się na przetwarzanie jej danych osobowych, wyznaczając „parametry” tego przetwarzania w sposób, który w przekonaniu tej osoby realizuje zadekretowaną w art. 5 ust. 1 lit b RODO zasadę minimalizacji danych, to nie ma podstaw do formułowania odmiennych ocen w tym zakresie. W takim wypadku treść zasady minimalizacji danych „wypełnia” zgoda osoby, której dane osobowe będą przetwarzane. Wszystkie podnoszone przez skarżący kasacyjnie organ zastrzeżenia dotyczące proporcjonalności przetwarzanych danych mogą w takim układzie zostać zweryfikowane w ramach oceny, czy wyrażona na przetwarzanie danych zgoda posiada wymagane postanowieniami RODO przymioty, a więc czy była świadoma, dobrowolna, konkretna, jednoznaczna, a w odniesieniu do danych wrażliwych również wyraźna. Jeżeli osoba wyrażająca zgodę na przetwarzanie swoich danych osobowych podjęła ją w sposób wolny, bez nacisków, szeroko rozumianego przymusu, ze świadomością celu, sposobu i czasu przetwarzania oraz zakresu i ilości udostępnianych danych, nie można zarzucać, że doszło do naruszenia zasady minimalizacji danych, albowiem posiada ona jakieś „obiektywne” i „rozsądne” kryteria realizacji, których przedmiotowa zgoda nie spełnia. Argumentację wspierającą przyjęte stanowisko można zbudować również o treść art. 9 ust. 2 lit e RODO, który znosi zakaz przetwarzania wrażliwych danych osobowych, jeżeli zostały w sposób oczywisty upublicznione przez osobę, której dotyczą. Prawodawca unijny przesądza zatem, że autonomia osoby udostępniającej swoje dane ma najwyższą moc legitymizującą proces ich przetwarzania. Oczywiste upublicznienie swoich wrażliwych danych osobowych jest formą wyrażenia zgody na ich przetwarzanie. W takim układzie trudno wymagać, aby osoba, której dane dotyczą miała świadomość celu, w jakim podmioty, które uzyskają te dane będą je przetwarzać. Nie sposób również weryfikować, czy upublicznione dane osobowe będą adekwatne do celu ich przetwarzania, albowiem na moment ich upublicznienia nie da się ustalić, czy w ogóle będę przetwarzane, a jeżeli tak, to w jakim celu.

Wyłożone względy pozwalają wnioskować, że prawodawca unijny zakłada, iż wola i autonomia osoby, której dotyczą dane osobowe ma zasadniczy wpływ na rozumienie zakresu normowania i stosowania zasady minimalizacji danych (art. 5 ust. 1 lit c RODO), gdy podstawą ich przetwarzania jest zgoda tej osoby.

W ostatnim czasie zapadł wyrok WSA z dnia 10 października 2024 sygn. II SA/Wa 1592/23, gdzie Sąd mówi tak:

Zdaniem Sądu, ustalenie czy numer telefonu, z którym kontaktowała się Spółka w dniu […] października 2019 r. należał do skarżącego czy też należał do klienta Spółki tj. P. sp. z o.o. jest kluczowe dla prawidłowego rozstrzygnięcia sprawy.

Spółka złożyła do akt sprawy wydruk panelu klienta oraz wydruk regulaminu serwisu, z których wynika zarówno fakt podania numeru telefonu, jak i obowiązek podania numeru telefonu klienta (a nie pracownika klienta, czy też nawet jego członka zarządu). W takiej sytuacji, trudno jest uznać jednoznacznie, że podany numer jest numerem prywatnym osoby, zakładającej konto w portalu Spółki dla klienta będącego osobną prawną.

W świetle zgromadzonej dokumentacji, nie można było przesądzić, że podany numer był daną osobową konkretnej osoby, ponieważ stanowił on numer kontaktowy do klienta Spółki i to klienta będącego osobą prawną.

Zdaniem Sądu, rację ma Spółka stwierdzając, że skoro nie chodzi o numer telefonu osoby fizycznej, a numer kontaktowy do osoby prawnej, to nie może być mowy o naruszeniu przepisów RODO wskazanych w zaskarżonej decyzji Prezesa UODO.

Kwestionowane przetwarzanie danych osobowych, jako danych kontaktowych osoby prawnej, wyklucza traktowanie ich w postępowaniu administracyjnym w oparciu o przepisy RODO, jako wyłącznie danych osobowych osoby fizycznej. Ustalenia dokonane w sprawie potwierdzają jedynie, że numer telefonu, na który Spółka kontaktowała się ze skarżącym, jest związany z osobą prawną, ponieważ wskazany zostały w ramach zawierania umowy. To, że do skarżącego – prezesa spółki – skierowano ofertę przeznaczoną dla Zarządu spółki, nie zmienia faktu, że wykorzystano do tego dane firmy. W takiej sytuacji numer telefonu nie może zostać uznany za daną identyfikującą osobę fizyczną, ponieważ jest wykorzystywany w działalności osoby prawnej, i tym samym należało przyjąć, że kwestionowane przetwarzanie numeru telefonu, stanowiącego dane kontaktowe osoby prawnej wyklucza traktowanie go w postępowaniu administracyjnym w oparciu o RODO, jako wyłącznie danych osobowych osoby fizycznej.

Osoba prawna, jako podmiot prawa cywilnego, została zdefiniowana w przepisach ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (t.j. Dz. U. z 2023 r., poz. 1610 z późn. zm.). Szczegółowe uregulowania w tym zakresie zawiera ustawa z dnia 15 września 2000 r. Kodeks spółek handlowych (t.j. Dz. U. z 2022 r. poz. 1467 z późn. zm.). Jedną z cech osób prawnych jest działalność poprzez organy – w przypadku spółki z ograniczoną odpowiedzialnością, czy spółki akcyjnej, jest to m. in. zarząd. To zarząd prowadzi sprawy spółki, wykorzystując ku temu „dane osobowe dotyczące osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym dane (…) kontaktowe osoby prawnej” (motyw 14 RODO).

Skarżący, używając swojego numeru telefonu, jako prezes zarządu wskazanej powyżej spółki, działa w imieniu osoby prawnej.

Zaznaczenia wymaga, że skarżący, jako prezes zarządu spółki, niewątpliwie znajduje się w innej sytuacji zawodowej niż przykładowo osoby posiadające status pracowniczy, ponieważ wyłącznie on sam zadecydował o tym, że jego dane osobowe mają być wskazane, jako dane kontaktowe podmiotu, który reprezentuje.

Można założyć, iż w innym stanie faktycznym możliwe jest nadanie numerowi telefonu przymiotu danych osobowych, jednakże stan faktyczny przedmiotowej sprawy nie daje podstaw, już na pierwszy rzut oka, że w ramach kompetencji Prezesa UODO możliwym było wydanie w przedmiotowej sprawie zaskarżonego rozstrzygnięcia.

Sąd uchylił decyzję Prezesa UODO w której zostało udzielone upomnienie za nieprawidłowości w przetwarzaniu danych osobowych, polegające na wykorzystaniu nr telefonu członka zarządu dla celu marketingu pomimo jego sprzeciwu (żądania usunięcia).

Należy zauważyć że swego czasu Prezes UODO staną na stanowisku zgodnym z niniejszym wyrokiem, że dane osobowe osoby prawnej są wyłączone ze stosowania rodo.

Co do samego rozstrzygnięcia brakuje to jednak kluczowego ustalenia, co do którego zarysował się spór:

1. czy ado dzwonił w celach marketingowych (ado twierdził że nie, skarżący że tak) czy w wykonaniu umowy

i jeszcze ważniejsze, bo rozstrzygające czy rodo ma zastosowanie

2. jeśli dzwoniono z marketingiem to do kogo był skierowany, do spółki którą reprezentował skarżący czy do skarżącego.

Sąd skupił się na kwestii do kogo należał nr telefonu, a tymczasem ważniejsze jest czy nr telefonu był wykorzystany w kontekście życia prywatnego prezesa spółki czy działalności gospodarczej spółki. Ponieważ nawet jeśli nr nie zostałby podany jako nr spółki (dane kontaktowe spółki), ale byłby wykorzystany dla celu kontaktu ze spółką, rodo nie miałoby zastosowania ponieważ nr wykorzystany byłby jako dotyczący osoby prawnej – motyw 14 nie ogranicza się do danych kontaktowych osoby prawnej, dane kontaktowe podaje jako przykład danych które dotyczą osoby prawnej.

Choć zagadnieniem kontrowersyjnym może być pytanie czy o tym, że dane osobowe dotyczą osoby prawnej decydują względy obiektywne czy subiektywne (wola osoby fizycznej). Np. jeśli prezes zarządu sp. z o.o. ma dwa nr telefonu i jeden upublicznia do kontaktu ze spółką a drugi do kontaktu w ramach równolegle prowadzonej działalności jednoosobowej. Czy wykorzystanie tego drugiego dla celów działalności spółki stanowi kontekst osoby prawnej czy fizycznej. Moim zdaniem bardziej właściwe jest przyjęcie koncepcji obiektywnej, co z drugiej strony oznacza że nawet jeśli wykorzystany byłby nr osoby prawnej ale w kontekście osoby fizycznej, to rodo będzie miało zastosowanie (ado dzwoni na nr prezesa zarządu upubliczniony na www spółki, ale komunikat kieruje do sfery prywatnej prezesa spółki czyli wykorzystuje nr w sposób niedotyczący osoby prawnej).

• Dyrektywy UE
• Usługa telekomunikacyjna (łączności elektronicznej)
• Zmiana definicji usługi łączności elektronicznej
• Przykłady usług
• Identyfikacja usługodawcy i usługobiorcy – przykład kanału dla sygnalistów

Dyrektywy UE

Dyrektywa 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym), w motywach 17 i 18 stanowi tak:

(17) usługa społeczeństwa informacyjnego; normalnie za wynagrodzeniem

Definicja usług społeczeństwa informacyjnego obowiązuje już w prawie wspólnotowym w dyrektywie 98/34/WE Parlamentu Europejskiego i Rady z dnia 22 czerwca 1998 r. ustanawiającej procedurę udzielania informacji w zakresie norm i przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego [21], oraz w dyrektywie 98/84/WE Parlamentu Europejskiego i Rady z dnia 20 listopada 1998 r. w sprawie prawnej ochrony usług opartych lub polegających na warunkowym dostępie [22]; definicja ta obejmuje wszystkie usługi świadczone

• normalnie za wynagrodzeniem,
• na odległość,
• za pomocą urządzeń elektronicznych do przetwarzania (łącznie z kompresją cyfrową) oraz przechowywania danych,
• na indywidualne żądanie usługobiorcy;

usługi te, określone w indykatywnym wykazie w załączniku V do dyrektywy 98/34/WE, które nie obejmują przetwarzania i przechowywania danych, nie są objęte niniejszą definicją.

(18) Usługi społeczeństwa informacyjnego

Usługi społeczeństwa informacyjnego obejmują szeroki zakres rodzajów działalności gospodarczej prowadzonych w trybie on-line; takie rodzaje działalności mogą w szczególności polegać na

• sprzedaży towarów on-line;

nie zaliczają się do nich rodzaje działalności takie jak dostawa towarów jako taka lub świadczenie usług off-line;

usługi społeczeństwa informacyjnego nie ograniczają się wyłącznie do usług dających sposobność do zawierania umów on-line, ale, o ile stanowią one działalność gospodarczą, dotyczą także

• usług, które nie są wynagradzane przez tych, którzy je otrzymują, takie jak usługi polegające na oferowaniu
  • informacji on-line lub
  • informacji handlowych lub
  • zapewniających narzędzia umożliwiające szukanie, dostęp oraz pozyskiwanie danych;

w usługach społeczeństwa informacyjnego mieszczą się także

• usługi, które polegają

• na przekazywaniu informacji poprzez sieć komunikacyjną,
• na zapewnianiu możliwości dostępu do sieci komunikacyjnej lub
• na hostingu informacji przekazywanych przez usługobiorcę;

transmisje telewizyjne w rozumieniu dyrektywy 89/552/EWG oraz transmisje radiowe nie są usługami społeczeństwa informacyjnego, ponieważ nie są one świadczone na indywidualne żądanie;

natomiast usługi przekazywane punkt-punkt, takie jak

• usługi wideo na żądanie lub
• przekazywanie informacji handlowych pocztą elektroniczną

stanowią usługi społeczeństwa informacyjnego;

używanie poczty elektronicznej lub innych równorzędnych środków do przekazywania informacji indywidualnych na przykład przez osoby fizyczne działające poza zakresem ich działalności handlowej, gospodarczej lub zawodowej, łącznie używaniem ich w celu zawarcia umowy między tymi osobami, nie jest usługą społeczeństwa informacyjnego;

stosunek umowny między pracownikiem a jego pracodawcą nie jest usługą społeczeństwa informacyjnego;

działania, które ze względu na swój charakter nie mogą być wykonane na odległość lub drogą elektroniczną, takie jak ustawowa kontrola ksiąg rachunkowych lub konsultacja medyczna wymagająca fizycznego badania pacjenta nie są usługami społeczeństwa informacyjnego.

Z kolei dyrektywa ujednolicająca dyrektywę 98/34/WE, czyli DYREKTYWA (UE) 2015/1535 PARLAMENTU EUROPEJSKIEGO I RADY z dnia 9 września 2015 r. ustanawiająca procedurę udzielania informacji w dziedzinie przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego (ujednolicenie) w art. 1 ust. 1 lit. b stanowi:

b) „usługa” oznacza każdą usługę społeczeństwa informacyjnego, to znaczy każdą usługę normalnie świadczoną za wynagrodzeniem, na odległość, drogą elektroniczną i na indywidualne żądanie odbiorcy usług.

Do celów niniejszej definicji:

(i) „na odległość” oznacza, że usługa świadczona jest bez równoczesnej obecności stron;

(ii) „drogą elektroniczną” oznacza, iż usługa jest wysyłana i odbierana w miejscu przeznaczenia za pomocą sprzętu elektronicznego do przetwarzania (włącznie z kompresją cyfrową) oraz przechowywania danych, i która jest całkowicie przesyłana, kierowana i otrzymywana za pomocą kabla, fal radiowych, środków optycznych lub innych środków elektromagnetycznych;

(iii) „na indywidualne żądanie odbiorcy usług” oznacza, że usługa świadczona jest poprzez przesyłanie danych na indywidualne żądanie.

Przykładowy wykaz usług nieobjętych niniejszą definicją został określony w załączniku I;

Polska ustawa (uśude) tak definiuje podstawowe pojęcia:

4) świadczenie usługi drogą elektroniczną – wykonanie usługi świadczonej bez jednoczesnej obecności stron (na odległość), poprzez przekaz danych na indywidualne żądanie usługobiorcy, przesyłanej i otrzymywanej za pomocą urządzeń do elektronicznego przetwarzania, włącznie z kompresją cyfrową, i przechowywania danych, która jest w całości nadawana, odbierana lub transmitowana za pomocą sieci telekomunikacyjnej w rozumieniu ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne;

6) usługodawca – osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która prowadząc, chociażby ubocznie, działalność zarobkową lub zawodową świadczy usługi drogą elektroniczną;

7) usługobiorca – osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która korzysta z usługi świadczonej drogą elektroniczną;

Usługa telekomunikacyjna (łączności elektronicznej)

Od usługi społeczeństwa informacyjnego (śude) należy odróżnić usługę telekomunikacyjną (łączności elektronicznej) regulowaną przez prawo telekomunikacyjne (zostanie uchylone 2024-11-10 i zastąpione przez Prawo komunikacji elektronicznej (PKE)) implementujące, uchyloną przez EKŁE wraz z całym pakietem dyrektyw o łączności, Dyrektywę 2002/21/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej (dyrektywa ramowa) stanowiącą w art. 2 lit. c:

c) „usługa łączności elektronicznej” oznacza usługę zazwyczaj świadczoną za wynagrodzeniem, polegającą całkowicie lub częściowo na przekazywaniu sygnałów w sieciach łączności elektronicznej, w tym usługi telekomunikacyjne i usługi transmisyjne świadczone poprzez sieci nadawcze; nie obejmuje jednak usług związanych z zapewnianiem albo wykonywaniem kontroli treści przekazywanych przy wykorzystaniu sieci lub usług łączności elektronicznej. Spod zakresu niniejszej definicji wyłączone są usługi społeczeństwa informacyjnego w rozumieniu art. 1 dyrektywy 98/34/WE, jeżeli nie polegają one całkowicie lub częściowo na przekazywaniu sygnałów w sieciach łączności elektronicznej;

Obecnie definicja usługi łączności elektronicznej uległa zmianie w EKŁE i podaje ją art. 2 pkt 4:

4) „usługa łączności elektronicznej” oznacza usługę zazwyczaj świadczoną za wynagrodzeniem za pośrednictwem sieci łączności elektronicznej, która obejmuje, z wyjątkiem usług związanych z zapewnianiem albo wykonywaniem kontroli treści przekazywanych przy wykorzystaniu sieci lub usług łączności elektronicznej, następujące rodzaje usług:

a) „usługę dostępu do internetu” zdefiniowaną w art. 2 akapit drugi pkt 2 rozporządzenia (UE) 2015/2120;

b) „usługę łączności interpersonalnej„; oraz

c) usługi polegające całkowicie lub częściowo na przekazywaniu sygnałów, takie jak usługi transmisyjne stosowane na potrzeby świadczenia usług łączności maszyna-maszyna oraz na potrzeby nadawania

Zmiana definicji usługi łączności elektronicznej

Zmiana definicji ma ten m.in. skutek, że dostawcy poczty elektronicznej jak Gmail czy komunikatorów internetowych, którzy przed EKŁE nie podlegali reżimowi regulacji obecnie będą się kwalifikowali, ponieważ usługa łączności elektronicznej będzie obejmowała również nową kategorię łączności interpersonalnej niepolegającej na przekazywaniu sygnałów, czyli choć dostawcy usługi e-mail nie przekazują sygnałów, robi to dostawca Internetu, będą dostawcami usługi łączności elektronicznej po wejściu w życie PKE które implementuje EKŁE.

Motyw 10, 14, 15, 16, 17 EKŁE rzucają dodatkowe światło na relacje między usługą społeczeństwa informacyjnego (śude) a usługą łączności elektronicznej:

(10) usługi łączności elektronicznej a usługi społeczeństwa informacyjnego (świadczone drogą el)

Niektóre usługi łączności elektronicznej objęte niniejszą dyrektywą mogą również wchodzić w zakres definicji „usługi społeczeństwa informacyjnego” zawartej w art. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/1535 ¹³ . Przepisy tej dyrektywy regulujące usługi społeczeństwa informacyjnego mają zastosowanie do wspomnianych usług łączności elektronicznej w zakresie nie objętym bardziej szczegółowymi przepisami mającymi zastosowanie do usług łączności elektronicznej wynikającymi z niniejszej dyrektywy lub innych aktów prawnych Unii. Jednakże usługi łączności elektronicznej, takie jak usługi w zakresie telefonii głosowej, usługi przekazywania wiadomości oraz poczty elektronicznej są przedmiotem niniejszej dyrektywy. To samo przedsiębiorstwo, np. dostawca usług internetowych, może świadczyć usługi łączności elektronicznej w dwóch kategoriach, takich jak świadczenie dostępu do internetu oraz usługi nieobjęte zakresem niniejszej dyrektywy, w tym usługi polegające na dostarczaniu treści opartych na internecie, niezwiązanych z łącznością.

(14) Neutralność technologiczna definicji

Należy dostosować definicje tak, aby były zgodne z zasadą neutralności technologicznej i zachowały aktualność w świetle rozwoju technologicznego, w tym nowych form zarządzania siecią, takich jak poprzez sieci emulowane programowo lub sieci programowalne. W wyniku ewolucji technologicznej i rynkowej sieci przeszły na technologię protokołu internetowego (IP), a użytkownicy końcowi mogą wybierać spośród konkurujących ze sobą dostawców usług głosowych. Dlatego też termin „publicznie dostępne usługi telefoniczne”, stosowany wyłącznie w dyrektywie 2002/22/WE i powszechnie postrzegany jako odnoszący się do tradycyjnych usług telefonii analogowej, powinien zostać zastąpiony bardziej aktualnym i neutralnym pod względem technologicznym terminem „usługa łączności głosowej”. Należy oddzielić warunki świadczenia usług od samych elementów składających się na definicję usługi łączności głosowej, mianowicie udostępnionej publicznie usługi łączności elektronicznej do inicjowania i odbierania, bezpośrednio lub pośrednio, połączeń krajowych lub krajowych i międzynarodowych za pośrednictwem numeru lub numerów istniejących w krajowym lub międzynarodowym planie numeracji, bez względu na to, czy usługa ta opiera się na technologii komutacji łączy czy komutacji pakietów. Cechą charakterystyczną takiej usługi jest jej dwukierunkowość, co pozwala obu stronom na wykonywanie połączeń. Usługa, która nie spełnia wszystkich tych warunków, np. opcja „click-through” na internetowej stronie obsługi klienta, nie jest taką usługą. Usługi łączności głosowej obejmują także środki łączności przeznaczone specjalnie dla użytkowników końcowych z niepełnosprawnościami korzystających z telefonów tekstowych lub usług pełnej konwersacji wideo i tekstowej.

(15) podejście funkcjonalne

Usługi wykorzystywane do łączności oraz środki techniczne pozwalające świadczyć te usługi przeszły ogromną ewolucję. Użytkownicy końcowi coraz częściej zastępują tradycyjną telefonię głosową, wiadomości tekstowe (SMS) i usługi przekazywania poczty elektronicznej funkcjonalnie równoważnymi usługami, takimi jak telefonia internetowa (VoIP), usługi przekazywania wiadomości i obsługa poczty elektronicznej przez internet. Aby zapewnić skuteczną i równą ochronę użytkowników końcowych i ich praw w kontekście korzystania z funkcjonalnie równoważnych usług, przyszłościowej definicji usług łączności elektronicznej nie należy opierać wyłącznie na parametrach technicznych, lecz na podejściu funkcjonalnym. Zakres niezbędnych regulacji powinien być taki, aby mogły one osiągnąć swe cele leżące w publicznym interesie. Chociaż „przekazywanie sygnałów” pozostaje istotnym parametrem określania usług wchodzących w zakres niniejszej dyrektywy, definicja powinna obejmować również inne usługi, które umożliwiają komunikację. Z punktu widzenia użytkownika końcowego nie ma znaczenia, czy dostawca sam przekazuje sygnały lub czy łączność jest zapewniona za pośrednictwem usługi dostępu do internetu. Definicja usług łączności elektronicznej powinna zatem obejmować trzy rodzaje usług, które mogą się częściowo pokrywać, tzn.

• usługi dostępu do internetu w rozumieniu art. 2 ust. 2 rozporządzenia (UE) 2015/2120 Parlamentu Europejskiego i Rady ¹⁴ ,
• usługi łączności interpersonalnej zdefiniowane w niniejszej dyrektywie oraz
• usługi polegające wyłącznie lub głównie na przekazywaniu sygnałów.

Definicja usługi łączności elektronicznej powinna wyeliminować dwuznaczności zaobserwowane podczas wdrażania definicji, która obowiązywała przed wejściem w życie niniejszej dyrektywy i umożliwiać skalibrowane według poszczególnych przepisów stosowanie do różnych rodzajów usług określonych praw i obowiązków określonych w ramach regulacyjnych. Przetwarzanie danych osobowych przez dostawców usług łączności elektronicznej, czy to w ramach wynagrodzenia, czy na innej zasadzie, powinno być zgodne z rozporządzeniem (UE) 2016/679 Parlamentu Europejskiego i Rady ¹⁵ .

(16) zazwyczaj za wynagrodzeniem

Aby wejść w zakres definicji usługi łączności elektronicznej, usługa zazwyczaj musi być świadczona w zamian za wynagrodzenie. W gospodarce cyfrowej uczestnicy rynku coraz częściej uznają, że informacje o użytkownikach mają wartość pieniężną. Usługi łączności elektronicznej są często świadczone na rzecz użytkownika końcowego nie tylko w zamian za świadczenie pieniężne, ale coraz częściej i w szczególności w zamian za dostarczenie danych osobowych lub innych danych. Pojęcie wynagrodzenia powinno zatem obejmować sytuacje, gdy dostawca usług prosi o dane osobowe w rozumieniu rozporządzenia (UE) 2016/679 lub inne dane, a użytkownik końcowy świadomie, pośrednio lub bezpośrednio, udostępnia dostawcy usług takie dane. Powinno ono również obejmować przypadki, gdy użytkownik końcowy zezwala na dostęp do informacji, choć ich aktywnie nie udostępnia, takich jak dane osobowe, w tym adres IP, lub inne automatycznie generowane informacje, takie jak dane gromadzone i przekazywane przez pliki cookie. Zgodnie z orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej (zwanym dalej „Trybunałem”) w sprawie art. 57 TFUE ¹⁶ wynagrodzenie w rozumieniu Traktatu istnieje również wówczas, gdy dostawca usług otrzymuje zapłatę od strony trzeciej, a nie od usługobiorcy. Pojęcie wynagrodzenia powinno zatem obejmować również sytuacje, gdy użytkownik końcowy jest wystawiony na działanie reklamy jako warunku uzyskania dostępu do usługi, lub sytuacje, gdy dostawca usług uzyskuje korzyść pieniężną z danych osobowych, które zgromadził zgodnie z rozporządzeniem (UE) 2016/679.

(17) Usługi łączności interpersonalnej

Usługi łączności interpersonalnej są to usługi, które umożliwiają interpersonalną i interaktywną wymianę informacji, obejmujące takie usługi, jak tradycyjne połączenia głosowe między dwiema osobami, lecz również wszystkie rodzaje poczty elektronicznej, usług przekazywania wiadomości lub czatów grupowych. Usługi łączności interpersonalnej obejmują tylko łączność między skończoną, tzn. nie potencjalnie nieograniczoną, liczbą osób fizycznych, którą określa osoba wysyłająca komunikat. Łączność między osobami prawnymi powinna być objęta zakresem definicji w sytuacjach, gdy osoby fizyczne działają w imieniu tych osób prawnych lub stanowią przynajmniej jedną stronę komunikacji. Łączność interaktywna oznacza, że usługa umożliwia odbiorcy informacji odpowiedź.

Usługi, które nie spełniają tych wymogów, takie jak

• linearne usługi medialne,
• wideo na żądanie,
• strony internetowe,
• sieci internetowe,
• serwisy społecznościowe,
• blogi lub
• wymiana informacji między urządzeniami,

nie powinny być uznawane za usługi łączności interpersonalnej. W wyjątkowych okolicznościach usługi nie należy uznać za usługę łączności interpersonalnej, jeżeli narzędzie do komunikacji interpersonalnej i interaktywnej stanowi wyłącznie nieznaczny dodatek do innej usługi oraz z obiektywnych przyczyn technicznych nie może być użytkowane bez tej usługi głównej, a jego integracja z usługą nie służy obejściu zasad regulujących usługi łączności elektronicznej. Będące elementami definicji terminy „nieznaczny” i „czysto pomocniczy” należy interpretować wąsko i z perspektywy użytkownika końcowego. Funkcję łączności interpersonalnej można uznać za nieznaczną, w przypadku gdy jej obiektywna przydatność dla użytkownika końcowego jest bardzo ograniczona i gdy w rzeczywistości jest ona ledwie wykorzystywana przez użytkowników końcowych. Przykładem funkcji, która mogłaby zostać uznana za nie objętą zakresem stosowania definicji usługi łączności interpersonalnej może być zasadniczo kanał komunikacyjny w grach internetowych, w zależności od funkcji narzędzia do komunikacji wykorzystywanego w usłudze.

O Ile przed EKŁE klasycznym przykładem odróżniającym usługę społeczeństwa informacyjnego od usługi łączności elektronicznej była poczta elektroniczna (e-mail), ponieważ stanowiła tę pierwszą a nie stanowiła tej drugiej, to obecnie poczta elektroniczna będzie przykładem ilustrującym to o czym mówi motyw 10 EKŁE czyli sytuację, że ta sama usługa stanowi jedno i drugie.

Przykłady usług

Ale wracając do śude (usługi społeczeństwa informacyjnego) oprócz poczty elektronicznej oczywistymi przykładami takich usług są:

• vod np. Netflix
• portale społecznościowe jak Facebook
• koszyk lub również konto w sklepie internetowym pozwalające na dokonanie zakupów (zawarcie umowy) online. Pod uśude nie podlega sama sprzedaż ale usługa pozwalająca na zawarcie umowy sprzedaży zdalnie.
• usługa bezpiecznego kanału zgłoszeń dla sygnalistów

A co nie jest usługą świadczoną drogą elektroniczną:

• strona internetowa (wizytówka), ponieważ przede wszystkim nie jest w ogóle usługą, natomiast świadczy usługę drogą elektroniczną dostawca strony www dla przedsiębiorcy który się tą stroną posługuje w Internecie
• formularz do kontaktu na stronie internetowej, ponieważ również nie stanowi usługi a jedynie punkt kontaktowy (analogiczna funkcja jak adres e-mail), usługę drogą elektroniczną świadczy dostawca adresu i skrzynki e-mail, które są wykorzystywany do tego kontaktu
• newsletter, ponieważ również nie jest usługą tylko formą reklamy reklamodawcy, który wysyła newsletter, można powiedzieć że wręcz newsletter jest desygnatem przeciwieństwa tego o czym mówi definicja usługi społeczeństwa informacyjnego bo jest wysyłany (nie jest świadczony i nie jest świadczeniem) normalnie bez wynagrodzenia, świadczeniami są tu usługa główna (np. vod z rabatem) z jednej strony i dane osobowe konsumenta (a bardziej precyzyjnie obowiązek znoszenia reklam przy wykorzystaniu tych danych) z drugiej.

Definicję usługi świadczonej drogą elektroniczną a także obszerny wykaz przykładów usług zawiera Rozporządzenie wykonawcze Rady (UE) nr 282/2011 z dnia 15 marca 2011 r. ustanawiające środki wykonawcze do dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej.

Wykaz usług kwalifikujących się zawiera art. 7 ust. 2 odsyłający pod lit. f do Załącznika I, przykładowo:

• g) informacje generowane automatycznie online przez oprogramowanie po wprowadzeniu przez klienta określonych danych, takich jak dane prawne lub finansowe (w szczególności stale uaktualniane kursy giełdowe);
• a) automatyczne nauczanie na odległość, którego funkcjonowanie wymaga użycia Internetu lub podobnej sieci elektronicznej, wymagające niewielkiego bądź niewymagające żadnego udziału człowieka, łącznie z klasami wirtualnymi, z wyjątkiem sytuacji, gdzie Internet lub podobna sieć elektroniczna wykorzystywana jest jako proste narzędzie służące komunikowaniu się nauczyciela z uczniem;
• b) ćwiczenia wypełniane przez ucznia online i sprawdzane automatycznie, bez udziału człowieka

zaś wykaz usług które się nie kwalifikują art. 7 ust. 3, przykładowo:

• i) usług świadczonych przez specjalistów, takich jak prawnicy i doradcy finansowi, którzy udzielają swym klientom porad za pomocą poczty elektronicznej;
• j) usług edukacyjnych, w ramach których treść kursu przekazywana jest przez nauczyciela za pomocą Internetu lub sieci elektronicznej (tzn. przez zdalne połączenie);
• r) dostępu do Internetu i stron World Wide Web;

Jak widać główną cechą usługi świadczonej drogą elektroniczną jest to, że działa jako samograj, bez udziału człowieka, jest zaprogramowana i automatycznie reaguje na działania (indywidualne żądanie) usługobiorcy. Czyli usługę tę pod względem technicznym świadczy system teleinformatyczny zaprogramowany przez usługodawcę, stąd logiczne jest, że w art. 6 ustawy wymaga aby usługodawca spełnił wobec usługobiorcy obowiązek informacyjny co do tego systemu. Również główny obowiązek powstały po zidentyfikowaniu usługi świadczonej drogą elektroniczną, czyli regulamin o który mowa w art. 8 ustawy, w szczególności dotyczy opisu warunków współpracy systemu teleinformatycznego służącego do świadczenia usługi (usługa jest świadczeniem wzajemnym). Nie należy popełniać błędu wynikającego z potocznego rozumienia zwrotu „świadczenie usługi drogą elektroniczną”, doskonale pokazuje to udzielenie porady prawnej przez e-mail. Wydawało by się że prawnik mailem, czyli drogą elektroniczną, świadczył usługę prawną, czyli świadczył usługę drogą elektroniczną, bo mail z całą pewnością stanowi drogę elektroniczną. Jednak prawnik nie świadczy usługi drogą elektroniczną, tylko przesyła wynik usługi tą drogą, a nie to jest objęte reżimem ustawy. Usługa podlegałaby ustawie gdyby sam prawnik był elektroniczny, czyli prawnikiem byłby system teleinformatyczny – wtedy analiza stanu faktycznego, zidentyfikowanie przepisów mających zastosowanie, interpretacja tych przepisów i subsumpcja czyli ocena prawna, była by świadczona drogą (sposobem) elektroniczną.

Identyfikacja usługodawcy i usługobiorcy – przykład kanału dla sygnalistów

Ciekawym zagadnieniem jest zidentyfikowanie usługodawcy i usługobiorcy w usłudze świadczonej drogą elektroniczną. Przykładowo jeśli mamy bezpieczny kanał dla sygnalistów świadczony przez spółkę X dla organizacji (spółki Y) obowiązanej do wdrożenia ustawy o ochronie sygnalistów a z kanału tego korzystają sygnaliści, to kto jest usługodawcą spółka X czy Y i kto jest usługobiorcą sygnalista czy spółka Y?

Z jednej strony można by powiedzieć, że to spółka Y zapewnia kanał dla sygnalisty przy wykorzystaniu infrastruktury (aplikacji) spółki X. To że spółka Y nie jest właścicielem (dostawcą) tej aplikacji nie powinno mieć znaczenia dla kwalifikacji jej roli usługodawcy wobec sygnalisty, ponieważ usługę można realizować przy wykorzystaniu innego podmiotu (art. 474 k.c.). Jednakże możliwa jest również konstrukcja świadczenia na rzecz osoby trzeciej:

Art.  393.  [Umowa o świadczenie na rzecz osoby trzeciej]

§  1. Jeżeli w umowie zastrzeżono, że dłużnik spełni świadczenie na rzecz osoby trzeciej, osoba ta, w braku odmiennego postanowienia umowy, może żądać bezpośrednio od dłużnika spełnienia zastrzeżonego świadczenia.

§  2. Zastrzeżenie co do obowiązku świadczenia na rzecz osoby trzeciej nie może być odwołane ani zmienione, jeżeli osoba trzecia oświadczyła którejkolwiek ze stron, że chce z zastrzeżenia skorzystać.

§  3. Dłużnik może podnieść zarzuty z umowy także przeciwko osobie trzeciej.

W takiej konstrukcji sygnalista nie byłby stroną umowy (usługobiorcą, wierzycielem) ale podmiotem stosunku prawnego (osobą trzecią) wykreowanego przez spółkę X i Y.

Za tym, że usługodawcą nie jest organizacja Y przemawia jednak przede wszystkim fakt, że zapewnienie kanału zgłoszeń to jest ustawowy obowiązek a nie usługa, którą świadczy organizacja zobowiązania do wdrożenia ustawy o sygnalistach. Czyli usługę świadczy spółka X spółce Y i na rzecz spółki Y. To od spółki Y spółka X otrzymuje wynagrodzenie a nie od sygnalisty i to spółka Y korzysta z usługi a nie sygnalista. Korzystanie z usługi polega tu na zapewnieniu sobie elementu wdrożenia systemu ochrony sygnalisty, jakim jest kanał zgłoszeń, który jest obowiązkiem narzuconym ustawą. Sygnalista nie jest więc ani usługobiorcą ani osobą trzecią z art. 393 k.c, korzysta z kanału zgłoszeń (ustawowego obowiązku organizacji Y) a nie z usługi organizacji X. Dalszą tego konsekwencją jest fakt, że administratorem danych osobowych sygnalisty jest organizacja której zgłasza naruszenie, a dostawca kanału za pośrednictwem którego zgłasza jest procesorem. Jeśli miała by miejsce konstrukcja z art. 393 k.c. do dostawca kanału byłby administratorem który ma własną podstawę prawną dla przetwarzania danych osobowych sygnalisty i umowa powierzenia nie była by mu potrzebna, ponieważ z sygnalistą łączyłby go stosunek obligacyjny (stosunek wykonania), na podstawie którego sygnalista może żądać (roszczenie) spełnienia świadczenia (zapewnienia kanału). Przy tym nawet jeśli została by zawarta tzw. niewłaściwa umowa o świadczenie na rzecz osoby trzeciej, która nie daje roszczenia a jedynie upoważnia do przyjęcia świadczenia, nadal konstrukcja ta na gruncie prawa cywilnego, zapewniałaby dłużnikowi (dostawcy kanału) podstawę legalizacyjną dla przetwarzania danych osobowych sygnalisty (osoby trzeciej).

Zgodnie z art. 24 ust. 6 u.o.s.:

6. Osobie ubiegającej się o pracę na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby podmiot prawny przekazuje informację o procedurze zgłoszeń wewnętrznych wraz z

• rozpoczęciem rekrutacji lub negocjacji

poprzedzających zawarcie umowy.

Z kolei zgodnie z motywem 59 dyrektywy:

(59)

• Osoby, które rozważają zgłoszenie naruszeń prawa Unii, powinny mieć możliwość podjęcia świadomej decyzji o tym, czy, jak i kiedy dokonać zgłoszenia.
• Podmioty prawne w sektorze prywatnym i publicznym, które ustanowiły wewnętrzne procedury dokonywania zgłoszeń, powinny być zobowiązanie do udzielania informacji na temat tych procedur, a także na temat zewnętrznych procedur dokonywania zgłoszeń do odpowiednich właściwych organów. Istotne jest, aby takie informacje były zrozumiałe i łatwo dostępne, w tym, o ile to możliwe, także dla osób innych niż pracownicy, które mają kontakt z danym podmiotem w ramach swojej działalności zawodowej, takich jak
  • usługodawcy,
  • dystrybutorzy,
  • dostawcy i
  • partnerzy handlowi.
• Przykładowo takie informacje mogą być umieszczane w widocznym miejscu dostępnym dla wszystkich takich osób oraz na stronie internetowej podmiotu, a także mogą być uwzględniane w programach kursów i szkoleń na temat etyki i uczciwości.

Organizacja nie ma obowiązku, podobnie jak na gruncie rodo, uzyskać dowodu, że osoba zapoznała się z klauzulą informacyjną, musi natomiast być w stanie wykazać, że dała możliwość zapoznania się. Najbardziej odpowiednim do tego miejscem jest strona www, natomiast informacja o tym, że pełna informacja znajduje się na www powinna być w miejscu gdzie następuje pierwszy kontakt z potencjalnym sygnalistą np. w ogłoszeniu rekrutacyjnym, w stopce maila który służy do kontaktu w tym rozpoczęcia negocjacji. Odebranie oświadczenia potencjalnego sygnalisty, że został poinformowany o procedurze jest uzasadnione tylko wtedy gdy nie ma dowodu, że osoba otrzymała taką informację, np. w postaci maila który miał w stopce informację o procedurze.

Należy przy tym zauważyć, że sytuacja w jakiej sygnalista powziął informację o naruszeniu, nazywana w ustawie „kontekstem związanym z pracą”, bardziej zasługuje na miano „kontekstu związanego z działalnością”, ponieważ dotyczy nie tylko pracowników, nie tylko zatrudnionych niepracowniczo ale również partnerów gospodarczych czyli innych przedsiębiorców, którzy mogą być sygnalistami. Natomiast co ważne sygnalistą nie może być konsument, czyli w przeciwieństwie do rodo, którego przedmiotem regulacji są głównie prawa (ochrona) konsumenta, ustawa i dyrektywa nie zajmują się naruszeniami dostrzeżonymi przez konsumenta – stąd też organizacja (np. apteka) nie ma obowiązku wywieszać klauzuli informacyjnej o procedurze dla klientów, którzy odwiedzają jej lokal.

Co kryje się pod pojęciem informacja o procedurze? Informacja o procedurze to informacja o zasadach ochrony sygnalistów w organizacji, czyli informację tę stanowi cała procedura ewentualnie wyciąg z niej (lub rozdział) zawierający najistotniejsze z pkt widzenia sygnalisty informacje. Najlepiej stosować podejście warstwowe i zamieszczać na www skrócony komunikat zawierający najważniejsze informacje o

• kanałach zgłoszeń,
• zakazie działań odwetowych,
• poufności zgłoszenia,
• warunkach podmiotowych i przedmiotowych zastosowania ustawy (statusie sygnalisty),
• odpowiedzialności za zgłoszenie/ujawnienie publiczne w złej wierze (karna) lub na skutek niedbalstwa czyli przy braku uzasadnionych podstaw by sądzić że informacja jest prawdziwa (cywilna i dyscyplinarna)

oraz dalej (np. pod kolejnym linkiem) całą procedurę.

Aby ustalić czego ustawodawca wymaga w zakresie przyjmowania zgłoszeń i działań następczych (obsługi zgłoszeń) trzeba spojrzeć na kilka przepisów:

Art. 2

    1)     działaniu następczym –

należy przez to rozumieć działanie podjęte przez podmiot prawny lub organ publiczny

• w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz
• w celu przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia,

w szczególności przez

• postępowanie wyjaśniające,
• wszczęcie kontroli lub postępowania administracyjnego,
• wniesienie oskarżenia,
• działanie podjęte w celu odzyskania środków finansowych lub
• zamknięcie procedury realizowanej w ramach wewnętrznej procedury dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych lub procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych;

    4)     informacji zwrotnej –

należy przez to rozumieć przekazaną sygnaliście informację na temat planowanych lub podjętych działań następczych i powodów takich działań;

Art. 25

1. Procedura zgłoszeń wewnętrznych określa:

    1)     wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;

 3)     bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to

• weryfikację zgłoszenia wewnętrznego i
• dalszą komunikację z sygnalistą, w tym
  • występowanie o dodatkowe informacje i
  • przekazywanie sygnaliście informacji zwrotnej;

funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;

W pierwszym rzędzie należy zauważyć, że w słowniczku ustawy działania następcze są wymienione przykładowo a nie wyczerpująco, potwierdza to art. 25 ust. 1 pkt 3 który do działań następczych zalicza przekazanie informacji zwrotnej (czyli informacji o działaniach następczych).

Ustawodawca pozwala przyjmowanie zgłoszeń przekazać na zewnątrz organizacji zaś rozpatrywanie (działania następcze) musi być prowadzone przez personel podmiotu prawnego (wewnątrz).

W praktyce najczęściej z przekazaniem na zewnątrz przyjmowania zgłoszeń będziemy mieli do czynienia w grupie spółek, gdzie kilka postanowi jedną upoważnić do przyjmowania zgłoszeń. W przypadku podmiotu niepowiązanego trudno sobie wyobrazić motywację zlecenia na zewnątrz takiej czynności jak przyjmowanie zgłoszeń.

Dedykowane aplikacje

Należy zauważyć, że korzystanie z dedykowanych kanałów zgłoszeń w postaci specjalnych aplikacji do przyjmowania i obsługi zgłoszenia, nie stanowi przekazania zadania przyjmowania zgłoszeń, chyba że pracownicy dostawcy tej aplikacji samodzielnie odbierali by zgłoszenia i następnie „ręcznie” przekazywali je do osób z wewnątrz organizacji powołanych do działań następczych. Samo korzystanie przez pracownika organizacji (podmiotu prawnego) z zewnętrznego narzędzia nie oznacza przekazania czynności na zewnątrz, analogicznie jeśli Kowalski korzysta ze skrzynki mailowej to nie znaczy, że wysyłanie/odbieranie maili zlecił dostawcy tego narzędzia – sam wysyła maile przy pomocy narzędzia. Również jeśli organizacja jako kanał ustaliła adres mailowy, to nie znaczy że zleciła do Microsoftu przyjmowanie zgłoszeń sygnalistów. Motyw 54 dyrektywy stanowiąc o tym, że można przyjmowanie zgłoszeń przekazać na zewnątrz przykładowo podaje, że można upoważnić dostawcę platformy, doradcę czy audytora a nawet związek zawodowy. Ale można też korzystać z pomocy dostawcy platformy, która polega na dostarczeniu kanału zgłoszeń jednocześnie nie upoważniając go do przyjmowania tych zgłoszeń.

(54) osoby trzecie upoważnione do przyjmowania zgłoszeń

Do przyjmowania zgłoszeń naruszeń w imieniu podmiotów prawnych w sektorze prywatnym i publicznym mogą również zostać upoważnione osoby trzecie, pod warunkiem że zapewniają należyte gwarancje poszanowania niezależności, poufności, ochrony danych i zachowania tajemnicy.

Takimi osobami trzecimi mogą być dostawcy platform na potrzeby zgłoszeń zewnętrznych, zewnętrzni doradcy, audytorzy, przedstawiciele związków zawodowych lub przedstawiciele pracowników.

Art. 28 stanowi, że z osobą z zewnątrz upoważnioną do przyjmowania zgłoszeń należy podpisać umowę powierzenia.

Art. 28. Powierzenie przetwarzania

(Zw. z art. 25 ust. 1 pkt 1 i art. 2 pkt 1)

1. Upoważnienie podmiotu zewnętrznego, o którym mowa w art. 25 ust. 1 pkt 1, wymaga zawarcia umowy w celu powierzenia

• obsługi przyjmowania zgłoszeń wewnętrznych,
• potwierdzania przyjęcia zgłoszenia,
• przekazywania informacji zwrotnej oraz
• dostarczania informacji na temat procedury zgłoszeń wewnętrznych

z zastosowaniem rozwiązań technicznych i organizacyjnych zapewniających zgodność tych czynności z ustawą.

    2. Umowa, o której mowa w ust. 1, określa szczegółowe prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych, o których mowa w szczególności w art. 28 ust. 3 rozporządzenia 2016/679.

Co ciekawe przepis ten niekonsekwentnie przekazanie informacji zwrotnej pozwala zlecić na zewnątrz mimo że zaliczył je do działań następczych a działania następcze pozwala podejmować jedynie wewnątrz organizacji. Wynika z tego, że przekazanie informacji zwrotnej jest jedynym działaniem następczym które można zlecić na zewnątrz, obok:

• obsługi przyjmowania zgłoszeń wewnętrznych,
• potwierdzania przyjęcia zgłoszenia,
• dostarczania informacji na temat procedury zgłoszeń wewnętrznych (spełnienie OI),

przy tym potwierdzenie przyjęcia i spełnienie OI trudno kwalifikować do którejkolwiek z dwóch kategorii (przyjęcie i działania następcze) są to po prostu obowiązki informacyjne wobec sygnalisty.

Przepis ten stanowi lex specialis wobec regulacji rodo, ponieważ rodo nie każdego dostawcę usługi uznaje za procesora, procesorem nie jest dostawca usługi który identyfikuje własną podstawę legalizacyjną i wprost rodo wymienia takiego którego cele i sposoby zostały określone w prawie (zawody regulowane), ponadto wymienia spółki z grupy które mogą przetwarzać dane na prawnie uzasadnionym interesie w wewnętrznych celach administracyjnych. Art. 28 u.o.s. oznacza, że przekazanie funkcji przyjmowania zgłoszeń i w związku z tym przetwarzania danych dla tego celu zawsze wymaga umowy powierzenia.

Umowy powierzenia wymaga również zawarcie umowy z dostawcą aplikacji stanowiącej bezpieczny kanał zgłoszeń (usługą (uśude) nie jest przyjmowanie zgłoszeń tylko dostarczenie narzędzia do przyjmowania zgłoszeń, a zgłoszenia przyjmuje wewnętrznie organizacja przy pomocy zewnętrznego narzędzia), z tych samych powodów dla których na zasadzie powierzenia odbywa się korzystanie ze skrzynki mailowej czy chmury. Również jeśli w aplikacji są takie funkcjonalności jak możliwość ustawienia automatycznego potwierdzenia przyjęcia zgłoszenia, to ustawia to organizacja a nie upoważnia do takiego działania dostawcę, jeśli w tej aplikacji zamieszcza klauzulę informacyjną z u.o.s. to również robi to (dostarcza informacji) sama organizacja a nie dostawca aplikacji w jej imieniu.

Dedykowana aplikacja ma największą doniosłość praktyczną w przypadku organizacji, która decyduje się przyjmować zgłoszenia anonimowe, ponieważ zwykle ma funkcjonalność polegającą na tym, że sygnalista ma dostęp do punktu kontaktowego (i kanału komunikacji w obie strony) bez ujawniania własnych danych kontaktowych i identyfikacyjnych, poprzez unikalne dane autoryzacyjne (np. link i pin).

Radca prawny/adwokat jako zewnętrzny konsultant

Natomiast kontrowersyjnym zagadnieniem może się zdawać czy dopuszczenie w charakterze konsultanta zewnętrznego doradcy w osobie radcy prawnego czy adwokata do działań następczych wymaga umowy powierzenia. Jeśli ten zewnętrzny doradca nie wykonuje zawodu regulowanego to oczywiście tak, ale czy art. 28 u.o.s. stanowiący lex specialis na zasadzie a fortiori oznacza że skoro podzlecenie procesu przyjęcia zgłoszenia wymaga zawsze powierzenia to przekazanie danych w celu uzyskania pomocy przy rozpatrzeniu tym bardziej? Tego typu dylemat należałoby rozstrzygnąć przez wykładnię funkcjonalną stwierdzając, że byłby to absurd wynikający z błędu legislacyjnego żeby adwokata/radcę ustalać jako procesora dla jedynego typu klienta, który przekazuje dane sygnalisty przekazując zgłoszenie w celu uzyskania pomocy prawnej. Jednak taki dylemat w ogóle nie istnieje jeśli spojrzeć na art. 5 u.o.s.

Art. 5. Wyłączenia

1. Ustawy nie stosuje się do informacji objętych:

    1)     przepisami o ochronie informacji niejawnych oraz innych informacji, które nie podlegają ujawnieniu z mocy przepisów prawa powszechnie obowiązującego ze względów bezpieczeństwa publicznego;

    2)     tajemnicą zawodową zawodów medycznych oraz prawniczych;

W związku z tym udostępnienie adwokatowi/radcy danych osobowych zawartych w zgłoszeniu sygnalisty (czyli informacji objętych tajemnicą zawodową) następuje poza reżimem ustawy o ochronie sygnalistów, na zasadach ogólnych. Z przepisu tego wynika również norma stanowiąca, że radca/adwokat nie podlega ochronie (ustawy nie stosuje się) jeśli zgłosiłby naruszenie, o którym dowiedział się wykonując zawód, czyli pracując lub wykonując usługę (pomoc prawną) na rzecz organizacji. Oczywiście dostrzeżone naruszenia radca/adwokat ma wręcz obowiązek zgłaszać organizacji której świadczy usługi (na tym polega pomoc prawna i przeciwko swojemu klientowi – pracodawcy, usługobiorcy – nie działa tajemnica zawodowa) ale poza reżimem ustawy, bez korzystania z kanałów zgłoszeń, czyli bezpośrednio najwyższemu kierownictwu a nie osobom powołanym do przyjmowania zgłoszeń. Nie korzysta również z praw przewidzianych ustawą gdyby dokonał zgłoszenia zewnętrznego czy ujawnienia publicznego.

Najwyższe kierownictwo w zespole do przyjmowania/działań następczych

Na marginesie można powiedzieć, że również w reżimie ustawy informacja o naruszeniu jest ostatecznie przeznaczona dla najwyższego kierownictwa co jest oczywiste (ponieważ ono korzystając z wyników postępowania wyjaśniającego osób powołanych do działań następczych, podejmuje decyzję jak załatwić sprawę) i o czym świadczy motyw 56 dyrektywy, który tak mówi o najwłaściwszych osobach do przyjmowania zgłoszeń i działań następczych: „W przypadku mniejszych podmiotów funkcja ta może być podwójną funkcją sprawowaną przez osobę odpowiedzialną za określone zadania w przedsiębiorstwie, której stanowisko umożliwia zgłaszanie naruszeń bezpośrednio dyrektorowi organizacji”. Dalej jako osobę najwłaściwszą do przyjmowania/działań następczych motyw ten proponuje członka zarządu. Z powyższego wynika, że zgłoszenia wewnętrzne są przewidziane głównie dla sytuacji kiedy sygnalista dostrzega naruszenie dokonywane przez kogoś z personelu niższego szczebla czyli współpracownika czy szefa któregoś działu, natomiast jeśli dostrzega naruszenie samego kierownictwa korporacji, to właściwą reakcją jest zgłoszenie zewnętrzne.

Zgłoszenie gdy podejrzany jest zarząd lub osoby do obsługi zgłoszeń

Ewentualnie jeśli struktura danego podmiotu prawnego przewiduje organ nadzorczy jak rada nadzorcza czy organ stanowiący/właścicielski (lub jego pełnomocnika), to tam może zgłosić sygnalista naruszenie dokonane przez najwyższy organ wykonawczy (zarządczy), niezależnie od przewidzianych kanałów zgłoszeń, stąd też ustawa przewiduje, że na żądanie sygnalisty zawsze musi odbyć się spotkanie jako sposób zgłoszenia. Jeśli uwzględniając hierarchię podmiotu prawnego i istniejące zależności, sygnalista stwierdza że nie ma szans na bezstronne załatwienie sprawy, pozostaje mu zgłoszenie zewnętrzne, które w przeciwieństwie do ujawnienia publicznego, nie jest obarczone żadnymi warunkami, a więc zależy od przekonania sygnalisty, co będzie skuteczne (tu trzeba odnotować, że przepisów o zgłoszeniu zewnętrznym i ujawnieniu publicznym nie stosuje się do naruszeń wykraczających poza ustawowe minimum – art. 3 ust. 2 zd. 2). Z tego względu wydaje się, że należy rekomendować, nieco wbrew motywowi 56, żeby osoby powołane do przejmowania lub działań nadzorczych nie były zbyt blisko zarządu, aby sygnalista miał przekonanie, że jeśli zgłosi naruszenie dokonane przez zarząd, to wyniki postępowania wyjaśniającego trafią do osób kontrolujących zarząd czyli do właścicieli w sensie ekonomicznym, a zarząd nie będzie miał na to wpływu.

Podobnie jeśli podejrzane są osoby do obsługi zgłoszeń, oczywiście zgłoszenie nie powinno być składane do nich (ulegają wyłączeniu) tylko do zarządu.

Pewną dodatkową wątpliwość może tu wprowadzić art. 16 dyrektywy: „1. Państwa członkowskie zapewniają, by tożsamość osoby dokonującej zgłoszenia nie została ujawniona – bez wyraźnej zgody tej osoby – żadnej osobie, która nie jest upoważnionym członkiem personelu właściwym do przyjmowania zgłoszeń i podejmowania w związku z nimi działań następczych.”. Czy w takim razie jeśli zarząd wskaże inne osoby niż członków zarządu do działań następczych, to informacja o zgłoszeniu w tym dane sygnalisty nie mogą trafić do zarządu? Jednak na to pytanie należy dopowiedzieć w ten sposób: skoro zarząd może siebie ustanowić do przyjmowania zgłoszeń i działań następczych, to tym bardziej jest uprawniony do odebrania wyników działań następczych od osób które ustanowił w tym celu, a poza tym istotą działań następczych jest przeciwdziałanie naruszeniu prawa będącemu przedmiotem zgłoszenia, a takie działania można podjąć na najwyższym szczeblu. Ponadto z samego charakteru czynności prawnej upoważniającej wynika, że nie można upoważnić do czegoś do czego samemu nie ma się prawa. Jedyną okolicznością która to wyłącza jest konflikt interesów polegający na tym, że zgłoszenie dotyczy upoważniającego (zarządu) – brak bezstronności wymaganej przez art. 25 ust. 1 pkt 3, który dotyczy wprawdzie upoważnionego ale norma która z niego wynika dotyczy również upoważniającego. Oceny tej nie zmienia

Art. 27. Gwarancja upoważnienie tajemnica

1. Podmiot prawny gwarantuje, że procedura zgłoszeń wewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych uniemożliwiają nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem oraz zapewniają ochronę poufności tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej wskazanej w zgłoszeniu. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.

    2. Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych osób, o których mowa w ust. 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń wewnętrznych, oraz podejmowania działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.

ponieważ przepis ten nie dotyczy upoważniającego podmiotu prawnego (jego organu operacyjnego jak zarząd w spółce kapitałowej) tylko upoważnionego personelu. Podobnie na gruncie prawa ochrony danych osobowych zarząd nie potrzebuje upoważnienia (ado nie upoważnia sam siebie; organ jest składnikiem osobowości osoby prawnej) do przetwarzania danych osobowych tylko upoważnia personel zgodnie za zakresem kompetencji tego personelu, sam będąc kompetentnym we wszystkich procesach co do których upoważnia (oczywiście na gruncie rodo w ogóle nie potrzeba upoważnienia pisemnego).

Rejestr zgłoszeń

Jak stanowi art. 29 podmiot prawny może upoważnić osobę przyjmującą zgłoszenia lub dokonującą działań następczych do prowadzenia rejestru zgłoszeń. W tym zakresie odsyła do art. 25 ust. 1 pkt 1 lub 3 – pkt 1 mówi również o osobach z zewnątrz upoważnionych do przyjmowania (podmiocie który może być jedno lub wieloosobowy). Natomiast do prowadzenia rejestru można wykorzystać narzędzie dostarczone przez zewnętrznego dostawcę, zwykle aplikacja do przyjmowania i obsługi zgłoszeń stanowi jednocześnie rejestr, ponieważ gromadzi wymagane przez art. 29 dane.

Art. 29. Rejestr zgłoszeń

1. Podmiot prawny:

    1)     prowadzi rejestr zgłoszeń wewnętrznych;

    2)     jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych.

    2. Podmiot prawny może upoważnić wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w art. 25 ust. 1 pkt 1 lub 3, do prowadzenia rejestru zgłoszeń wewnętrznych.

Czyli przykładowo kilka spółek z grupy może wyznaczyć jedną do przyjmowania, przekazania informacji zwrotnej, spełnienia OI i prowadzenia rejestru i to wszystko może być również przy wykorzystaniu aplikacji od zewnętrznego dostawcy, który zbudował ją na chmurze od jeszcze innego dostawcy, na gruncie prawa ochrony danych osobowych zajdzie relacja: ado – proc – subproc – subproc.

Należy zauważyć że rejestr elektroniczny jest zasobem, a art. 28 ust. 3 stanowi:

3. Podmioty prywatne, na rzecz których wykonuje pracę zarobkową co najmniej 50, lecz nie więcej niż 249 osób, mogą na podstawie umowy ustalić wspólne zasady dotyczące przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowania wyjaśniającego, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą. Przepisy art. 23 ust. 1 i 2 stosuje się odpowiednio.

Jednakże błędem byłoby tu wnioskowanie a contrario że nie można powierzyć procesu prowadzenia rejestru przy wykorzystaniu zasobu jakim jest rejestr el. Nie ma tu żadnej wspólności zasobów ani zasad. Dochodzi do powierzenia procesu na zasadach ogólnych. Ale nawet gdyby spółki miały wspólny rejestr co miałoby odzwierciedlenie na gruncie rodo w instytucji współadministrowania to u.o.s. nie stoi temu na przeszkodzie, ponieważ istnieje obowiązek wykładni prounijnej a dyrektywa w art. 8 ust. 6 mówi wprost, że:

6. Podmioty prawne w sektorze prywatnym zatrudniające od 50 do 249 pracowników mogą dzielić się zasobami w zakresie przyjmowania zgłoszeń i wszelkich prowadzonych postępowań wyjaśniających. Pozostaje to bez uszczerbku dla obowiązków nałożonych na te podmioty przez niniejszą dyrektywę w zakresie zachowania poufności, przekazywania informacji zwrotnych oraz zaradzenia naruszeniu będącemu przedmiotem zgłoszenia.

Co prawda art. 25 dyrektywy stanowi, że państwo członkowskie może przyjąć przepisy korzystniejsze dla praw sygnalistów, ale wykluczenie korzystania ze wspólnych zasobów korzystnie na prawa sygnalistów nie wpływa stąd należy uznać, że nie jest to zakres zastosowania art. 25.

Decyzja w sprawie przypisania zadań

Redagując procedurę organizacja musi m.in. podjąć decyzję co do osób:

• przyjmujących zgłoszenia
• dokonujących działań następczych.

Nie musi ich definiować przez imię i nazwisko ale powinny być zdefiniowane przez funkcję, np. informatyk, kierownik działu compliance itd. Osoba przyjmująca może jedynie pełnić funkcję techniczną przekazania zgłoszenia do merytorycznej osoby powołanej do działań następczych, ale może być też tak, że osób do działań następczych będzie tyle ile obszarów naruszeń które może zgłaszać sygnalista. W takim razie osoba przyjmująca może mieć zadanie merytoryczne wybrać osobę z wyznaczonych do działań następczych np. szefa działu odo jeśli zgłoszenie brzmi „nie ma wdrożonego rodo, klauzula dezinformuje”. Może być też tak że procedura postanowi, że kierownictwo (np. zarząd spółki, dyrektor szkoły) ad hoc będzie wybierało osoby do działań następczych.

Ze względu na niekonsekwencje w regulacjach ustawowych najlepiej i najbardziej naturalnie jest wyznaczyć jedną osobę do przyjmowania i działań następczych, ewentualnie do niej dobrać kilka osób do działań następczych lub postanowić o powoływaniu takich doraźnie. Powołanie osoby wyłącznie do przyjmowania zgłoszeń ma sens jeśli jest to połączone z koniecznością decydowania przez tę osobę komu przekazać sprawę do działań następczych, czyli jeśli osób do działań następczych jest wiele o różnych kompetencjach.

Procedura powinna też powtarzać normę wynikającą z ustawy, że zgłoszenie nie może trafić do osób, których dotyczy zgłoszenie (podejrzanych cechujących się brakiem bezstronności), chyba że taka jest wola sygnalisty, i wskazywać jako adresata zgłoszenia:

• zarząd, jeśli przedmiotem zgłoszenia są osoby do obsługi zgłoszeń
• osoby kontrolujące zarząd, jeśli przedmiotem zgłoszenia jest zarząd, czyli radę nadzorczą reprezentującą interesy spółki (wspólników w sensie ekonomicznym), albo samych wspólników jeśli nie ma rady nadzorczej.

Na koniec należy podkreślić, że procedura zgłoszeń wewnętrznych ma charakter głównie informacyjny, jest klauzulą informacyjną, natomiast prawo wynika z ustawy. Stąd brak procedury nie oznacza braku możliwości zgłoszeń, zakazu działań odwetowych, statusu sygnalisty itd., brak procedury oznacza jedynie odpowiedzialność zobowiązanych do ustanowienia procedury w podmiocie prawnym, na gruncie u.o.s. tę odpowiedzialność określa art. 58.

Inne artykuły z serii Sygnaliści

Sygnaliści a rodo

Sygnaliści – ustawa podpisana

Sygnaliści – podstawowe pojęcia

Sygnaliści – Przyjęcie procedury zgłoszeń wewnętrznych. Z kim konsultować.

Sygnaliści – jak liczyć 50 pracowników na podmiot prawny

Sygnaliści – obowiązek informacyjny

Art. 23.

1. Przepisy niniejszego rozdziału stosuje się do podmiotu prawnego, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób.

2. Do liczby 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego wlicza się pracowników w przeliczeniu na pełne etaty lub osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób, niezależnie od podstawy zatrudnienia.

3. Próg, o którym mowa w ust. 1, nie ma zastosowania do podmiotu prawnego wykonującego działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych zakresem stosowania aktów prawnych Unii Europejskiej wymienionych w części I.B i II załącznika do dyrektywy 2019/1937.

4. W przypadku podmiotów prawnych będących jednostkami samorządu terytorialnego obowiązki podmiotu prawnego określone w niniejszym rozdziale wykonują jednostki organizacyjne jednostek samorządu terytorialnego, z wyłączeniem art. 28 ust. 5.

5. Przepisów niniejszego rozdziału nie stosuje się do jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 000 mieszkańców.

Skupiając się w tym momencie na podmiotach prywatnych zwykle nie budzi wątpliwości ustalenie jeśli jeden podmiot prowadzi jedną działalność gospodarczą czy też jedną działalność w której występuje kontekst związany z pracą. Ale co w sytuacji gdy jeden podmiot np. Kowalski wpisany do CEIDG albo fundacja wpisana do KRS prowadzi kilka działalności? Kowalski prowadzi warsztat, restaurację i siłownię a fundacja przedszkole, żłobek i szkołę. W ramach każdej działalności zatrudniają 20 pracowników, czyli liczona sama szkoła nie podlega ustawie ale fundacja która zliczy pracowników z 3 działalności podlega.

Art. 23 posługuje się pojęciem podmiot prawny. Podmiot prawny zdefiniowany jest w słowniczku, w art. 2 u.o.s.:

10)   podmiocie prawnym – należy przez to rozumieć podmiot prywatny lub podmiot publiczny;

11)   podmiocie prywatnym – należy przez to rozumieć

• osobę fizyczną prowadzącą działalność gospodarczą,
• osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, lub
• pracodawcę,

jeżeli nie są podmiotami publicznymi;

12)   podmiocie publicznym – należy przez to rozumieć podmiot wskazany w art. 3 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524);

O ile wyliczenie osoby fizycznej i osoby prawnej nie budzi wątpliwości to dodanie zwrotu „lub pracodawcę” może tutaj trochę namieszać, bo pojęcie pracodawcy nie jest jednoznaczne i niekontrowersyjne. W doktrynie i orzecznictwie są niekonsekwencje w definiowaniu kto jest pracodawcą w danym stanie faktycznym. Pracodawcę definiuje nam art. 3 k.p.:

Art. 3.  [Definicja pracodawcy]

Pracodawcą jest jednostka organizacyjna, choćby nie posiadała osobowości prawnej, a także osoba fizyczna, jeżeli zatrudniają one pracowników.

W ramach jednej osoby prawnej (np. spółki) może być kilku pracodawców o czym świadczy art. 241²⁸ k.p.

[Rokowania i zawarcie układu zakładowego]

§ 1. Układ zakładowy może obejmować więcej niż jednego pracodawcę, jeżeli pracodawcy ci wchodzą w skład tej samej osoby prawnej.

Przyjmuje się, że aby w ramach osoby prawnej występował więcej niż jeden pracodawca część osoby prawnej musi być

• wyodrębniona finansowo i organizacyjnie, a także
• jej uprawnienie do samodzielnego (we własnym imieniu) zatrudniania pracowników, czyli bycia stroną umowy, musi wynikać z przepisów wewnętrznych tej osoby prawnej, nie jedynie z upoważnienia organu osoby prawnej (zarządu) dla kierownika wyodrębnionej placówki.

Taka jednostka będzie też płatnikiem dla zatrudnionych pracowników, będzie opłacać za nich składki i dla tego celu ma też odrębny NIP. Wyodrębnienie finansowe (księgowe) polega na prowadzeniu ewidencji zdarzeń gospodarczych przypisanych do tej części przedsiębiorcy jaką jest jednostka. Tak rozumiana jednostka właściwie pokrywa się z definicją zorganizowanej części przedsiębiorstwa (ZCP) wg ustawy o VAT:

27e)

zorganizowanej części przedsiębiorstwa – rozumie się przez to organizacyjnie i finansowo wyodrębniony w istniejącym przedsiębiorstwie zespół składników materialnych i niematerialnych, w tym zobowiązania, przeznaczonych do realizacji określonych zadań gospodarczych, który zarazem mógłby stanowić niezależne przedsiębiorstwo samodzielnie realizujące te zadania;

Natomiast w przypadku osoby fizycznej pracodawcą jest zawsze przedsiębiorca a nie prowadzone przez niego przedsiębiorstwo czyli w przykładzie powyżej liczy się stan zatrudnienia u Kowalskiego a nie w jego siłowni (jednej z placówek) – taki pogląd wydaje się dominować, choć spotykane są też wypowiedzi odmienne (również sądów), jeśli przedsiębiorca stworzy odrębne przedsiębiorstwa (finansowo (księgowo) i organizacyjnie) i tam ustanowi kierowników.

Tak czy inaczej odpowiedzialność wobec pracownika ponosi podmiot, który jest właścicielem majątku czy podmiotem wierzytelności, z którego może być prowadzona egzekucja, czyli nie oddział osoby prawnej (wewnętrzny pracodawca) tylko osoba prawna, w przypadku osoby fizycznej jedynym takim podmiotem jest osoba fizyczna nawet jeśliby sztucznie twierdzić, że pracodawcą jest jakaś wyodrębniona działalność.

Co do szkół niepublicznych prowadzonych przez stowarzyszenie wypowiedział się SN w wyroku z dnia 14 czerwca 2006 r., I PK 231/05, że szkoły które nie mają samodzielności majątkowej i organizacyjnej i nie zatrudniają we własnym imieniu pracowników, nie są pracodawcami dla zatrudnionych nauczycieli.

Ostatecznie w uproszczeniu można powiedzieć, że decydujące z punktu widzenia ustawy o ochronie sygnalistów jest to ilu ma zatrudnionych (również niepracowniczo) dany podmiot prawa będący stroną umowy na podstawie której następuje zatrudnienie a nie zakład pracy w znaczeniu przedsiębiorstwa czyli zbioru składników do prowadzenia działalności jak warsztat, czy restauracja. Dopiero jeśli jednostka będąca częścią osoby prawnej, ma zdolność do czynności prawnych na gruncie prawa pracy, może być uznana za pracodawcę i wtedy ilość jej pracowników (nie ma zdolności do zatrudnienia niepracowniczego) jest miarodajna dla ustawy o ochronie sygnalistów.

• zakładowe organizacje związkowe albo
• przedstawiciele wyłonieni w trybie przyjętym w danym zakładzie pracy (podmiocie prawnym w nomenklaturze u.o.s.) jeśli brak jest zakładowej organizacji związkowej.

Może budzić wątpliwość jak powinien wyglądać tryb przyjęty w podmiocie prawnym, czyli jaki tryb może podmiot prawny przyjąć. Czy np. może przyjąć taki tryb, że prezes zarządu wyznaczy kilku przedstawicieli zatrudnionych i z nimi skonsultuje projekt procedury. U.o.s. tego nie wyjaśnia, dlatego należy sięgnąć w drodze analogii do aktu prawnego specjalnie przeznaczonego dla relacji pracodawcy z pracownikami i ich przedstawicielami, tj. KP. KP w wielu miejscach posługuje się symptomatycznym zwrotem „w trybie przyjętym u danego pracodawcy” w kontekście wyboru przedstawicieli pracowników, jeśli nie działa związek zawodowy. Pracodawca ma obowiązek w ważniejszych sprawach uzyskać niewiążącą opinię albo zgodę (np. monitoring pomieszczeń sanitarnych) przedstawicieli pracowników. Przykładowo w zakresie BHP art. 237^11a przewiduje konieczność konsultacji zaś art. 237^13a wskazuje wprost, że przedstawicieli pracowników wybierają pracownicy. Nie jest to zaskakujące, z charakteru funkcji przedstawicieli pracowników (konsultacje, zgoda zwana również porozumieniem) wynika, że powinni być wybrani demokratycznie, przez załogę a nie przez pracodawcę (kierownictwo pracodawcy), bo pracodawca ma się konsultować nie sam ze sobą tylko z kimś innym od siebie niezależnym, tym bardziej zgodę musi uzyskać od kogoś od siebie niezależnego. Ustawa o ochronie sygnalistów odsyła w tym zakresie do prawa pracy, nie normując zagadnienia w sposób szczególny.

Art. 237^13a.  [Reprezentacja pracowników]

Przedstawiciele pracowników, o których mowa w art. 237^11a i art. 237¹², są wybierani przez zakładowe organizacje związkowe, a jeżeli u pracodawcy takie organizacje nie działają – przez pracowników, w trybie przyjętym w zakładzie pracy.

Wątpliwości może też budzić co oznacza zwrot osób świadczących pracę w ust. 3 pkt 2 art. 24 u.o.s.:

    3. Podmiot prawny ustala procedurę zgłoszeń wewnętrznych po konsultacjach z:

    1)     zakładową organizacją związkową albo zakładowymi organizacjami związkowymi, jeżeli w podmiocie prawnym działa więcej niż jedna zakładowa organizacja związkowa, albo

    2)     przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego, wyłonionymi w trybie przyjętym w podmiocie prawnym, jeżeli nie działa w nim zakładowa organizacja związkowa.

Czy chodzi o pracownika w rozumieniu art. 2 k.p. czyli osobę zatrudnioną na umowę o pracę? Ponieważ pkt 2 musi być spójny z pkt 1 (decyduje o tym wykładnia funkcjonalna i systemowa) a pkt 1 mówi o związkach zawodowych, które reprezentują nie tylko pracownika ale szerzej osoby zatrudnione na innej podstawie prawnej jak również osoby świadczące pracę bez wynagrodzenia (art. 7 ustawy o związkach zawodowych), to należy przyjąć, że zwrot ten obejmuje te osoby, które mogłyby być reprezentowane przez związek zawodowy gdyby działał, czyli wszelkie osoby zatrudnione bez względu na podstawę zatrudnienia i istnienie wynagrodzenia.