Bazę danych osobowych - kupię...

Nie od dziś wiadomo, że „informacja to władza”, a informacje o danych osobowych określonej populacji mogą wprost przełożyć się na zasobność naszego portfela. Dlatego coraz częściej można natrafić na ogłoszenia, gdzie ktoś oferuje sprzedaż bazy danych zawierającej dane osobowe. Czy w ogóle sprzedaż takich baz jest legalna i czy mamy jakikolwiek wpływ na obecność naszych danych w tych zbiorach?

Zgodnie z definicją za dane osobowe uznaje się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Będą to wiec oczywiście imię, nazwisko, adres, numer telefonu, NIP, PESEL, a czasami nawet adres e-mail. Administrator takiej bazy zasadniczo powinien uzyskać zgodę zainteresowanych osób na przetwarzanie ich danych, przy czym ustawa o ochronie danych osobowych „przetwarzanie” rozumie dość szeroko. Dane osobowe można przetwarzać bez zgody zainteresowanej osoby tylko w enumeratywnie określonych w ustawie przypadkach, jeśli:

- jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

- jest to konieczne do realizacji umowy – osoba, której dane dotyczą, jest jej stroną lub jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

- jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

- jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Mając powyższe na uwadze, podmiot chcący sprzedać dane osobowe powinien uzyskać zgodę zainteresowanych osób lub wykazać, że jego działania spełniają którąś z ww. przesłanek. Choć sprawa nie jest do końca jednoznaczna, przyjmuje się, że wyrażana zgoda musi dotyczyć nie tylko przetwarzania danych, ale też sprzedaży. Ponadto, powinien zostać określony podmiot nabywający bazę, a jeśli to nie nastąpi zgoda jest skuteczna tylko wtedy, gdy dane będą przetwarzane w takim samym celu, w jakim zostały zebrane. Nabywający bazę z danymi osobowymi zobowiązany jest poinformować osoby, których dane posiadł o swoim adresie, celu i zakresie zbierania danych, źródle danych, prawie wglądu do danych i ich poprawiania oraz prawie żądania zaprzestania przetwarzania danych osobowych.

Natomiast sprzedaż bazy danych bez uzyskania zgody zainteresowanych osób jest kwestią wysoce problematyczną. Z jednej strony bowiem administrator baz danych zobowiązany jest do szczególnej ochrony interesów osób, których dane dotyczą, z drugiej jednak, gdy po sprzedaży bazy osoby w niej figurujące zostaną o tym poinformowane, to spełnione zostaną obowiązki nakładane przez ustawę.

Ze względu na niejednoznaczności w przepisach, kwestia sprzedaży bazy danych osobowych budzi spore kontrowersje i dopóki ustawodawca nie rozstrzygnie tego możliwa jest obrona argumentacji zarówno w jednym, jak i w drugim kierunku.

Nabycie bazy danych osobowych przez kupującego samo w sobie nie rodzi po jego stronie odpowiedzialności, jeśli nabycie nastąpiło w drodze legalnej czynności prawnej. Przejmując jednak bazę nakłada on na siebie wszystkie ustawowe wymogi obciążające przetwarzających bazy danych.

Paweł Chrząszcz