Decyzja UODO: żądanie otrzymania kopii danych osobowych nie oznacza konieczności wydania kopii dokumentów

Bardzo wielu administratorów, szczególnie z sektora publicznego, skarży się na nadmierne koszty związane z żądaniami osób, które dane dotyczą w zakresie wydania im kopii wszystkich ich danych osobowych, w szczególności:

• kopii akt osobowych;
• kopii wszystkich operacji na danych w systemie kadrowo-płacowym;
• kopii korespondencji mailowej;
• kopii wszystkich notatek służbowych, w których pojawiają się dane tej osoby;
• kopii wszystkich dokumentów, w których pojawiają się dane tej osoby;
• kopii wszystkich nagrań, na których pojawia się ta osoba.

W praktyce, nawet bardzo dobrze zorganizowany administrator, stanie przed ogromnym problemem, aby odnaleźć wszystkie dokumenty zawierające dane osobowe wnioskującego, szczególnie gdy trzeba przejrzeć nie tylko systemy informatyczne, umożliwiające wyszukiwanie, ale także segregatory zawierające dane osobowe. Koszty takiego działania mogą być ogromne, a nadmierne żądania są w stanie „wykończyć” administratora. Wyobraźmy sobie sytuację, gdy niezadowoleni pracownicy, zamiast żądać podwyżek, stosują strajk polegający na zarzuceniu pracodawcy (administratora danych) takimi żądaniami. Prezes UODO jeszcze do niedawna stał na stanowisku, że każde żądanie z art. 15 RODO trzeba spełnić z dochowaniem najwyższej staranności. Należy podkreślić, że artykuł 12 RODO daje administratorowi możliwość odmówienia wykonania żądania, jeżeli jest ono nadmierne lub pobrania opłaty, jeżeli wiąże się z nadmiernymi kosztami, jednakże szkopuł tkwi w szczegółach, czyli tym kiedy można powołać się na „nadmierność żądania”.

Pierwsza kara nałożona przez Prezesa UODO jest dowodem na to, że z punktu widzenia organu decydujące znaczenie mają nie tyle koszty, co ewentualne negatywne konsekwencje dla osoby, której żądanie zostanie odrzucone. W decyzji nr ZSZZS.440.660.2018 z dnia 22 marca 2019 Prezes UODO zwróciła uwagę na to, że administrator może zrealizować obowiązek sporządzenia kopii danych na mocy art. 15 RODO, nie tylko poprzez faktyczne przekazanie kopii dokumentów, ale także poprzez przekazanie wyciągu z tych dokumentów, np. notatki służbowej, w której zostaną wskazane dane o charakterze osobowym, przetwarzane przez administratora. Decyzja została wydana w związku ze skargą pracownika na pracodawcę, który nie wydał mu pełnej kopii jego danych osobowych. Pracodawca po otrzymaniu żądania sporządzenia kopii danych, przesłał na adres poczty elektronicznej pracownika zaszyfrowany plik składający się ze 138 stron zawierających dane osobowe wnioskodawcy pochodzące z akt osobowych i systemu płacowo-kadrowego. Powyższe dokumenty zostały również wysłane drogą pocztową. Wnioskujący o wydanie kopii dokumentów pracownik, wniósł skargę do Prezesa UODO, gdyż pracodawca nie przekazał mu kopii jego danych osobowych znajdujących się w dokumentach: piśmie z dnia […] listopada 2017 r. do […], notatce służbowej z dnia […] lutego 2018 r. przekazanej do Ministerstwa Środowiska, piśmie z dnia […] listopada 2017 r. do Generalnego Inspektora Ochrony Danych Osobowych oraz piśmie z dnia […] lutego 2018 r. do Biura Kontroli i Audytu Wewnętrznego Ministerstwa Środowiska. Prezes UODO rozważając skargę, zauważył pewien problem związany z kosztami realizacji żądań z art. 15 RODO. Z pewnością jest to jedna z bardzo wielu skarg, jakie wpłynęły do Prezesa UODO w tej sprawie, więc decyzja została opublikowana, aby rozwiązać palący problem nadmiarowości żądań, jaki zaczyna się tworzyć. Prezes UODO w swojej decyzji stwierdził:

Podkreślić należy, że udostępnienie kopii danych zawartych w dokumentach (np. w pismach urzędowych), zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Administrator nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO i nie dotyczą wnioskującego. Realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO. Nie ma zatem konieczności udostępniania każdego z posiadanych dokumentów, jeżeli zakres danych, który jest w nich zawarty jest taki sam. Podkreślenia również wymaga, że w przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie. Administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach. Mając powyższe na uwadze należy stwierdzić, iż Placówka w prawidłowy sposób wypełniła wobec Skarżącego obowiązek informacyjny określony w art. 15 ust. 1 oraz ust. 3 RODO. 

Decyzja jest przełomowa – administrator nie musi ponosić nadmiernych kosztów w związku z kopiowaniem wszystkich nośników danych, wystarczy że przekaże informację o zakresie przetwarzanych danych. Powyższe można przełożyć także na żądanie kopii nagrania z monitoringu. Wyobraźmy sobie zakład produkcyjny z 20 kamerami działającymi non stop (kwestia bezpieczeństwa pracy, bo maszyny pracują 24 godziny na dobę). Były pracownik w ramach zemsty żąda od nas nagrania z jego wizerunkiem z ostatnich 30 dni pracy (tyle czasu przechowujemy nagranie). Pracodawca, aby zrealizować żądanie musi przejrzeć w sumie 14 400 godzin! Na każdym nagraniu musiałby odnaleźć pracownika, czyli niezbędne jest zaangażowanie osoby, która jest w stanie rozpoznać wnioskującego na nagraniach, a następnie powinien dokonać anonimizacji wizerunków innych osób na nagraniach. Konieczne może być także wymazanie danych technologicznych, mogących stanowić tajemnicę przedsiębiorstwa. W myśl stanowiska Prezesa UODO z decyzji ZSZZS.440.660.2018, wystarczyłoby przekazanie informacji, że na nagraniach jest faktycznie utrwalony wizerunek wnioskującego, w tym wydruku (zdjęcia) z nagrania, które potwierdza jego wizerunek.