Za udostępnienie danych osobowych bez podstawy prawnej grozi — zależnie od tego, kto i jak to zrobił — odpowiedzialność administracyjna (kary Prezesa UODO do 20 mln euro lub 4% obrotu dla firm), odpowiedzialność karna (art. 107 ustawy o ochronie danych osobowych: grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat, a przy danych wrażliwych do 3 lat) oraz odpowiedzialność cywilna wobec osoby, której dane ujawniono (odszkodowanie i zadośćuczynienie za naruszenie dóbr osobistych). Poniżej wyjaśniamy, co dokładnie grozi firmie, a co osobie prywatnej — bo to dwie różne sytuacje.
Kiedy udostępnienie danych jest legalne, a kiedy nie?
Udostępnienie danych osobowych nie wymaga zawsze zgody — zgoda to tylko jedna z sześciu podstaw z art. 6 RODO. Legalne jest udostępnienie, gdy wymaga tego przepis prawa (np. na żądanie sądu, policji, ZUS), gdy jest niezbędne do wykonania umowy albo gdy istnieje uzasadniony interes administratora. Nielegalne staje się wtedy, gdy nie da się go oprzeć na żadnej podstawie — klasyczne przykłady to sprzedaż bazy klientów bez podstawy, przekazanie danych pracownika osobie postronnej „po znajomości” czy opublikowanie czyichś danych w internecie, żeby mu dokuczyć.
Co grozi firmie za udostępnienie danych bez podstawy?
Firma (administrator danych) odpowiada przede wszystkim administracyjnie: Prezes UODO może nałożyć karę do 20 mln euro albo 4% rocznego światowego obrotu — w zależności od tego, która kwota jest wyższa. W praktyce polskie kary za nieuprawnione ujawnienie danych idą od kilkudziesięciu tysięcy do milionów złotych, a ich wysokość zależy m.in. od skali, umyślności i współpracy z organem.
Do tego dochodzi odpowiedzialność cywilna: każda osoba, której dane ujawniono, może żądać odszkodowania za szkodę majątkową i zadośćuczynienia za krzywdę (art. 82 RODO oraz ochrona dóbr osobistych z Kodeksu cywilnego). A jeśli ujawnienie było elementem naruszenia ochrony danych — firmę obowiązuje też procedura zgłoszenia do UODO w 72 godziny, o której piszemy w artykule o najczęstszych naruszeniach ochrony danych.
Co grozi osobie prywatnej za ujawnienie czyichś danych?
To pytanie zadaje sobie każdy, komu ktoś opublikował dane w internecie — i tu odpowiedź jest inna niż dla firm. RODO co do zasady nie obejmuje czynności czysto osobistych i domowych, więc Prezes UODO zwykle nie ukarze sąsiada karą administracyjną. Ale to nie znaczy, że osoba prywatna jest bezkarna:
Odpowiedzialność karna — art. 107 ustawy o ochronie danych osobowych z 2018 r. Kto przetwarza dane osobowe, choć ich przetwarzanie jest niedopuszczalne albo nie jest do niego uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do 2 lat — a jeśli dotyczy to danych wrażliwych (zdrowie, poglądy, seksualność itd.), do 3 lat. Ściganie następuje z urzędu; sprawę zgłasza się policji lub prokuraturze.
Odpowiedzialność cywilna. Ujawnienie cudzych danych — zwłaszcza połączone z hejtem, nękaniem czy naruszeniem prywatności — to naruszenie dóbr osobistych. Poszkodowany może pozwać o usunięcie skutków, przeprosiny i zadośćuczynienie pieniężne.
Osobno warto pamiętać o uporczywym nękaniu (art. 190a Kodeksu karnego) — jeśli publikacja danych służy dręczeniu ofiary (tzw. doxing), w grę wchodzi odpowiedzialność za stalking, zagrożona karą do 8 lat pozbawienia wolności.
Co to oznacza w praktyce?
Jeśli to Twoje dane ktoś ujawnił: zabezpiecz dowody (zrzuty ekranu z datą), zażądaj usunięcia danych od publikującego i platformy, złóż skargę do UODO (gdy ujawniającym jest firma) albo zawiadomienie na policję (art. 107 — gdy to osoba prywatna), a przy szkodzie rozważ pozew cywilny. Gdzie dokładnie kierować skargę — sprawdź w artykule gdzie można zgłosić naruszenie RODO. Jeśli ujawniono Twój PESEL — zastrzeż go od razu, to zamyka drogę do wyłudzeń.
Jeśli prowadzisz firmę: upewnij się, że każdy przypadek przekazywania danych na zewnątrz ma podstawę prawną i umowę powierzenia tam, gdzie trzeba. Większość „udostępnień bez zgody” w firmach to nie zła wola, tylko brak procedur — pracownik po prostu nie wiedział, że nie wolno.
Najczęstsze pytania
Czy mogę udostępnić czyjeś dane, jeśli są publicznie dostępne?
To, że dane są dostępne (np. w KRS czy na stronie firmowej), nie oznacza dowolności ich dalszego wykorzystania — liczy się cel i podstawa. Zebranie publicznych danych do własnej bazy marketingowej nadal wymaga podstawy z art. 6 RODO.
Czy publikacja czyjegoś wizerunku to też udostępnienie danych?
Tak — wizerunek pozwalający rozpoznać osobę jest daną osobową, a dodatkowo chroni go prawo cywilne (art. 81 prawa autorskiego wymaga zgody na rozpowszechnianie).
Ktoś opublikował moje dane w internecie — od czego zacząć?
Od dowodów i żądania usunięcia (publikujący + platforma). Równolegle: skarga do UODO lub zawiadomienie organów ścigania, zależnie od tego, kto ujawnił dane.
Czy pracownik, który wyniósł dane z firmy, popełnia przestępstwo?
Może odpowiadać z art. 107 ustawy o ochronie danych, a niezależnie od tego dyscyplinarnie i cywilnie wobec pracodawcy. Firma zaś musi ocenić incydent jako potencjalne naruszenie i ewentualnie zgłosić je do UODO.
Potrzebujesz wsparcia w sprawie ujawnienia danych?
Pomagamy zarówno firmom (ocena incydentu, zgłoszenie do UODO, komunikacja z osobami), jak i organizacjom, które chcą uporządkować zasady udostępniania danych, zanim coś pójdzie nie tak. Zobacz outsourcing funkcji IOD albo skontaktuj się z nami.