Na jakie błędy UODO zwraca uwagę w zakresie przestrzegania przepisów RODO?
A.K.: Urząd Ochrony Danych Osobowych jest teraz zasypywany skargami i wnioskami od osób, które twierdzą, że ich dane osobowe są przetwarzane w sposób niewłaściwy. O tym, na jakie błędy zwraca uwagę PUODO, dowiadujemy się, dopiero kiedy zainterweniuje. W tym momencie mamy trzy postępowania zakończone nałożonymi przez PUODO karami administracyjnymi. Te decyzje nie są jeszcze prawomocne, sprawy nie są zatem zakończone i zapewne zostaną od nich złożone odwołania. Pierwsza kara jednak niejako na nowo „przemówiła" do spółek, a jej wysokość – 1 mln złotych – spowodowała, że spółki znów poczuły, jak ważne okazuje się należyte wdrożenie RODO w organizacji. Z kolei trzecia kara, w wysokości 2,83 mln zł, jest o tyle istotna, że została nałożona na spółkę za wyciek danych jej klientów, będący wynikiem ataku hackerskiego. Kara ta zwraca uwagę, jak niezwykle ważny w ochronie danych osobowych jest poziom i sposób zabezpieczeń technicznych i informatycznych.
UODO nie pozostawia nas jednak samych z problemami wdrożenia RODO. Częsta obecność w mediach, a także liczne publikacje pozwalają zaobserwować obszary, które zdaniem UODO wymagają jeszcze wytężonej pracy. Przede wszystkim są to: nieprawidłowe realizowanie obowiązku informacyjnego – niezrozumiały język, zbyt obszerne klauzule, brak przejrzystości procesu przetwarzania danych, brak odpowiednich zabezpieczeń technicznych. Kolejne elementy to nadmiarowość przetwarzania danych i powracająca po raz kolejny obligatoryjność przy zgodzie marketingowej. Warto też zwrócić uwagę, że UODO rekomenduje zwrócenie większej uwagi na prawidłowe zidentyfikowanie zagrożeń związanych z przetwarzaniem danych oraz techniczne zabezpieczenie posiadanych danych.
Jaka jest specyfika ochrony danych osobowych w spółce giełdowej?
Magdalena Golonka: Głównymi grupami danych osobowych w spółce giełdowej są dane pracowników spółki, akcjonariuszy, klientów, a także dane związane z wykonywaniem obowiązków giełdowych przez spółkę. Każda z tych grup danych osobowych jest inna, a poza RODO także odrębne przepisy nakładają na spółkę specyficzne, dodatkowe obowiązki związane z tymi danymi. Przykładowo w zakresie danych związanych z wykonywaniem obowiązków giełdowych spółka zobowiązana jest prowadzić listę osób uprawnionych do udziału w walnym zgromadzeniu akcjonariuszy, listę osób mających znaczny pakiet akcji, listę insiderów, listę osób blisko związanych etc. Tych kategorii danych osobowych jest dużo, a spółki nie do końca wiedzą, jak radzić sobie z tymi danymi np. w zakresie listy insiderów czy też listy obecności na walnym zgromadzeniu. Zacznijmy od tego, że z RODO wynika, że nigdy nie powinniśmy zbierać danych na zapas. Zbieramy tyle, ile rzeczywiście musimy w świetle realizowanego celu. Jest to tzw. zasada minimalizacji (adekwatności). Rozporządzenie MAR nie wskazuje, jakie konkretnie dane osobowe powinny zostać zamieszczone na liście, posługując się w art. 18 ust. 3 lit. a ogólnym sformułowaniem „dane osobowe". Wątpliwości w tym zakresie usuwa przyjęte przez Komisję Europejską rozporządzenie wykonawcze 2016/347 z 10 marca 2016 r. ustanawiające wykonawcze standardy techniczne w odniesieniu do określonego formatu osób mających dostęp do informacji poufnych i ich aktualizacji. Wskazane w rozporządzeniu wykonawczym dane osobowe możemy przetwarzać bez uzyskania zgody podmiotów danych.
W przypadku listy obecności na walnym dobrze te dane anonimizować i jest to bezpieczne dla spółki. W naszej ocenie listy obecności lepiej w ogóle nie załączać do publikacji raportu bieżącego, np. na stronie internetowej spółki. Należałoby także zwrócić uwagę na to, żeby osoby trzecie nie uzyskały z niej danych osobowych innych uczestników walnego zgromadzenia akcjonariuszy. Po zakończeniu walnego zgromadzenia akcjonariuszy spółka musi z kolei przekazać listę osób, które wzięły w nim udział, robi to jednak na podstawie przepisów prawa, więc nie potrzebuje do tego osobnej zgody od akcjonariuszy. Kolejne pytania pojawiają się w przypadku wyznaczania pełnomocników do udziału w walnym zgromadzeniu – spółka bowiem musi sprawdzić, czy dana osoba jest tą, która jest umocowana do działania na podstawie pełnomocnictwa. Spółki mogą pytać o imię i nazwisko oraz numer PESEL, tak aby mieć pewność, że działający w imieniu akcjonariusza pełnomocnik jest rzeczywiście prawidłowo umocowany.
