Czy szkoły jazdy przetwarzają dane osobowe?

Co to są dane osobowe, kiedy możemy je przetwarzać, na kim ciążą obowiązki związane z ich ochroną? Odpowiedzi na te pytania możecie, szanowni Czytelnicy, znaleźć w niniejszym tekście.

Ochrona danych osobowych jest tematem wciąż zyskującym na popularności. Dzieje się tak wraz z napływającymi informacjami o kolejnych wyciekach danych z banków, portali randkowych czy społecznościowych. Na to nakładają się coraz bardziej wnikliwe kontrole, przeprowadzane przez generalnego inspektora ochrony danych osobowych u wszelkiego rodzaju podmiotów, pod kątem przestrzegania ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych.

Co to są dane osobowe?

Zgodnie z ustawą, danymi osobowymi są wszelkie informacje identyfikujące lub umożliwiające identyfikację osoby fizycznej. Za dane umożliwiające identyfikację uważa się wszelkiego rodzaju numery identyfikacyjne lub też dane określające cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Innymi słowy, daną osobową będzie m.in. imię, nazwisko, numer PESEL, ale czasem nawet numer VIN. Policja, która ma dostęp do informacji zgromadzonych w centralnej ewidencji kierowców, jest w stanie, bez nadmiernego kosztu, czasu i działań, zidentyfikować konkretną osobę po numerze VIN.

Jak szkoła jazdy przetwarza dane osobowe?

Szkoła jazdy, jak każde przedsiębiorstwo, ma pracowników, klientów oraz kontrahentów. Zatem musi przetwarzać ich dane osobowe. Natomiast uporządkowane w pewną strukturę dane nazywamy zbiorem danych osobowych. Zbiorem takim jest np. lista kandydatów do pracy. Ustawa nakłada na przedsiębiorstwa obowiązek rejestracji pewnych kategorii zbiorów.

Jedną z najtrudniejszych do zrozumienia kwestii z zakresu danych osobowych jest pojęcie ich przetwarzania. Wiele osób błędnie zakłada, że temat ich nie dotyczy, póki nie spisuje danych na kartce lub nie wprowadza ich do systemu informatycznego. W celu uściślenia potocznego znaczenia tego słowa należy sięgnąć do definicji, zgodnie z którą przetwarzaniem jest wykonywanie jakichkolwiek operacji na danych osobowych, tj.: zbieranie, przechowywanie, opracowywanie, zmienianie, udostępnianie czy też usuwanie, zwłaszcza jeżeli realizuje się je w systemach informatycznych. Podmiotem przetwarzającym dane osobowe będzie np. firma niszcząca lub archiwizująca dokumenty.

Jakie warunki musi spełnić szkoła jazdy, żeby móc legalnie przetwarzać dane osobowe?

Do przetwarzania danych zgodnie z prawem potrzebna jest m.in. zgoda udzielona przez osobę, której dane będą przetwarzane, umowa bądź odpowiedni przepis prawa. Jeżeli szkoła spełni którąś z tych przesłanek i zostanie administratorem danych osobowych (ADO), musi pamiętać o obowiązkach wynikających z ustawy. Pierwszy z nich to obowiązek informacyjny wypełniany przy zbieraniu danych (art. 24 i 25 ustawy), drugi dotyczy dochowania szczególnej staranności przy przetwarzaniu danych osobowych w celu ochrony interesów osób, których dane przetwarza (art. 26 ustawy). ADO zobowiązany jest również do udzielania informacji o celu i zakresie przetwarzania danych osobowych (art. 33). ADO ma również obowiązek uzupełniania, uaktualniania, prostowania danych, wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru, gdy żąda tego osoba, której dane są przetwarzane (art. 35). Ustawa nakłada też na ADO obowiązek stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną (art. 36), jak również do kontrolowania, jakie dane, kiedy i przez kogo zostały wprowadzone do zbioru i komu są przekazywane (art. 38). ADO prowadzi ewidencje osób upoważnionych do przetwarzania danych osobowych (art. 39) oraz w przypadkach przewidzianych w ustawie (art. 40) zgłasza zbiór do rejestru GIODO.

Czy to koniec obowiązków?

Od 1 stycznia 2015 roku ADO może wykonywać powyższe zadania sam lub wyznaczyć administratora bezpieczeństwa informacji (ABI), który będzie odpowiedzialny m.in. za: wdrożenie dokumentacji ochrony danych osobowych i przeszkolenie pracowników. Wyznaczenie i zgłoszenie ABI do GIODO zwalnia również ADO z obowiązku zgłoszenia zbiorów do GIODO z wyjątkiem zbiorów z danymi tzw. wrażliwymi (np. informacje o stanie zdrowia).

Czy na ośrodkach szkolenia kierowców będzie ciążył obowiązek zgłoszenia wszystkich posiadanych zbiorów do GIODO?

Ustawodawca przewidział pewne wyjątki. Przykładowo zbiory z danymi osobowymi kandydatów na kierowców zawarte w tzw. profilach kandydata nie będą podlegały zgłoszeniu. Ustawa zwalnia bowiem z obowiązku rejestracji administratorów danych osób uczących się, a za takie należy uznać kandydatów na kierowców.

Anna Czyżewska, prawnik z firmy PIN Consulting sp. z o.o.