W grudniu na naszym blogu opublikowany został artykuł rozpoczynający serię poświęconą realizacji praw osób, których dane dotyczą. W niniejszym artykule przybliżone zostanie kolejne z uprawnień, jakim jest prawo do sprostowania danych.
Po lekturze niniejszego artykułu czytelnik będzie wiedział:
- Czym jest prawo do sprostowania danych?
- Czym są dane nieprawidłowe?
- Czym są dane niekompletne?
- Jaki jest związek prawa do sprostowania danych z podstawowymi zasadami przetwarzania danych z art. 5 RODO?
- Jak w praktyce zrealizować prawo do sprostowania danych?
- Czy administrator może odmówić realizacji prawa do sprostowania danych?
- Czy prawo do sprostowania danych zostało zawarte również w innych przepisach?
Czym jest prawo do sprostowania danych?
Prawo do sprostowania danych jest tzw. uprawnieniem korekcyjnym, ponieważ umożliwia korygowanie danych osobowych. Często skorzystanie z tego prawa poprzedzone jest realizacją uprawnień informacyjnych przysługujących osobie, której dane dotyczą. Nie jest to jednak konieczne, ponieważ często osoby same decydują się na skorzystanie z prawa do sprostowania danych. Mogą one bowiem znać swoje prawa oraz pamiętać zakres danych zebranych przez administratora i stwierdzić ich nieaktualność, nawet jeśli nie został wobec nich zrealizowany obowiązek informacyjny. Jeżeli jednak osoba, której dane dotyczą nie jest świadoma treści swoich danych osobowych przetwarzanych przez ADO może skorzystać z prawa dostępu.
Prawo do sprostowania danych jest regulowane art. 16 RODO, zgodnie z którym „Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia”.
Zgodnie z powyższym na podstawie art. 16 RODO możemy wyróżnić dwa uprawnienia:
1) prawo do sprostowania danych nieprawidłowych;
2) prawo do sprostowania niekompletnych danych.
Czym są dane nieprawidłowe?
Osoba, której dane dotyczą po skorzystaniu z uprawnień informacyjnych lub prawa dostępu do danych może stwierdzić, że jej dane są nieprawidłowe. Nieprawidłowość danych oznacza ich niezgodność ze stanem faktycznym. Może to oznaczać, że dane są nieaktualne. Częstą przyczyną uaktualnienia danych osobowych jest np. zmiana nazwiska lub zmiana miejsca zamieszkania. Może być to także uaktualnienie danych kontaktowych (np. numeru telefonu lub adresu mailowego). Niepoprawne dane to również takie, które zapisane są w sposób błędny. Najczęstszym błędem w zapisie są błędy pisarskie, czyli tzw. literówki.
Kiedy dane są niekompletne?
Uprawnienie do sprostowania danych niekompletnych nie ma charakteru bezwzględnego. Zgodnie z zasadą „ograniczenia celu” wyrażoną w art. 5 ust. 1 lit. c RODO dane osobowe muszą być „zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi”. Niekompletność danych ma charakter subiektywny, ponieważ jest uzależniona od oceny podmiotu danych. Oznacza to, że jest ustalana w relacji do celów przetwarzania danych.
Administrator oceniając zasadność żądania do sprostowania danych niekompletnych każdorazowo powinien wziąć pod uwagę cele przetwarzania danych osobowych. Jeżeli realizacja celów przetwarzania uzasadnia uzupełnienie niekompletnych danych, ADO powinien spełnić żądanie podmiotu danych. Natomiast w przypadku, kiedy realizacja celów przetwarzania nie wymaga uzupełnienia danych, administrator będzie mógł odmówić realizacji prawa do sprostowania danych niekompletnych (więcej informacji o odmowie uwzględniania żądania można znaleźć w dalszej części artykułu). Działania te mają na celu ograniczenie przetwarzania zbyt szerokiego zakresu danych, co z kolei stanowi wyraz zasady minimalizacji danych.
Jaki jest związek prawa do sprostowania danych z podstawowymi zasadami przetwarzania danych z art. 5 RODO?
Jak już można się było przekonać powyżej, prawo do sprostowania danych jest rozwinięciem podstawowych zasad dotyczących przetwarzania danych osobowych z art. 5 RODO. Zasady ograniczenia celu oraz minimalizacji danych wymagają podjęcia przez administratorów działań zapewniających przetwarzanie danych adekwatnych, stosownych i niezbędnych do celu. Działania te z kolei można zrealizować przy założeniu, że dane są przetwarzane zgodnie z zasadą prawidłowości opisaną poniżej.
Jeżeli zastanawiasz się, czy przetwarzasz dane osobowe zgodnie z zasadą minimalizacji skorzystaj z naszego krótkiego poradnika.
Zgodnie z zasadą prawidłowości danych wyrażoną w art. 5 ust. 1 lit. d RODO dane osobowe muszą być „prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane”. Wspomniano w niej o sprostowaniu jako sposobie dbania o prawidłowość przetwarzanych danych. Należy oczywiście pamiętać, że zgodnie z zasadą prawidłowości administrator powinien podejmować aktywne działania zmierzające do przetwarzania jak najbardziej prawidłowych oraz aktualnych danych. Jednakże pomocnym instrumentem w tym zakresie jest uprawnienie podmiotu danych do ich sprostowania. Zwłaszcza, gdy ADO nie jest w stanie dowiedzieć się o zmianie danych inaczej niż tylko z wniosku osoby, której one dotyczą.
Sprostowanie danych w praktyce
Przepisy RODO nie precyzują wprost formy, w jakiej należy skierować żądanie sprostowania danych. Nie budzi jednak wątpliwości pogląd, zgodnie z którym żądanie to powinno przyjąć formę wniosku. Musi on zawierać informacje (w tym identyfikujące wnioskodawcę) pozwalające administratorowi uwzględnić i prawidłowo obsłużyć otrzymane żądanie.
Zgodnie z zasadą rozliczalności otrzymanie wniosku powinno być udokumentowane poprzez utrwalenie jego treści. W związku z tym najbardziej celową formą wniosku będzie pisemna (zarówno w formie tradycyjnej, jak i elektronicznej). Nie oznacza to, że forma ustna nie jest dopuszczalna. W przypadku utrzymania wniosku o sprostowanie danych w formie ustnej administrator powinien zapewnić odpowiednie procedury, które pozwoliłyby na jego utrwalenie lub przynajmniej zarejestrowanie tożsamości wnioskodawcy i przedmiotu wniosku. Innym przykładem udokumentowania wniosku może być nagranie rozmowy na infolinii.
W celu skorzystania z prawa do sprostowania danych nie wystarczy jedynie wskazać nowej treści danych. Zdaniem przedstawiciela doktryny dr hab. Pawła Fajgielskiego – wyrażonym w „Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II” – osoba, której dane dotyczą musi w kierowanym wniosku wykazać, że ADO przetwarza dane nieprawidłowe lub niekompletne. Odbywa się to poprzez wskazanie okoliczności i dowodów, które uargumentują skierowane żądanie. Dowodem może być np. oświadczenie o posiadaniu nowego adresu zamieszkania czy adresu email. W szczególnych przypadkach osoba, której dane dotyczą powinna wykazać prawidłowość nowych danych (np. poprzez przedstawienie dokumentu potwierdzającego nową treść danych osobowych).
Czy administrator może odmówić realizacji prawa do sprostowania danych?
We wcześniejszej części artykułu przedstawione zostały przypadki, kiedy administrator może odmówić realizacji żądania sprostowania (uzupełnienia) danych niekompletnych. Istnieją też inne okoliczności, na podstawie których ADO może odmówić realizacji tego prawa.
Na podstawie art. 11 ust. 2 RODO administrator może odmówić realizacji wszystkich żądań związanych z realizacją praw podmiotów danych, jeżeli nie jest w stanie zidentyfikować podmiotu danych. W tej sytuacji osoba, której dane dotyczą może dostarczyć administratorowi dodatkowe informacje pozwalające na jej identyfikacje.
W ocenie dr Michała Czerniawskiego istnieje jeszcze jednak okoliczność, na podstawie której administrator może (a nawet powinien) odmówić realizacji prawa do sprostowania danych. Powinno mieć to miejsce w sytuacji, gdy sprostowanie danych stanowiłoby naruszenie chociażby jednej z zasad z art. 5 RODO. Jako przykład dr Czerniawki podał sytuację, w której Jan Kowalski jako użytkownik portalu społecznościowego żąda poprawienia danych na Anna Kowalska. W tym przypadku realizacja żądania naruszyłaby zasadę prawidłowości danych (M. Czerniawski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 16). W przypadku dokonania sprostowania danych zgodnie z żądaniem administrator przetwarzałby dane, które są niezgodne z rzeczywistością, co naruszałoby wspomnianą wcześniej zasadę prawidłowości. Oczywiście może dojść do sytuacji, kiedy osoba zmieni imię w związku ze zmianą płci. Wówczas administrator powinien zażądać przedstawienia dokumentu potwierdzającego ten fakt. Potwierdzenie zmiany danych powoduje, że wniosek o sprostowanie powinien zostać uwzględniony.
Prawo do sprostowania danych a inne przepisy
Warto zaznaczyć, że prawo do sprostowania danych jest jednym z konstytucyjnych uprawnień przysługujących podmiotowi danych. Zgodnie z art. 51 ust. 4 Konstytucji RP „Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą”. Przytoczony art. 51 Konstytucji RP poświęcony został prawu do ochrony danych osobowych będącego przejawem ochrony prywatności.
Uprawnienie do sprostowania danych zostało również uwzględnione w ustawie prawo prasowe. Zgodnie z art. 31a ust. 1 „Na wniosek zainteresowanej osoby fizycznej, osoby prawnej lub jednostki organizacyjnej niebędącej osobą prawną, redaktor naczelny właściwego dziennika lub czasopisma jest obowiązany opublikować bezpłatnie rzeczowe i odnoszące się do faktów sprostowanie nieścisłej lub nieprawdziwej wiadomości zawartej w materiale prasowym”. W tym przypadku żądanie sprostowania danych będzie odpowiedzią na nieprawdziwe lub nieścisłe wiadomości dotyczące osoby fizycznej opublikowane w materiale prasowym. Co ważne, przedmiotem sprostowania mogą być wyłącznie wypowiedzi o faktach będących nieprawdziwymi lub nieścisłymi.
Szczegółowe przepisy krajowe mogą ograniczyć uprawnienie do sprostowania danych. Ustawa może określić specyficzny cel przetwarzania danych wyłączający ingerencję w dane. Takim celem może być np. archiwizacja realizowana przez Instytut Pamięci Narodowej (IPN). Specyficzny charakter przetwarzania danych osobowych może z wiadomych powodów ograniczyć ingerencję w treść przetwarzanych danych, a tym bardziej ich uaktualnienie.
Inny przykład ograniczenia prawa do sprostowania danych można znaleźć w ustawie Prawo zamówień publicznych. Na podstawie art. 8a ust. 3 „Skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia danych osobowych (…) nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą”.
Na gruncie Kodeksu postępowania administracyjnego możliwość sprostowania danych została wyrażona w art. 113 k.p.a., zgodnie z którym – z jednej strony – „Organ administracji publicznej może z urzędu lub na żądanie strony prostować w drodze postanowienia błędy pisarskie i rachunkowe oraz inne oczywiste omyłki w wydanych przez ten organ decyzjach”. Warto pamiętać, że istnieją jednak pewne granice możliwości sprostowania decyzji administracyjnych. W tej kwestii wielokrotnie stanowisko zajmowały sądy administracyjne. Zgodnie z wydanymi orzeczeniami sprostowane informacje nie mogą mieć wpływu na merytoryczne znaczenie rozstrzygnięć.
Podsumowanie
Skorzystanie z prawa do sprostowania danych jest inicjatywą podmiotu danych, który dostrzegając nieprawidłowość danych informuje o tym fakcie administratora. Ponadto przez swoje działanie prowadzi do przetwarzania przez administratora danych, które odpowiadają stanowi faktycznego. Działanie to jest stanowi możliwość samookreślenia informacyjnego podmiotu danych oraz umożliwia dbałość o własny wizerunek informacyjny.
Co ważne, sprostowanie danych nie jest obowiązkiem nałożonym na podmiot danych, lecz uprawnieniem. Może zostać zrealizowane dobrowolnie przez osobę, które dane dotyczą. Jednakże skorzystanie z prawa do sprostowania danych może mieć wpływ na przetwarzanie przez ADO danych prawidłowych i aktualnych. W związku z tym administrator każde żądanie sprostowania danych powinien przenalizować z należytą starannością. Warto pamiętać, że przetwarzanie przez administratora danych nieprawidłowych może przysporzyć mu wielu problemów. W Komunikacie IOD-y opisaliśmy decyzję Prezesa UODO, który nałożył na ADO administracyjną karę pieniężną m.in. za wykorzystanie danych nieprawidłowych w komunikacji z podmiotem danych, co w konsekwencji doprowadziło do naruszenia ochrony danych osobowych.