W procesie przetwarzania danych osobowych odpowiedzialność za prawidłową realizację wymagań RODO może leżeć zarówno po stronie administratora, jak i podmiotu przetwarzającego. Przypomnijmy, że administratorem (zgodnie z art. 4 pkt. 7 RODO) jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych. Podmiot przetwarzający (zwany też procesorem) oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora (art. 4 pkt. 8 RODO). Podmiot przetwarzający jest odrębny organizacyjnie od administratora i przetwarza dane osobowe wyłącznie w zgodzie z instrukcjami administratora. Na przykład, jeżeli administrator zdecyduje się zlecić podmiotowi przetwarzającemu zebranie danych, to procesor nie będzie mógł samodzielnie decydować o tym, jakich kategorii dane ma pozyskać.
Rozróżnienie tych dwóch ról ma istotne znaczenie z punktu widzenia obowiązków, jakie ciążą na każdym z podmiotów oraz zakresu i rodzaju ich odpowiedzialności za przetwarzanie danych osobowych. Administrator odpowiada za przetwarzanie danych osobowych zgodnie z zasadami wynikającymi z RODO (art. 5 RODO), za realizację żądań podmiotów danych, a także w pełni odpowiada za samodzielne oraz zlecone procesorowi przetwarzanie danych osobowych. Natomiast podmiot przetwarzający odpowiada przede wszystkim przed administratorem, ale ma też obowiązki wprost określone w RODO.
O uznaniu danego podmiotu za administratora albo procesora przesądza fakt, kto ustala cele i sposoby przetwarzania danych osobowych. To decydowanie powinno być rozumiane jako faktyczne podejmowanie we własnym imieniu i na własną rzecz decyzji o tym, jakie dane są zbierane, w jakim celu, na jakiej podstawie oraz w jaki sposób. Przy czym obranym przez administratora sposobem przetwarzania może być właśnie wynajęcie zewnętrznego podmiotu przetwarzającego. Zasadniczą cechą procesora jest natomiast dokonywanie przez niego czynności w imieniu administratora. Nie decyduje on więc o celu przetwarzania, ale realizuje cele określone przez administratora. Podmiot przetwarzający może mieć jednak wpływ na sposób przetwarzania danych osobowych. Może sugerować stosowanie określonych narzędzi lub dokonać wyboru oprogramowania służącego do przetwarzania danych osobowych bądź miejsca przetwarzania.
Administrator i procesor są interesariuszami procesu przetwarzania danych osobowych. Każdy z nich ma określone prawa i obowiązki określone w RODO. W tym artykule skupimy się na zależności między tymi dwoma podmiotami, a także weryfikacji podmiotu przetwarzającego przez administratora oraz na ich wzajemnej współpracy.
Powierzenie przetwarzania danych osobowych
W obrocie gospodarczym rzeczą naturalną jest współpraca między podmiotami. Usługobiorcy korzystają ze wsparcia usługodawców bardziej wykwalifikowanych w danym obszarze działalności. Bardzo często zdarza się, że ten obszar działalności dotyczy przetwarzania danych osobowych (np. usługi księgowe, wsparcie przetwarzania w zakresie narzędzi i usług IT). Mówimy wówczas o powierzeniu przetwarzania.
Definicji powierzenia przetwarzania danych osobowych nie znajdziemy jednak w art. 28 RODO ani w żadnym innym przepisie unijnego rozporządzenia, ponieważ w RODO określenie „powierzenia przetwarzania” nie występuje. Jest to pojęcie, które w polskim systemie prawnym „utarło się” na gruncie poprzedniej ustawy regulującej ochronę danych osobowych. Wobec tego powierzenie przetwarzania danych osobowych należy rozumieć właśnie jako umocowanie przez administratora innego podmiotu do przetwarzania danych w jego imieniu, w rozumieniu art. 28 RODO. Przy powierzeniu przetwarzania danych administrator nie traci nad nimi kontroli, ponieważ nadal ma pełną władzę nad tym, co dzieje się z przekazanymi przez niego danymi i ponosi za nie odpowiedzialność oraz za sposób ich przewarzania.
Jednakże należy pamiętać, że podmioty mogą się wymieniać się danymi osobowymi w innym trybie niż ten określony w art. 28 RODO. Dla odróżnienia udostępnienie danych osobowych polega na przekazaniu danych przez jednego administratora do innego podmiotu, który również samodzielnie będzie decydował o sposobach i celach przetwarzania danych osobowych. Wówczas podmiot ten jest niezależnym administratorem, a podmiot przekazujący dane straci nad nimi kontrolę. Odpowiedzialność za dane osobowe w przypadku udostępnienia spoczywa na podmiocie, któremu zostały one udostępnione. Oczywiście podmiot przekazujący musi mieć podstawę do ich udostępnienia i w tym zakresie odpowiedzialność spoczywa na nim. Przykładem udostępnienia może być przekazanie danych osobowych do Zakładu Ubezpieczeń Społecznych, organów ścigania lub organów administracji publicznej w ramach realizacji ciążących na administratorze obowiązków prawnych. Udostępnieniem będzie także przekazanie danych służbowych pracownika kontrahentowi w celu realizacji zawieranej z nim umowy.
Jeszcze inna sytuacja przekazywania danych osobowych między podmiotami może wynikać ze współadministrowania. Mówimy o nim w sytuacji, kiedy podmioty na podstawie poczynionych uzgodnień, mogą przekazywać sobie dane osobowe, realizując wspólne cele. Zgodnie z art. 26 RODO współadministrowanie zachodzi, gdy co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania. Współadministratorzy określają zakres swoich obowiązków i odpowiedzialność za ich wykonanie. Współadministrowanie zachodzi np. w przypadku członków grupy kapitałowej, którzy wspólnie prowadzą rekrutacje lub działania marketingowe. Innym przykładem współadministrowania mogą być m.in. wspólnicy spółki cywilnej lub członkowie konsorcjum w ramach podejmowanych wspólnie działań.
O współadministrowaniu danymi osobowymi dwóch lub więcej podmiotów świadczy:
wspólny cel przetwarzania;
zaprojektowanie procesu przetwarzania wspólnie;
wspólne zasady zarządzania i podział obowiązków obwieszczony podmiotom danych.
Dwie wyżej wymienione sytuacje pokazują przypadki przekazywania danych osobowych między podmiotami w trybie innym niż określony w art. 28 RODO. Mówienie wówczas o powierzeniu danych osobowych może nasuwać skojarzenie z powierzeniem przetwarzania, a stąd już tylko krok do błędnego stosowania przepisów RODO.
Podkreślmy raz jeszcze, o powierzeniu przetwarzania (a nie tylko danych) mówimy w sytuacji, gdy administrator korzysta z usług podmiotu przetwarzającego, który przetwarza dane w imieniu administratora i sam nie miałby innej podstawy do ich przetwarzania.
Zawarcie pisemnej umowy
Umowa powierzenia przetwarzania danych osobowych wiążę podmiot przetwarzający i administratora. Zgodnie z art. 28 RODO umowa (lub inny instrument prawny) musi być zawarta na piśmie i obejmować kilka istotnych elementów. Jej stronami są administrator (rzadziej współadministratorzy) i podmiot przetwarzający (rzadziej kilku jednocześnie). Prawidłowo zawarta umowa gwarantuje, że obie strony rozumieją swoje rolę, zakresy odpowiedzialności i zobowiązania. Stosowne zapisy umożliwiają administratorowi kontrolę przetwarzania danych, a procesor na ich podstawie ma w ogóle podstawę do ich przetwarzania. Prawidłowa treść umowy jest jednocześnie potwierdzeniem prawidłowej realizacji wymagań RODO jej dotyczących, a także potwierdza wypełnienie zasady rozliczalności w tym zakresie. Co istotne nie musi to być odrębna umowa, równie dobrze w treści umowy głównej można zawrzeć wszystkie wymagane prawem elementy.
Na początku obowiązywania RODO panowała tendencja do bezrefleksyjnego zawierania „umów powierzenia danych” w rozumieniu art. 28 w każdym przypadku, gdy dochodziło do przekazywania danych osobowych innemu podmiotowi. Wynikało to przede wszystkim z niezrozumienia przepisów i obawy przed ogromnymi karami, jakie mogą być nakładane na gruncie RODO. Przed zawarciem umowy powierzenia powinno się przeprowadzić ocenę stanu faktycznego, w ramach którego dochodzić będzie do przepływu danych. Jeżeli okaże się, że po przekazaniu danych oba podmioty będą działać w zakresie przetwarzania danych niezależnie, to zbędne i nieprawidłowe byłoby zawarcie umowy powierzenia przetwarzania. Oba podmioty będą wówczas niezależnymi administratorami. Przykładem działań dwóch niezależnych administratorów będzie przekazanie danych do operatora pocztowego lub firmy audytorskiej.
Nadal częste są przypadki forsowania zawarcia umowy powierzenia przetwarzania przez usługodawców, którzy mają swoje podstawy przetwarzania danych i nie działają w imieniu innego konkretnego administratora, lecz bardziej jako brokerzy. Jeszcze innym nadużyciem jest zawieranie umowy powierzenia w sytuacji, gdy nie można wskazać żadnych konkretnych czynności jakie na danych osobowych miałby realizować usługodawca, a potencjalny dostęp do danych może być przypadkowy i nieintencjonalny. Wówczas wystarczy zawrzeć w umowie zapisy o zachowaniu o poufności, natomiast powierzenia przetwarzania (nie wiadomo jakich czynności) jest błędem.
Błędy w zawieranych umowach powierzenia zdarzają się nawet wówczas, gdy sama tego typu umowa jest konieczna. Poniżej przedstawiamy najczęstsze z nich:
Bardzo ważne jest, aby właściwie określić kierunek powierzenia przetwarzania danych, to znaczy kto jest administratorem, a kto podmiotem przetwarzającym. Często zdarza się, że strony zostaną błędnie określone w umowie ze względu na kierunek przepływu danych osobowych, gdy jeden podmiot przekazuje („powierza”) dane drugiemu, zebrane przecież w imieniu tego drugiego. W rzeczywistości administratorem jest zawsze zlecający działania (ale nie zawsze usługobiorca), a procesorem – podmiot je wykonujący (nie zawsze usługodawca).
Można się też czasem spotkać z określeniem „wzajemnego powierzania” danych osobowych. Jest to stwierdzenie nieostre, które nie powinno być stosowane w umowach. Należy pamiętać, że powierzenie przetwarzania to zwykle nic innego, jak zlecenie usługi. Jest mało prawdopodobne, aby dwa podmioty nawzajem sobie świadczyły usługi i to związane z przetwarzaniem danych osobowych. Nawet gdyby tak faktycznie było, raczej zostałyby zawarte dwie odrębne umowy, każda wskazująca usługodawcę i usługobiorcę. Analogicznie każda wskazywałyby administratora i podmiot przetwarzający. Zatem w sytuacji „wzajemnego powierzenia” danych, dochodzi zapewne do ich udostępnienia i zawieranie umowy opartej na art. 28 RODO jest błędem.
Zgodnie z przepisami RODO, zarówno administrator, jak i podmiot przetwarzający powinni gwarantować odpowiednie środki techniczne i organizacyjne pozwalające zapewnić bezpieczeństwo danych. Zdarza się jednak, że administratorzy wymagają od procesorów zbyt daleko idących zabezpieczeń. Należy pamiętać, że wykorzystywane środki należy dostosowań do przetwarzanych danych osobowych. Nadmierne i nieproporcjonalne zabezpieczenia mogą doprowadzić do komplikacji i spowolnienia procesu przetwarzania danych.
Kolejnym błędem, z jakim możemy się zetknąć w umowie powierzenia przetwarzania danych jest powierzenie zbyt szerokiego zakresu danych. Często strony wskazują „na wszelki wypadek” kategorie danych, które nie będą przetwarzane. Wychodząc zapewne z założenia, że nadmiar będzie lepszy niż brak określonej kategorii. Nie jest to prawidłowe podejście, ponieważ zakres danych powinien zostać przeanalizowany pod kątem niezbędności w realizowanym przez procesora procesie i być zgodny z zasadą minimalizacji danych.
Natomiast chyba najczęściej popełnianym błędem jest brak wskazania w umowie działań na danych osobowych, jakie procesor ma podejmować w ramach powierzonego przetwarzania. Może dojść do sytuacji, w której administrator „powierzy dane osobowe”, ale nie określi w jakim konkretnym celu i charakterze je przekazał. Przepisy RODO wymagają podania tych parametrów przetwarzania danych w umowie. Często strony decydują się na zapis: „procesor będzie przetwarzał dane osobowe w celu wykonania umowy głównej”. Jest to stwierdzenie niewystarczające, ponieważ nie wskazuje na konkretny cel, a także nie określa sposobu i charakteru przetwarzania. Nie opisuje co procesor ma z danymi robić.
Przy zawieraniu umów należy pamiętać o zawarciu wszystkich obligatoryjnych elementów, które wynikają z art. 28 RODO. Umowy muszą określać:
tożsamość administratora i procesora;
przedmiot i czas trwania przetwarzania;
charakter i cel przetwarzania;
rodzaj danych osobowych i kategorie osób, których dane dotyczą;
obowiązki i prawa administratora;
oświadczenie procesora o wdrożeniu właściwych zabezpieczeń lub obustronne potwierdzenie ich wdrożenia.
Umowy muszą również zawierać szczegółowe warunki lub klauzule dotyczące działań procesora:
przetwarzania wyłącznie na udokumentowane polecenie administratora;
obowiązku zachowania poufności;
odpowiednich środków bezpieczeństwa;
korzystania z usług podwykonawców;
pomocy administratorowi w wypełnianiu jego obowiązków określonych w RODO (np. odpowiedzi na żądania osób, których dane dotyczą);
postępowania po wygaśnięcia umowy;
poddawaniu się audytom (inspekcji).
Weryfikacja podmiotu przetwarzającego jest obowiązkiem administratora
Jeżeli administrator w ramach prowadzonej działalności gospodarczej korzysta z pomocy podmiotów zewnętrznych, którym powierza przetwarzanie danych osobowych to jest on zobowiązany dopełnić obowiązku weryfikacji procesora. Zgodnie z art. 28 ust. 1 RODO administrator może korzystać wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi RODO oraz chroniło prawa osób, których dane dotyczą. Na mocy art. 28 ust. 3 lit. c) umowa musi zobowiązywać podmiot przetwarzający do podjęcia wszelkich środków bezpieczeństwa niezbędnych do spełnienia wymogów art. 32 RODO dotyczących bezpieczeństwa przetwarzania, które obejmują, odpowiednio:
szyfrowanie i pseudonimizację;
zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
zdolność do przywrócenia dostępu do danych osobowych w przypadku incydentu;
procesy regularnego testowania i oceny skuteczności tych środków.
Wspomniane środki techniczne mogą mieć charakter fizyczny (dotyczący pomieszczeń, w których przetwarzane są dane osobowe) oraz informatyczny (dotyczący systemów, za pomocą których przetwarza są dane osobowe). Zgodnie z RODO administrator decyduje o środkach przetwarzania danych i przy ich wyborze powinien kierować się poziomem skomplikowania danego procesu oraz ryzyka związanego z przetwarzaniem danych osobowych. Ma swobodę w tym zakresie, ale ponosi odpowiedzialność za skuteczność zabezpieczeń.
Dokonując dalej wyboru usługodawcy powinien zweryfikować na ile potencjalny procesor jest w stanie spełnić jego oczekiwania w zakresie bezpieczeństwa. Co do zasady procesor przetwarza dane na polecenie administratora, więc musi przestrzegać narzuconych przez niego reguł. Jednakże administrator może pozostawić wybór środków technicznych i organizacyjnych procesorowi. Wówczas powinien sprawdzić zasadność ich wyboru np. poprzez przeprowadzenie audytu. Należy pamiętać, że nawet w sytuacji wyboru środków przez procesora, to wciąż administrator musi zapewnić, że przetwarzanie jest zgodne z RODO. Strony mogą wymienić wdrożone środki techniczne i organizacyjne zapewniające zgodność z przepisami RODO np. w załączniku do umowy powierzenia przetwarzania danych osobowych. Poprzez podpisanie umowy potwierdzają ich stosowanie przez procesora.
Podmiot przetwarzający może wykazać stosowanie środków gwarantujących bezpieczeństwo danych oraz przestrzeganie przepisów unijnego rozporządzenia również dzięki branżowym kodeksom postępowania lub certyfikacji.
Pierwszej weryfikacji administrator powinien dokonać już na etapie rozpoznania konkretnego procesora. Może do tego posłużyć ankieta weryfikacyjna, zawierająca pytania do potencjalnego podmiotu przetwarzającego. Umożliwia ona sprawdzenie, czy procesor spełnia podstawowe wymogi RODO oraz czy wdrożył wspomniane wyżej odpowiednie środki techniczne i organizacyjne. Proces wstępnej weryfikacji podmiotu przetwarzającego można podzielić nawet na kilka etapów. Pierwszy z nich umożliwia uzyskanie odpowiedzi na podstawowe pytania dotyczące zgodności z przepisami i stanem stosowanych przez procesora zabezpieczeń.
Drugi etap jest dostosowany do konkretnego podmiotu przetwarzającego, uwzględnia on specyfikę powierzanych mu czynności, a także ilość, kategorię i rodzaj przetwarzanych danych osobowych. Ankiety tego typu mogą być stosowane nie tylko na etapie wstępnej weryfikacji procesora, ale także cyklicznie podczas całego okresu współpracy. Wówczas mogą one służyć jako element aktualizacji wiedzy na temat podmiotu przetwarzającego.
Aktualnie spora część administratorów mniej lub bardziej dokładnie weryfikuje podmioty przetwarzające przed rozpoczęciem współpracy. Często zapomina się jednak, że obowiązek weryfikacji podmiotu przetwarzającego istnieje nie tylko przed zawarciem umowy, ale również w trakcie jej trwania. Podmiot przetwarzający na gruncie art. 28 ust. 3 lit. h) zobowiązany jest do poddania się audytom (zarówno przed jak i w trakcie umowy), w tym inspekcjom prowadzonym przez administratora lub przez upoważnionego audytora. Administrator powinien określić z jaką częstotliwością będzie weryfikować dany podmiot przetwarzający. Ma to szczególne znaczenie w przypadku powierzenia przetwarzania danych szczególnie wrażliwych lub gdy przetwarzanie ma skomplikowany charakter.
Dalsze powierzenie przetwarzania danych osobowych
Procesor podczas wykonywania swoich obowiązków może skorzystać z usług innego podmiotu przetwarzającego, który określa się mianem podwykonawcy przetwarzania lub dalszego podmiotu przetwarzającego. Procesor nie może korzystać z usług podwykonawcy bez uprzedniego szczegółowego lub ogólnego pisemnego zezwolenia administratora. Jeżeli zezwolenie zostanie udzielone, podmiot przetwarzający musi zawrzeć pisemną umowę z podwykonawcą. Warunki umowy, które odnoszą się do art. 28 ust. 3, muszą zapewniać poziom ochrony danych osobowych równoważny z tym, który określono w umowie między administratorem a podmiotem przetwarzającym.
Wspomniana wyżej zgoda administratora może być ogólna (blankietowa) lub szczegółowa. Zgoda ogólna odnosi się do kategorii podmiotów współpracujących z procesorem, natomiast szczegółowa dotyczy konkretnych podmiotów, którym ma zostać podpowierzone przetwarzanie. Rodzaj zezwolenia na dalsze powierzenie powinien wynikać z treści umowy zawieranej między administratorem a podmiotem przetwarzającym. W przypadku udzielenia przez administratora zgody ogólnej, procesor ma obowiązek informować go o każdorazowym zamiarze dalszego powierzenia, a ADO ma możliwość wyrażenia sprzeciwu. Jeżeli administrator udziela zgody szczegółowej, to w umowie powierzenia powinno się określić konkretnych podwykonawców.
Administrator ma prawo kontroli nie tylko swojego bezpośredniego procesora, ale również dalszego podmiotu przetwarzającego. Powinien on sprawdzić, czy ten inny podmiot przetwarzający korzysta z odpowiednich środków zapewniających przetwarzanie danych zgodne z RODO. Podwykonawca przetwarzania (tak jak procesor) nie może uniemożliwić administratorowi realizacji prawa do kontroli. Natomiast procesor w umowie z podwykonawcą powinien podkreślić uprawnienia kontrolne administratora.
Współpraca administratora i procesora
Współpraca pomiędzy administratorem a podmiotem przetwarzającym musi mieć charakter ciągły również w kontekście nadzoru nad prawidłowym przetwarzaniem danych osobowych. Zaczyna się ona już na etapie wstępnej weryfikacji procesora. Jest on zobowiązany do umożliwienia administratorowi dopełnienia obowiązku kontroli. Z kolei administrator musi zadbać o to, aby kontrola przebiegła sprawnie i zbytnio nie zakłócała pracy przyszłego procesora.
Niestety nie każdy podmiot przetwarzający wyraża zgodę na poddanie się weryfikacji, zwłaszcza gdy ma mieć ona charakter inspekcji. Mimo to administrator może zadecydować o podjęciu lub kontynuacji współpracy z takim procesorem, chociaż powinien i zwykle może wybrać innego. Jeśli w takiej sytuacji później dojdzie do naruszenia ochrony danych osobowych w ramach powierzonego przetwarzania, nie należy się dziwić, że organ nadzorczy odpowiedzialność za nie przypisze administratorowi.
Bywa również, że podmioty przetwarzające ograniczają możliwość przeprowadzenia audytu przez administratora, decydując się na pobranie za jego przeprowadzenie dodatkowych opłat. Zasadne jest pokrycie kosztów czasu pracy pracowników procesora, którzy będą audytowani lub w inny sposób zaangażowani, jednak absurdem jest wyznaczenie z góry obowiązku zapłaty np. 10 000 tys. zł za umożliwienie przeprowadzenia jednodniowej inspekcji.
Podmiot przetwarzający powinien współpracować z administratorem również przy wypełnianiu przez niego obowiązku odpowiedzi na żądania osób, których dane dotyczą. W szczególności procesor powinien pomóc w odpowiedzi na żądania, które dotyczą przetwarzanych przez niego danych. Oba podmioty powinny zdawać sobie sprawę, że realizują wspólny cel polegający na właściwej ochronie osób, których dane są przetwarzane. Natomiast w przypadku uchybień w tym zakresie oba mogą zostać ukarane przez organ nadzorczy.
Olbrzymie kary finansowe
Właściwa współpraca i weryfikacja podmiotu przetwarzającego nie są tylko „martwym przepisem”, co podkreśla Prezes UODO wymierzający olbrzymie kary za nieprzestrzeganie art. 28 RODO.
Rekordowa kara nałożona przez Prezesa UODO (prawie 5 mln zł) dotyczyła m.in. braku weryfikacji podmiotu przetwarzającego. Sprawa została przez nas szczegółowo opisana w Komunikacie IOD-y. Za naruszenie ochrony danych osobowych, do którego doszło, odpowiedzialny był co prawda podmiot przetwarzający (który również został ukarany, ale znacząco mniejszą sumą wynoszącą 250 tys. zł), jednak to administrator – zdaniem organu – zawinił bardziej. Nie jest to jedyna decyzja, która winą za naruszenie obarcza przede wszystkim administratora. Przyglądając się postępowaniom prowadzonym przez polski organ nadzorczy można stwierdzić, że za naruszenia ochrony danych osobowych każe on przede wszystkim administratorów, choć uchybienia miały miejsce w obszarze działalności podmiotów przetwarzających. W decyzji nakładającej rekordową karę organ zaznaczył, że administrator ma stały obowiązek weryfikacji podmiotu przetwarzającego. Możemy więc założyć, że gdyby administrator potrafił wykazać realizację cyklicznych kontroli procesora, to wówczas mógłby uniknąć przypisania przede wszystkim jemu odpowiedzialności za naruszenie ochrony danych osobowych. Dzięki czemu nałożona sankcja byłaby mniejsza lub wcale by go nie dotknęła.
Brak weryfikacji podmiotu przetwarzającego skutkuje dla administratora nie tylko ryzykiem nałożenia administracyjnej kary pieniężnej, ale pociąga za sobą też straty wizerunkowe. Niestety większość administratorów zapomina o potrzebie cyklicznej weryfikacji procesora, a o konieczności tej przypomina im dopiero fakt wystąpienia naruszenia ochrony danych osobowych.