Przetwarzanie danych z rejestrów publicznych w Polsce: zasady RODO
Przetwarzanie danych z rejestrów publicznych wymaga spełnienia warunków RODO. Dowiedz się, jak legalnie pozyskiwać te informacje.
Tak, można przetwarzać dane z rejestrów publicznych, ale tylko przy spełnieniu konkretnych warunków. Sam fakt, że dane w CEIDG, KRS czy innym rejestrze są jawne, nie zwalnia z obowiązków wynikających z RODO. Administrator musi mieć podstawę prawną z art. 6 RODO, zrealizować obowiązek informacyjny z art. 14 (albo wykazać, że przysługuje mu wyjątek) i trzymać się zasady minimalizacji danych. Jeśli chcesz masowo pobierać dane sektora publicznego, dodatkowo wchodzi w grę ustawa o otwartych danych i procedura wniosku o ponowne wykorzystywanie, rozpatrywanego w ciągu 14 dni, z możliwym wydłużeniem do dwóch miesięcy.
Zanim zaczniesz zbierać dane z rejestrów, zrób trzy rzeczy:
- Sprawdź i zapisz konkretny cel przetwarzania, bo bez celu nie ma podstawy prawnej.
- Udokumentuj wybraną przesłankę z art. 6 RODO, zwłaszcza jeśli sięgasz po prawnie uzasadniony interes.
- Zanotuj, czy masz dane kontaktowe osoby, której dane przetwarzasz. Ich brak jest jedną z niewielu okoliczności, które mogą uzasadniać wyjątek od obowiązku informacyjnego.
Kluczowe wnioski
Legalne przetwarzanie danych z rejestrów publicznych wymaga jednoczesnego spełnienia podstawy prawnej z RODO, obowiązku informacyjnego z art. 14 i zasady minimalizacji danych.
| Punkt | Szczegóły |
|---|---|
| Podstawa prawna to fundament | Wybierz przesłankę z art. 6 RODO i zapisz test równowagi, jeśli powołujesz się na uzasadniony interes. |
| Obowiązek informacyjny ma wąskie wyjątki | Zrealizuj go w ciągu miesiąca; wyjątek z art. 14 ust. 5 działa tylko przy realnej niemożności kontaktu. |
| Wniosek bywa lepszy niż scraping | Formalny wniosek o ponowne wykorzystywanie jest rozpatrywany do 14 dni, maksymalnie do 2 miesięcy. |
| UODO patrzy na dokumentację | Kontrolerzy sprawdzają DPIA, politykę retencji i rejestr czynności, nie sam fakt przetwarzania. |
| Narzędzia Szopalabs wspierają zgodność | Skorowidz, PewnyDeweloper, MamNamiar i Sygnatura pomagają biurom dokumentować i porządkować procesy wokół danych z rejestrów. |
Spis treści
- Podstawa prawna przetwarzania danych z rejestrów publicznych
- Kiedy trzeba informować osoby o przetwarzaniu ich danych
- Wniosek o ponowne wykorzystywanie informacji sektora publicznego
- Jak przygotować firmę do legalnego przetwarzania danych z rejestrów
- Ryzyka nadzorcze i czego szuka UODO podczas kontroli
- Dokumentacja procesu jako dowód rzetelności biura
- Co naprawdę decyduje o zgodności z RODO w pracy z rejestrami
- Wsparcie dla biur, które chcą przetwarzać dane z rejestrów bezpiecznie
- Źródła
Podstawa prawna przetwarzania danych z rejestrów publicznych
Dostępność danych w rejestrze nie zmienia ich statusu. To wciąż dane osobowe, a ich wykorzystywanie musi mieć konkretną podstawę prawną i podlegać zasadom RODO, niezależnie od tego, że każdy może je odczytać w KRS czy CEIDG. To rozróżnienie umyka wielu firmom, które traktują jawność rejestru jako automatyczną zgodę na dalsze przetwarzanie.
W praktyce budowa zgodności wygląda tak:
- Wybierz przesłankę z art. 6 RODO. Najczęściej w grę wchodzi lit. f, czyli prawnie uzasadniony interes administratora lub strony trzeciej. Rzadziej pojawia się zgoda (lit. a) lub wykonanie umowy (lit. b).
- Przeprowadź test równowagi. Przy uzasadnionym interesie musisz wykazać, że Twój interes nie jest przeważony przez prawa i wolności osoby, której dane dotyczą. Zapisz ten test, bo zasada rozliczalności wymaga dowodu, nie tylko deklaracji.
- Zastosuj zasady z art. 5 RODO. Minimalizacja danych oznacza pobieranie tylko pól niezbędnych do celu. Ograniczenie celu zabrania używania danych zebranych do jednego celu w zupełnie innym kontekście. Retencja musi mieć konkretny, uzasadniony termin, a nie trwać „na wszelki wypadek”.
- Śledź orzecznictwo i stanowiska nadzorcze. Trybunał Sprawiedliwości UE i polski UODO regularnie zawężają interpretację wyjątków od reguł RODO, więc praktyka z zeszłego roku może już nie wystarczyć.
Firmy, które dokumentują każdy z tych czterech punktów od pierwszego dnia, rzadko mają problem podczas kontroli. Te, które zakładają, że jawność rejestru wystarcza, są najczęściej zaskoczone pytaniami inspektora.
Kiedy trzeba informować osoby o przetwarzaniu ich danych
Obowiązek informacyjny z art. 14 RODO dotyczy sytuacji, gdy dane nie pochodzą od samej osoby, a właśnie z rejestru publicznego. Musisz przekazać jej konkretny zestaw informacji, najpóźniej w ciągu miesiąca od zebrania danych:
- Tożsamość i dane kontaktowe administratora.
- Cel i podstawę prawną przetwarzania.
- Kategorie przetwarzanych danych.
- Źródło danych, czyli konkretny rejestr.
- Planowany okres przechowywania.
- Informację o prawach osoby, w tym prawie do sprzeciwu i skargi do UODO.
Wyjątki z art. 14 ust. 5 RODO istnieją, ale są węższe, niż wielu przedsiębiorców zakłada. Analizy prawnicze wskazują, że organy nadzorcze i orzecznictwo interpretują te wyjątki rygorystycznie, a nie luźno. Wyjątek zadziała, gdy naprawdę nie masz żadnego sposobu skontaktowania się z osobą, na przykład rejestr nie udostępnia adresu ani telefonu. Nie zadziała, gdy kontakt jest po prostu kosztowny albo czasochłonny.
Porada profesjonalisty: Zapisuj każdą próbę skontaktowania się z osobą, nawet jeśli się nie powiodła. Dokumentacja nieudanej próby jest Twoim głównym dowodem, że wyjątek z art. 14 ust. 5 miał uzasadnienie, a nie był wygodnym skrótem.
Wniosek o ponowne wykorzystywanie informacji sektora publicznego
Jeśli potrzebujesz danych w większej skali albo w konkretnym formacie, formalny wniosek bywa lepszą drogą niż samodzielne zbieranie danych ze stron rejestrów. Ustawa o otwartych danych opisuje precyzyjnie, co musi zawierać taki wniosek: nazwę podmiotu, zakres i cel wykorzystania, wskazany format oraz preferowany sposób przekazania danych.
- Złóż wniosek do podmiotu prowadzącego rejestr, podając wszystkie wymagane elementy. Niekompletny wniosek wydłuża procedurę.
- Poczekaj na rozpatrzenie. Podmiot publiczny musi odpowiedzieć niezwłocznie, najpóźniej w ciągu 14 dni, a w uzasadnionych przypadkach termin może wydłużyć się do dwóch miesięcy.
- Sprawdź warunki oferty. Podmiot może zaproponować warunki wykorzystania danych, do których masz prawo się odnieść, a w niektórych przypadkach zaskarżyć je.
- Zweryfikuj ewentualną opłatę. Ustawa dopuszcza pobranie opłaty w określonych przypadkach, więc jeśli ją naliczono, poproś o pisemne uzasadnienie wysokości.
Ta droga bywa tańsza i bezpieczniejsza prawnie niż masowe scrapowanie stron rejestrów, zwłaszcza gdy potrzebujesz danych przetworzonych albo w niestandardowym formacie, którego strona rejestru zwyczajnie nie udostępnia automatycznie.
Jak przygotować firmę do legalnego przetwarzania danych z rejestrów
Zanim uruchomisz jakikolwiek proces pobierania danych publicznych, przejdź przez konkretną listę działań. Kolejność ma znaczenie, bo każdy kolejny krok zależy od poprzedniego.
- Zdefiniuj cel przetwarzania i ogranicz zakres pól. Jeśli potrzebujesz tylko nazwy firmy i NIP, nie pobieraj dodatkowo adresu zamieszkania właściciela.
- Przeprowadź test podstawy prawnej. Przy uzasadnionym interesie zapisz wynik testu równowagi jako dokument, nie jako ustną decyzję.
- Sprawdź, czy da się zrealizować obowiązek informacyjny. Jeśli rejestr udostępnia dane kontaktowe, masz obowiązek z nich skorzystać.
- Jeśli realizacja jest niemożliwa, zapisz konkretne przesłanki. Sama trudność logistyczna nie wystarcza jako uzasadnienie.
- Rozważ wniosek o ponowne wykorzystywanie zamiast automatycznego scrapowania, szczególnie przy większej skali danych.
- Wdroż zabezpieczenia techniczne, takie jak szyfrowanie baz, kontrola dostępu i logowanie operacji na danych.
- Ustal politykę retencji z konkretnym terminem usunięcia danych, nie ogólnikowym „do odwołania”.
- Przygotuj DPIA, jeśli skala lub charakter danych to wymagają, oraz zaktualizuj rejestr czynności przetwarzania.
- Opracuj procedurę reagowania na żądania osób i ewentualne zapytania UODO.
Firmy, które pomijają punkt szósty i siódmy, najczęściej dostają uwagi kontrolne nie za sam fakt przetwarzania, a za brak udokumentowanego procesu wokół niego.
Porada profesjonalisty: Trzymaj dokumentację testu równowagi, polityki retencji i DPIA w jednym miejscu, gotową do pokazania w ciągu 24 godzin. Kontrolerzy UODO pytają najpierw o dokumenty, nie o kod.
Kilka rzeczy warto powtórzyć jako zasadę na stałe:
- Nie pobieraj pola „na wszelki wypadek”, jeśli nie masz dla niego konkretnego zastosowania.
- Nie przechowuj danych dłużej niż deklarowany cel wymaga.
- Nie zakładaj, że jawność rejestru zastępuje dokumentację prawną.
Ryzyka nadzorcze i czego szuka UODO podczas kontroli
Urząd Ochrony Danych Osobowych apelował o pilny przegląd rejestrów publicznych, wskazując zarówno na potrzebę oceny niezbędności udostępnianych danych, jak i na ryzyko nadmiernego ujawniania numerów PESEL. To sygnał, że temat rejestrów publicznych nie jest dla nadzorcy tematem drugorzędnym.
Kontrolerzy sprawdzają najczęściej te same cztery elementy: dokumentację testu równowagi dla art. 6(1)(f), politykę retencji, rejestr czynności przetwarzania oraz dowody próby realizacji obowiązku informacyjnego. Brak jednego z nich bywa główną przyczyną uwag pokontrolnych.
Najczęstsze uchybienia w praktyce:
- Brak zapisanego testu interesu przy powołaniu się na uzasadniony interes.
- Retencja bez określonego terminu usunięcia danych.
- Pobieranie pól danych niezwiązanych z deklarowanym celem.
- Brak jakiejkolwiek próby kontaktu z osobą przed powołaniem się na wyjątek z art. 14 ust. 5.
Statystyka: UODO wprost łączy przegląd rejestrów publicznych z ryzykiem nadmiernego ujawniania numeru PESEL, co czyni ten numer jednym z najbardziej wrażliwych punktów kontroli w tym obszarze.
Konsekwencje nieprawidłowości bywają dwojakie: decyzje administracyjne nakazujące zmianę praktyki albo, w poważniejszych przypadkach, kary finansowe i obowiązki naprawcze wobec osób, których dane dotyczyły.
Dokumentacja procesu jako dowód rzetelności biura
Biura rachunkowe i kancelarie, które pracują z danymi z rejestrów codziennie, rzadko mają czas na ręczne prowadzenie rejestru czynności i śledzenie zmian w orzecznictwie. To właśnie ten obszar adresują narzędzia Szopalabs.
- Skorowidz działa jako prywatny czat na dokumentach biura, dzięki czemu odpowiedzi na pytania o konkretną sprawę są zawsze powiązane ze źródłem.
- PewnyDeweloper generuje jednorazowe raporty due diligence na podstawie rejestrów publicznych, przydatne przy weryfikacji kontrahenta przed transakcją.
- MamNamiar dostarcza gotowe paczki leadów zbudowane na informacjach o dotacjach unijnych, bez ręcznego przeszukiwania rejestrów.
- Sygnatura przygotowuje cotygodniowy przegląd orzecznictwa podatkowego, co ułatwia śledzenie zmian w interpretacji przepisów.
Dokumentacja procesu przetwarzania danych z rejestrów nie jest formalnością do odhaczenia raz w roku. To pierwsza rzecz, o którą pyta kontroler, i pierwsza rzecz, która chroni firmę przed odpowiedzialnością.
Porada profesjonalisty: Traktuj każdy nowy typ danych z rejestru jako osobny wpis w rejestrze czynności, nawet jeśli źródło jest to samo. Ułatwia to później odtworzenie decyzji, gdy pojawi się pytanie od UODO.
Co naprawdę decyduje o zgodności z RODO w pracy z rejestrami
Konwencjonalna porada, jaką słyszy większość firm, brzmi: „dane są publiczne, więc można je swobodnie kopiować”. To błędne uproszczenie, które ignoruje różnicę między jawnością rejestru a legalnością dalszego przetwarzania. Rejestr publiczny odpowiada na pytanie „czy mogę to zobaczyć”, a RODO odpowiada na zupełnie inne pytanie: „czy mogę to zapisać, przechowywać i wykorzystać do własnego celu”.
Najbardziej niedocenianym elementem całego procesu jest dokumentacja, a nie sama podstawa prawna. Wiele firm ma technicznie poprawną przesłankę z art. 6, ale nie potrafi jej wykazać w razie kontroli, bo nikt nie zapisał testu równowagi w momencie podejmowania decyzji. To błąd kosztowniejszy niż wybór złej podstawy prawnej, bo trudno go naprawić retroaktywnie.
Priorytetem dla każdej firmy planującej pracę z danymi z rejestrów powinno być zbudowanie nawyku dokumentowania decyzji na bieżąco, a nie odtwarzania ich po fakcie, gdy przychodzi pismo od urzędu.
Wsparcie dla biur, które chcą przetwarzać dane z rejestrów bezpiecznie
Szopalabs to alternatywa dla ręcznego przeszukiwania rejestrów i doraźnego budowania dokumentacji zgodności w Excelu. Instalacja narzędzi jest bezpłatna, a rozliczenie dotyczy całego biura, nie pojedynczych stanowisk, co ma znaczenie, gdy z systemu korzysta kilka osób jednocześnie.
Dla kancelarii i biur rachunkowych, które regularnie sprawdzają kontrahentów, PewnyDeweloper generuje gotowy raport due diligence na podstawie rejestrów publicznych, zamiast godzin ręcznego przeszukiwania KRS i CEIDG. Firmy śledzące zmiany w interpretacjach podatkowych zyskują cotygodniowy przegląd orzecznictwa w Sygnaturze, a te budujące bazę potencjalnych klientów mogą sięgnąć po gotowe paczki leadów z MamNamiar, zbudowane na publicznych informacjach o dotacjach unijnych.
Jeśli Twoje biuro spędza tygodniowo kilka godzin na ręcznym przeszukiwaniu rejestrów albo odtwarzaniu dokumentacji zgodności po fakcie, sprawdź dostępne narzędzia na stronie Szopalabs i wybierz to, które odpowiada Twojemu codziennemu procesowi.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.