Nie w każdym przypadku będzie konieczne zgłoszenie zbioru danych przedsiębiorców - osób fizycznych prowadzących działalność gospodarczą do rejestracji GIODO.
Uzasadnienie
W wyniku uchylenia z dniem 1 stycznia 2012 r. art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej, który wyłączał dane osobowe zawarte w ewidencji działalności gospodarczej spod przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, ochronie przewidzianej w tej ustawie podlegają obecnie dane osób fizycznych bez względu na to czy osoby te prowadzą działalność gospodarczą, czy też nie. Administrator danych osób fizycznych prowadzących działalność gospodarczą zobowiązany jest więc do spełnienia obowiązków wynikających z przepisów ustawy o ochronie danych osobowych, w tym obowiązku zgłoszenia zbioru do rejestracji, określonego w art. 40 tej ustawy. Zgłoszenie zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych jest regułą, od której wyjątki zostały wymienione w art. 43 ust. 1 pkt 1 - 11 ustawy o ochronie danych osobowych. Wyjątki te nie mogą być interpretowane rozszerzająco.
Odnośnie przetwarzania w zbiorze danych osób fizycznych prowadzących działalność gospodarczą podkreślić należy, że fakt pozyskiwania danych do takiego zbioru ze źródła publicznego lub jawnego rejestru nie umożliwia administratorowi powołania się na przewidzianą w art. 43 ust. 1 pkt 9 ustawy przesłankę zwolnienia z obowiązku rejestracji, dotyczącą administratorów danych powszechnie dostępnych. Zwolnienie to miałoby zastosowanie tylko w przypadku, gdyby wszystkie dane przetwarzane w danym zbiorze były powszechnie dostępne u danego administratora danych tj. upubliczniane przez tego administratora. Nie jest więc w tym względzie wystarczające, że dane i informacje o przedsiębiorcach udostępniane przez Centralną Ewidencję i Informację o Działalności Gospodarczej są jawne i każdy ma prawo dostępu do tych danych i informacji, jeżeli nie są powszechnie dostępne dane przetwarzane w danym, prowadzonym przez administratora zbiorze.
Nie można wykluczyć, że do zbioru danych osób fizycznych prowadzących działalność gospodarczą znajdzie zastosowanie inna przesłanka zwolnienia z obowiązku zgłoszenia zbioru do rejestracji. Przykładowo - jeżeli w zbiorze danych przetwarzane są dane osób fizycznych prowadzących działalność gospodarczą w związku ze świadczeniem administratorowi danych przez te osoby usług na podstawie umów cywilnoprawnych (np. umowy zlecenia, umowy o dzieło) zastosowanie ma przesłanka zwolnienia z obowiązku zgłoszenia zbioru do rejestracji przewidziana w art. 43 ust. 1 pkt 4 ustawy. Jeżeli natomiast administrator przetwarza takie dane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej, wówczas będzie on zwolniony z obowiązku zgłoszenia zbioru do rejestracji na podstawie art. 43 ust.1 pkt 8 ustawy.
Jednakże administrator danych osób fizycznych prowadzących działalność gospodarczą nie zawsze będzie zobowiązany do zgłoszenia do rejestracji nowego zbioru danych tych osób, w związku z uchyleniem art. 7a ust. 2 ustawy Prawo działalności gospodarczej. Może mieć bowiem miejsce sytuacja, że administrator danych, który przed dniem 1 stycznia 2012 r. przetwarzał dane osób fizycznych prowadzących działalność gospodarczą (w zakresie nie wykraczającym poza zakres zawarty w ewidencji działalności gospodarczej) prowadził również zbiór dotyczący danych osób fizycznych, które nie prowadzą działalności gospodarczej, który to zbiór został przez niego zgłoszony do rejestracji GIODO. W takim przypadku dane osobowe przedsiębiorców mogą, ale nie muszą tworzyć nowego, odrębnego zbioru danych osobowych. Dane te mogą być bowiem włączone do istniejącego już zbioru.
Podsumowując zaznaczyć należy, że z punktu widzenia dopełnienia obowiązku zgłoszenia do rejestracji zbioru, w którym przetwarzane są dane osób fizycznych prowadzących działalność gospodarczą, możliwe są następujące działania administratora danych:
- jeżeli dane osób fizycznych prowadzących działalność gospodarczą stanowią odrębny zbiór, a nie ma zastosowania żadna z przesłanek zwolnienia zbioru z obowiązku rejestracji określonych w art. 43 ust. 1 ustawy, administrator zgłasza ten zbiór do rejestracji GIODO,
- jeżeli dane te zostały włączone do zgłoszonego wcześniej zbioru wówczas możliwe są dwa warianty:
- włączenie tych danych powoduje, że w zbiorze zachodzą zmiany (np. zmienia się zakres przetwarzanych danych), administrator dokonuje wówczas aktualizacji zgłoszonego zbioru,
- po włączeniu tych danych nie zaszły żadne zmiany w zbiorze, w związku z czym nie powstaje obowiązek zgłoszenia zmian w zbiorze.