Klient upada, dostawca zostaje sam z danymi — i staje się administratorem

Co się wydarzyło

24 marca 2020 r. norweska sieć sklepów ogłasza upadłość. Byli pracownicy występują do syndyka o pokrycie wynagrodzeń za przepracowane dni i potrzebują do tego kart czasu pracy: godzin, zmian, obecności. Dane te znajdują się jednak w systemie zewnętrznego dostawcy, który przetwarzał je w imieniu spółki. Syndyk nie ma dostępu do systemu. 18 czerwca jeden z byłych pracowników składa wniosek o dostęp do własnych danych; łącznie wpływa ich osiemdziesiąt. 23 czerwca dostawca odpowiada na piśmie, że nie ma samodzielnego prawa dysponowania danymi i nie wolno mu udostępniać ich nikomu, „nawet samym osobom, których dane dotyczą".

Przetwarzanie bez administratora nie istnieje

Art. 28 ust. 10 stanowi, że podmiot przetwarzający, który określa cele i sposoby, staje się administratorem tego przetwarzania. Po upadłości dostawca był jedynym podmiotem z dostępem do systemów, decydował, czy i komu udostępnić dane, ustalał okres ich przechowywania i samodzielnie obsługiwał wnioski osób, których dane dotyczą. To decyzje o istotnych sposobach przetwarzania, a te należą do administratora. Rozporządzenie nie zna figury podmiotu przetwarzającego bez administratora: za każde przetwarzanie ktoś musi odpowiadać.

Faktura nie zawiesza praw

Dostawca żądał od syndyka uregulowania swoich roszczeń przed wydaniem kart czasu pracy i deklarował gotowość przekazania „surowych danych" wyłącznie w ramach nowego, odpłatnego zlecenia. Organ rozdzielił obie kwestie: to, czy dostawcy należy się wynagrodzenie, jest sprawą umowną, której RODO nie reguluje, natomiast na wniosek o dostęp trzeba odpowiedzieć w ciągu miesiąca (art. 12 ust. 3) i co do zasady nieodpłatnie (art. 12 ust. 5). Otwarty rachunek wobec upadłego klienta nie jest podstawą prawną odmowy wydania komuś jego własnych danych.

• Co dzieje się z danymi, gdy administrator upada lub przestaje istnieć. Standardowa klauzula „zwrócić lub usunąć po zakończeniu umowy" nie wystarcza, gdy dane są pracownikom potrzebne do dochodzenia roszczeń: trzeba zapisać, kto w międzyczasie odpowiada na wnioski o dostęp.
• Jeśli twój klient sam jest dostawcą, sprawdź, czy potrafi rozpoznać moment, w którym nikt już nie wydaje mu poleceń. Od tej chwili albo ustala następcę — zwykle syndyka — albo przyjmuje, że administratorem jest on sam.
• Żadnego wniosku o dostęp nie wolno uzależniać od zapłaty. Na tym punkcie dostawca przegrał i jest to zarazem najłatwiejszy do zapisania element procedury wewnętrznej.

Kara i dlaczego jest niższa, niż mogła być

Dwieście pięćdziesiąt tysięcy koron norweskich, około dwudziestu pięciu tysięcy euro. W zawiadomieniu z kwietnia 2025 r. organ zapowiadał siedemset pięćdziesiąt tysięcy, po czym obniżył kwotę ze względu na czas trwania postępowania: skarga wpłynęła 30 czerwca 2020 r., a pierwsze wezwanie do wyjaśnień skierowano do spółki 15 października 2024 r. Sprawę prowadzono jako transgraniczną, a wśród organów, których sprawa dotyczyła, znalazły się Szwecja, Dania i Hiszpania.