W związku z wystąpieniem KRIR do Generalnego Inspektora Ochrony Danych Osobowych w sprawie zbadania  sprawy prawidłowości pozyskiwania danych osobowych rolników przez Agencję Nasienną Sp. z o.o. Generalny Inspektor poinformował, że problematyka wykonywania operacji na danych osobowych rolników z powołaniem się na przepisy ustawy z dnia 26 czerwca 2003 r. o ochronie prawnej odmian roślin (Dz. U. Nr 137, poz. 1300 ze zm.) jest Generalnemu Inspektorowi Ochrony Danych Osobowych znana.

 

 

 

 

Dostrzegając nieścisłości w zakresie procedur odnoszących się do przetwarzania danych osobowych rolników, o których jest mowa w przepisach ustawy o ochronie prawnej odmian roślin, organ do spraw ochrony danych osobowych wystąpił do Ministra Rolnictwa i Rozwoju Wsi o podjęcie działań legislacyjnych zmierzających do wyeliminowania istniejących nieprawidłowości (treść wystąpienia z dnia 13 kwietnia 2012 r. jest dostępna na stronie internetowej GIODO pod adresem www.giodo.gov.pl ).

W odpowiedzi na powyższe, Generalny Inspektor otrzymał zapewnienie o podjęciu - w sytuacji poddania przepisów ustawy kolejnej nowelizacji - przez Ministra Rolnictwa i Rozwoju Wsi działań zmierzających do dostosowania aktualnego brzmienia zasygnalizowanych przepisów ustawy o ochronie prawnej odmian roślin do uregulowań wynikających z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.).

Tym niemniej, Generalny Inspektor rozważy podjecie w przedstawionej przez Krajową Radę Izb Rolniczych sprawie dalszych czynności zmierzających do wyjaśnienia procesu przetwarzania, w tym w szczególności pozyskiwania, danych osobowych rolników przez wskazany podmiot.

W chwili obecnej wskazać natomiast można, iż ustawa, o której mowa wyżej, przyznaje osobie, której dane dotyczą, szereg uprawnień. Wśród nich znajduje się m.in. prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do:

• 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska,
• 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze,
• 3) uzyskania informacji, od kiedy przetwarza sic w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych,
• 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej,
• 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach 1ub kategoriach odbiorców, którym dane to są udostępniane,
• 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2,
• 6) Żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są juz zbędne do realizacji celu, dla którego zostały zebrane,
• 7) wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuacje,
• 8) wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych,
• 9) wniesienia do administratora danych żądania ponownego, indywidualnego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26a ust. 1 (art. 32 ust. 1).

 

Art. 33 ustawy precyzuje, iż na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić,  odnośnie do jej danych osobowych, informacji, o których jest mowa w art. 32 ust. 1 pkt 1- 5a. Na wniosek osoby, której dane dotyczą ww. informacji udziela się na piśmie.

W przypadku niedopełnienia powyższego obowiązku, osoba, której dane dotyczą, może rozważyć wystąpienie ze stosownej treści skargą do Generalnego Inspektora Ochrony Danych Osobowych. Generalny Inspektor może bowiem - w drodze decyzji administracyjnej - nakazać np. przywrócenie stanu zgodnego z prawem (art. 12 pkt 2 w związku z art. 18 ust. 1 ustawy o ochronie danych osobowych).

Z powyższego wynika, iż prawo do kontroli procesu przetwarzania danych osobowych, zgromadzonych w określonych zbiorach, podmioty danych (osoby, których dane dotyczą) winny w pierwszej kolejności realizować przed administratorem danych osobowych. Weryfikacja prawidłowości działania administratora danych w tym zakresie może się następnie odbywać w drodze stosownego postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych.