W stanowisku Urzędu Ochrony Danych Osobowych, opublikowanym w dniu 30 czerwca 2020 roku, organ postanowił rozwiać wątpliwości co do tego, czy dane kontaktowe członków organów i przedstawicieli osób prawnych pojawiających się w dokumentach podlegają ochronie na gruncie przepisów RODO. Warto bowiem w tym miejscu przypomnieć, że zgodnie z motywem 14 RODO, przepisy unijnego rozporządzenia znajdują zastosowanie wyłącznie do danych osobowych osób fizycznych, nie zapewniając tym samym ochrony danym osób prawnych (jak np. firma, dane kontaktowe spółki), w związku z czym niekiedy dla administratorów danych nie było w pełni jasne jak należy traktować dane osób reprezentujących spółkę przy zawieraniu umów, w szczególności jeśli dane takich osób figurowały już w publicznie dostępnych rejestrach takich jak KRS.
Urząd Ochrony Danych Osobowych, wychodząc naprzeciw powyżej opisanym wątpliwościom w swoim stanowisku potwierdził, że dane członków zarządu lub innych przedstawicieli spółek (i innych osób prawnych), jako dane osobowe osób fizycznych, odrębne od danych samej spółki, podlegają ochronie na gruncie przepisów RODO, w związku z czym wobec tych osób co do zasady administrator musi dopełnić obowiązków informacyjnych wynikających z art. 13 i 14 RODO. Jednocześnie, organ podkreślił, że przepisy RODO znajdują zastosowanie również do danych pracowników i innych osób kontaktowych osób prawnych, takich jak w szczególności służbowe adresy e-mail.
Co do sposobu wypełnienia przez administratora obowiązków informacyjnych wobec ww. osób przy podpisywaniu umów, których stronami lub jedną ze stron jest osoba prawna, należy wyjaśnić, że w przypadku danych osób podpisujących w imieniu spółki wystarczające będzie umieszczenie w samej treści umowy informacji, o których mowa w art. 13 RODO. Jeśli zaś w umowie wskazano także dane przedstawicieli (np. pracowników) osób prawnych, które to dane nie zostały uzyskane bezpośrednio od tych przedstawicieli, to informacje wskazane w art. 14 RODO należy przedstawić tym osobom oddzielnie, np. przesyłając je mailowo lub pisemnie. Warto także zaznaczyć, że niekiedy administrator danych jest zwolniony z obowiązku informacyjnego, w szczególności w sytuacji, jeśli:
- podmiot danych dysponuje już wszystkimi informacjami,
- udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku,
- dane osobowe muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy zawodowej.
W powyższym kontekście warto przytoczyć również interesujące, chociaż budzące pewne zastrzeżenia stanowisko wyrażone niedawno przez UODO na łamach Dziennika Gazety Prawnej, zgodnie z którym obowiązek informacyjny można wykonać również poprzez zamieszczenie informacji o administratorze wraz z linkiem do pełnej treści informacji w stopce maila.