Duża skala przetwarzania danych – co to znaczy i dlaczego jest takie istotne

Choć od wejścia w życie RODO minęło już ponad 7 miesięcy, to jednak nadal interpretacja rozporządzenia rodzi wiele wątpliwości i pytań. Tym bardziej, że RODO posługuje się licznymi pojęciami nieostrymi, m.in. pojęciem „dużej skali” przetwarzania danych osobowych.  Pojęcie to pojawia się w art. 35 ust. 3 lit. b i c oraz w art. 37 ust 1 lit b i c RODO. Przetwarzanie danych osobowych szczególnej kategorii w dużej skali stanowi przesłankę istnienia obowiązku wyznaczenia inspektora ochrony danych. Poza tym wielkoskalowe przetwarzanie szczególnych kategorii danych osobowych obliguje administratora do przeprowadzenia oceny skutków dla ochrony danych.

RODO wprawdzie nie definiuje pojęcia „dużej skali” przetwarzania danych. Zawiera jednak pewne przydatne wskazówki interpretacyjne. Otóż w motywie 91 RODO wskazano, iż operacje przetwarzania o dużej skali to takie operacje, które mają służyć przetwarzaniu znacznej ilości danych osobowych na szczeblu regionalnym, krajowym i ponadnarodowym i które mogą mieć wpływ na dużą liczbę osób, których dane dotyczą, oraz które mogą spowodować wysokie ryzyko na przykład (ze względu na swój szczególny charakter), gdy zgodnie ze stanem wiedzy technicznej stosowana jest na dużą skalę nowa technologia – oraz do innych operacji przetwarzania powodujących wysokie ryzyko naruszenia praw lub wolności osób, w szczególności gdy operacje te utrudniają osobom, których dane dotyczą, wykonywanie przysługujących im praw. Co istotne, powyższe rozwiązanie dotyczy wyłącznie oceny skutków dla ochrony danych. Trudno więc odnosić je do przesłanki wielkoskalowego przetwarzania danych w kontekście obowiązku wyznaczenia IOD.

Jak zatem rozumieć przetwarzanie danych na dużą skalę w kontekście obowiązku powołania IOD? Wobec braku wyjaśnień w samym RODO warto zwrócić uwagę na wytyczne Grupy Roboczej art. 29 - 16/EN WP243, przyjęte w dniu 13 grudnia 2016 r.

Otóż w punkcie 2.1.3. wytycznych wskazane zostały czynniki, które należy uwzględnić w ocenie, czy dochodzi do przetwarzania na "dużą skalę”:

• liczba osób, których dane dotyczą – konkretna liczba albo procent określonej grupy społeczeństwa,
• zakres przetwarzanych danych osobowych,
• okres, przez jaki dane są przetwarzane,
• zakres geograficzny przetwarzania danych osobowych.

W przedstawionym zakresie do wytycznych należy podchodzić ze szczególną ostrożnością. Mimo, że dotyczą one inspektorów ochrony danych, to jednak pojęcie „dużej skali” zinterpretowano przez pryzmat art. 35 RODO, a więc w związku z oceną skutków dla ochrony danych. W ocenie autora ich zastosowanie w kontekście obowiązku wyznaczenia IOD jest kontrowersyjne.

Przykłady przedstawione przez Grupę Roboczą są dość oczywiste, ponieważ dotyczą przede wszystkim dużych przedsiębiorstw, bardzo dużej ilości danych osobowych, a także wykorzystywania technologii (zarówno tradycyjne jak i najnowsze rozwiązania). Są to jednak jedynie przykłady, co nie uprawnia do stwierdzenia, że każda inna działalność, niezbliżona do wyżej wymienionych, nie wiąże się z przetwarzaniem danych osobowych na dużą skalę. W ocenie autora z przetwarzaniem wielkoskalowym mamy bowiem do czynienia np. w przypadku prowadzenia portali społecznościowych, aukcyjnych, a także dużych lub międzynarodowych sklepów internetowych.

W motywie 91 RODO wskazano również dwa przypadki, które nie będą uznawane za przetwarzanie danych osobowych w dużej skali, a mianowicie:

• przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pracownika służby zdrowia,
• przetwarzanie danych dotyczących wyroków skazujących lub naruszeń prawa przez prawnika.

Analogiczne spostrzeżenie w odniesieniu do wyznaczenia inspektora ochrony danych możemy odnaleźć w wytycznych Grupy Roboczej art. 29.

Jak już wskazano, warto podchodzić do wytycznych ze szczególną ostrożnością. W ocenie autora wytyczne w tym zakresie nie zasługują bowiem na uwzględnienie. Wprawdzie lekarz nie musi wykonać oceny skutków przetwarzania dla ochrony danych, niemniej jednak nie oznacza to, że proces przetwarzania przez niego danych osobowych nie powinien być kontrolowany przez inspektora ochrony danych. Skoro lekarz w trakcie swojej działalności zgromadził dane szczególnej kategorii od wielu tysięcy pacjentów i przechowuje te dane na prywatnym komputerze, to ryzyko naruszenia bezpieczeństwa danych może być bardzo wysokie.