Dane osobowe - RODO: zarząd nie pozbędzie się obowiązków i odpowiedzialności

Unijne rozporządzenie w sprawie ochrony danych osobowych zacznie obowiązywać już 25 maja 2018 r. (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO"). Wraz z ustawą o ochronie danych osobowych, nad którą obecnie trwają prace w Ministerstwie Cyfryzacji, będzie stanowiło podstawę systemu ochrony danych osobowych w Polsce.

Najważniejsze ze zmian dotyczą m.in.:

- zasad zgłaszania naruszeń;

- rozszerzenia praw osób, których dane osobowe są przetwarzane (np. o prawo do bycia zapominanym oraz wzmocnienie prawa dostępu i wglądu do danych);

- wprowadzenia obowiązku szacowania i oceny ryzyka związanego z przetwarzaniem danych;

- zasad dotyczących profilowania (zautomatyzowania zbierania danych, a następnie ich analizowania);

- obowiązku wyznaczenia inspektora ochrony danych (funkcja o szerszych kompetencjach niż obecny administrator bezpieczeństwa informacji);

- zasad uzyskiwania zgód oraz rozszerzenie obowiązków informacyjnych.

Jedną z nowości jest także wprowadzenie wysokich kar finansowych za niewypełnianie obowiązków, które mogą wynieść nawet do 20 mln euro lub do 4 proc. światowego rocznego obrotu przedsiębiorstwa.

Kto jest odpowiedzialny

Wdrożenie zasad wynikających z RODO ciąży na podmiotach dokonujących przetwarzania danych. Wbrew obiegowej opinii należy przy tym wskazać, że zgodnie z regulacjami zawartymi w RODO inspektor ochrony danych (o ile w ogóle zostanie powołany, bo przecież nie każde przedsiębiorstwo musi korzystać z jego pomocy), pełni wyłącznie funkcję doradczą. Art. 39 RODO wskazuje bowiem, że do zadań inspektora należy informowanie administratora o obowiązkach wynikających z Rozporządzenia, monitorowanie przestrzegania jego postanowień, prowadzenie szkoleń czy wydawanie zaleceń co do oceny skutków przetwarzania danych, a także współpraca z organem nadzorczym.

Kto zatem jest odpowiedzialny w firmie za wdrożenie zasad wynikających z RODO? Zarząd lub poszczególni członkowie zarządu spółki. Konsekwencją tego stwierdzenia jest również to, że za naruszenia w zakresie ochrony danych osobowych, odpowiedzialność mogą ponosić również zarządy. Dlatego właśnie, tak ważne jest odpowiednie przygotowanie firmy do stosowania zasad przyjętych w RODO, co nie tylko wpłynie na ograniczenie ryzyka i skutków wystąpienia incydentów związanych z przetwarzaniem danych osobowych, lecz także zminimalizuje prawdopodobieństwo nałożenia kar pieniężnych.

Kary pienieżne

Administracyjna kara pieniężna za naruszenie obowiązków ochrony danych osobowych to także problem zarządów. Pomimo, iż sama kara zostanie nałożona na spółkę dopuszczającą się naruszenia, to odpowiedzialność za jej zapłatę może ponieść również jej zarząd.

Na co dzień zwraca się uwagę przede wszystkim na przepisy regulujące odpowiedzialność członków zarządu spółek wobec osób trzecich. Należy jednak pamiętać o tym, że aktualnie obowiązujące przepisy dopuszczają także odpowiedzialność członków zarządu wobec samych spółek, w których ci pełnią funkcje. Wydaje się przy tym, że stosunkowo łatwo spełnić przesłanki odpowiedzialności wobec spółki.

Kodeks spółek handlowych w art. 293 i art. 483 przewiduje odpowiedzialność członków zarządu za szkodę wyrządzoną spółce. Przesłankami odpowiedzialności jest powstanie szkody po stronie spółki, związek przyczynowy pomiędzy działaniem lub zaniechaniem członka zarządu oraz wina.

Jaka szkoda

W przypadku nałożenia administracyjnej kary pieniężnej ustalenie wysokości poniesionej szkody nie powinno być problematyczne. Wartością tą będzie, co do zasady, kwota nałożonej kary. Dodatkowo do wysokości szkody mogą wchodzić utracone korzyści, które spółka odniosłaby gdyby tej kary nie musiała zapłacić.

Związek przyczynowy

Ustalenie, że między szkodą, a działaniem bądź zaniechaniem członka zarządu zachodzi związek przyczynowy wymaga wykazania, że szkoda nie wystąpiłaby gdyby nie działanie lub zaniechanie członka zarządu, a ponadto, że jest normalnym następstwem takiego zachowania. W praktyce byłoby to wykazanie, że niewdrożenie lub nieprawidłowe wdrożenie RODO przez zarząd, czy też brak monitorowania stosowania przyjętych rozwiązań, jest przyczyną nałożenia na spółkę kary finansowej. Nie wydaje się to szczególnie trudne. Zwłaszcza, że pomocne przy wykazaniu związku przyczynowego mogą być uzasadnione rozstrzygnięcia o nałożeniu kary oraz akta postępowania przeprowadzonego w tej sprawie.

Jaki podział kompetencji

Przepisy przewidują odpowiedzialność członka zarządu za szkodę wyrządzoną spółce. Odnoszą się zatem do konkretnej osoby piastującej funkcję w zarządzie, która swoim działaniem lub zaniechaniem doprowadziła do powstania uszczerbku w majątku spółki.

Jeżeli szkoda została wyrządzona przez kilka osób łącznie, odpowiadają oni solidarnie. Oznacza to, że spółka o naprawienie szkody może zwrócić się zarówno do wszystkich z nich jednocześnie, jak i wybrać niektórych, by następnie od nich dochodzić odszkodowania. Członek zarządu, który nie został pozwany nie powinien jednak czuć się bezpiecznie. Pozostali mogą mieć do niego regres o proporcjonalny zwrot kwot zapłaconych tytułem odszkodowania.

Podział kompetencji przewidziany w statucie, umowie spółki lub regulaminie zarządu może mieć zatem kluczowe znaczenie dla ustalenia, który z członków zarządu spółki jest odpowiedzialny za szkodę. Jeżeli w strukturze zarządu wyodrębniono członka zarządu, któremu przypisano obowiązki związane z ochroną danych osobowych (np. dyrektor działu organizacyjnego, działu prawnego, dyrektor korporacyjny), zaniedbanie będzie możliwe do przypisania konkretnej osobie. Kluczowe przy tym jest jasne i precyzyjne rozdzielenie obowiązków pomiędzy członków zarządu. Jak bowiem ustalić zakres kompetencji, jeżeli podział funkcji sprowadza się tylko do nazwy stanowiska, a w zarządzie jednocześnie funkcjonuje zarówno dyrektor działu organizacyjnego, jak i dyrektor działu prawnego? Wydaje się, że w takim przypadku odpowiedzialność powinna zostać przypisania obydwu członkom zarządu.

Absolutorium może ochronić

Absolutorium jest formą potwierdzenia, że członek zarządu prawidłowo wywiązywał się ze swoich obowiązków. Udzielenie absolutorium może wyłączać możliwość dochodzenia odszkodowania za szkodę wyrządzoną spółce, jeżeli w dacie podejmowania stosownej uchwały walnemu zgromadzeniu akcjonariuszy lub zgromadzeniu wspólników, były znane nieprawidłowości, których dopuścił się członek zarządu. Do takich wniosków doszedł Sąd Apelacyjny w Krakowie w wyroku z 8 grudnia 2016 r., w którym wyraził pogląd, że skoro „absolutorium, (udzielane indywidualnie każdemu z członków organu kolegialnego) jest formą skwitowania członków tych organów z tych czynności, a co za tym idzie stanowi, co do zasady, podstawę do wyłączenia ich ewentualnej odpowiedzialności odszkodowawczej o jakiej mowa w art. 293 k.s.h.".

Uchwała o udzieleniu absolutorium nie wyłączy jednak odpowiedzialność, jeżeli w dacie jej podejmowania nie było wiadomo o możliwości powstania szkody, ani o jej wysokości.

Czyja wina

W kwestii wykazania winy, spółki stoją na uprzywilejowanej pozycji. Ustanowione zostało domniemanie winy członka zarządu, które ten, w celu uniknięcia odpowiedzialności, powinien obalić. Przepisy przewidują podwyższony miernik staranności osób wchodzących w skład zarządu. Członkowie zarządu przy wykonywaniu swoich obowiązków powinni bowiem dołożyć staranności wynikającej z zawodowego charakteru swojej działalności. W przypadku wystąpienia szkody, uwolnienie się od odpowiedzialności poprzez udowodnienie, że członek zarządu pełniąc funkcję wypełnił swoje obowiązki należycie, w praktyce, może okazać się bardzo trudne. ?