RODO agh: zakres odpowiedzialności strony w praktyce prawnej

Współczesna współpraca sektora biznesowego z wiodącymi ośrodkami akademickimi, takimi jak Akademia Górniczo-Hutnicza im. Stanisława Staszica w Krakowie (AGH), stanowi motor napędowy dla innowacyjnych projektów badawczo-rozwojowych, transferu technologii oraz wdrożeń nowoczesnych rozwiązań IT. Jednakże, dynamiczny rozwój tej kooperacji niesie za sobą skomplikowane wyzwania natury prawnej, wśród których kwestie ochrony danych osobowych wysuwają się na pierwszy plan. Zagadnienie określane potocznie jako 'rodo agh' dotyczy w istocie szerokiego spektrum ryzyk, obowiązków oraz zasad odpowiedzialności, jakie spoczywają na stronach umów konsorcjalnych, badawczych czy wdrożeniowych. Brak precyzyjnego podziału ról i zadań w zakresie przetwarzania danych osobowych może prowadzić do poważnych konsekwencji prawnych, finansowych oraz wizerunkowych dla wszystkich zaangażowanych podmiotów.

1. Specyfika i status prawny uczelni wyższej na gruncie RODO

Uczelnia wyższa, jako podmiot sektora finansów publicznych, funkcjonuje w specyficznym otoczeniu prawnym regulowanym przez ustawę Prawo o szkolnictwie wyższym i nauce. Z punktu widzenia ochrony danych osobowych, AGH występuje przede wszystkim jako administrator danych (ADO) w odniesieniu do swoich studentów, doktorantów, pracowników naukowych oraz personelu administracyjnego. Realizuje w tym zakresie zadania publiczne, co wpływa na podstawy prawne przetwarzania danych (najczęściej art. 6 ust. 1 lit. c oraz e RODO).

Sytuacja komplikuje się jednak, gdy uczelnia podejmuje współpracę komercyjną z przedsiębiorstwami prywatnymi. Wówczas dochodzi do zderzenia dwóch odmiennych kultur organizacyjnych i reżimów prawnych. Podmioty prywatne dążą do maksymalnej elastyczności i szybkości działania, podczas gdy uczelnia publiczna musi przestrzegać rygorystycznych procedur wewnętrznych, zasad wydatkowania środków publicznych oraz specyficznych regulacji dotyczących własności intelektualnej. W kontekście RODO oznacza to, że każda umowa o współpracę musi uwzględniać unikalny status prawny uczelni, co bezpośrednio wpływa na podział odpowiedzialności za bezpieczeństwo danych osobowych zaangażowanych w projekt.

2. Podział ról: Współadministrowanie a powierzenie przetwarzania danych

Kluczowym elementem planowania każdego przedsięwzięcia z udziałem AGH jest prawidłowe zdefiniowanie roli, jaką poszczególne strony będą odgrywać w procesie przetwarzania danych osobowych. Błędna kwalifikacja prawna na tym etapie stanowi jedno z największych ryzyk prawnych.

Współadministrowanie danymi (Art. 26 RODO)

Zgodnie z art. 26 RODO, jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. W praktyce projektów badawczych realizowanych wspólnie przez AGH i partnera biznesowego, współadministrowanie jest sytuacją niezwykle częstą. Dzieje się tak, ponieważ obie strony są żywotnie zainteresowane wynikami badań, wspólnie projektują metodologię badawczą, decydują o tym, jakie grupy osób zostaną poddane badaniom (np. użytkownicy nowego systemu IT, pacjenci w badaniach medycznych czy uczestnicy testów technologii Smart City) oraz wspólnie analizują zebrane dane. W takim scenariuszu strony mają obowiązek zawrzeć formalne porozumienie, które w sposób przezroczysty określa ich odpowiednie zakresy odpowiedzialności dotyczące wypełniania obowiązków wynikających z RODO, w szczególności w odniesieniu do wykonywania praw osób, których dane dotyczą, oraz ich odpowiednich obowiązków w odniesieniu do podawania informacji, o których mowa w art. 13 i 14.

Powierzenie przetwarzania danych (Art. 28 RODO)

Alternatywnym modelem jest powierzenie przetwarzania danych, o którym mowa w art. 28 RODO. Model ten znajduje zastosowanie, gdy jedna ze stron działa wyłącznie na zlecenie i zgodnie z instrukcjami drugiej strony, nie decydując o celach przetwarzania. Przykładem może być sytuacja, w której partner komercyjny zleca AGH wykonanie specjalistycznej ekspertyzy laboratoryjnej na próbach zawierających dane osobowe, bądź odwrotnie – gdy uczelnia zleca firmie zewnętrznej dostawę i obsługę systemu chmurowego do przetwarzania danych rekrutacyjnych. Wówczas niezbędne jest zawarcie umowy powierzenia przetwarzania danych (DPA), która nakłada na procesora szereg obowiązków w zakresie bezpieczeństwa, audytowalności oraz zgłaszania naruszeń.

3. Przetwarzanie danych w celach naukowo-badawczych (Art. 89 RODO)

Artykuł 89 RODO wprowadza szczególne regulacje dotyczące przetwarzania danych osobowych do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych. Przepis ten pozwala państwom członkowskim na wprowadzenie pewnych odstępstw od praw osób, których dane dotyczą (np. od prawa dostępu, sprostowania, ograniczenia przetwarzania czy sprzeciwu), pod warunkiem spełnienia określonych warunków i wdrożenia odpowiednich zabezpieczeń.

W praktyce współpracy z AGH oznacza to, że w niektórych przypadkach możliwe jest ograniczenie realizacji praw osób fizycznych, jeśli prawa te mogłyby uniemożliwić lub poważnie utrudnić realizację celów badawczych. Jednakże, korzystanie z tych wyłączeń wymaga przeprowadzenia szczegółowej analizy prawnej i wykazania, że zastosowano odpowiednie środki techniczne i organizacyjne, w szczególności w celu zapewnienia przestrzegania zasady minimalizacji danych (np. poprzez pseudonimizację lub szyfrowanie). Strony umowy muszą jednoznacznie określić, czy i w jakim zakresie zamierzają korzystać z przywilejów wynikających z art. 89 RODO oraz kto ponosi odpowiedzialność za wykazanie zgodności tych działań z prawem przed organem nadzorczym.

4. Realizacja praw osób, których dane dotyczą: Obsługa wniosków

Każda osoba fizyczna, której dane są przetwarzane w ramach wspólnego projektu, posiada katalog praw gwarantowanych przez RODO, takich jak prawo dostępu do danych, ich sprostowania, usunięcia ('prawo do bycia zapomnianym'), ograniczenia przetwarzania czy przenoszenia danych. W praktyce, gdy osoba ta chce skorzystać ze swoich praw, składa stosowny wniosek.

Jeżeli strony nie określiły precyzyjnie procedury obsługi takich żądań, pojawia się poważne ryzyko naruszenia przepisów. Wniosek złożony do jednego z partnerów (np. do sekretariatu wydziału AGH) must zostać niezwłocznie zidentyfikowany i przekazany do osoby odpowiedzialnej za dany projekt. Zgodnie z RODO, administrator ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie nie później niż w terminie miesiąca od otrzymania żądania. W przypadku braku sprawnej komunikacji między uczelnią a partnerem prywatnym, termin ten może łatwo zostać przekroczony, co uprawnia wnioskodawcę do wniesienia skargi do organu nadzorczego. Dlatego w umowach typu 'rodo agh' kluczowe jest wyznaczenie dedykowanych punktów kontaktowych oraz określenie maksymalnego czasu na wzajemne przekazywanie informacji o wpłynięciu wniosku (np. 48 godzin).

5. Obowiązek informacyjny jako fundament transparentności

Spełnienie obowiązku informacyjnego wynikającego z art. 13 i 14 RODO jest bezwzględnym warunkiem legalności przetwarzania danych. Osoba, której dane dotyczą, musi zostać poinformowana m.in. o tożsamości administratora (lub współadministratorów), celach i podstawach prawnych przetwarzania, odbiorcach danych, okresie przechowywania oraz przysługujących jej prawach.

W projektach realizowanych z AGH wyzwaniem bywa ustalenie, kto i w którym momencie powinien ten obowiązek zrealizować. Jeśli dane są zbierane bezpośrednio od osób (np. poprzez formularze rejestracyjne na dedykowanej platformie badawczej), klauzula informacyjna musi być widoczna i łatwo dostępna przed rozpoczęciem zbierania danych. W przypadku współadministrowania, klauzula ta musi również odzwierciedlać zasadniczą treść uzgodnień między współadministratorami, informując osobę, do którego z nich może się zwracać w celu realizacji swoich praw. Zaniedbanie tego obowiązku lub sformułowanie klauzuli w sposób niejasny i niezrozumiały stanowi bezpośrednie naruszenie zasady przejrzystości i jest jednym z głównych punktów zapalnych podczas kontroli prowadzonych przez organ nadzorczy.

6. Rola organu nadzorczego i ryzyko sankcji finansowych

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Posiada on szerokie uprawnienia władcze, w tym możliwość przeprowadzania kontroli, nakazywania dostosowania operacji przetwarzania do przepisów RODO, a także nakładania administracyjnych kar pieniężnych. Dla podmiotów prywatnych kary te mogą wynosić do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. W przypadku uczelni publicznych, polskie przepisy wprowadzają ograniczenia kwotowe kar (zgodnie z ustawą o ochronie danych osobowych), co jednak nie zwalnia uczelni z odpowiedzialności dyscyplinarnej, wizerunkowej oraz cywilnej.

Co istotne, partner prywatny współpracujący z uczelnią nie podlega tym ulgowym limitom. Jeśli naruszenie ochrony danych nastąpi z winy obu stron (np. w wyniku braku odpowiednich zabezpieczeń technicznych we wspólnym systemie), partner prywatny może zostać ukarany pełną kwotą administracyjną, a także pociągnięty do solidarnej odpowiedzialności odszkodowawczej na mocy art. 82 RODO. Oznacza to, że osoba poszkodowana może żądać pełnego zadośćuczynienia od firmy prywatnej, a ta dopiero na drodze regresu może próbować odzyskać część kwoty od uczelni, co w praktyce sądowej bywa procesem długotrwałym i skomplikowanym.

7. Incydenty bezpieczeństwa i rygorystyczne terminy zgłoszeń

Zarządzanie incydentami bezpieczeństwa to obszar, w którym presja czasu jest największa. Artykuł 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Wyjątkiem jest sytuacja, gdy jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

W strukturach akademickich, charakteryzujących się dużą autonomią poszczególnych wydziałów i laboratoriów, szybkie wykrycie i zaraportowanie incydentu do Inspektora Ochrony Danych (IOD) AGH może napotkać bariery komunikacyjne. Z tego względu, w umowach z uczelnią partner prywatny musi zagwarantować sobie bardzo krótki termin na otrzymanie informacji o incydencie od personelu uczelni (np. 24 godziny od momentu wykrycia). Brak takiego rygoru umownego może doprowadzić do sytuacji, w której partner dowiaduje się o wycieku danych po upływie kilku dni, co uniemożliwia mu wywiązanie się z ustawowego obowiązku wobec UODO i naraża na bezpośrednią karę za niedotrzymanie terminu zgłoszenia.

8. Tabela: Porównanie modeli odpowiedzialności stron

Poniższa tabela przedstawia syntetyczne zestawienie kluczowych aspektów odpowiedzialności w zależności od wybranego modelu prawnego relacji pomiędzy partnerem biznesowym a uczelnią:

9. Praktyczne studium przypadku (Case Study): Projekt badawczy 'Smart Traffic'

W celu lepszego zobrazowania ryzyk warto przeanalizować hipotetyczne, lecz wysoce prawdopodobne studium przypadku. Firma 'Future Mobility Sp. z o.o.' zawarła z AGH umowę o realizację wspólnego projektu badawczego mającego na celu optymalizację ruchu drogowego w Krakowie. W ramach projektu zainstalowano inteligentne kamery rejestrujące numery rejestracyjne pojazdów oraz wizerunki kierowców. Dane te były przesyłane na serwery uczelni, do których dostęp mieli również programiści firmy partnerskiej.

W umowie konsorcjum zabrakło precyzyjnych zapisów dotyczących RODO – strony założyły milcząco, że 'jakoś to będzie', a uczelnia jako podmiot publiczny bierze na siebie całą odpowiedzialność. Po kilku miesiącach doszło do ataku hakerskiego na serwer uczelni, w wyniku którego baza danych zawierająca numery rejestracyjne i wizerunki tysięcy kierowców została upubliczniona w sieci. Naruszenie zostało wykryte przez pracownika naukowego AGH, który jednak nie poinformował o tym fakcie IOD uczelni ani partnera prywatnego przez kolejne 4 dni, próbując samodzielnie usunąć skutki awarii.

Gdy sprawa wyszła na jaw, Prezes UODO wszczął kontrolę. Organ nadzorczy uznał, że strony działały jako współadministratorzy, ponieważ wspólnie decydowały o celach badawczych i metodach zbierania danych. Ze względu na brak porozumienia o współadministrowaniu oraz rażące przekroczenie terminu 72 godzin na zgłoszenie naruszenia, UODO nałożyło karę administracyjną zarówno na AGH (w granicach limitów dla podmiotów publicznych), jak i na firmę 'Future Mobility' (w wysokości 150 000 PLN). Ponadto, kilku kierowców wytoczyło procesy cywilne o zadośćuczynienie za naruszenie dóbr osobistych, kierując roszczenia solidarnie do spółki prywatnej jako podmiotu o większej płynności finansowej. Spółka musiała wypłacić odszkodowania, a jej wizerunek jako bezpiecznego partnera technologicznego został poważnie nadszarpnięty.

10. Najczęstsze błędy w umowach i relacjach z uczelniami

Doświadczenia z audytów i postępowań przed organem nadzorczym pozwalają na sformułowanie listy najczęstszych błędów popełnianych przez działy prawne przy konstruowaniu umów z uczelniami:

1. Ignorowanie RODO na etapie listów intencyjnych i NDA: Często wymiana danych osobowych (np. CV kluczowych badaczy, dane kontaktowe personelu) następuje już na etapie negocjacji, zanim zostanie podpisana właściwa umowa o współpracę. Brak odpowiednich klauzul w NDA stanowi istotną lukę prawną.
2. Stosowanie szablonowych klauzul powierzenia: Bezrefleksyjne kopiowanie wzorców umownych, które nie odpowiadają rzeczywistemu przepływowi danych w projekcie naukowym. Często dochodzi do sytuacji, w której umowa mówi o powierzeniu, podczas gdy stan faktyczny jednoznacznie wskazuje na współadministrowanie.
3. Brak precyzyjnego określenia losu danych po zakończeniu projektu: Projekty naukowe mają swój określony czas trwania. Po jego zakończeniu dane powinny zostać usunięte lub zanonimizowane. Często jednak badacze chcą zachować dane do celów dalszych publikacji naukowych, co bez zgody osób, których dane dotyczą, lub bez odpowiedniej podstawy prawnej jest niedozwolone.
4. Brak weryfikacji podwykonawców (subprocesorów): Uczelnie często angażują do projektów zewnętrznych ekspertów, studentów na umowach zlecenie czy zewnętrzne laboratoria. Brak kontroli nad tym, kto faktycznie ma dostęp do danych osobowych, drastycznie zwiększa ryzyko wycieku.

11. Rekomendacje dla praktyków: Jak bezpiecznie ukształtować współpracę?

Aby zminimalizować ryzyko prawne i finansowe związane z przetwarzaniem danych osobowych we współpracy z AGH, zaleca się wdrożenie następujących działań prewencyjnych:

Po pierwsze, przed podpisaniem jakiejkolwiek umowy należy przeprowadzić szczegółowe mapowanie procesów przetwarzania danych w projekcie. Pozwoli to na jednoznaczne określenie, czy mamy do czynienia ze współadministrowaniem, czy z powierzeniem danych. Po drugie, należy bezwzględnie dążyć do podpisania dedykowanego porozumienia z art. 26 RODO lub umowy DPA z art. 28 RODO, unikając lakonicznych i ogólnych zapisów w treści samej umowy głównej. Dokumenty te powinny być konsultowane z Inspektorami Ochrony Danych obu stron.

Po trzecie, w umowie należy zawrzeć precyzyjne klauzule regresowe i limitujące odpowiedzialność odszkodowawczą pomiędzy stronami. Choć wobec osób trzecich (poszkodowanych) odpowiedzialność współadministratorów jest solidarna, to w relacjach wewnętrznych strony mogą umownie ustalić, że podmiot, który dopuścił się naruszenia (np. poprzez niezgłoszenie incydentu w terminie lub brak wdrożenia zabezpieczeń), pokryje pełne koszty kar i odszkodowań nałożonych na drugiego partnera. Na koniec, kluczowe jest wdrożenie stałego monitoringu i audytów bezpieczeństwa w trakcie realizacji projektu, co pozwoli na szybkie wykrywanie ewentualnych podatności i zapobieganie incydentom zanim przerodzą się one w poważny kryzys prawny.