GIODO odmawia rejestracji zbioru danych – czy można dalej przetwarzać dane w nim zawarte

Decyzja odmowna w kwestii rejestracji zbioru danych, oprócz odmowy rejestracji zbioru, często zawiera również określone nakazy, np. nakaz ograniczenia przetwarzanych w zbiorze danych osobowych wyłącznie do ich przechowywania, do czasu zarejestrowania tego zbioru po jego ponownym zgłoszeniu, po usunięciu wad, które były przyczyną odmowy rejestracji. Generalny Inspektor Ochrony Danych Osobowych odmawia wprawdzie w takim przypadku rejestracji zbioru danych, jednak zgromadzonych danych nie trzeba od razu usuwać. Ich przetwarzanie należy ograniczyć wyłącznie do przechowywania, tzn. nie można poddawać ich żadnym innym operacjom. Nie można np. zbierać nowych danych osobowych do zbioru, nie można ich zmieniać ani nikomu udostępniać.

Po otrzymaniu decyzji o odmowie rejestracji zbioru danych należy zająć się eliminacją wad, które były przyczyną odmowy rejestracji. Wtedy, w zależności od nakazu zawartego w decyzji, trzeba np. usunąć ze zbioru dane, które przetwarzane były bez podstawy prawnej lub były nieadekwatne do celu przetwarzania, dostosować urządzenia i systemy informatyczne służące do przetwarzania danych, aby spełniały warunki określone w przepisach, czy też po prostu wypełnić poprawnie zgłoszenie zbioru danych.

Stosownie do treści art. 44 ust. 4 i 5 ustawy o ochronie danych osobowych administrator danych może zgłosić ponownie zbiór danych do rejestracji po usunięciu wad, które były powodem odmowy rejestracji. W razie ponownego zgłoszenia takiego zbioru administrator danych może rozpocząć przetwarzanie danych w nim zawartych dopiero po zarejestrowaniu zbioru.

Sytuacja administratora danych zgłaszającego ponownie zbiór danych do rejestracji po odmowie jest inna niż administratora danych, który zgłasza zbiór danych po raz pierwszy. Zgodnie z art. 46 ustawy o ochronie danych osobowych administrator danych może rozpocząć przetwarzanie danych w zbiorze już po jego zgłoszeniu (pod warunkiem że w zbiorze tym nie są przetwarzane tzw. dane szczególnie chronione).

Zarówno w przypadku gdy w zbiorze przetwarzane są dane szczególnie chronione, jak i gdy zbiór został zgłoszony do rejestracji ponownie po otrzymaniu decyzji o odmowie (niezależnie od rodzaju danych w nim przetwarzanych), administratorzy danych muszą się wstrzymać z przetwarzaniem danych zawartych w takich zbiorach (poza przechowywaniem określonym w decyzji odmownej) do czasu, gdy zostaną one wpisane do ogólnopolskiego rejestru zbiorów danych osobowych.