Kwestia charakteru prawnego umowy powierzenia przetwarzania danych

Klamrę zamykającą tę część rozważań stanowią próby w zakresie zakwalifikowania umowy powierzenia przetwarzania do konkretnego typu umowy cywilnoprawnej. Z analizy poglądów przedstawicieli nauki prawa wynika, że zazwyczaj zgodnie i bez szczegółowych analiz powtarzane jest stanowisko, w którym umowa powierzenia przetwarzania danych osobowych jest umową o świadczenie usług467

. Dostępne wzory umowy powierzenia wymagają analizy pod kątem elementów charakterystycznych dla umowy zlecenia, umowy o dzieło i nienazwanej umowy o świadczenie usług, w celu ustalenia, do którego z powyższych rodzajów umów jest przedmiotowej umowie najbliżej, a w konsekwencji, które przepisy mogą być do niej stosowane.

Umowa o świadczenie usług stanowi umowę nienazwaną. W treści Kodeksu cywilnego poświęcono jej dosłownie jedno zdanie (w art. 750 KC), stanowiącego, że do umów o świadczenie usług, które nie są uregulowane innymi przepisami, stosuje się odpowiednio przepisy o zleceniu⁴⁶⁸. Pomimo bardzo okrojonej regulacji, uważa się, że umowy te należą do najczęściej zawieranych w obrocie, ponieważ dotykają niemal wszystkich sfer życia społecznego i gospodarczego469

. W pierwszej kolejności, ale tylko w niezbędnym zakresie, trzeba odnieść przetwarzanie danych osobowych w konsekwencji powierzenia do kategorii usług. Pojęcie usługi nie zostało zdefiniowane na gruncie Kodeksu cywilnego, ale świadczenie usług ma definicję legalną sformułowaną w ustawie z dnia 11 marca 2004 r. o podatku od towarów i usług⁴⁷⁰. Definicja ta jest stosunkowo szeroka i można powiedzieć, że powierzenie przetwarzania danych mieści się w niej zarówno w aspekcie przedmiotowym (każde świadczenie), jak i podmiotowym (na rzecz osoby fizycznej, osoby prawnej lub jednostki organizacyjnej niemającej osobowości

467 M.in. M. Kołodziej (red.), Vademecum ABI. Część II – Przygotowanie do roli Inspektora Ochrony

Danych, Warszawa 2017, Legalis.

468

Na temat pojęcia świadczenia usług oraz przepisów dotyczących świadczenia usług zob. szerzej P. Zakrzewski [w:] M. Habdas, M. Fras (red.), Kodeks cywilny. Komentarz. Tom IV. Zobowiązania. Część

szczegółowa (art. 535-764(1) Warszawa 2018, s. 667 i nast. oraz bogate orzecznictwo tam powołane.

469 R. Morek, M. Raczkowski [w:] K. Osajda (red.), Kodeks …, op. cit., Legalis.

470

T.j. Dz.U. z 2017 r. poz. 1221. Przez świadczenie usług, o którym mowa w art. 5 ust. 1 pkt 1, rozumie się każde świadczenie na rzecz osoby fizycznej, osoby prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, które nie stanowi dostawy towarów w rozumieniu art. 7, w tym również: 1) przeniesienie praw do wartości niematerialnych i prawnych, bez względu na formę, w jakiej dokonano czynności prawnej; 2) zobowiązanie do powstrzymania się od dokonania czynności lub do tolerowania czynności lub sytuacji; 3) świadczenie usług zgodnie z nakazem organu władzy publicznej lub podmiotu działającego w jego imieniu lub nakazem wynikającym z mocy prawa.

176

prawnej). Co więcej, można też stanąć na stanowisku, że powierzenie przetwarzania danych osobowych może odpowiadać uszczegółowieniu, które ustawodawca sformułował w punkcie 1 powołanego przepisu (przeniesienie praw do wartości niematerialnych i prawnych, bez względu na formę, w jakiej dokonano czynności prawnej). Jako argumenty wskazać można po pierwsze, że powierzenie przetwarzania danych osobowych stanowi czynność prawną (podstawowym instrumentem dokonania powierzenia jest przecież umowa), po drugie, dane osobowe mogą być uznane za wartości niematerialne i prawne (jest to zgodne z wnioskami wynikłymi z rozważań nad pojęciami informacji i danych, dokonanymi w pierwszym rozdziale rozprawy), a po trzecie, konsekwencją powierzenia jest przeniesienie praw, z racji tego, że prawo do przetwarzania danych osobowych posiada administrator danych, który na mocy umowy powierzenia przenosi część swoich praw na podmiot przetwarzający (który bez zawarcia przedmiotowej umowy nie miałby żadnych praw do tych danych). W ślad za powyższymi ustaleniami należy uznać, że przetwarzanie danych osobowych w konsekwencji powierzenia stanowi świadczenie usług zdefiniowane na gruncie języka prawnego w treści ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług⁴⁷¹.

Z uwagi na przyjęte wyżej ustalenia oraz fakt, że na gruncie nauki prawa nie są wyraźnie zarysowywane poglądy przeciwstawne do większościowego, zgodnie z którym umowa powierzenia przetwarzania jest umową o świadczenie usług, należy poprzeć to stanowisko i traktować je jako niewymagające argumentacji. Jednakże jednocześnie warto zaznaczyć wewnętrzną niejednolitość w ramach umowy tego typu, ponieważ z praktyki zawierania umów powierzenia można odnieść wrażenie, że część z nich będzie miała charakter umowy o świadczenie usług z wyraźnymi elementami umowy zlecenia, a część (choć zdecydowanie mniejsza) – charakter umowy o świadczenie usług z wyraźnymi elementami umowy o dzieło. Trzeba zwrócić uwagę przede wszystkim na fakt, że przedmiotem umowy powierzenia przetwarzania danych osobowych jest świadczenie polegające na przetwarzaniu danych. Natomiast przetwarzanie to nie tylko czynności faktyczne, ale również czynności prawne. Czynnością prawną w zakresie pojęcia przetwarzania danych osobowych będzie podpowierzenie (dalsze powierzenie) przetwarzania danych, które następuje w drodze umowy z podwykonawcą (tzw. podprzetwarzającym).

177

Zgodnie ze stanowiskiem Sądu Najwyższego odpowiednie stosowanie przepisów o zleceniu do umowy o świadczenie usług oznacza konieczność uwzględnienia specyfiki konkretnej sytuacji. Może więc wchodzić w grę stosowanie określonych przepisów wprost, z dostosowującymi do okoliczności modyfikacjami, a nawet wyłączenie stosowania pewnych przepisów z uwagi na odmienne cechy danego przypadku, wynikające ze swobodnego ukształtowania przez strony stosunku prawnego (art. 3531

KC)⁴⁷². Można powiedzieć, że w tej drugiej sytuacji będzie możliwe powoływanie się na przepisy regulujące umowę u dzieło, z uwagi na odmienne cechy danego przypadku, czyli wtedy gdy umowa powierzenia przetwarzania danych osobowych będzie miała cechy umowy rezultatu, a nie umowy starannego działania (np. w usłudze niszczenia danych).

Do oceny tego, czy do konkretnej umowy powierzenia przetwarzania danych osobowych należy stosować odpowiednio przepisy o zleceniu, czy też dana umowa jest jednak bardziej podobna do umowy o dzieło, każdorazowej analizy wymaga przedmiot umowy, a dokładniej jakie operacje wchodzące w zakres przetwarzania danych osobowych będzie obejmowała umowa. W przypadku gdy administrator danych powierza np. takie czynności jak zbieranie, przechowywanie, porządkowanie, powielanie danych, to z uwagi na fakt, że są to czynności traktowane jako staranne działanie, to faktycznie przepisy o zleceniu są bardziej odpowiednie biorąc pod uwagę, że jest to umowa starannego działania i nie oczekuje się by strona odpowiadała za efekt swoich działań. Umowa powierzenia stanowi w tym przypadku umowę o świadczenie usług z wyraźnymi elementami umowy zlecenia. Natomiast w przypadku, kiedy umowa powierzenia jest integralną częścią umowy np. na usługę niszczenia czy to dokumentów w formie papierowej, czy też elektronicznych nośników informacji, dotyczy ona rezultatu działania przetwarzającego – chodzi o efekt usunięcia danych. Ten rodzaj operacji dokonywanych na danych powinien być rozpatrywany w kategorii dzieła jako umowy rezultatu, a nie zlecenia, jako starannego działania podmiotu świadczącego usługi niszczenia dokumentów. W takiej sytuacji umowa powierzenia może być rozpatrywana jako umowa o świadczenie usług z wyraźnymi elementami umowy zlecenia. Skłania to również do sformułowania wniosku, że charakter umowy powierzenia w głównej mierze jest zależny od umowy zasadniczej, z którą jest związana. Jeśli umowa zasadnicza jest umową starannego działania i ma cechy zlecenia (np. archiwizacja akt osobowych pracowników, wynajęcie miejsca na serwerze), to umowa powierzenia również ma ten charakter.

178

Natomiast jeśli umowa zasadnicza ma cechy dzieła jako umowa rezultatu (np. przeprowadzenie jednorazowej akcji reklamowej i zwrócenie danych klientów administratorowi) – to i umowa powierzenia przetwarzania danych osobowych będzie miała takie właśnie cechy. Potwierdza to występowanie obu umów w relacji umów akcesoryjnych, choć akcesoryjność nie wynika z essentialia negotii umowy powierzenia przetwarzania danych ujętych w treści art. 28 ust. 3 RODO.

Oczywiście nietrudno wywnioskować, że zdecydowaną większość umów powierzenia przetwarzania danych osobowych będą stanowiły umowy o świadczenie usług, do których odpowiednio należy stosować przepisy o zleceniu, natomiast wyjątkowo będzie się zdarzało, że określona umowa powierzenia stanowi umowę o świadczenie usług podobną do umowy o dzieło. Uzasadnia to stanowisko, że charakter prawny umowy jest

de facto uzależniony od rodzaju czynności przetwarzania, których dotyczy konkretna

umowa. W związku z tym, w przypadku, gdy będzie to czynność starannego działania, odpowiednie zastosowanie znajdą przepisy odnoszące się do umowy zlecenia, a gdy przedmiotem umowy będzie działanie rezultatu, można powoływać się na przepisy dotyczące umowy o dzieło. Wnioskiem z powyższych rozważań jest też to, że umowa powierzenia przetwarzania danych osobowych okazuje się rodzajem umowy niejednolitym pomimo zgodnego zakwalifikowania jej do kategorii umów o świadczenie usług. Nie można zatem poprzestać na abstrakcyjnych rozważaniach, uniknąć każdorazowej analizy konkretnej umowy, ani też nadać jej charakter odgórnie i w sposób jednoznaczny.

1.3. Umowa powierzenia przetwarzania danych osobowych w świetle zasady swobody