Umowa powierzenia przetwarzania danych osobowych w świetle zasady

Z punktu widzenia stron umowy doniosłym i interesującym jest zagadnienie regulacji prawnej umowy powierzenia przetwarzania danych osobowych w kontekście zasady swobody umów. Wydaje się, że o ile trudno jest uznać tę umowę za umowę nazwaną, to sposób, w jaki została uregulowana w treści art. 28 RODO daje podstawę do uznania, że zasada swobody umów jest tu wyraźnie i mocno ograniczona. Warto to zauważyć chociażby dlatego, że to swoboda umów jest normatywną podstawą do

konstruowania umów nienazwanych473

. Dla zbadania istoty i celu ograniczenia zasady swobody umów w przypadku umowy powierzenia przetwarzania danych osobowych

179

niezbędna wydaje się krótka analiza konstrukcji normatywnej i dogmatycznej zasady swobody umów.

Swoboda umów jest przejawem szerszego pojęcia autonomii woli, rozumianego jako umożliwienie przez system prawny regulowania stosunków prawnych przez podmioty prawa według ich woli za pomocą czynności prawnych474. Innymi słowy, chodzi o wolę podmiotów, będącą kreatorem dynamiki obrotu prawnego w drodze czynności prawnych, które są aktami woli autonomicznych podmiotów475. Twierdzi się również, że zasada autonomii woli podmiotów jest podstawową zasadą prawa prywatnego, a zasadę swobody umów powinno się pojmować w sensie techniczno-prawnym, jako określony prawem zakres działań, który w ramach autonomii woli stron pozwala na kształtowanie

stosunków prawnych za pomocą umów476

.

Normatywny kształt swobody umów określony został w treści art. 3531

Kodeksu cywilnego, który stanowi, że strony zawierające umowę mogą ułożyć stosunek prawny według swego uznania, byleby jego treść lub cel nie sprzeciwiały się właściwości (naturze) stosunku, ustawie ani zasadom współżycia społecznego. Z treści tego przepisu wynika, że strony mogą zawrzeć umowę dowolnej treści i o dowolnym celu, jednak obowiązujące prawo, zasady współżycia społecznego (coraz częściej zastępowane zasadą słuszności), a także natura stosunku prawnego nie mogą zostać naruszone477

. W tym zrębowym dla swobody umów przepisie wyróżnić można następujące elementy: podmiot kompetencji (strony), czynność konwencjonalna (umowa), zachowanie nakazane adresatowi (obowiązek ułożenia stosunku prawnego w sposób niesprzeciwiający się naturze stosunku, ustawie i zasadom współżycia), adresat (strony, które dokonują czynności)478

.

Jeśli chodzi o treść zasady swobody umów, przedstawiciele nauki prawa prezentują różne stanowiska, ale najczęściej wyróżnia się jej cztery elementy. Pierwszym jest swoboda zawarcia lub niezawarcia umowy, czyli de facto podjęcia decyzji o wejściu bądź

474 Z. Radwański, System Prawa Prywatnego, tom 2, Warszawa 2008, s. 4 i n.

475 S. Prutis, Instytucje..., op. cit., s. 89.

476

S. Prutis, Instytucje..., op. cit., s. 89, A. Stelmachowski, Zarys teorii prawa cywilnego, Warszawa 1998, s. 88.

477 E. Łętowska, J. Woleński, Czy prawo zatruwa wolność? [w:] Przegląd Filozoficzny – Nowa Seria R. 22: 2013, Nr 3, artykuł dostępny na stronie internetowej http://www.czasopisma.pan.pl/Content/94028/PDF/pfns-2013-0064.pdf?handler=pdf.

478

A. Brzozowski, P. Machnikowski [w:] E. Łętowska (red.), System Prawa Prywatnego, tom 5, Warszawa 2013, s. 482

180

nie w stosunek zobowiązaniowy. Drugi element to możliwość swobodnego wyboru kontrahenta, czyli decyzji z kim zawrzeć określoną umowę. Następny element to swoboda co do zasady dowolnego ukształtowania treści umowy. Ostatnim z wyróżnianych przejawów jest forma umowy zależna od woli stron, co stanowi uwolnienie stron od formalizmu prawnego. Trzeba jednak tu zaznaczyć, że w praktyce, w swej idealnej, czystej postaci swoboda umów jest rzadkością. Zwykle ograniczają ją w sposób mniejszy lub większy przepisy prawa oraz szereg czynników pozaprawnych, jak np. warunki ekonomiczne. Swobody umów nie należy więc traktować jako wartości absolutnej, z którą nigdy nie może konkurować żadne inne dobro.

Wśród poglądów przedstawicieli nauki prawa podkreślenia wymaga stanowisko, że wymienione elementy swobody z reguły umów nie występują łącznie. Zawsze zawierają prawne lub pozaprawne ograniczenia, na które składają się czynniki ustrojowe, normatywne, gospodarcze czy społeczne. Stąd uzasadnione jest przyjęcie trwałości samej idei swobody umów, ale zmienności jej treści479. W treści art. 3531

KC wymienione są trzy czynniki stanowiące granice swobody umów. Zakres kompetencji stron co do kształtowania stosunku umownego jest wyznaczony poprzez właściwość (naturę stosunku), ustawę i zasady współżycia społecznego. Wskazuje się, że wymienione w treści przepisu ograniczenia są jedynymi, co oznacza, że nie ma innych jak np. istniejące zwyczaje, a ponadto o kompetencji stron decyduje chwila zawarcia umowy (późniejsze zmiany stanu prawnego nie mają znaczenia)480

.

Jeśli chodzi o pierwsze z ograniczeń zasady swobody umów, spotyka się ono z trudnościami w interpretacji, jest niejasne i wątpliwe. Pełen Skład Izby Cywilnej Sądu Najwyższego podjął uchwałę, zgodnie z którą ograniczenie, polegające na konieczności respektowania (natury) danego stosunku prawnego, jest interpretowane w sposób szeroki i wąski. W szerszym rozumieniu za sprzeczne z naturą zobowiązania uznawane jest takie zniekształcenie umowy typowej, które wykracza poza ramy stosunku umownego, akceptowanego w sferze danego ustawodawstwa, gdy jednocześnie nie istnieje podstawa do rozumienia stosunku jako umowy mieszanej, zgodnej z wolą stron. Natomiast interpretacja węższa oznacza sprzeczność przewidywanych warunków umowy z jakąkolwiek rozsądną wykładnią stosunku prawnego mieszczącego się w sferze

479 T. Mróz, Dekompozycja zasady swobody umów? Próba klasyfikacji i oceny niektórych czynników

kształtujących tę zasadę, [w:] B. Gnela (red.), Ustawowe ograniczenia zasady swobody umów. Zagadnienia wybrane, Warszawa 2010, s. 42-43.

181

dostępnych naszemu ustawodawstwu instytucji481

. Kryterium właściwości (natury) stosunku prawnego zostało wyjaśnione przez jednego z przedstawicieli nauki prawa jako zapobieżenie takim sytuacjom umownym, które pod płaszczykiem umów przewidzianych w prawie miałyby realizować zupełnie inne cele482

. Interesującą kwestią jest też możliwość odwołania do natury stosunku umownego nienazwanego. Jest to uznane za dopuszczalne, z zastrzeżeniem, iż kryterium natury zobowiązania może znaleźć zastosowanie jedynie poprzez odwołanie się do ogólnych, podstawowych cech stosunku obligacyjnego nienazwanego, bez których jest on pozbawiony swojego sensu gospodarczego⁴⁸³.

W nauce prawa zgodnie twierdzi się, że ograniczenie zasady swobody umów z uwagi na ustawę występuje najczęściej i sprowadza się do niedopuszczalności ustalenia treści stosunku zobowiązaniowego (czyli uprawnień i obowiązków stron) lub jego celu, które powodowałoby naruszenie przepisu o charakterze iuris cogentis. Wyjaśnić należy, że chodzi tu zarówno o przepisy Kodeksu cywilnego jak i innych aktów484

, przy czym ma to być przepis rangi ustawowej lub rozporządzenia wydanego na podstawie wyraźnej delegacji ustawowej⁴⁸⁵. Wyłączone z tego zakresu są natomiast pozakonstytucyjne źródła prawa prywatnego, akty wewnętrzne organów administracji, ogólne warunki umów, statuty i umowy dotyczące osób prawnych, uchwały organów osób prawnych⁴⁸⁶. Można uznać, że z uwagi na rangę wyższą niż ustawy, przepisy rozporządzenia unijnego tym bardziej mogą stanowić ograniczenia swobody umów należące do tej kategorii. Co istotne, ograniczenia swobody określania treści umowy przez same strony, statuowane przez imperatywne przepisy prawa, mogą przybierać różną postać. Mogą polegać na wskazaniu, co (albo jak) strony muszą postanowić w treści umowy. Ponadto mogą wskazywać, czego stronom zawrzeć w umowie nie wolno (umowa będzie nieważna, chyba że właściwy przepis przewiduje inny skutek). Możliwe jest też, że prawo nadaje zachowaniom stron

481 Uchwała Pełnego Składu Izby Cywilnej Sądu Najwyższego z dnia 28 kwietnia 1995 r., III CZP 166/94, nr Legalis 29265.

482

A. Stelmachowski, Zarys..., op. cit., s. 97.

483 M. J. Skrodzka, K. Skrodzki, Źródła zasady swobody umów oraz wybrane aspekty jej granic – w świetle

orzecznictwa, Białostockie Studia Prawnicze 2008 z. 3, s. 94-95.

484 Zob. Szerzej powoływaną tu publikację pod red. B. Gneli, w której przedstawiono przykładowe ograniczenia swobody umów wynikające m.n. z prawa własności intelektualnej, prawa zamówień publicznych, prawa upadłościowego czy prawa spółek.

485 M. Szaraniec, Publicznoprawne ograniczenia swobody kontraktowej w działalności krajowego zakładu

ubezpieczeń – zagadnienia wybrane [w:] B. Gnela (red.), Ustawowe..., op. cit., s. 135. S. Prutis dodaje do

tego katalogu również akty prawa miejscowego o ile realizują odpowiednio skonstruowane upoważnienie ustawowe.

182

określonego przez prawo znaczenia, niezależnie od tego, czy strony tego rzeczywiście chciały487

.

Trzecia kategoria ograniczeń swobody kształtowania treści stosunku prawnego to zasady współżycia społecznego, które powszechnie przyjęto na gruncie cywilistyki jako normy moralne. Co istotne, w nauce prawa wskazuje się, że kwestionowanie ważności czynności prawnej wobec jej sprzeczności z zasadami współżycia społecznego wymaga każdorazowo wskazania, o jakie dokładnie zasady chodzi. Najważniejsze wartości, których nieprzestrzeganie może prowadzić do stwierdzenia niezgodności z zasadami współżycia społecznego i nieważności umowy na podstawie art. 3531

w zw. z art. 58 § 2 KC, to m.in. wolność człowieka, w tym wolność działalności gospodarczej, równość faktyczna stron, słuszność kontraktowa, ochrona osób trzecich, wolna konkurencja488

. Ponadto wskazuje się w literaturze, że należy szeroko traktować sprzeczność stosunku zobowiązaniowego z zasadami współżycia społecznego, co oznacza, że nie tylko treść i cel umowy powinny być poddawane ocenie moralnej, ale również postępowanie stron prowadzące do zawarcia umowy489

. Jako przykładowe sprzeczności umowy z zasadami współżycia społecznego wskazać można umowę zawartą z lekarzem uzależniającą wysokość wynagrodzenia od wyleczenia chorego czy też pactum de non

licitando (powstrzymanie się od udziału w licytacji).

Odnosząc powyższe ogólne uwagi dotyczące swobody umów do umowy powierzenia przetwarzania danych osobowych, należy ustalić, które z wymienionych elementów zasady swobody umów są respektowane w przypadku tego zobowiązania, a które doznają znacznych ograniczeń.

Już na początku pojawia się trudność co do swobody zawarcia lub niezawarcia umowy. Wątpliwości wzbudza przede wszystkim to, że przepisy prawa konstruują obowiązek zawarcia umowy powierzenia, w przypadku gdy administrator poleca przetwarzanie danych w swoim imieniu innemu podmiotowi. Obowiązek ten wyinterpretować można zarówno z treści art. 28 ust. 3 RODO, zgodnie z którym przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, jak również z treści motywu 81 preambuły RODO, stanowiącej, że

487 E. Łętowska, J. Woleński, Czy prawo..., op cit., http://www.czasopisma.pan.pl/Content/94028/PDF/pfns-2013-0064.pdf?handler=pdf.

488

M. Gutowski [w:] M. Gutowski (red.), Kodeks cywilny. Tom II. Komentarz, Warszawa 2019, Legalis.

183

przetwarzanie przez podmiot przetwarzający powinno być regulowane umową lub innym instrumentem prawnym. Ponadto jako przejaw braku swobody co do samego nawiązania stosunku umownego między administratorem i podmiotem przetwarzającym postrzegać można przepisy dotyczące kar administracyjnych. Zgodnie z treścią art. 83 ust. 4 lit. a) RODO naruszenie obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25–39 oraz 42 i 43 RODO, podlega administracyjnej karze pieniężnej w wysokości do 10 000 000 euro, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu. Obowiązki zawarte w treści art. 28 RODO dotyczącego przetwarzania danych przez podmiot przetwarzający, bez wątpienia mieszczą się w zakresie tej regulacji. Tutaj należy pamiętać o akcesoryjnym charakterze umowy powierzenia. Jest to umowa powiązana z umową zasadniczą dotyczącą określonej usługi, w ramach której dochodzi do przetwarzania danych osobowych przez podmiot zlecający czynności podmiotowi zewnętrznemu. Można zatem stwierdzić, że w oparciu o aktualne brzmienie przepisów RODO zasada swobody umów nie ma zastosowania w aspekcie swobody zawarcia umowy, samego nawiązywania stosunku zobowiązaniowego. Natomiast w większości przypadków zasada swobody umów realizowana jest co do umowy zasadniczej, ponieważ w gestii administratora danych leży to, czy określone zadania będzie realizował w oparciu o własne zasoby, czy też „zleci” je podmiotowi zewnętrznemu.

Podobnie kształtuje się kwestia spełniania swobody wyboru kontrahenta w przypadku regulacji umowy powierzenia przetwarzania danych osobowych. Jako umowa akcesoryjna, umowa powierzenia nie może być zawarta z dowolnym podmiotem. Stosunek powierzenia może być nawiązany jedynie z tym podmiotem, z którym administrator zawarł umowę zasadniczą na określoną usługę, np. biurem rachunkowym czy firmą kurierską. Podobnie jak w przypadku swobody zawarcia umowy, swoboda wyboru kontrahenta może być realizowana na etapie podejmowania decyzji o skorzystaniu z usług podmiotu zewnętrznego i dokonania jego wyboru (np. na podstawie dobrej opinii, atrakcyjnej ceny, jakości usług). Jednakże tu RODO wprowadza dodatkowe ograniczenie. Zgodnie z treścią art. 28 ust. 1 RODO, jeżeli przetwarzanie ma być dokonywane

w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów

przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Z przepisu tego bez wątpienia wynika

184

ograniczenie w wyborze kontrahenta. Jeśli bowiem administrator chciałby „zlecić” kampanię marketingową podmiotowi, który został wybrany na podstawie kryterium ceny, ale nie daje on gwarancji, że będzie przetwarzać dane osobowe w imieniu administratora, uwzględniając wymogi określone w RODO, to współpraca z takim podmiotem będzie oznaczała naruszenie art. 28 ust. 1 RODO oraz umożliwi zarzucenie administratorowi niedopełnienie należytej staranności.

Kolejnym ważnym obszarem zasady swobody umów, który należy odnieść do regulacji umowy powierzenia przetwarzania danych osobowych jest swoboda dowolnego ukształtowania treści umowy. Trudno powiedzieć, aby strony umowy powierzenia mogły ukształtować treść umowy według własnej woli. Elementy, które ma zawierać umowa prawodawca narzucił w treści art. 28 ust. 3 RODO, wskazując na przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Co więcej, prawodawca ustalił w treści przepisów art. 28 ust. 3 pkt a-h RODO sferę obowiązków podmiotu przetwarzającego, jako minimalne wymagania. Nie wydaje się, żeby strony mogły postanowić, że któryś z obowiązków nie będzie w ogóle realizowany lub też przechodzi na administratora. Tak szczegółowe zobowiązania leżące po stronie podmiotu przetwarzającego nie powinny jednak być kopiowane do postanowień konkretnych umów. Jak wskazuje się w literaturze przedmiotu, w praktyce obowiązki wynikające z art. 28 ust. 3 pkt a-h RODO będą wymagać skonkretyzowania w sposób adekwatny do zadań, operacji przetwarzania, zaplecza logistycznego, kategorii danych i osób, których dane dotyczą, ram czasowych i terytorialnych powierzonego przetwarzania490

. Wydaje się jednak, że strony mimo to mają sporą swobodę w zakresie treści wymaganych zapisów, w tym zasad kształtowania sposobu realizowana obowiązków podmiotu przetwarzającego (dla przykładu, jak często można przeprowadzać audyt przetwarzania danych i z jakim wyprzedzeniem informować o nim podmiot przetwarzający).

Ostatni z elementów swobody umów jest swoboda co do wyboru formy zawarcia umowy. Ogólnie rzecz biorąc, prawodawca w przypadku umowy powierzenia przetwarzania danych osobowych nie zwolnił stron z formalizmu prawnego, stanowiąc w treści art. 28 ust. 9 RODO że umowa ma formę pisemną, w tym formę elektroniczną. Można to tłumaczyć generalnym podejściem stosowanym na gruncie przepisów RODO

185

do skrupulatnego dokumentowania działań związanych z ochroną danych osobowych. W odniesieniu do akcesoryjnego charakteru umowy powierzenia względem umowy zasadniczej, wygląda na to, że umowa zasadnicza może mieć dowolną formę, zaś będąca jej częścią umowa powierzenia zawsze musi być zawierana na piśmie bądź elektronicznie.

Reasumując, zgodnie z szeroko uznanym na gruncie nauki prawa poglądem, swoboda umów to przekazanie przez państwo swych kompetencji normotwórczych samym stronom, przez co państwo rezygnuje z władczego uregulowania stosunków

wzajemnych stron⁴⁹¹. W przypadku umowy powierzenia przetwarzania danych osobowych

nie można powiedzieć o całkowitej rezygnacji z kompetencji prawodawcy do władczego ukształtowania stosunku prawnego zachodzącego między administratorem i podmiotem przetwarzającym. Przepisy prawa skrupulatnie przewidują zakres praw i obowiązków stron umowy, jednoznacznie wskazują formę umowy, jasno formułują wymogi co do elementów jej treści.

Kluczowe znaczenie ma tu charakter przepisów RODO odnoszących się do umowy powierzenia przetwarzania danych osobowych – czy są to przepisy imperatywne (bezwzględnie obowiązujące) czy też dyspozytywne (względnie obowiązujące). Należy zgodzić się z rozumowaniem przedstawionym przez E. Łętowską i J. Woleńskiego, zgodnie z którym w przypadku przepisów imperatywnych decyduje wola ustawodawcy wyrażona w treści przepisów, a nie wola stron. Regulacja prawna zajmuje arbitralnie miejsce tego, co strony miałyby uregulować same, wobec czego ich wola musi ustąpić przed wolą prawodawcy, ponieważ umowa jest tu subsydiarna względem prawa. Natomiast w przypadku gdy przepisy prawa mają charakter dyspozytywny, sytuacja jest odwrotna. To przepisy są subsydiarne względem umowy, a ich zastosowanie ma miejsce wtedy, gdy strony w umowie nie uregulowały jakiejś kwestii inaczej⁴⁹². Chociażby z uwagi na konsekwencje naruszenia postanowień RODO administracyjnymi karami pieniężnymi, bez wątpienia jego przepisy mają charakter imperatywny. Można w związku z tym stwierdzić, że swoboda umów jest znacznie ograniczona w przypadku umów powierzenia przetwarzania danych osobowych.

Można też wywnioskować, że najczęściej swoboda umów znajduje zastosowanie dopiero wtedy, gdy minimalne wymogi wynikające z treści art. 28 RODO zostają

491 A. Stelmachowski, Zarys..., op. cit., s. 89.

492

E. Łętowska, J. Woleński, Czy prawo..., op. cit., http://www.czasopisma.pan.pl/Content/94028/PDF/pfns-2013-0064.pdf?handler=pdf.

186

spełnione. W ten sposób należałoby interpretować treść motywu nr 109 preambuły RODO, zgodnie z którym należy zachęcać administratorów i podmioty przetwarzające, by w drodze zobowiązań umownych przewidywały dodatkowe zabezpieczenia, stanowiące uzupełnienie minimalnych wymogów. Ponadto, na podstawie poczynionych rozważań można przyjąć, że z trzech czynników wyznaczających granice swobody umów, najczęściej występują ustawowe ograniczenia tej zasady i mają one swoje źródło w przepisach RODO.

Należy podkreślić, że istotne w praktyce są również faktyczne ograniczenia możliwości korzystania ze swobody umów. również faktyczne ograniczenia możliwości korzystania ze swobody umów. W nauce prawa rozumie się je jako różnorodne zjawiska o charakterze prawnym lub pozaprawnym, które ograniczają rzeczywistą swobodę podejmowania decyzji przez jedną lub obie strony umowy, a najczęściej wskazuje się faktyczną nierównorzędność stron493. Zdarza się, że jedna ze stron ma nad drugą przewagę ekonomiczną, w konsekwencji czego zawarcie umowy ma mniejsze znaczenie dla tej strony niż dla jej kontrahenta. Może ona wywierać presję w kierunku zawarcia umowy o określonej treści, szczególnie gdy alternatywą jest odrzucenie warunków i ostatecznie

niezawarcie umowy⁴⁹⁴. Wstępnie można powiedzieć, że w umowie powierzenia

przetwarzania danych osobowych zdarzają się sytuacje, gdy stronom umowy trudno przypisać cechę równorzędności, ale kwestie te zostaną rozwinięte w poniższych uwagach dotyczących stron umowy powierzenia przetwarzania danych osobowych.

Wydaje się, że ograniczenia swobody umów są uzasadnione, z uwagi na to że wynikają z szczególnego rodzaju dóbr, jakimi są dane osobowe. Należy podkreślić, że powszechnie doceniana wartość zasady umowy nie ma charakteru wartości absolutnej i może być ograniczana z uwagi na ochronę innego dobra, w przypadku umowy powierzenia przetwarzania danych osobowych tym dobrem są dane osobowe. Trudno jest jednakże stwierdzić generalnie, czy ograniczenia te w sposób dostateczny zapewniają ochronę danych osobowych, jest to kwestia indywidualnego przypadku.

493

A. Brzozowski, P. Machnikowski [w:] E. Łętowska (red.), System..., op. cit., s. 496 i n.

187