RODO w firmie transportowej: odmowa i dalsze kroki prawne

W dobie cyfryzacji i powszechnego monitorowania procesów logistycznych, ochrona danych osobowych stała się jednym z kluczowych filarów zarządzania nowoczesnym przedsiębiorstwem przewozowym. RODO w firmie transportowej to nie tylko sucha teoria, ale przede wszystkim codzienna praktyka związana z obsługą danych kierowców, kontrahentów, a także osób trzecich. Dynamiczny rozwój świadomości prawnej sprawia, że osoby, których dane są przetwarzane, coraz chętniej i częściej korzystają ze swoich uprawnień. Składają oni wnioski o wgląd do danych, ich sprostowanie, ograniczenie przetwarzania czy wreszcie – całkowite usunięcie (tzw. prawo do bycia zapomnianym). Dla administratora danych w firmie transportowej sytuacja ta może rodzić poważne dylematy. Czy żądanie byłego kierowcy o usunięcie historii lokalizacji GPS jest zasadne? Czy można odmówić usunięcia danych dotyczących czasu pracy? Niniejszy artykuł szczegółowo omawia procedurę obsługi takich wniosków, przesłanki uzasadniające odmowę oraz dalsze kroki prawne, jakie należy podjąć w przypadku sporu przed organem nadzorczym.

Specyfika przetwarzania danych osobowych w branży transportowej

Przedsiębiorstwa transportowe przetwarzają specyficzny katalog danych osobowych, który wykracza poza standardowe dane kadrowo-płacowe. Do najważniejszych kategorii danych należą dane geolokalizacyjne (GPS) pojazdów, dane z tachografów cyfrowych i kart kierowców, wizerunek zarejestrowany przez kamery samochodowe (wideorejestratory), a także dane telemetryczne. Dodatkowo, firmy te operują danymi nadawców i odbiorców przesyłek, w tym ich imionami, nazwiskami, adresami oraz numerami telefonów.

Wszystkie te informacje stanowią dane osobowe w rozumieniu RODO, o ile pozwalają na bezpośrednie lub pośrednie zidentyfikowanie osoby fizycznej. Administratorem tych danych jest zazwyczaj przewoźnik, na którym spoczywa szereg obowiązków, w tym obowiązek rozliczenia się z prawidłowości ich przetwarzania. Złożoność tych procesów sprawia, że realizacja praw osób, których dane dotyczą, bywa niezwykle skomplikowana i wymaga indywidualnej oceny każdego przypadku.

Prawa osób, których dane dotyczą, a realia sektora TSL

Rozporządzenie o Ochronie Danych Osobowych (RODO) przyznaje osobom fizycznym szereg uprawnień. W kontekście firmy transportowej najczęściej pojawiają się żądania oparte na następujących artykułach RODO:

Prawo dostępu do danych (art. 15 RODO): Kierowcy lub klienci mogą żądać kopii wszystkich przetwarzanych na ich temat danych, w tym zapisów GPS czy logów z systemów dyspozytorskich.
Prawo do usunięcia danych (art. 17 RODO): Często zgłaszane przez byłych pracowników lub współpracowników, którzy domagają się "wyczyszczenia" wszelkich śladów swojej aktywności w firmie.
Prawo do ograniczenia przetwarzania (art. 18 RODO): Stosowane np. w sytuacjach spornych, gdy osoba kwestionuje prawidłowość danych lub wnosi sprzeciw wobec ich przetwarzania.
Prawo do przenoszenia danych (art. 20 RODO): Dotyczy danych przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy.

Choć uprawnienia te są fundamentalne, nie mają one charakteru absolutnego. RODO przewiduje szereg wyjątków, które pozwalają, a czasem wręcz nakazują administratorowi odmowę spełnienia żądania.

Kiedy firma transportowa może odmówić spełnienia żądania?

Odmowa realizacji wniosku opartego na RODO w firmie transportowej jest w pełni legalna, pod warunkiem, że zachodzą ku temu określone przesłanki prawne. Najczęstsze sytuacje, w których przewoźnik może, a nawet musi odmówić usunięcia lub ograniczenia przetwarzania danych, wynikają z nadrzędnych przepisów prawa krajowego i unijnego.

1. Obowiązek prawny ciążący na administratorze (art. 17 ust. 3 lit. b RODO)

Branża transportowa podlega rygorystycznym regulacjom sektorowym. Zgodnie z przepisami o czasie pracy kierowców oraz ustawą o systemie tachografów, pracodawca ma obowiązek przechowywać dane z kart kierowców oraz wykresówki przez określony czas (zazwyczaj jest to okres 12 miesięcy na potrzeby kontroli Inspekcji Transportu Drogowego). Ponadto, przepisy prawa pracy nakładają obowiązek przechowywania dokumentacji pracowniczej (w tym ewidencji czasu pracy) przez okres 10 lat (lub 50 lat dla stosunków pracy nawiązanych przed 1 stycznia 2019 r.). W takich przypadkach żądanie usunięcia danych przez byłego kierowcę musi spotkać się z odmową.

2. Ustalenie, dochodzenie lub obrona roszczeń (art. 17 ust. 3 lit. e RODO)

To jedna z najsilniejszych podstaw do odmowy. Jeśli były pracownik lub kontrahent grozi procesem sądowym lub istnieje ryzyko powstania sporu (np. dotyczącego niewypłaconych nadgodzin, uszkodzenia ładunku, kar umownych), firma transportowa ma prawo zachować niezbędne dane. Dane geolokalizacyjne GPS, zapisy z tachografów czy korespondencja mailowa mogą stanowić kluczowy dowód w sądzie. Przetwarzanie tych danych jest wówczas niezbędne do obrony praw przedsiębiorstwa, co wyłącza prawo do ich usunięcia.

3. Przepisy podatkowe i rachunkowe

Dane dotyczące zleceń transportowych, faktur, listów przewozowych CMR zawierające dane osób fizycznych (np. kierowców realizujących przewóz lub osób odbierających towar) muszą być przechowywane przez okres 5 lat, licząc od końca roku kalendarzeniowego, w którym upłynął termin płatności podatku. Wynika to wprost z Ordynacji podatkowej oraz Ustawy o rachunkowości.

Procedura rozpatrywania wniosków krok po kroku

Aby odmowa była skuteczna i bezpieczna pod kątem prawnym, administrator musi wdrożyć i rzetelnie stosować odpowiednią procedurę wewnętrzną. Każdy wniosek powinien przejść przez następujące etapy:

Weryfikacja tożsamości wnioskodawcy: Przed przystąpieniem do analizy merytorycznej należy upewnić się, że osoba składająca wniosek jest rzeczywiście tą, za którą się podaje. Brak należytej weryfikacji może prowadzić do wycieku danych (udostępnienia ich osobie nieuprawnionej), co stanowi rażące naruszenie RODO.
Analiza merytoryczna żądania: Należy dokładnie zbadać, jakich danych dotyczy wniosek i na jakiej podstawie prawnej są one przetwarzane. Jeśli dane są przetwarzane na podstawie umowy, obowiązku prawnego lub prawnie uzasadnionego interesu, należy ocenić, czy przesłanki te nadal trwają.
Ocena zasadności odmowy: Jeśli ustalono, że dane muszą być dalej przetwarzane (np. ze względu na okresy retencji wynikające z przepisów o transporcie drogowym), przygotowuje się decyzję o odmowie.
Zachowanie terminu: Zgodnie z art. 12 ust. 3 RODO, odpowiedź must zostać udzielona bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten można przedłużyć o kolejne dwa miesiące, jednak należy o tym poinformować wnioskodawcę w ciągu pierwszego miesiąca, podając przyczyny opóźnienia.

Jak sformułować odmowę? Wymogi formalne

Odmowa spełnienia żądania nie może być lakoniczna. Pismo skierowane do wnioskodawcy musi spełniać określone standardy informacyjne. Brak odpowiednich elementów w treści odmowy może stać się bezpośrednią przyczyną nałożenia kary przez organ nadzorczy, nawet jeśli sama odmowa była merytorycznie uzasadniona.

Pismo odmowne powinno zawierać:

Jasne wskazanie przyczyn odmowy: Należy precyzyjnie wyjaśnić, dlaczego żądanie nie może zostać spełnione. Warto powołać się na konkretne przepisy prawa (np. art. 25 ustawy o czasie pracy kierowców czy art. 74 ustawy o rachunkowości) oraz odpowiednie artykuły RODO (np. art. 17 ust. 3 RODO).
Pouczenie o prawie wniesienia skargi: Administrator ma bezwzględny obowiązek poinformować osobę o możliwości wniesienia skargi do organu nadzorczego (w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych - PUODO) oraz o prawie do podjęcia środków ochrony prawnej przed sądem powszechnym.
Przystępny język: Informacje powinny być sformułowane zwięźle, przejrzyście, zrozumiałym i łatwo dostępnym językiem.

Dalsze kroki prawne: Postępowanie przed Prezesem UODO

Odmowa realizacji wniosku bardzo często skutkuje tym, że niezadowolony wnioskodawca kieruje skargę do organu nadzorczego. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Jak wygląda takie postępowanie i jak powinna zachować się firma transportowa?

Po wpłynięciu skargi, organ nadzorczy wszczyna postępowanie wyjaśniające. Pierwszym krokiem organu jest zazwyczaj wezwanie administratora (firmy transportowej) do złożenia pisemnych wyjaśnień w określonym terminie (najczęściej 7 lub 14 dni).

W odpowiedzi na wezwanie PUODO, firma transportowa musi:

Przedstawić pełną argumentację prawną i faktyczną, która legła u podstaw decyzji o odmowie.
Przedłożyć dowody potwierdzające zasadność dalszego przetwarzania danych (np. umowy o pracę, rejestry ewidencji czasu pracy, umowy z kontrahentami, dowody na istnienie potencjalnych roszczeń).
Wykazać, że dopełniono wszelkich obowiązków proceduralnych, w tym zachowano miesięczny termin na odpowiedź oraz prawidłowo pouczono wnioskodawcę o jego prawach.

Postępowanie przed PUODO kończy się wydaniem decyzji administracyjnej. Organ może uznać skargę za nieuzasadnioną i umorzyć postępowanie, bądź też nakazać administratorowi spełnienie żądania (np. usunięcie danych) i ewentualnie nałożyć administracyjną karę pieniężną, jeśli stwierdzi rażące naruszenie przepisów.

Najczęstsze błędy popełniane przez firmy transportowe

Analiza postępowań przed Prezesem UODO pozwala na zidentyfikowanie najczęstszych błędów, jakie popełniają przedsiębiorcy z sektora TSL:

Brak jakiejkolwiek odpowiedzi (ignorowanie wniosków): To najkrótsza droga do nałożenia kary finansowej. Nawet jeśli żądanie jest całkowicie absurdalne, administrator ma obowiązek na nie odpowiedzieć i uzasadnić swoje stanowisko w terminie.
Przekroczenie ustawowych terminów: Odpowiedź udzielona po upływie miesiąca (bez uprzedniego poinformowania o przedłużeniu terminu) stanowi naruszenie procedury RODO.
Niewłaściwe uzasadnienie: Używanie ogólnikowych sformułowań typu "nie usuniemy danych, bo tak" lub "dane są nam potrzebne" bez wskazania konkretnej podstawy prawnej i celu przetwarzania.
Brak pouczenia o prawie do skargi: Pominięcie informacji o możliwości odwołania się do PUODO oraz sądu jest bezpośrednim naruszeniem art. 12 ust. 4 RODO.

Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której pan Jan, były kierowca zatrudniony w firmie transportowej "Trans-Pol", rozwiązał umowę o pracę w atmosferze konfliktu dotyczącego rozliczenia delegacji krajowych i zagranicznych. Miesiąc po rozstaniu z firmą, pan Jan przesłał do byłego pracodawcy pisemny wniosek o natychmiastowe usunięcie wszystkich jego danych osobowych, w tym:

danych z karty kierowcy i tachografu z okresu 2 lat pracy,
historii lokalizacji GPS pojazdu, którym się poruszał,
akt osobowych oraz ewidencji czasu pracy.

Jak powinna zareagować firma "Trans-Pol"?

Administrator danych przeanalizował wniosek i podjął decyzję o częściowej odmowie:

W zakresie akt osobowych i ewidencji czasu pracy: Firma odmówiła usunięcia danych, powołując się na art. 17 ust. 3 lit. b RODO w związku z art. 94 pkt 9b Kodeksu pracy, nakazującym przechowywanie dokumentacji pracowniczej przez okres 10 lat.
W zakresie danych z tachografu i karty kierowcy: Odmówiono usunięcia, wskazując na obowiązek przechowywania tych danych przez okres 12 miesięcy na podstawie przepisów o czasie pracy kierowców, a także na potrzebę ich zachowania w celu obrony przed potencjalnymi roszczeniami o nadgodziny (okres przedawnienia roszczeń ze stosunku pracy wynosi 3 lata – art. 291 Kodeksu pracy).
W zakresie historii GPS: Firma oceniła, że dalsze przechowywanie szczegółowej historii GPS z całego okresu zatrudnienia nie jest niezbędne do celów rozliczeniowych, o ile ewidencja czasu pracy została już sporządzona i zatwierdzona. Jednakże, ze względu na toczący się spór o delegacje, część danych GPS (potwierdzająca przekraczanie granic) została zachowana na podstawie art. 17 ust. 3 lit. e RODO (obrona roszczeń), a pozostała część została zanonimizowana lub usunięta.

Firma "Trans-Pol" wysłała pismo odmowne w terminie 20 dni od otrzymania wniosku, szczegółowo uzasadniając swoje stanowisko i pouczając pana Jana o prawie do wniesienia skargi do Prezesa UODO. Dzięki temu, gdy pan Jan złożył skargę do organu nadzorczego, PUODO po zbadaniu sprawy przyznał rację pracodawcy i umorzył postępowanie.

Podsumowanie i rekomendacje dla przedsiębiorców

Wdrożenie odpowiednich procedur RODO w firmie transportowej to klucz do uniknięcia dotkliwych kar i długotrwałych sporów prawnych. Każde żądanie osoby, której dane dotyczą, powinno być traktowane priorytetowo i analizowane pod kątem przepisów szczególnych prawa pracy, prawa transportowego oraz podatkowego. Odmowa realizacji wniosku jest skutecznym narzędziem ochrony interesów firmy, o ile zostanie prawidłowo uzasadniona, oparta na solidnych podstawach prawnych i przekazana wnioskodawcy z zachowaniem restrykcyjnych wymogów formalnych i terminów. Regularne szkolenia personelu odpowiedzialnego za ochronę danych oraz prowadzenie przejrzystego rejestru wniosków to najlepsza inwestycja w bezpieczeństwo prawne każdego przewoźnika.