Cel tego materiału: wyjaśnić, kiedy firma spoza Polski (i szerzej: spoza EOG) musi wyznaczyć przedstawiciela ds. RODO w UE (w tym potencjalnie w Polsce) oraz jak praktycznie ograniczyć ryzyka regulacyjne i karne związane z przetwarzaniem danych. Materiał ma charakter informacyjny i nie stanowi porady prawnej w konkretnej sprawie.
Dlaczego temat „przedstawiciela RODO” ma znaczenie także w kontekście ryzyk karnych i reputacyjnych
W praktyce incydenty związane z danymi osobowymi (wycieki, nieuprawniony dostęp, błędy w udostępnianiu danych, phishing, niewłaściwe procedury HR lub IT) rzadko kończą się wyłącznie na „papierowym” postępowaniu przed organem ochrony danych. Często pojawia się równolegle:
- ryzyko odpowiedzialności osób zarządzających za nadzór nad systemem compliance (w tym obszarem bezpieczeństwa informacji),
- ryzyko zawiadomień do organów ścigania (np. przy podejrzeniu przestępstw komputerowych, nieuprawnionego uzyskania informacji, sabotażu, oszustw na „fałszywego kontrahenta”),
- ryzyko „crisis legal” i utraty zaufania kontrahentów (zwłaszcza w B2B i przy przetargach),
- ryzyko działań pracowniczych i sporów (np. gdy incydent dotyczy danych pracowników lub kandydatów).
RODO przewiduje obowiązek wyznaczenia przedstawiciela w UE w określonych sytuacjach. Brak przedstawiciela może być traktowany jako naruszenie RODO i pogłębiać problemy organizacyjne w razie kontroli lub incydentu.
Dla firm zagranicznych przedstawiciel bywa też „wczesnym systemem ostrzegania” – pomaga uporządkować dokumentację, kanały komunikacji z organem i wewnętrzny proces reagowania na incydenty, zanim sprawa eskaluje do poziomu kryzysu.
Kiedy firma zagraniczna musi wyznaczyć przedstawiciela w UE (i jak to się przekłada na Polskę)
Obowiązek wyznaczenia przedstawiciela wynika z art. 27 RODO. Dotyczy administratorów i podmiotów przetwarzających, którzy nie mają jednostki organizacyjnej (establishment) w UE/EOG, ale:
- oferują towary lub usługi osobom w UE (także „za darmo”), lub
- monitorują zachowanie osób w UE (np. tracking, profilowanie, behawioralne reklamy, analityka użytkowników).
Co to znaczy w praktyce dla Polski: jeżeli Twoja firma spoza EOG kieruje działania na rynek polski (np. polska wersja serwisu, płatności w PLN, wysyłka do PL, polskojęzyczne wsparcie, kampanie targetowane na PL) albo śledzi zachowanie użytkowników w Polsce, to najczęściej wchodzisz w zakres art. 27 RODO.
Przedstawiciel w Polsce czy w innym kraju UE
RODO nie wymaga, aby przedstawiciel był w Polsce. Przedstawiciel powinien być ustanowiony w jednym z państw członkowskich UE, w którym znajdują się osoby, których dane dotyczą, i wobec których kierujesz ofertę lub których zachowanie monitorujesz.
Jeżeli istotna część aktywności dotyczy Polski (użytkownicy, klienci, kampanie, pracownicy z PL, kontrakty B2B wykonywane w PL), wybór przedstawiciela w Polsce bywa praktyczny – ze względu na język, strefę czasową, szybszą obsługę korespondencji i sprawniejsze zarządzanie incydentami.
Kluczowe wyjątki: kiedy przedstawiciel może nie być wymagany
RODO przewiduje wyjątki. Przedstawiciel nie jest wymagany, jeśli spełnione są łącznie przesłanki z art. 27 ust. 2 RODO:
- przetwarzanie ma charakter okazjonalny,
- nie obejmuje na dużą skalę szczególnych kategorii danych (np. zdrowie) ani danych osobowych dotyczących wyroków skazujących i czynów zabronionych,
- jest mało prawdopodobne, aby powodowało ryzyko naruszenia praw lub wolności osób,
- uwzględnia się charakter, kontekst, zakres i cele przetwarzania.
„Okazjonalne” w rozumieniu RODO zwykle nie pasuje do modeli SaaS, e-commerce, aplikacji mobilnych, marketingu opartego o tracking lub stałej obsługi klientów w UE.
Jeśli Twoja firma ma regularny napływ danych z UE (np. leady, support, analityka), to argument „okazjonalności” bywa słaby w razie kontroli lub sporu po incydencie.
Co robi przedstawiciel RODO i czego nie robi
Przedstawiciel działa jako punkt kontaktu dla organów nadzorczych i dla osób, których dane dotyczą. Powinien być ustanowiony na piśmie i być „dostępny”.
Przedstawiciel zwykle:
- odbiera korespondencję od organu (w Polsce: Prezesa UODO) i koordynuje odpowiedzi,
- ułatwia realizację praw osób (dostęp, usunięcie, sprzeciw, przenoszenie),
- pomaga uporządkować podstawowe informacje compliance (rejestry, polityki, procedury).
Przedstawiciel zwykle nie jest:
- inspektorem ochrony danych (IOD/DPO) – to inna rola, z innymi przesłankami i zadaniami,
- automatycznie „tarczą” przed karą administracyjną – odpowiedzialność za zgodność z RODO pozostaje po stronie administratora/podmiotu przetwarzającego,
- osobą, która „załatwi” formalności bez realnej współpracy (w razie incydentu liczy się materiał dowodowy, czas reakcji i spójność działań).
Jak to się łączy z prawem karnym: typowe scenariusze po incydencie
Incydent danych osobowych może mieć komponent karny, ale nie musi. O kierunku sprawy decydują okoliczności, sposób uzyskania dostępu, intencja sprawcy, skala szkody i to, czy doszło do oszustwa, sabotażu, szantażu, utrudnienia działania systemów lub nieuprawnionego uzyskania informacji.
W praktyce ryzyka kryminalne i reputacyjne rosną, gdy:
- incydent wynika z działań osoby trzeciej (cybercrime, wyłudzenia, przejęcia kont),
- incydent ma tło pracownicze (konflikt, odejście kluczowej osoby, kopiowanie baz, „revenge leak”),
- pojawia się wątek finansowy (np. wyłudzenia na faktury, zmiana numeru rachunku, phishing w dziale finansów),
- firma reaguje chaotycznie, traci logi lub nie umie odtworzyć zdarzeń (problem dowodowy).
Dobrze ustawiony proces RODO (w tym przedstawiciel jako kanał kontaktu) nie eliminuje ryzyk karnych, ale zwykle zmniejsza ryzyko eskalacji, bo przyspiesza identyfikację zdarzeń, decyzje o notyfikacji i uporządkowanie komunikacji.
Praktyczna mapa procesu: co zwykle dzieje się po wykryciu problemu z danymi
- Wykrycie incydentu (IT, support, sygnał od klienta, informacja od dostawcy).
- Triaging – co wyciekło, kogo dotyczy, czy trwa, czy są dowody naruszenia poufności, integralności lub dostępności.
- Zabezpieczenie dowodów (logi, backupy, dostęp do skrzynek, obrazy systemów – w sposób niepsujący materiału dowodowego).
- Ocena ryzyka dla osób i decyzja o zgłoszeniu do organu oraz o komunikacji do osób.
- Równolegle – decyzja, czy jest komponent przestępczy i czy przygotować zawiadomienie / współpracę z organami ścigania.
- Remediacja – naprawa luk, zmiana uprawnień, MFA, reset haseł, przegląd dostawców.
- „Paper trail” – dokumentacja decyzji, rejestr naruszeń, odpowiedzi na żądania osób.
Immediate steps: jak ograniczyć ryzyko, zanim sprawa urośnie
- Ustal punkt dowodzenia (kto decyduje, kto komunikuje, kto zbiera fakty). Unikaj wielu sprzecznych wersji zdarzeń w mailach i komunikatorach.
- Zabezpiecz dowody zanim zespół IT zacznie „sprzątać”. To ważne również pod kątem potencjalnych postępowań karnych i sporów z dostawcami.
- Sprawdź, czy obowiązuje art. 27 RODO (czy firma jest spoza EOG i kieruje ofertę/monitoruje w UE). Jeżeli tak, uporządkuj ustanowienie przedstawiciela i sposób kontaktu.
- Skontroluj łańcuch dostaw (podmioty przetwarzające, subprocesorzy, hostowanie, narzędzia marketingowe) i uprawnienia dostępu.
- Zadbaj o spójność komunikacji (do klientów, partnerów, organu, pracowników). Niespójność często generuje większe ryzyko niż sam błąd techniczny.
Najczęstsze błędy firm zagranicznych w praktyce (Polska i ryzyka transgraniczne)
- Mylenie przedstawiciela (art. 27) z DPO i „załatwienie tematu” samym wpisaniem maila w polityce prywatności.
- Brak realnej dostępności przedstawiciela (nikt nie odbiera, brak procedury obiegu korespondencji, brak SLA).
- Założenie, że „to tylko marketing” – tracking i profilowanie użytkowników w UE często uruchamia obowiązek przedstawiciela.
- Reakcja po incydencie bez zabezpieczenia materiału – utrata logów i historii zdarzeń utrudnia obronę stanowiska przed organem i w ewentualnym postępowaniu karnym.
- Brak jasnych ról w kryzysie (legal, IT, PR, HR). Chaos decyzyjny zwiększa koszty i czas przestoju.
Gdzie szukać wsparcia, gdy sprawa dotyczy także ryzyk karnych lub reputacyjnych
Jeżeli incydent obejmuje podejrzenie cyberprzestępstwa, nadużyć pracowniczych, wyłudzeń albo realne ryzyko eskalacji reputacyjnej, warto prowadzić działania równolegle: compliance RODO oraz zabezpieczenie dowodów i strategię „criminal/regulatory”. W takich sprawach liczy się czas, spójna dokumentacja i zrozumienie lokalnej praktyki organów.
Jeśli sprawa jest pilna lub dotyczy transgranicznych ryzyk (regulacyjnych, podatkowych lub sporowych), warto skonsultować strategię z zespołem law firm poland, który łączy praktykę polskiego rynku z doświadczeniem międzynarodowym.
FAQ
Czy firma z USA, która ma klientów w Polsce, musi mieć przedstawiciela RODO?
To zależy, ale często tak. Jeśli firma nie ma jednostki w UE/EOG i oferuje usługi osobom w UE (np. sprzedaż, rejestracje, wsparcie dla klientów w Polsce) lub monitoruje zachowanie użytkowników (tracking), art. 27 RODO zwykle będzie miał zastosowanie.
Czy przedstawiciel musi być w Polsce, jeśli mam klientów w Polsce?
Nie. Przedstawiciel musi być w UE, w jednym z państw, gdzie znajdują się osoby, których dane dotyczą. Polska lokalizacja bywa jednak praktyczna, gdy Polska jest istotnym rynkiem lub gdy spodziewasz się korespondencji w języku polskim.
Czy przedstawiciel RODO przejmuje odpowiedzialność za naruszenia?
Nie. Przedstawiciel jest punktem kontaktu i elementem organizacyjnym. Odpowiedzialność za zgodność z RODO pozostaje po stronie administratora lub podmiotu przetwarzającego.
Czy brak przedstawiciela to „przestępstwo”?
Brak przedstawiciela jest naruszeniem obowiązku wynikającego z RODO i może skutkować konsekwencjami administracyjnymi. Ocena wątków karnych zależy od okoliczności incydentu (np. czy doszło do działań sprawcy, oszustwa, sabotażu, nieuprawnionego dostępu). Sama nieobecność przedstawiciela nie przesądza o odpowiedzialności karnej.
Czym różni się przedstawiciel (art. 27) od DPO/IOD?
DPO/IOD to funkcja nadzorczo-doradcza w organizacji, wymagana w określonych przypadkach (np. duża skala monitorowania, szczególne kategorie danych). Przedstawiciel to punkt kontaktu w UE dla podmiotu spoza UE. To różne role i nie powinny być automatycznie łączone.
Co robić w pierwszych 24-72 godzinach po wykryciu wycieku?
Najczęściej kluczowe jest: zabezpieczenie dowodów, zatrzymanie incydentu, wstępna ocena ryzyka dla osób, uporządkowanie komunikacji i szybka decyzja co do zgłoszeń oraz ewentualnych działań związanych z podejrzeniem przestępstwa. Dalsze kroki zależą od skali, kategorii danych i modelu biznesowego.
Bibliografia
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), w szczególności art. 3 i art. 27.
- European Data Protection Board (EDPB), Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) (wersja przyjęta przez EDPB).
- Urząd Ochrony Danych Osobowych (UODO) – materiały i komunikaty dotyczące naruszeń ochrony danych oraz obowiązków administratorów (strona UODO: https://uodo.gov.pl/).