Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Stan faktyczny: Zależy mi na pozyskaniu opinii prawnej na temat uniemożliwienia serwisowi platformy sprzedaży internetowej przetwarzania i przekazywania danych osobowych osoby fizycznej która w przeszłości korzystała z takiego portalu.
Zagadnienie jest powiązane z dyrektywą DAC-7 która nakłada na podmioty prowadzące platformy sprzedaży internetowej obowiązek raportowania danych osobowych o swoich użytkownikach – weszła w życie 01.07.2024.
Czy wycofanie zgody na przetwarzanie danych osobowych / usunięcie danych osobowych (art. 17 RODO) można wykorzystać w celu ochrony swoich danych przed ich przekazaniem przez podmioty objęte dyrektywą DAC-7?
Samo wymaganie od właścicieli przekazywania do US informacji dotyczących transakcji przeprowadzanych za pośrednictwem tych platform cyfrowych za okres sprzed wprowadzenia ustawy DAC-7 w Polsce rodzi wątpliwości legalności – prawo w PL nie działa wstecz. Ustawa wchodzi w życie od 01.07.2024 ale nakłada obowiązek raportowania za rok 2023 i 2024 – wstecznie).
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Nawet jeśli właściciele platform cyfrowych zostaną zmuszeni do przekazywania do US informacji dotyczących transakcji to czy użytkownik takiej platformy może wycofać swoją zgodę na przetwarzanie swoich danych tak aby wspomniana platforma cyfrowa nie miała możliwości przekazać danych osobowych bo nie będzie mogła ich przetwarzać?
Należy dodać że konkretnie chodzi o serwis allegro i o użytkownika który nie korzysta już z usług allegro ale ma aktywne konto i korzystał z niego w przeszłości – nie został zweryfikowany poprzez dowód osobisty a jedynie poprzez przelew internetowy.
Jedyne dane jakie podał to imie nazwisko, adres i numer konta bankowego.
Czy Art. 17 RODO w kontekście takiej sytuacji ma zastosowanie i skutecznie obliguje serwis allegro do zaprzestania przetwarzania danych osobowych – jeszcze przed wejściem w życie ustawy DAC-& w Polsce i czy uniemożliwia przekazanie danych do Urzędu Skarbowego w kontekście obowiązków wynikających z dyrektywy DAC-7.
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Przedłożone dokumenty: brak
Akty prawne:
- Ustawa z dnia 23 maja 2024 r. o wymianie informacji podatkowych z innymi państwami oraz niektórych innych ustaw
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
- Dyrektywa Rady (UE) 2021/514 z 22 marca 2021 r. zmieniająca dyrektywę 2011/16/UE w sprawie współpracy administracyjnej w dziedzinie opodatkowania
- Ustawa z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych
- Traktat o funkcjonowaniu Unii Europejskiej z dnia 25 marca 1957 r.
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Na wstępie warto wskazać, że raportowanie nie będzie obejmować sprzedawców, którzy w okresie sprawozdawczym (zasadniczo 12 miesięcy kalendarzowych) dokonali mniej niż 30 transakcji sprzedaży towarów lub których wynagrodzenie wypłacone lub uznane w tym okresie nie przekroczyło 2000 euro.
Zgodnie z ustawą implementującą dyrektywę DAC7, raportujący operator platformy (tu allegro) ma obowiązek wystąpić o informacje do sprzedawcy najpóźniej w dniu spełnienia przez tego sprzedawcę warunków uznania go za aktywnego sprzedawcę. Jeżeli sprzedawca nie przekaże wymaganych danych, operator platformy będzie zobowiązany do wstrzymania wypłaty wynagrodzenia sprzedawcy, a w przypadku, gdy okaże się to niemożliwe, nawet zablokowania konta takiego użytkownika celem uniemożliwienia mu dokonywania transakcji.
Zgodnie z ustawą, operatorzy platform cyfrowych będą obowiązani do zaraportowania danych o sprzedawcach za lata 2023 i 2024 r.
I tu, zgodnie z RODO i ustawą o danych, wycofanie zgody nie działa w sposób retroaktywny, czyli teoretycznie jeżeli wycofał Pan zgodę, cofnięcie działa od momentu złożenia oświadczenia – niestety tak nie jest, o czym mowa w dalszej części opinii, po omówieniu kwestii ogólnych wycofania zgody.
Zgodnie z art. 7 RODO:
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
Skutkiem cofnięcia zgody na przetwarzanie danych osobowych będzie brak możliwości powołania się na tę właśnie podstawę przetwarzania danych (skutek ex nunc) (por. na gruncie OchrDanychU97 A. Drozd, Ustawa, s. 80; podobnie J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 487). Uwzględniając postulat przyznania zgodzie osoby, której dane dotyczą, podstawowego znaczenia w świetle przysługującego jej prawa do prywatności informacyjnej, należałoby więc przyjąć, że jeżeli udzielono zgody na przetwarzanie danych osobowych, a więc w sposób jasny zademonstrowano wolę osoby, której dane dotyczą, a następnie zgodę wycofano, wówczas przetwarzanie danych osobowych stałoby się na przyszłość niedopuszczalne, jako stojące w sprzeczności z zasadą autonomii informacyjnej. W świetle zasady autonomii informacyjnej za niedopuszczalną należałoby więc uznać sytuację, w której administrator danych osobowych, który zebrał dane osobowe na podstawie zgody osoby zainteresowanej, kontynuuje przetwarzanie tych danych z powołaniem się na inną podstawę prawną ich przetwarzania, podczas gdy osoba, której dane dotyczą, wycofała zgodę lub w inny sposób zamanifestowała swoją wolę zaprzestania przetwarzania jej danych osobowych.
W świetle tych wszystkich przepisów, faktycznie należałoby wskazać, że jeżeli cofnie Pan zgodę przed upływem vacacio legis nowej ustawy, czyli przed jej wejściem w życie po 14 dniach od podpisu Prezydenta, Pana dane nie powinny być przetwarzane na podstawie tej ustawy.
Natomiast, zgodnie z art. 9 ustawy zmieniającej: Przepisy działu IIIA i działu VI ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą, oraz art. 80cb ustawy zmienianej w art. 4 stosuje się również do podmiotu, który w dowolnym momencie w okresie od dnia 1 stycznia 2023 r. do dnia poprzedzającego dzień wejścia w życie niniejszej ustawy spełniał warunki uznania go za raportu- jącego operatora platformy w rozumieniu art. 75a ust. 1 pkt 14 ustawy zmienianej w art. 1
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
A zgodnie z art. 5 ustawy o
o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych:Przepisy art. 4 nie wyłączają możliwości nadania aktowi normatywnemu wstecznej mocy obowiązującej, jeżeli zasady demokratycznego państwa prawnego nie stoją temu na przeszkodzie.
Nadto, dane mogą być przetwarzane na podstawie dyrektywy DAC7, jeżeli przekazał je Pan w czasie jej obowiązywania.
Brak implementacji dyrektywy bowiem nie wpływa na jej moc wiążącą.
Zgodnie z art. 288 Traktatu o funkcjonowaniu UE, W celu wykonania kompetencji Unii instytucje przyjmują rozporządzenia, dyrektywy, decyzje, zalecenia i opinie.
Rozporządzenie ma zasięg ogólny. Wiąże w całości i jest bezpośrednio stosowane we wszystkich Państwach Członkowskich.
Dyrektywa wiąże każde Państwo Członkowskie, do którego jest kierowana, w odniesieniu do rezultatu, który ma być osiągnięty, pozostawia jednak organom krajowym swobodę wyboru formy i środków.
Dawny art. 249 stanowił jedną z podstaw zasad bezpośredniego skutku i bezpośredniego obowiązywania prawa wspólnotowego, formułowanych przez TS, w tym zwłaszcza bezpośredniego skutku dyrektyw (152/84 Marshall, pkt 47-48) oraz zasady zgodnej z dyrektywą wykładni prawa krajowego (14/83 von Colson, pkt 26).
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Odpowiedzialność państwa członkowskiego za osiągnięcie wymaganego rezultatu, rozumianego jako wywiązanie się z zobowiązań traktatowych w myśl art. 258, zaczyna się w momencie upływu terminu implementacyjnego, jednak nie kończy się na nim. Od tego momentu państwo jest odpowiedzialne za prawidłowe stosowanie i egzekwowanie dyrektywy aż do momentu jej uchylenia. Dlatego też mogą pojawić się sytuacje, w których ze względu na nieprawidłową lub niepełną implementację, normy dyrektyw będą musiały być bezpośrednio podstawą dla czynności administracyjnych lub będą mogły być bezpośrednio powoływane, po spełnieniu określonych warunków przed innymi organami przez uprawnione jednostki po upływie terminu implementacyjnego.
Z treści art. 288 mogłoby wynikać, że dyrektywy nie zostały pomyślane, w odróżnieniu od rozporządzeń, jako akty prawne bezpośrednio obowiązujące. To, czy dyrektywy obowiązują bezpośrednio, zależy przede wszystkim od tego, co rozumie się przez pojęcie „bezpośrednie obowiązywanie”.
Jeśli przyjmiemy, że bezpośrednie obowiązywanie jest obowiązywaniem norm unijnych w krajowym porządku prawnym, to jeśli nie istnieje potrzeba ich osobnej inkorporacji do krajowych porządków prawnych, to wtedy należy uznać dyrektywy za bezpośrednio obowiązujące (A. Wróbel, Wprowadzenie…, s. 123). Wynika to z orzecznictwa TS, w którym wyraźnie podkreśla się, że prawo wspólnotowe (unijne) stanowi integralną część porządku prawnego obowiązującego w państwie członkowskim (6/64 Costa). Dlatego też doktryna prawa unijnego jest w przeważającej większości zgodna, że dyrektywy od ich wejścia w życie stają się częścią porządków prawnych obowiązujących w państwach członkowskich i wywołują, zgodnie z zamierzeniem instytucji je stanowiących, różnego rodzaju skutki.
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Normy dyrektywy, tak jak inne normy unijnego prawa pierwotnego i wtórnego, obowiązują od momentu ich wejścia w życie. Natomiast ich stosowanie w krajowym porządku prawnym jest uzależnione od tego stopnia prawidłowości implementacji. Jeśli jest ona prawidłowa, nie ma potrzeby stosować norm unijnych bezpośrednio lub pośrednio. Dlatego też dyrektywy nie będą zawsze bezpośrednio stosowalne, jeżeli przez bezpośrednie stosowanie rozumiemy podstawę prawną dla działań organów państw członkowskich (S. Biernat (w:) J. Barcz (red.), Prawo Unii Europejskiej. Zagadnienia systemowe, Warszawa 2002, s. 241). Normy dyrektyw mogą stanowić bezpośrednią podstawę prawną dla działań wszystkich organów państw członkowskich, prawodawczych, wykonawczych i sądowych, co do zasady, tylko po upływie terminu implementacyjnego i tylko wtedy, kiedy brak jest norm krajowych zgodnych z dyrektywą (zob. pkt 249.7.2.1). Formalne obowiązywanie norm dyrektyw w krajowym porządku prawnym od momentu wejścia w życie dyrektywy nie jest więc nieodłącznie związane z obowiązkiem zastosowania każdej jej normy przed upływem terminu implementacyjnego. W tym miejscu uwidacznia się specyfika dyrektywy. Dyrektywa pozwala na przejrzystsze rozdzielenie obowiązywania normy od obowiązku jej zastosowania, w tym bezpośredniego, jeśli norma może tak być zastosowana.
Z konstytucyjnego punktu widzenia wielu krajów członkowskich wątpliwości może budzić stosowana przez nie praktyka polegająca na wydawaniu ustaw bądź rozporządzeń z mocą wsteczną po to, aby uczynić zadość terminowej implementacji (implementacja retroaktywna). Implementacja taka może stanowić właściwy środek naprawczy spóźnionej implementacji, pod warunkiem że dokonuje się jej z pełnym poszanowaniem praw uprawnionych podmiotów (C-131/97 Carbonari, pkt 53). Rzecznik generalny Cosmas w opinii do sprawy C-94-95/95 Bonifaci wyraził przekonanie, że retroaktywna implementacja dyrektywy stanowi wymóg prawa wspólnotowego ze względu na to, że wspólnotowy porządek prawny wymaga jednolitego stosowania jego norm we wszystkich państwach członkowskich w tym samym czasie (pkt 56). Tak więc wydaje się, że niezależnie od momentu transpozycji, krajowe środki transponujące powinny obowiązywać od momentu wskazanego w dyrektywie. Pomimo że TS expressis verbis nie uznał retroaktywnej implementacji za wymóg prawa wspólnotowego, to jednak wydaje się, że w niektórych przypadkach retroaktywna legislacja wydaje się jedyną skuteczną drogą właściwego wypełnienia zobowiązań przez państwa członkowskie (C-452/09 Iaia, pkt 8). Poza tym może zaistnieć komplementarna szkoda, która może być dochodzona w procesie cywilnym, wywołana niemożnością czerpania korzyści finansowych w odpowiednim czasie z postanowień dyrektywy (C-94-95/95 Bonifaci).
Raportowanie o danych osobowych byłego użytkownika portalu – dyrektywa DAC-7
Podsumowując, wycofanie zgody nie wpłynie na obowiązek przekazania danych osobowych gromadzonych od roku 2023.
Jeżeli mają Państwo pytania własne, można je zadać klikając w ten link
