Sap RODO po terminie - skutki prawne w praktyce prawnej

Wprowadzenie ogólnego rozporządzenia o ochronie danych osobowych (RODO) zrewolucjonizowało podejście przedsiębiorstw do zarządzania informacjami o charakterze osobistym. Jednym z najbardziej wymagających obszarów w tym zakresie jest integracja wymogów prawnych z zaawansowanymi systemami informatycznymi służącymi do zarządzania zasobami przedsiębiorstwa (ERP), wśród których liderem jest oprogramowanie SAP. Specyfika systemów SAP, charakteryzujących się głęboką integracją danych, skomplikowaną strukturą tabelaryczną oraz ścisłymi powiązaniami transakcyjnymi, sprawia, że realizacja uprawnień osób, których dane dotyczą, takich jak prawo do bycia zapomnianym czy prawo do przenoszenia danych, napotyka na poważne bariery technologiczne. Gdy procedury te nie zostaną przeprowadzone w terminie, administrator danych osobowych musi liczyć się z dotkliwymi konsekwencjami prawnymi, administracyjnymi oraz wizerunkowymi. W niniejszej publikacji szczegółowo analizujemy, jakie skutki niesie za sobą niedopełnienie obowiązków RODO w systemach SAP po upływie ustawowych terminów oraz jak skutecznie mitygować powstałe ryzyka prawne.

Opóźnienia w realizacji obowiązków RODO w systemach SAP – istota problemu

Problem niedotrzymania terminów w kontekście systemów SAP najczęściej pojawia się w dwóch płaszczyznach. Pierwszą z nich jest opóźnienie w dostosowaniu samego systemu do wymogów ochrony danych w fazie projektowania (privacy by design) oraz domyślnej ochrony danych (privacy by default). Druga płaszczyzna, znacznie częstsza w codziennej praktyce prawnej, dotyczy nieterminowej realizacji konkretnych wniosków składanych przez osoby fizyczne na podstawie artykułów od 15 do 22 RODO. Systemy SAP ze swej natury projektowane były z myślą o integralności danych finansowo-księgowych i logistycznych. Usunięcie rekordu klienta z bazy danych bez naruszenia spójności transakcji historycznych jest technicznie niemożliwe bez zastosowania specjalistycznych narzędzi, takich jak SAP Information Lifecycle Management (ILM). W efekcie, gdy do przedsiębiorstwa wpływa wniosek o usunięcie danych, dział prawny oraz dział IT często stają przed nierozwiązywalnym na pierwszy rzut oka konfliktem między obowiązkiem prawnym a stabilnością systemu operacyjnego. Opóźnienia wynikające z prób ręcznego czyszczenia baz danych lub braku odpowiednich procedur wewnętrznych prowadzą bezpośrednio do uchybienia terminom ustawowym.

Terminy na realizację żądań osób, których dane dotyczą

Zgodnie z art. 12 ust. 3 RODO, administrator danych osobowych ma obowiązek udzielić osobie, której dane dotyczą, informacji o działaniach podjętych w związku z jej wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Termin ten ma charakter bezwzględny, co oznacza, że bezczynność lub milczenie administratora po upływie tego okresu stanowi bezpośrednie naruszenie przepisów prawa ochrony danych osobowych. Ustawodawca przewidział jednak możliwość przedłużenia tego terminu o kolejne dwa miesiące, o ile jest to uzasadnione skomplikowanym charakterem żądania lub liczbą wniosków. Aby jednak takie przedłużenie było prawnie skuteczne i nie rodziło negatywnych konsekwencji, administrator musi spełnić określone warunki formalne. Przede wszystkim należy poinformować osobę, której dane dotyczą, o przedłużeniu terminu w ciągu miesiąca od otrzymania żądania, podając jednocześnie konkretne przyczyny opóźnienia. W praktyce związanej z systemami SAP, skomplikowana struktura bazy danych i konieczność przeprowadzenia analizy powiązań transakcyjnych mogą stanowić merytoryczne uzasadnienie dla przedłużenia terminu, jednak samo powołanie się na trudności techniczne bez wykazania podjęcia realnych działań może zostać uznane przez organ nadzorczy za niewystarczające.

Zasada jednego miesiąca a specyfika techniczna SAP

Wdrożenie procedury obsługi wniosków wymaga ścisłej synergii pomiędzy inspektorem ochrony danych (IOD), działem prawnym oraz administratorami systemu SAP. Miesięczny termin na realizację wniosku np. o usunięcie danych (art. 17 RODO) w systemie SAP jest niezwykle krótki, jeśli przedsiębiorstwo nie posiada wdrożonych automatów retencyjnych. Proces ten wymaga bowiem zidentyfikowania wszystkich miejsc, w których dane klienta lub pracownika są przechowywane – od danych podstawowych (master data), przez dokumenty sprzedaży, zakupu, aż po logi systemowe i kopie zapasowe. Brak automatyzacji powoduje, że analiza ta trwa tygodniami, co niemal zawsze skutkuje przekroczeniem terminu. Z punktu widienia prawa, trudności techniczne po stronie administratora nie zwalniają go z odpowiedzialności za terminowe wywiązanie się z obowiązków ustawowych.

Specyfika systemów SAP a realizacja praw wynikających z RODO

Aby zrozumieć, dlaczego dochodzi do opóźnień, należy przyjrzeć się architekturze systemów SAP. Dane w tych systemach są silnie powiązane. Przykładowo, dane klienta (partnera biznesowego) są powiązane z fakturami, zamówieniami, dostawami oraz zapisami na kontach księgowych. Zgodnie z polskim prawem podatkowym i ustawą o rachunkowości, dokumenty księgowe muszą być przechowywane przez okres 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Oznacza to, że administrator nie może po prostu usunąć danych klienta z systemu SAP na jego żądanie, jeśli istnieją aktywne powiązania finansowe podlegające innym przepisom prawa. W takich sytuacjach zastosowanie znajduje mechanizm blokowania danych (blocking), polegający na ograniczeniu dostępu do danych osobowych tylko dla określonych celów (np. kontroli skarbowej), przy jednoczesnym ukryciu ich przed użytkownikami operacyjnymi. Dopiero po upływie okresu retencji podatkowej dane mogą zostać ostatecznie zniszczone (deletion). Brak zrozumienia tych mechanizmów przez działy prawne prowadzi do błędnych decyzji – albo do bezprawnego usunięcia danych i naruszenia przepisów podatkowych, albo do odmowy realizacji wniosku i przekroczenia terminu RODO.

Archiwizacja a usuwanie danych za pomocą SAP ILM

Narzędziem dedykowanym do zarządzania cyklem życia danych w kontekście RODO jest moduł SAP Information Lifecycle Management (ILM). Pozwala on na definiowanie reguł retencji dla poszczególnych obiektów danych. Dzięki temu system automatycznie rozpoznaje, które dane mogą zostać zablokowane, a które trwale usunięte. Brak wdrożenia SAP ILM lub jego błędna konfiguracja to najczęstsza przyczyna, dla której przedsiębiorstwa realizują wnioski po terminie. Ręczne wyszukiwanie i anonimizacja danych w setkach tabel bazodanowych jest procesem podatnym na błędy i skrajnie czasochłonnym, co w praktyce uniemożliwia dotrzymanie miesięcznego terminu określonego w art. 12 RODO.

Skutki prawne niedotrzymania terminów i rola organu nadzorczego

Niedopełnienie obowiązków wynikających z RODO w przepisanym terminie niesie za sobą szereg dotkliwych konsekwencji prawnych. Głównym organem uprawnionym do kontroli i nakładania sankcji w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). W przypadku wniesienia skargi przez osobę, której wniosek nie został zrealizowany na czas, organ nadzorczy wszczyna postępowanie administracyjne. W toku tego postępowania badane są przyczyny opóźnienia, stopień winy administratora, wdrożone środki techniczne i organizacyjne oraz stopień współpracy z organem.

Kary finansowe i odpowiedzialność cywilna

Zgodnie z art. 83 ust. 5 RODO, naruszenie praw osób, których dane dotyczą (w tym nieterminowa realizacja wniosków), podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Choć maksymalne wymiary kar nakładane są rzadko, to nawet mniejsze sankcje finansowe mogą być dotkliwe dla budżetu firmy. Ponadto, na mocy art. 82 RODO, każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora odszkodowanie. W praktyce sądowej coraz częściej pojawiają się pozwy o zadośćuczynienie za naruszenie dóbr osobistych w związku z bezprawnym przetwarzaniem danych osobowych lub ignorowaniem wniosków o ich usunięcie z systemów takich jak SAP.

Procedura postępowania w przypadku uchybienia terminowi – krok po kroku

Jeśli w przedsiębiorstwie dojdzie do sytuacji, w której termin na realizację wniosku w systemie SAP został przekroczony, kluczowe jest podjęcie natychmiastowych, usystematyzowanych działań w celu minimalizacji ryzyka prawnego. Poniżej przedstawiamy rekomendowaną procedurę postępowania:

Identyfikacja przyczyny opóźnienia: Należy niezwłocznie ustalić, dlaczego wniosek nie został zrealizowany na czas (np. błąd komunikacji między IOD a IT, brak technicznej możliwości usunięcia danych in SAP, skomplikowana struktura powiązań).
Natychmiastowa realizacja wniosku: Fakt przekroczenia terminu nie zwalnia administratora z obowiązku wykonania żądania. Należy jak najszybciej zablokować lub usunąć dane w systemie SAP, dbając o zachowanie spójności bazodanowej.
Komunikacja z wnioskodawcą: Należy niezwłocznie skontaktować się z osobą, której dane dotyczą. W piśmie należy wyjaśnić przyczyny opóźnienia, przeprosić za zaistniałą sytuację oraz potwierdzić ostateczne wykonanie wniosku. Transparentność i profesjonalizm mogą zapobiec złożeniu skargi do PUODO.
Dokumentacja incydentu: Każde uchybienie terminowi musi zostać odnotowane w wewnętrznym rejestrze naruszeń lub rejestrze wniosków osób, których dane dotyczą. Dokumentacja powinna zawierać analizę przyczyn, podjęte działania naprawcze oraz wnioski na przyszłość.
Aktualizacja procedur i systemów: Incydent powinien być impulsem do rewizji procedur wewnętrznych oraz weryfikacji konfiguracji systemu SAP pod kątem obsługi żądań RODO.

Najczęstsze błędy i ryzyka w praktyce korporacyjnej

Analizując praktykę prawną, można wskazać kilka powtarzających się błędów popełnianych przez organizacje korzystające z systemów SAP w kontekście RODO. Pierwszym z nich jest całkowity brak komunikacji między działem prawnym (lub IOD) a działem IT odpowiedzialnym za utrzymanie systemu SAP. Często działy prawne podejmują decyzje o usunięciu danych bez konsultacji technicznej, co prowadzi do paraliżu procesu, gdyż IT nie jest w stanie fizycznie wykonać polecenia w krótkim czasie. Drugim błędem jest ignorowanie danych historycznych przechowywanych w tzw. systemach spuściznowych (legacy systems) – starszych wersjach SAP, które nie są już aktywnie używane, ale nadal zawierają aktywne bazy danych osobowych. Trzecim istotnym ryzykiem jest brak zdefiniowanych okresów retencji danych (retention periods) w systemie SAP, co sprawia, że dane są przechowywane bezterminowo, co samo w sobie stanowi rażące naruszenie zasady ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO).

Praktyczny przykład (Case Study)

Spółka akcyjna z sektora logistycznego otrzymała od byłego klienta wniosek o usunięcie jego danych osobowych z bazy marketingowej oraz systemu transakcyjnego SAP ERP. Wniosek wpłynął do biura obsługi klienta, jednak z powodu błędu ludzkiego został przekazany do Inspektora Ochrony Danych dopiero po 20 dniach. IOD natychmiast zlecił usunięcie danych działowi IT. Administratorzy systemu SAP napotkali jednak na problem – dane klienta były powiązane z transakcjami sprzedaży z ostatnich 3 lat, które podlegały obowiązkowej retencji podatkowej. Zamiast zablokować dane i usunąć te, które nie były wymagane przepisami prawa podatkowego, dział IT podjął próbę całkowitego usunięcia rekordu, co doprowadziło do błędów spójności bazy danych i zablokowało proces na kolejne 30 dni. W efekcie odpowiedź do klienta została wysłana po upływie 55 dni od złożenia wniosku, bez uprzedniego poinformowania go o przedłużeniu terminu. Klient złożył skargę do PUODO. Organ nadzorczy wszczął postępowanie. Dzięki temu, że spółka w toku postępowania wykazała pełną współpracę, udokumentowała wdrożenie procedur naprawczych oraz ostatecznie prawidłowo zablokowała dane w SAP za pomocą narzędzi ILM, PUODO odstąpił od nałożenia kary finansowej, poprzestając na upomnieniu. Spółka uniknęła straty finansowej, jednak poniosła koszty obsługi prawnej oraz ryzyko wizerunkowe.

Podsumowanie i rekomendacje dla administratorów danych

Zarządzanie zgodnością z RODO w systemach SAP wymaga ścisłej integracji wiedzy prawnej z kompetencjami technicznymi. Niedotrzymanie terminów na realizację wniosków osób, których dane dotyczą, nie może być usprawiedliwiane złożonością architektury IT systemu ERP. Aby uniknąć dotkliwych kar finansowych od PUODO oraz roszczeń odszkodowawczych na drodze cywilnej, przedsiębiorstwa powinny wdrożyć dedykowane narzędzia automatyzujące zarządzanie cyklem życia danych (takie jak SAP ILM) oraz wypracować jasne, przetestowane procedury współpracy pomiędzy IOD, działem prawnym a zespołem IT. W przypadku wystąpienia opóźnienia, kluczem do minimalizacji ryzyka prawnego jest natychmiastowe działanie naprawcze, rzetelna dokumentacja incydentu oraz transparentna, profesjonalna komunikacja z wnioskodawcą.