CosmetoVigilance – zgłaszanie działań niepożądanych kosmetyków a UODO

W dniu 11 lipca 2013 r. weszło w życie Rozporządzenie Parlamentu Europejskiego i Rady (WE) Nr 1223/2009 z dnia 30 listopada 2009 r. dotyczące produktów kosmetycznych, zwane dalej Rozporządzeniem. Akt ten w sposób bardziej obszerny i precyzyjny, niż to dotąd było uregulowane w przepisach ustawy z dnia 30 marca 2001 r. o kosmetykach (Dz. U. z 2013 r., poz. 475 z późn. zm.), określił obowiązki leżące po stronie producenta w zakresie m. in. zbierania informacji o działaniach niepożądanych kosmetyków.

Działania niepożądane

Istotną zmianą jest pojawienie się precyzyjnych definicji działania niepożądanego, określanego jako niekorzystny wpływ na zdrowie ludzkie, będący skutkiem normalnego lub dającego się racjonalnie przewidzieć stosowania produktu kosmetycznego oraz ciężkiego działania niepożądanego, określanego jako tymczasowa lub stała niewydolność czynnościowa, niepełnosprawność, konieczność hospitalizacji, wady wrodzone, bezpośrednie zagrożenie życia lub zgon.

reklama

Zgodnie z Rozporządzeniem, osoba odpowiedzialna (najczęściej będzie nią producent) obowiązana jest do zapewnienia, że produkt kosmetyczny wprowadzany na rynek będzie bezpieczny dla konsumenta. Jednym z elementów składających się na zagwarantowanie tego bezpieczeństwa jest właśnie publikowanie informacji o wystąpieniu działań niepożądanych kosmetyku oraz informowanie o ciężkich działaniach niepożądanych.

Informacje o tych działaniach wpływać będą do producenta różnymi drogami. Mogą one pochodzić od pracowników medycznych, dystrybutorów, ale także od konsumentów.

Informacje o działaniach niepożądanych to dane wrażliwe?

W wyniku zgłoszeń działań niepożądanych do producenta trafić więc mogą ze strony konsumenta informacje o wszelkiego rodzaju alergiach, uczuleniach czy podrażnieniach wywołanych stosowaniem produktu kosmetycznego.

Informacje o ww. charakterze (informacje o stanie zdrowia) stanowią tzw. dane wrażliwe, w rozumieniu przepisów uodo (zobacz najczęściej stosowane skróty) i jako takie podlegają szczególnej ochronie wynikającej z tego aktu prawa.

W myśl przepisu art. 27 ust. 2 pkt 2 uodo, zabrania się przetwarzania danych o stanie zdrowia, chyba że przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony. W przypadku pozyskiwania od konsumentów informacji o działaniach niepożądanych, producenci nie legitymują się przy przetwarzaniu takich danych podstawą prawną wynikającą z przepisu prawa rangi ustawy, która wprost wskazywałaby na to, że mogą oni pobierać od konsumentów ich wrażliwe dane osobowe.

Z jednej strony producent związany jest wynikającym z Rozporządzenia obowiązkiem informowania o działaniach niepożądanych (co nie może nastąpić bez uprzedniego zgromadzenia tych informacji), z drugiej zaś strony brak jest pewnego i jednoznacznego umocowania ustawowego do zbierania tych danych od konsumentów oraz ich dalszego przetwarzania.

Zgoda jako przesłanka?

Na powyższą sytuację zwrócił także uwagę Generalny Inspektor Ochrony Danych Osobowych (GIODO), który w sprawozdaniu z działalności za rok 2014 wskazał, że najpewniejszą podstawą do przetwarzania danych o stanie zdrowia konsumenta zgłaszającego działanie niepożądane kosmetyku, byłaby zgoda takiej osoby wyrażona na piśmie. Ten właśnie wymóg pisemności składanego oświadczenia rodzi poważne problemy po stronie producentów kosmetyków. Producent otrzymując zgłoszenie drogą telefoniczną lub mailową będzie miał praktycznie uniemożliwione legalne przetwarzanie tych informacji. Będąc w obowiązku ważenia wymogów płynących z ustawy o ochronie danych osobowych z wymogami ww. Rozporządzenia, producent znajdzie się w swoistym pacie.

Jednym z rozwiązań, jakie mogą być przez producentów wykorzystywane, jest informowanie konsumentów o właściwym dla danego producenta sposobie zgłoszenia działania niepożądanego. Producent może zarekomendować konsumentowi wykorzystywanie formularzy przygotowanych i udostępnianych na swojej stronie internetowej. Formularz taki powinien zawierać informację o konieczności jego wydrukowania, opatrzeniu znajdującej się na nim klauzuli zgody na przetwarzanie danych osobowych odręcznym podpisem konsumenta oraz odesłaniu takiego formularza na adres producenta. W przypadku próby przekazania tego typu zgłoszenia drogą telefoniczną producent może odesłać konsumenta do ww. instrukcji.

Takie sformalizowanie procesu informowania o działaniu niepożądanym odstręczy jednak pewną ilość konsumentów od korzystania ze swoich uprawnień. Dodatkowo, brak otwartości producenta na odebranie zgłoszenia każdym kanałem komunikacji może negatywnie wpływać na wizerunek firmy.

Jakie inne obowiązki ciążą na producencie?

Jednocześnie – aby pozostawać w zupełnej zgodności z uodo – producent powinien poinformować konsumenta (np. w treści formularza) o wszelkich okolicznościach przetwarzania jego danych osobowych. Wykonanie tej czynności stanowi realizację obowiązku ustanowionego przepisem art. 24 ust. 1 uodo.

Producent zobowiązany jest również zgłosić do GIODO zbiór danych, w którym przetwarza informacje o osobach, których działania niepożądane kosmetyków dotyczą. Należy pamiętać, że zbiory danych, w których przetwarza się dane wrażliwe, powinny być zgłoszone i skutecznie zarejestrowane przez organ ochrony danych osobowych jeszcze przed przystąpieniem przez administratora danych do przetwarzania w nich danych. Oznacza to, że producent powinien najpierw przewidzieć, że dane tego typu będzie przetwarzał, następnie zgłosić ten zamiar GIODO i dopiero po skutecznym zarejestrowaniu zbioru przystąpić do pozyskiwania i przetwarzania danych.

Potrzebne są zmiany

Odnosząc się raz jeszcze do podstaw gromadzenia przez producentów informacji o działaniach niepożądanych kosmetyków wskazać należy, że niezagwarantowanie przez legislatywę wyraźnej ustawowej podstawy do przetwarzania danych o stanie zdrowia konsumentów powoduje niepewność prawną. Zasadnym byłoby stworzenie przepisów ustawowych, które wprost stanowiłyby o uprawnieniu producenta do pozyskiwania i przetwarzania danych o stanie zdrowia konsumentów.

Podmioty, które aktualnie chciałyby to przetwarzanie oprzeć na przesłance z art. 27 ust. 2 pkt 2 uodo, z uwagi na dotykającą je praktyczną niemożność pozyskania zgody na przetwarzanie danych osobowych wyrażonej w formie pisemnej, musiałyby przyjąć, że podstawę taką dostarczają im przepisy ustawy o kosmetykach, ustawy z dnia 12 grudnia 2003 r. o ogólnym bezpieczeństwie produktów (Dz. U. z 2015 r., poz. 322 z póź. zm.) oraz ww. Rozporządzenia.

Bezsprzecznym jest to, że wspomniane akty prawa stanowią o konieczności zbierania informacji o działaniach niepożądanych. Wadą ich  jest jednak brak konkretnych przepisów, z literalnej wykładni których, wynikłoby uprawnienie do przetwarzania danych wrażliwych.

Podsumowanie

Do momentu powstania przepisów ustawowych regulujących wprost możliwość przetwarzania przez producentów tego typu danych, producenci kosmetyków obracać się będą w ramach ryzyka prawnego związanego bądź to z nierespektowaniem ustawy o ochronie danych osobowych, bądź to z usuwaniem lub nieodbieraniem informacji o działaniach niepożądanych kosmetyków. Wydaje się, że rozwiązanie tego impasu może przyjść wraz z oczekiwanym rozporządzeniem unijnym (GDPR). Spodziewana rezygnacja z konieczności odbierania zgody na przetwarzanie danych wrażliwych w formie pisemnej pozwoliłaby producentom kosmetyków na swobodną realizację obowiązków wynikających z Rozporządzenia dotyczącego produktów kosmetycznych.

About Marta Bargiel-Kaflik 2 Articles
Prawnik, absolwentka Wydziału Prawa i Administracji Uniwersytetu Marii Curie – Skłodowskiej w Lublinie oraz studiów podyplomowych na kierunku „Zarządzanie Bezpieczeństwem Informacji” w Szkole Głównej Handlowej w Warszawie. Ukończyła Suffolk County Community College (NY) oraz Long Island University (NY). Wieloletni pracownik Departamentu Orzecznictwa, Legislacji i Skarg w Biurze Generalnego Inspektora Ochrony Danych Osobowych, prowadzący postępowania administracyjne o wysokim stopniu skomplikowania, toczące się w przedmiocie skarg na nieprawidłowości w procesie przetwarzania danych osobowych. Specjalizuje się w prawie pracy i przetwarzaniu danych w związku z procesami rekrutacyjnymi i zatrudnianiem pracowników.