Dane osobowe po nowemu, czyli implementacja RODO od 2018 r.

Poniżej prezentujemy najważniejsze wnioski płynące z lektury Projektu w jego obecnym brzmieniu (na 16.10.2017).

Projekt ustawy o ochronie danych osobowych (dalej: Projekt) zawiera 92 artykuły i poza odniesieniem do RODO zawiera przepisy dotyczące procedur związanych z naruszeniem zasad ochrony danych osobowych oraz przewiduje powstanie nowego organu – Prezesa Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO).

Prezes UODO będzie zupełnie nowym organem, który docelowo ma zastąpić Generalnego Inspektora Ochrony Danych Osobowych (GIODO), a ponadto dysponować będzie zdecydowanie szerszymi kompetencjami niż dotychczasowy organ ochrony danych osobowych. Przede wszystkim Prezes UODO będzie organem nadzorczym w rozumieniu przepisów RODO i będzie miał prawo nakładać administracyjne kary pieniężne w wysokości nawet 20 milionów euro.

Certyfikacja

Jednym z podstawowych zadań Prezesa UODO będzie udzielanie certyfikacji, o której mowa w art. 42 RODO, czyli potwierdzeniu certyfikatem zgodności działalności administratorów danych osobowych (lub podmiotów przetwarzających dane) z zasadami ustawionymi w RODO. Prezes UODO opracuje i opublikuje na swojej stronie internetowej (BIP) kryteria certyfikacji, której następnie będzie mógł dokonywać na wniosek administratora danych lub podmiotu przetwarzającego dane osobowe.

Certyfikacja będzie udzielana administratorowi danych lub podmiotowi przetwarzającemu dane na określony w certyfikacie czas, jednakże certyfikat będzie mógł być cofnięty wskutek stwierdzenia naruszeń. Projekt zakłada, że Prezes UODO będzie miał uprawnienie do dokonania czynności sprawdzających w zakresie dotyczącym certyfikacji, przy czym czynności sprawdzające mogą zostać dokonane zarówno przed udzieleniem certyfikacji, jak i po. Wniosek o udzielenie certyfikatu będzie odpłatny, a wysokość opłaty wyniesie trzykrotność średniego miesięcznego wynagrodzenia za pracę w gospodarcze narodowej w roku poprzednim. Zgodnie z założeniem Projektu postępowanie certyfikacyjne powinno trwać nie dłużej niż 3 miesiące.

Postępowanie przed Prezesem UODO

Niezwykle ważną kwestię, jaką jest postępowanie w sprawach o naruszenie ochrony danych osobowych, reguluje rozdział 5 Projektu. Zgodnie z zamiarem Ministerstwa Cyfryzacji postępowanie takie toczyć się będzie co do zasady według przepisów kodeksu postępowania administracyjnego, i będzie jednoinstancyjne, co oznacza, że od decyzji Prezesa UODO środkiem odwoławczym będzie skarga do WSA. Dodatkowo, Projekt przewiduje uprawnienie Prezesa UODO do prowadzenia postępowania kontrolnego, zarówno w toku postępowanie w sprawach o naruszenie ochrony danych osobowych, jak i w przypadku prowadzenia kontroli planowej i doraźnej. Jednocześnie Projektodawca zdecydował, że prawo dostępu do informacji dla osób wykonujących kontrolę z ramienia Prezesa UODO podlega ograniczeniu ze względu na tajemnice ustawowo chronione. Efektem postępowania może być:

• upomnienie,
• nakazanie spełnienia żądania osoby, której dane dotyczą,
• nakazanie dostosowania operacji przetwarzania do wymogów,
• nakazanie zawiadomienia osoby, której dane dotyczą,
• wprowadzenie czasowego lub całkowitego ograniczenia lub zakazu przetwarzania danych,
• nakazanie sprostowania lub usunięcia danych,
• cofnięcie certyfikacji,
• nakazanie zawieszenia przepływu danych do państw trzecich,
• nałożenie administracyjnej kary pieniężnej.

W Projekcie przewidziano także wyraźną podstawę do prowadzenia postępowania cywilnego, które według założeń ma być prowadzone przez sąd okręgowy niezależnie od wartości przedmiotu sporu. Sąd prowadzący postępowanie będzie miał obowiązek zawiadomić o toczącym się procesie Prezesa UODO, a gdy ten prowadzi postępowanie w sprawie o naruszenie ochrony danych osobowych sąd będzie miał możliwość zawieszenia procesu cywilnego do czasu rozstrzygnięcia postępowania przez Prezesa UODO. Ponadto sądy będą miały obowiązek informować i każdy wyroku uwzględniającym powództwo z zakresu ochrony danych osobowych. Wydaje się, że powyższy obowiązek jest podyktowany zarówno celami statystycznymi, jak i umożliwieniem prowadzenia kontroli po stwierdzeniu naruszenia w ochronie danych osobowych.

Mniejsze kary dla podmiotów publicznych

W projekcie przewidziano także, że w przypadku nakładania administracyjnej kary pieniężnej na podmiot publiczny (w rozumieniu ustawy o finansach publicznych) jej wysokość będzie ograniczona do 100.000 zł. Z uzasadnienia Projektu wynika, że podstawą ustawowego limitu był fakt, że w związku finansowaniem podmiotów publicznych z budżetu państwa orzeczenie wysokiej kary administracyjnej nie będzie tak samo dotkliwe, jak w przypadku podmiotów prywatnych. Ponad to, przychody z tytułu administracyjnych kar pieniężnych stanowią dochód budżetu państwa, więc w przypadku podmiotów publicznych środki wypływałyby z budżetu i do niego wpływały.

Polecamy: INFORLEX Księgowość i Kadry

Odpowiedzialność karna

Projekt przewiduje także – obok odpowiedzialności cywilnej oraz administracyjnej – odpowiedzialność karną. Ogranicza się ona do dwóch przypadków:

• udaremniania lub utrudniania przeprowadzenia kontroli, co stanowi wykroczenie i jest zagrożone karą grzywny,
• przetwarzania danych osobowych bez podstawy prawnej, co stanowi przestępstwo i jest zagrożone karą grzywny, ograniczenia wolności lub pozbawienia wolności do roku.

Zobacz także: RODO 2018