Reforma ochrony danych – 5 postulatów dla polskich władz

W maju 2018 r. czekają nas poważne zmiany związane z unijną reformą ochrony danych osobowych. Do tego czasu wszystkie kraje członkowskie muszą przyjąć dodatkowe przepisy – np. określające kształt organu ochrony danych osobowych. Przed administracją rządową stoi więc wielkie wyzwanie, by nie tylko zrobić to na czas, ale także by zadbać o zachowanie wysokich standardów ochrony praw obywateli w różnych sferach życia. Fundacja Panoptykon opracowała właśnie listę pięciu postulatów, które powinny zostać uwzględnione w trakcie tego procesu.

Z wdrożeniem reformy wiąże się konieczność zmiany setek aktów prawnych, tak by były zgodne z nowym unijnym rozporządzeniem. Ilu? Tak naprawdę nikt tego jeszcze nie wie. Unijne przepisy pozwalają krajom m.in. na osobne regulacje w zakresie ochrony zdrowia czy stosunków pracodawca-pracownik. W ustawach krajowych trzeba będzie określić np. to, w jakim wieku nieletni mogą wyrazić zgodę na przetwarzania danych. Osobnym tematem jest kształt organu ochrony danych osobowych oraz zasady jego funkcjonowania.

W październiku zeszłego roku zapytaliśmy wszystkie ministerstwa, czy prowadzą prace legislacyjne dotyczące wprowadzenia reformy. Z uzyskanych odpowiedzi wynikało, że wiele resortów jest jeszcze daleko w tyle. Liderem całego procesu było niewątpliwie Ministerstwo Cyfryzacji, które miało przedstawić założenia ustawy dotyczącej m.in. postępowania przed organem ochrony danych. Niestety, projekt do tej pory nie został udostępniony opinii publicznej. W lutym tego roku Generalny Inspektor Ochrony Danych Osobowych (GIODO) przedstawił natomiast swoje propozycje regulacji. Jednak GIODO nie posiada inicjatywy ustawodawczej i inicjować może jedynie debatę publiczną. Dobrze by było, gdyby realizacja polskiej odnogi reformy przyspieszyła, bo niestety zegar tyka…

Proces dostosowania polskiego prawa do unijnych przepisów wiąże się z różnymi ryzykami dla zachowania wysokiego poziomu ochrony danych osobowych. By nie zaprzepaścić tego ogromnego wysiłku, jakim była sama reforma, oraz szansy dla realnej ochrony prywatności obywateli, postulujemy, by w trakcie całego proces zostało uwzględnionych pięć postulatów:

1. Dobre gwarancje poszanowania prawa do ochrony danych obywateli w przepisach sektorowych

Unijne przepisy ustalają jednolite standardy ochrony danych we wszystkich krajach członkowskich. Jednocześnie przyznają państwom pewien margines swobody w ustalaniu nowych reguł w takich obszarach jak np. ochrona zdrowia, badania naukowe czy stosunki pracownik–pracodawca. W praktyce oznaczać to może m.in. ograniczanie niektórych uprawnień obywateli, jak np. prawo do informacji o przetwarzaniu danych osobowych w określonych sytuacjach. Szczególne zagrożenia pojawiają się np. w przypadku profilowania czy automatycznego podejmowania decyzji w sektorze bankowym czy ubezpieczeniowym. Dlatego oczekujemy, że polskie władze nie wprowadzą daleko idących wyłączeń, a sam proces przyjmowania nowych przepisów będzie przejrzysty oraz prowadzony we współpracy z partnerami społecznymi.

2. Silny i niezależny organ ochrony danych osobowych

Podstawą dobrego i skutecznego systemu ochrony danych osobowych jest organ, który będzie mógł wyegzekwować obowiązujące przepisy prawne. Unijna reforma przyznaje organowi stojącemu na straży ochrony prywatności nowe i silne kompetencje – jak chociażby nakładanie znacznych kar finansowych za naruszenie prawa. Naszym zdaniem osoba lub osoby stojące na czele organu zajmującego się ochroną danych osobowych powinny charakteryzować się wysokim poziomem wiedzy merytorycznej i doświadczeniem oraz posiadać silny, demokratyczny mandat w pełnieniu swoich funkcji. Taki mandat gwarantuje przede wszystkim wybór sprawujących tę funkcję przez parlament RP. Dodatkowo władze muszą zapewnić niezależność organu zgodnie z dotychczasowym orzecznictwem m.in. Trybunału Sprawiedliwości Unii Europejskiej.

3. Przejrzysty proces wdrożenia reformy

Prace nad unijną reformą pokazały, że instytucje odpowiedzialne za kształtowanie nowych przepisów są obiektem zmasowanego i nie zawsze przejrzystego lobbingu ze strony biznesu. Wdrożenie nowych regulacji i dostosowanie ich do polskich realiów jest procesem, w którym może pojawić się podobne zjawisko. Dlatego uważamy, że polskie władze powinny zagwarantować bardzo wysoki poziom przejrzystości realizacji reformy. Dotyczy to m.in. publikowania przez resorty kalendarzy spotkań z interesariuszami, precyzyjnych planów legislacyjnych, stanowisk i innych dokumentów zgłoszonych przez różnych partnerów.

4. Procedura przyjazna obywatelom

Reforma ochrony danych przyznała obywatelom nowe możliwości zabezpieczenia ich praw. To silne gwarancje, które by mogły być jednak faktycznie egzekwowane, wymagają odpowiednich narzędzi proceduralnych. Dotyczy to zarówno możliwości składania skarg do organu nadzorczego, jak i obrony swoich spraw przed sądami powszechnymi. Obywatel, zwracając się do instytucji chroniącej dane, powinien oczekiwać, że jego sprawa zostanie załatwiona szybko i sprawnie. Stąd procedura powinna zawierać możliwie krótkie terminy rozpatrzenia skarg, określać w sposób przejrzysty uprawnienia stron. Dodatkowo ustawodawca będzie musiał wprowadzić zmiany w przepisach dotyczących postępowania przed sądami powszechnymi, umożliwiające dochodzenie odszkodowań za naruszenie prawa do ochrony danych.

5. Organizacje społeczne jako adwokaci interesu publicznego

Organizacje społeczne mogą odegrać ważną i pozytywną rolę w praktycznym kształtowaniu standardów ochrony danych osobowych. Zgodnie z unijnymi przepisami organizacje będą mogły reprezentować obywateli przed organem ochrony danych i sądami. Dodatkowo kraje członkowskie mogą przyznać organizacjom kompetencje we wnoszeniu skarg „w interesie publicznym”. Organizacje społeczne mogłyby żądać wszczęcia postępowania przed organem ochrony danych osobowych w sytuacji, gdy wykryją potencjalne naruszenia prawa przez konkretne podmioty. Takimi przypadkami mogą być np. polityki prywatności portali internetowych zawierające klauzule rażąco naruszające prawa konsumentów. Przyznanie tych dodatkowych kompetencji organizacjom społecznym mogłoby wzmocnić poziom ochrony danych osobowych oraz pomóc organowi ochrony danych w egzekwowaniu przepisów. Jednocześnie służyłoby to podnoszeniu świadomości obywateli w zakresie ochrony prywatności i danych osobowych.

***

Listy z naszymi postulatami dotyczącymi reformy przesłaliśmy do Ministerstwa Cyfryzacji, Ministerstwa Sprawiedliwości oraz wybranych komisji sejmowych.

Fundacja Panoptykon: 5 postulatów dotyczących reformy ochrony danych w Polsce [PDF, 194 KB]

Jędrzej Niklas