Skarga do GIODO – komentujemy propozycje przepisów

Reforma ochrony danych osobowych zbliża się wielkimi krokami. Nowe reguły wejdą w życie w maju 2018 r. Jednak unijne przepisy nie obejmują wszystkich kwestii związanych z systemem ochrony danych. Jedną z nich są zasady działania organu ochrony danych osobowych. Tutaj każde państwo będzie musiało przyjąć własne uregulowania. Niedawno Generalny Inspektor Ochrony Danych (GIODO) przedstawił propozycje przepisów dotyczących tego obszaru. Fundacja Panoptykon opracowała uwagi do tego projektu.

Pierwsze pomysły

Zgodnie z unijnym rozporządzeniem o ochronie danych osobowych (RODO) w każdym kraju powinien istnieć odpowiedni organ, który będzie zajmował się egzekwowaniem nowych przepisów. RODO określa, że instytucje te powinny być niezależne i wyposażone w odpowiednie zaplecze finansowe, kadrowe czy technologiczne. Szczegółowe zasady powoływania i działania tego organu państwa powinny już uregulować samodzielnie.

Prace nad tymi przepisami prowadzi obecnie Ministerstwo Cyfryzacji. Do tej pory jednak nie opublikowało żadnego projektu. Propozycję przedstawiło natomiast grono ekspertów z biura GIODO. Dokument zawiera pomysły dotyczące postępowania przed organem ochrony danych. Chodzi tutaj o kwestie rozpatrywania skarg obywateli, uprawnień stron czy nakładania kar.

Procedura: szybka i skuteczna

Samo RODO przyznaje obywatelom wiele nowych i silniejszych uprawień. Dotyczy to np. prawa do informacji, wolności od profilowania czy prawa do bycia zapomnianym. To dobre standardy, które jednak aby mogły być urzeczywistniane, potrzebują sprawnie działającego organu ochrony danych. Dynamiczny rozwój i zmiany technologiczne wymagają również tego, żeby sprawy obywateli były załatwiane szybko. Pod tym względem projekt GIODO pozostawia trochę do życzenia. Zgodnie z pomysłem sprawy obywateli powinny być załatwiane w 6 miesięcy lub w przypadku kwestii skomplikowanych – w rok. To znaczące odejście od obecnych standardów postępowania administracyjnego, gdzie ustalono odpowiednio terminy miesiąca lub 2 miesięcy.

Oczywiście prowadzenie spraw z zakresu ochrony danych jest często trudne i wymaga fachowej wiedzy. Jednak żyjemy w świecie, gdzie chociażby portale społecznościowe zmieniają swoje polityki prywatności bardzo często. Jeżeli organ stojący na straży obywateli zarezerwuje sobie zbyt dużo czasu na rozpatrywanie skarg, mogą one stawać się bezprzedmiotowe.

Adwokaci interesu społecznego

Unijna reforma przewiduje aktywną rolę organizacji społecznych w praktycznym egzekwowaniu praw przez obywateli. Organizacje mogą być pełnomocnikami indywidualnych osób i występować w ich imieniu przed organem ochrony danych lub sądami. Dodatkowo państwa mogą (ale nie muszą) przydzielić organizacjom dodatkowe uprawienia. Samo RODO wskazuje, że organizacje mogą samodzielnie wnosić do organów ochrony danych skargę, jeżeli ich zdaniem dochodzi do naruszenia prawa. To nowa rola: organizacje można by tutaj określić mianem „adwokatów interesu społecznego”. Organizacje będą mogły zażądać wszczęcia postępowania, w sytuacji gdy uznają, że np. regulamin danej firmy łamie prawa klientów. Propozycja GIODO uwzględnia tę rolę, ale w ograniczonym zakresie. W naszych uwagach uwzględniliśmy propozycje zmian dotyczące np. momentu wszczęcia postępowania w takim przypadku.

Kary dla instytucji publicznych

Zgodnie z nowymi przepisami organy ochrony danych będą mogły nakładać na firmy łamiące prawo duże kary – 20 mln euro lub nawet 4% globalnego obrotu. To silne wzmocnienie dla tych instytucji. Do tej pory w Polsce GIODO w swoim ręku nie ma żadnych kar finansowych. Unijne regulacje dają natomiast państwom wolną rękę w decyzji, czy podobnym karom będą mogły podlegać podmioty publiczne. Eksperci GIODO zaproponowali taką konstrukcję: inne organy administracji publicznej będą mogły polegać karom w wysokości nawet do 1 mln złotych. To ważna i dobra propozycja z punktu widzenia obywateli. Często dopiero zastosowanie sankcji finansowej (lub groźba jej zastosowania) może doprowadzić do sytuacji, w której prawa nie są naruszane.

Projekt GIODO może być natomiast problematyczny, jeżeli chodzi o stosowanie kodeksu postępowania administracyjnego. Obecnie co do zasady GIODO stosuje kodeks, poza konkretnymi wyjątkami. Przedstawiona propozycja odwraca tę zasadę. Stosowane mają być przepisy k.p.a., ale tylko te wybrane, oraz szczególne zasady postępowania przed GIODO. Rozwiązanie to może prowadzić do różnych problemów oraz niekorzystnie wpływać na prawa osób uczestniczących w postępowaniu – np. w obecnym postępowaniu brakuje odniesień do przepisów mówiących o zbieraniu dowodów czy możliwości wznowienia postępowania.

***

Propozycja ekspertów GIODO to pierwszy i ważny głos w debacie nad przyszłością organu ochrony danych. Teraz czekamy na ruch po stronie Ministerstwa Cyfryzacji. Przy czym resort nie tylko określi zasady postępowania przed organem, ale również m.in. zasady jego wyboru. To newralgiczne kwestie, przy których niezbędne jest zachowanie niezależności samego organu.

Jędrzej Niklas

Uwagi Fundacji Panoptykon do propozycji procedury przed organem ochrony danych osobowych [PDF]