Dane osobowe - RODO: czy będą kary dla samorządów

By zapewnić wyegzekwowanie nowych obowiązków o ochronie danych osobowych, przewidziano sankcje. Nie wiadomo, czy również dla samorządów – pisze ekspert.

Aktualizacja: 30.06.2017 08:57 Publikacja: 30.06.2017 08:56

Dane osobowe - RODO: czy będą kary dla samorządów

Foto: 123RF

Wejście w życie RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, może stanowić dla jednostek samorządu terytorialnego poważny problem. Czasu na dostosowanie się do nowych wymagań jest tylko pozornie dużo. Zaprezentowany niedawno projekt polskiej ustawy wydaje się niekompletny. W konsekwencji pogłębia niepewność po stronie samorządów, bo nie przewiduje wprost przepisów chroniących je przed drakońskimi karami finansowymi.

Rewolucja w ochronie

25 maja 2016 r. weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 o ochronie danych osobowych, zwane potocznie RODO z vacatio legis do 25 maja 2018 r. Zmienia ono w sposób rewolucyjny zasady ochrony danych osobowych. Nowa regulacja dotyczy nie tylko przedsiębiorców, ale też samorządów – przetwarzających między innymi dane pracowników, obywateli czy usługodawców.

RODO wprowadza szereg nowych praw po stronie osób, których dane są przetwarzane i w konsekwencji obowiązków administratorów danych. Spełnienie wymagań zawartych w europejskich przepisach wymaga nie tylko działania od strony prawnej, ale również wdrożenia rozwiązań technicznych wykraczających daleko poza te wskazane w dotychczasowych przepisach. Obrazowo mówiąc, szafy pancerne będą musiały zostać zastąpione przez programy szyfrujące.

By zapewnić wyegzekwowanie nowych obowiązków, RODO przewiduje sankcje finansowe. Wysokość kar wskazanych w rozporządzeniu może sięgnąć 20 mln euro lub 4 proc. całkowitego rocznego obrotu. Wskazuje się, że dotkliwość sankcji ma odstraszać podmioty nieprawidłowo przygotowane do przetwarzania danych. Co ważne, w całej Unii Europejskiej wysokość tych kar jest jednakowa.

Na zasadzie wyjątku wysokość sankcji może być zmniejszona przez ustawodawców krajowych w stosunku do podmiotów publicznych. Dyspozycję w tym zakresie zawiera art. 83 ust. 7 rozporządzenia. Zgodnie z nim każde państwo członkowskie może określić, czy i w jakim zakresie kary administracyjne można nakładać na organy i podmioty publiczne ustanowione w tym państwie. Kary dla samorządów mogą być więc znacznie niższe, o ile postanowienia w tym zakresie wprowadzi polski ustawodawca.

Pozorna luka

Ministerstwo Cyfryzacji opublikowało projekt regulacji w zakresie ochrony danych osobowych, służący zapewnieniu skutecznego stosowania w polskim porządku prawnym rozporządzenia RODO. Proponowane przepisy mogą jednak budzić pewne wątpliwości.

Z jednej strony resort cyfryzacji wskazuje na ograniczenie administracyjnych kar pieniężnych do kwoty 100 tys. zł w stosunku do podmiotów wymienianych w art. 9 pkt 8–14 ustawy o finansach publicznych (wśród których nie wymienia się jednak jednostek samorządu terytorialnego).

Z drugiej strony stwierdza, że na podmioty inne niż wskazane w art. 9 pkt 1–7 ustawy o finansach publicznych (czyli m.in. niebędące jednostkami samorzadu terytorialnego) mogą być nakładane kary zgodnie z RODO, czyli do 20 mln euro.

Powstaje pytanie, jakie kary mogą być nakładane na podmioty wskazane w art. 9 pkt 1–7 ustawy o finansach publicznych? Projekt ustawy nie wskazuje wprost żadnej odpowiedzi. Nie odnosi się do tego również uzasadnienie projektu. Może to oznaczać, że jednostki samorządu terytorialnego w ogóle nie podlegają sankcjom finansowym wynikającym z RODO. W naszej jednak ocenie, jeśli polski ustawodawca chciał wyłączyć odpowiedzialność samorządów w ogóle, to powinien określić to wprost w przepisach.

Sądowe uprawnienia

Regulacja RODO przewiduje (w art. 83 ust. 9), że w razie gdy ustrój prawny państwa członkowskiego nie przewiduje nakładania na podmioty administracyjnych kar pieniężnych, zastosowanie znajdują przepisy unijne, zgodnie z którymi karę pieniężną będzie nakładał właściwy sąd krajowy. Ponadto zgodnie z rozporządzeniem: „nakładane kary pieniężne muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające".

Powyższe odnosi się przede wszystkim do przepisów duńskich i estońskich, które nie przewidują administracyjnych kar pieniężnych. W RODO nie ma jednak bezpośredniego wyłączenia stosowania tej zasady w przypadku innych krajów członkowskich. Biorąc za wyznacznik kary wskazane w RODO, należy się więc spodziewać surowych wyroków.

Konieczne zmiany w projekcie

Projekt polskiej ustawy wdrażającej regulacje RODO, zamiast wprost ograniczać ryzyko po stronie samorządów, pogłębia niepewność nadchodzących zmian. Zgodnie z pkt. 150 preambuły do rozporządzenia państwa członkowskie powinny określić, czy i w jakim zakresie administracyjnym karom pieniężnym powinny podlegać organy publiczne. Nie jest do końca jasne, dlaczego projekt Ministerstwa Cyfryzacji nie rozstrzyga jednoznacznie tej kwestii i poprzestaje na wskazaniu dwóch niekomplementarnych katalogów podmiotów publicznych.

Wyzwania wynikające z implementacji RODO powinny uzasadniać możliwie prostą i klarowną regulację przepisów krajowych. W związku z tym w naszej ocenie projekt ministerstwa w tym zakresie powinien w trakcie konsultacji ulec zmianom. Jednostki samorządu terytorialnego muszą wiedzieć, czy i jakie sankcje administracyjne będą im grozić za naruszenie obowiązków dotyczących przetwarzania danych osobowych.

Na marginesie można wskazać, że nawet w razie zwolnienia przez ustawodawcę jednostek samorządu terytorialnego z sankcji administracyjnych nie zmieni to odpowiedzialności na gruncie cywilnym i karnym. W obu przypadkach należy się liczyć, że kary mogą być znacznie częstsze i dotkliwsze niż dotychczas.

Autor jest menedżerem, radcą prawnym w Kancelarii EY Law.

Wejście w życie RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, może stanowić dla jednostek samorządu terytorialnego poważny problem. Czasu na dostosowanie się do nowych wymagań jest tylko pozornie dużo. Zaprezentowany niedawno projekt polskiej ustawy wydaje się niekompletny. W konsekwencji pogłębia niepewność po stronie samorządów, bo nie przewiduje wprost przepisów chroniących je przed drakońskimi karami finansowymi.

Rewolucja w ochronie

Pozostało 92% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Opinie Prawne
Marek Kobylański: Dziś cisza wyborcza jest fikcją
Materiał Promocyjny
Wykup samochodu z leasingu – co warto wiedzieć?
Opinie Prawne
Tomasz Pietryga: Reksio z sekcji tajnej. W sprawie Pegasusa sędziowie nie są ofiarami służb
Opinie Prawne
Robert Gwiazdowski: Ideowość obrońców konstytucji
Opinie Prawne
Jacek Czaja: Lustracja zwycięzcy konkursu na dyrektora KSSiP? Nieuzasadnione obawy
Materiał Promocyjny
Jak kupić oszczędnościowe obligacje skarbowe? Sposobów jest kilka
Opinie Prawne
Jakubowski, Gadecki: Archeolodzy kontra poszukiwacze skarbów. Kolejne starcie