Nowelizacja wchodząca w życie 4 maja ma na celu dostosowanie krajowego porządku prawnego do unijnego instrumentu ochrony danych osobowych (RODO). Ze względu na niezwykle szeroki zakres przedmiotowy nowelizacji (ustawodawca wprowadza zmiany do 162 ustaw) analiza została ograniczona wyłącznie do jednego z jej aspektów, a mianowicie problematyki postępowań regulowanych Kodeksem postępowania administracyjnego (dalej: „KPA").
Czytaj także:
Lektura nowododanych przepisów Kodeksu, wespół z fragmentami uzasadnienia projektu ustawy (druk sejmowy nr 3050) implikuje odczucia ambiwalentne. Z jednej bowiem strony sformalizowanie sposobu wykonywana przez organy administracji publicznej obowiązków informacyjnych z art. 13 ust. 1 i 2 RODO w toku postępowania administracyjnego pełni ważną funkcję porządkującą i ujednolicającą dotychczasowe praktyki organów administracji publicznej, z drugiej jednak strony nowelizacja nie przynosi rewolucyjnych zmian, bowiem w przeważającej mierze ma jedynie walor informacyjny, a miejscami wręcz technicznoprawny. Czy jest to zatem ewolucja, rewolucja czy petryfikacja?
Odpowiedź na tak postanowione pytanie wymaga zreferowania w ogólnym zarysie dotychczasowej sytuacji prawnej „organów-administratorów danych" oraz porównanie jej z tą, jakie podmioty te zastaną w dniu 4 maja 2019 r. Po pierwsze wskazać należy, że przepisy KPA odnoszące się zasad i sposobu wykonywania obowiązku informacyjnego mają stosunkowo ograniczone zastosowanie. Nie dość bowiem, że dotyczą one wyłącznie sytuacji o której mowa w art. 13 ust. 1-2 RODO, tj. wykonywania obowiązku informacyjnego w przypadku pozyskiwania danych bezpośrednio od osoby, której dane dotyczą, to w dodatku, mają zastosowanie wyłącznie w postępowaniach wymienionych w art. 1-2 KPA. Z powyższego wynikają zatem dwa wnioski. Po pierwsze, w przypadku zaktualizowania się obowiązku informacyjnego z art. 13 ust. 3 czy też art. 14 RODO, tj. obowiązków których wykonywania nie reguluje KPA, a które nie zostały w sposób generalny wyłączone w trybie art. 23 RODO w odniesieniu do wszystkich podmiotów wykonujących zadania publiczne, organ zastosuje wewnętrzną procedurę, a nie KPA. Po drugie, poza zakresem nowelizacji oprócz postępowań uregulowanych w Ordynacji podatkowej, znaleźć możemy szeroką gamę postępowań administracyjnych nie uregulowanych KPA, w tym w szczególności np. procedur kontrolnych czy też takich które nie kończą się wydaniem decyzji administracyjnej, a wyłącznie podjęciem określonego aktu lub czynności z zakresu administracji publicznej przyjmującego formę np. czynności faktycznej.
Kodeks postępowania administracyjnego nigdy nie stanowił podstawy prawnej obowiązku informacyjnego, o którym mowa w art. 13 ust. 1-2 RODO i nowelizacja okoliczności tej nie zmienia. Obowiązek ten wynika bowiem z bezpośrednio wiążących postanowień RODO. Na czym zatem polega zmiana?
Po pierwsze wskazać należy, że ustawodawca krajowy uregulował nie tyle sam obowiązek informacyjny w sensie materialnoprawnym, co proceduralny sposobu jego wykonania (art. 2a § 1 KPA). Innymi słowy regulacja kodeksowa ma wymiar wyłącznie procesowy, dookreśla bowiem tryb realizacji materiolnoprawnych obowiązków „obcych" i „zewnętrznych" wobec postępowania administracyjnego. Powyższe spostrzeżenie ma daleko idące konsekwencje, bowiem regulacje o charakterze procesowym mając pełnić funkcję służebną względem regulacji materialnoprawnych RODO. Skoro tak, to nie mogą nie tylko wyłączać zastosowania tych ostatnich, lecz również w sposób pośredni ograniczać ich skuteczności. Komentowana nowelizacja w zakresie tym powodować może pewne wątpliwości, a to z uwagi na wyjątkowo wąskie ujęcie katalogu podmiotów uprawnionych do uzyskania informacji, o której mowa w art. 13 ust. 1 i 2, a w szczególności nie ujęciu w jego ramach: świadków, biegłych czy osób które wprawdzie wniosły wniosek o wszczęcie postępowania jurysdykcyjnego, jednakże podanie przez nie złożone zostało pozostawione bez rozpoznania. W zarysowanej sytuacji z uwagi na procesowy charakter regulacji KPA, pierwszeństwo należy przyznać regulacji materialnoprawnej RODO, a zatem włączenia wymienionych podmiotów do katalogu odbiorców oświadczenia informacyjnego z art. 13 ust. 1 i 2 RODO.
Po drugie, wskazać należy że art. 2a § 2 k.p.a. swym literalnym brzmieniem przesądza o autonomiczności i odrębności obowiązku informacyjnego w postępowaniach regulowanych przepisami k.p.a., względem pozostałych obowiązków kodeksowych tych organów. Przepis ten stanowi bowiem, że wykonywanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 RODO, odbywa się niezależnie od obowiązków organów administracji publicznej przewidzianych w Kodeksie postępowania administracyjnego i nie wpływa na tok i wynik postępowania. Oznacza to, że ustawodawca wyraźnie odróżnia obowiązki organu związane z prowadzeniem określonego postępowania administracyjnego, od obowiązków związanych z realizacją obowiązku informacyjnego z art. 13 ust. 1 i 2 k.p.a. W świetle przyjętych rozwiązań kodeksowych naruszenie obowiązku informacyjnego, a nawet jego niewykonanie nie uprawniana osoby której dane dotyczą do wystąpienia ze środkami zaskarżenia uregulowanymi w samym kodeksie, co poza walorem informacyjnym wyłącza ryzyko np. uchylenia decyzji z tej tylko przyczyny że organ prowadzący postępowanie nie wykonał lub nienależycie wykonał obowiązek informacyjny z art. 13 ust. 1-2 RODO.
Po trzecie, nowelizacja sprecyzowała moment czasowy wykonania obowiązku informacyjnego z art. 13 ust. 1-2 RODO, przesądzając iż ma on być tożsamy z momentem podjęcia pierwszej czynności (kontaktu) z klientem administracji - tzw. zasada pierwszej czynności. Co przy tym istotne, nie doznaje ona w zasadzie ograniczeń, a jej istota sprowadza się do tego, że o ile osoba fizyczna nie uzyskała na etapie przedprocesowym stosownych informacji, o których mowa w art. 13 ust. 1 i 2 RODO, to organ-administrator danych podejmując pierwszą czynność w postępowaniu (np. w postaci wezwania do usunięcia braków formalnych podania lub jego doprecyzowania, postanowienia o odmowie wszczęcia postępowania, zawiadomienia o przekazaniu sprawy według właściwości) będzie zobowiązany wraz z nią wykonać również obowiązek informacyjny względem podmiotu, którego dane dotyczą. Jak się wydaje ustawodawca nazbyt optymistycznie wyznaczył tak odległy – odniesieniu do standardów RODO - moment czasowy. Pytanie zatem, czy nie należało wykazać się większą wstrzemięźliwość regulacyjną, bowiem w świetle znowelizowanych przepisów kodeksu przeważać będą sytuacje w których względem podmiotu zewnętrznego obowiązek informacyjny zostanie wykonany po pozyskaniu od niego danych, co w świetle wymogów RODO jest dopuszczalne jedynie warunkowo.
Po, czwarte dodatkowej refleksji zdają się wymagać regulacje szczegółowe odnoszące się do tych spraw administracyjnych, które mogą być załatwiane milcząco, tzn. takich w których organ ma prawo wyboru: wydać decyzję lub przyjąć postawę legalnego milczenia, z którym ustawa wiąże określone w niej skutki. Regulacje kodeksowa zdaje się przesądzać, że ustawodawca wziął po rozwagę okoliczność, że z uwagi na specyfikę spraw wykazujących zdolność do ich milczącego załatwienia, czynność zewnętrzna względem podmiotu danych może nie zostać tak naprawdę nigdy podjęta, stąd wprowadził w art. 122h § 1 k.p.a., a wraz z nim obowiązek generalnego publicznego obwieszczenia klauzuli informacyjnej RODO. Przyjęte rozwiązanie budzi wątpliwości nie tylko wobec zasadniczo indywidualnego charakteru oświadczenia informacyjnego (vide motyw 58 preambuły RODO), lecz również w perspektywie konieczności sprostania przez administratora wymogom przejrzystości oświadczenia informacyjnego (art. 12 RODO) i obowiązywania tzw. zasady rozliczalności wyrażonej w art. 5 ust. 2 RODO, tj. zasady przerzucającej ciężar dowodu wykazania faktu przestrzegania obowiązków przewidzianych w RODO na administratorów danych. Najpoważniejsze wątpliwości dotyczą jednak braku zagwarantowania podmiotowi danych, który nie złożył wniosku w sprawie załatwionej milcząco, a którego interesu prawnego wynik postępowania również dotyczy – nie tylko prawa do bycia poinformowanym o fakcie rozstrzygnięcia sprawy administracyjnej, lecz również o samym fakcie procesowania danych osobowych jego dotyczących. Powyższe jednoznacznie potwierdza, że nowelizacja nie dość, że nie poprawia, to wręcz pogłębia stan niezadowalającego poziomu ochrony jednostki w sprawach milcząco załatwianych.
Czy zatem można postrzegać ustawę „wdrożeniową" jako rewolucyjną dla organów administracji publicznej? W naszej ocenie w odniesieniu do opisanego powyżej wycinka aktywności aparatu administracyjnego regulowanego przepisami k.p.a., co do zasady nie, z jednym jednak zastrzeżeniem. Chodzi tu o brak posłużenia się prze ustawodawcę w nowelizacji z 21.02.2019 r. w sposób wyraźny regułami intertemporalnymi, zatem tzw. zasadami międzyczasowego stosowania przepisów. Oznacza to, że organy-administratorzy danych wraz z wejściem w życie nowelizacji, tj. już dniem 4 maja 2019 r. powinni dostosować sposób wykonywania obowiązku z art. 13 ust. 1-2 RODO do trybu określonego w Kodeksie postępowania administracyjnego, w tym w szczególności zamieścić generalną klauzulę informacyjna na stornach BIP dla celów postępowań które wykazują zdolność do milczącego ich załatwienia)
radca prawny dr Agata Cebera, mgr Jakub Firlus
