Sprawa tej nieszczęsnej KRS przyćmiła całą moją kadencję

Jakie wskazałby pan swoje największe osiągnięcia w minionej już kadencji?

Pracuję już tutaj kilkanaście lat, z czego ostatnie cztery na stanowisku prezesa UODO, i mogę powiedzieć, że te ostatnie lata są najcięższe dla Urzędu, a kolejne nie będą lżejsze. Zaczęło się oczywiście od wejścia RODO pięć lat temu. Moim zdaniem nazwa Urząd Ochrony Danych Osobowych jest dość nieszczęśliwa, bo zawsze przypominam, że my przede wszystkim chronimy ludzi ze względu na ich dane, a nie wyłącznie dane. Społeczeństwo jest bardziej świadome swoich praw i coraz częściej oczekuje od Urzędu ich ochrony, co świadczy również o naszym wielkim sukcesie edukacyjnym. Prowadzimy działania m.in. w szkołach, jak ogólnopolski program edukacyjny „Twoje dane – Twoja sprawa”, by uświadamiać też młodzież. Pod koniec kadencji otworzyliśmy Instytut Prawa Ochrony Danych Osobowych na Akademii Humanistyczno-Ekonomicznej w Warszawie. Za tą większą świadomością idzie jednak też więcej skarg i więcej pracy dla nas. W 2020 r. mieliśmy 7,5 tys. zgłoszonych naruszeń, a w 2022 r. – już 13 tys. Osiągnięciem jest więc to, że wypełniamy naszą funkcję stałym składem osobowym.

Czytaj więcej

Sądy i trybunały

PUODO nie zdejmuje blokady z wyroku ws. list poparcia do KRS

Prezes Urzędu Ochrony Danych Osobowych odmówił wstrzymania wykonania postanowienia zabezpieczającego w sprawie wyroku Naczelnego Sądu Administracyjnego o ujawnieniu list sędziów popierających kandydatów do Krajowej Rady Sądownictwa.

Urząd nie został wzmocniony kadrowo po wejściu RODO?

Został, przybyło ok. 40 osób. Dziś mamy ok. 200 pracowników merytorycznych i 30-40 od takich spraw jak przetargi, archiwa, sekretariat itd. Teoretycznie możemy tworzyć oddziały terenowe, ale nie mamy na to budżetu, więc jeden urząd działa na całą Polskę. Jesteśmy budżetówką więc możemy proponować takie pensje na jakie pozwala ustawa, przez co nie należymy do tych instytucji, w których młodzi chętnie szukają pracy. Zdarza się że osoby pracujące u nas od wielu lat, niezwykle zaznajomione z prawem ochrony danych odchodzą do sektora prywatnego, gdzie dostają lepsze warunki - więc trudno ich za to winić. Na szczęście większość zostaje. Pocieszające jest to, że stanowimy swego rodzaju kuźnię kadr, która zostaje z nami na długo. Siła Urzędu tkwi właśnie w osobach które w nim pracują, często od 25 lat. Pracownicy są bezcenni, dlatego mimo obaw że „nowa miotła dobrze miecie” przez te 4 lata zwolniłem tylko jedną osobę – swojego zastępcę. Zaraz po objęciu stanowiska przystąpiłem do zmian organizacyjnych w urzędzie, konsultując się z dyrektorami departamentów - i to znacznie usprawniło pracę UODO.

Na co obywatele najczęściej się skarżą w ostatnim czasie?

Na wielkie banki. Co prawda bardzo rzadko się zdarza, żeby system bankowy  został zhakowany, bo banki wydają na zabezpieczenia duże pieniądze. Ale jeżeli spojrzymy na sprawę z punktu widzenia klienta indywidualnego, który idzie do banku coś załatwić, to banki w dużej mierze zachowują się skandalicznie. Na przykład wysyłają wyciąg z rachunków, nie do tego klienta, który złożył pieniądze. Dostaje on więc informacje o stanie konta innej osoby, a jego wyciąg trafia nie wiadomo gdzie. Skarg takich klientów wpływa do nas bardzo dużo. Ogółem w zeszłym roku dotarło do nas ok. 7 tys. skarg. Każda z nich rozpoczyna postępowanie. Prosimy bank o wyjaśnienia ale ponieważ jest tylko jeden poszkodowany, nie ma mowy o większych karach. Najczęściej takie sytuacje kończą się upomnieniem. Ale proszę sobie wyobrazić, że bank poszedł do WSA z takim upomnieniem - wygrał! Sędzia uznała, że doszło do pomyłki, a człowiek przecież jest omylny. I to jest kolejny temat, który chciałbym poruszyć, czyli podejście sądów do praw ludzi, które chronimy w naszych decyzji. 

Czytaj więcej

Dane osobowe

Morele nie zapłaci gigantycznej kary za wyciek danych. NSA obciążył UODO

Sklep internetowy Morele.net nie zapłaci prawie 3 mln zł kary za wyciek danych, do którego doszło w 2018 r. Naczelny Sąd Administracyjny zobowiązał natomiast Urząd Ochrony Danych Osobowych do zwrócenia portalowi 65 tys. zł za kosztów postępowania.

A czego się nie udało osiągnąć w tej kadencji, choć było ważne i było w planach?

Kwestia ustawy o dostępie do informacji publicznej. Mamy dwa dobra konstytucyjne: ochronę danych osobowych, prywatności oraz dostęp do informacji publicznej – który reguluje ustawa z 2001 r., a więc bardzo stara. Problem stanowi art. 5 ust. 2 tego aktu – dotyczy on osób publicznych. W myśl tej regulacji osoby publiczne, można powiedzieć, są w ogóle pozbawione praw człowieka, prawa do prywatności, a to stoi w sprzeczności z Kartą praw podstawowych UE. Przepis jednak dalej obowiązuje i sądy go stosują. Pod koniec 2014 r. ustawę tę zaskarżyła do Trybunału Konstytucyjnego ówczesna pierwsza prezes SN prof. Gersdorf, jednak w roku następnym, po zmianach politycznych, wycofała wniosek. Także aktualna pierwsza prezes SN prof. Manowska złożyła wniosek do TK o stwierdzenie niekonstytucyjności art. 5 ust. 2 wspomnianej ustawy. Poświęciła znaczną część uzasadnienia wniosku kwestii niezgodności tej regulacji z RODO. Niestety, wyrok wciąż nie zapadł.

I na czym ta niezgodność ma polegać?

Ustawa nie została dostosowana do nowego rozporządzenia, mimo że gdy wchodziło ono w życie, znowelizowano ponad 160 ustaw. RODO w art. 86 mówi, że można stosować krajowe ustawy, ale z uwzględnieniem RODO, tzn. z zachowaniem balansu pomiędzy dostępem do informacji publicznej a ochroną danych osobowych. Gdybyśmy się teoretycznie zastanowili, to moglibyśmy dojść do wniosku, że skoro jest nadrzędność prawa unijnego, to w ogóle art. 5 ust. 2 tej ustawy nie powinien być stosowany. Ale jest – przez NSA i WSA oraz inne sądy. Tu dochodzimy do sprawy, która przyćmiła całą moją kadencję, czyli tej nieszczęsnej KRS.

Informacja publiczna jest ważna w demokratycznym państwie i ugruntowała się linia orzecznicza, że jest mniejsza ochrona w przypadku informacji, które mają związek z funkcją publiczną, ale nie każdej dotyczącej tzw. osób publicznych. A to, kto popiera jakiego kandydata do Krajowej Rady Sądownictwa, ewidentnie jest związane z funkcją publiczną.

Trzeba się mocno nad tym zastanowić. Tutaj nie tylko aspekt tej informacji publicznej wchodzi w grę. Oczywiście, sędzia jest osobą jak najbardziej publiczną. Ba, on sam swoim życiem, postępowaniem powinien świecić przykładem, nie robić jakichś nieprzyzwoitych rzeczy itd. Ale kiedy ten sędzia kopie ogródek albo siedzi z kolegą przy herbatce, bo tak sobie lubią, to czy jest wtedy osobą publiczną? Oczywiście nie sprawuje wtedy wymiaru sprawiedliwości. Czy ma prawo do jakiejkolwiek prywatności?

Ale jako sędzia udzielił poparcia kandydatowi do KRS. I to jest ewidentnie sfera publiczna, a nie kwestia „kopania w ogródku”…

Sędzia jest powołany do czynienia sprawiedliwości. I gdy wykonuje swój mandat, feruje wyroki, pracuje w sądzie – jest wtedy całkowicie niezależny. Jeżeli w trakcie rozprawy będzie robił rzeczy, które są niedopuszczalne z punktu widzenia przepisów prawa, urząd nie może nawet zwrócić mu uwagi. Ewentualnie może to zrobić komisja dyscyplinarna, czyli inni sędziowie. Ocena, czy sędzia właściwie chroni dane, sprawując wymiar sprawiedliwości, także nie należy do kompetencji prezesa UODO. Gdy np. sędzia odbiera od osoby w trakcie rozprawy sądowej dowód osobisty i go ogląda, obraca na drugą stronę, pozwalając kamerzyście go filmować, czyni go powszechnie dostępnym. Czyli w tym momencie dokonuje rzeczy niedopuszczalnej z punktu widzenia ochrony danych osobowych. Samorząd sędziowski, KRS powinny w takich sytuacjach dyscyplinować i szkolić, żeby takich rzeczy nie robić.

Ale mówimy o tym, kogo sędzia poparł jako kandydata do KRS, nie o zachowaniu w sali sądowej.

Ale to, kogo on popiera i dlaczego, nie było istotą sprawy! W podstawie prawnej, którą była ustawa o KRS, było jasno określone, że załączniki, czyli te listy poparcia, nie będą publikowane. Ale w trybie dostępu do informacji publicznej pani posłanka Gasiuk-Pihowicz zwróciła się do Kancelarii Sejmu o ich udostępnienie. Ta odmówiła, więc posłanka wniosła skargę do WSA, a ten uznał, że listy powinny być ujawnione. Co ważne, decyzja kancelarii zapadła przed wejściem RODO (co nastąpiło w maju 2018 r.). Więc sąd, uwzględniając stan prawny z daty wydania decyzji, na gruncie RODO sprawy nie rozpatrywał. Potem kancelaria wnosi kasację do NSA, który po roku oddala ją, czyli potwierdza wyrok pierwszej instancji. Kancelaria Sejmu musi go wykonać. Ale RODO już obowiązuje i w tym czasie do UODO wpływa skarga (a właściwie kilka skarg, które rozpatrywaliśmy wspólnie), a jak już mówiłem, to wszczyna automatycznie postępowanie. Aby prawidłowo rozpatrzyć sprawę, wydaliśmy postanowienie zabezpieczające, czyli chwilowe ograniczenie przetwarzania tych danych. No ale mamy wyrok sądu – i do tej pory mówi się, że ja uniemożliwiłem kancelarii wykonanie tego wyroku. Nigdy z tym się nie zgodzę.

Dlaczego? Przecież zakazał pan ujawniania tych danych, a wyrok to nakazywał.

Wyrok nie nakazywał udostępnienia danych, ale zobowiązywał kancelarię do ponownego rozpatrzenia wniosku o udostępnienie informacji publicznej. Kancelaria miała zatem obowiązek uwzględnić stanowisko NSA, ale także nowy stan prawny wynikający z wejścia w życie przepisów RODO, które dotychczas nie były stosowane ani przez Kancelarię Sejmu, ani przez sądy orzekające w sprawie odmowy udostępnienia informacji publicznej. To ja pytam: mamy RODO w Polsce, czy ono nie obowiązuje?

Więc kancelaria miała obowiązek wykonać wyrok czy nie?

Od momentu, kiedy sąd zwrócił akta, kancelaria miała zdecydować, czy przekazać te dane, czy wydać – czego nikt nie bierze pod uwagę – nową decyzję. Sąd uznał, że dane powinny być udostępnione na dzień wydania decyzji przez Kancelarię Sejmu o odmowie udostępnienia informacji publicznej, ale zmieniło się prawo. Myśmy jedynie przypomnieli kancelarii, że już obowiązuje RODO, stąd te postanowienia zabezpieczające. Nie jest więc prawdą, że uniemożliwiałem kancelarii przekazanie tych danych. W postępowaniu między posłanką Gasiuk-Pihowicz a kancelarią i później przed sądami administracyjnymi osoby, których dane dotyczyły, nie miały prawa strony. A w postępowaniu przed UODO – jak najbardziej. Więc były inne podmioty tych spraw, inny przedmiot postępowania przed UODO, a inny postępowania prowadzonego przez WSA i NSA, stosowane były inne przepisy, a przede wszystkim weszło w życie RODO. A RODO już w art. 3 mówi, że dane można przetwarzać – ale pod pewnymi warunkami. Musi to być zgodne z prawem, rzetelne i przejrzyste. Pierwszy warunek jest zrozumiały, ale już słowo „rzetelnie” sprawia problemy, bo jest inaczej rozumiane w różnych językach.

To znaczy jak?

Weźmy Niemców – tam nie użyto sformułowania „edlis” (rzetelnie) tylko „nachtreu und glauben”, czyli „w dobrej wierze”. W wersji angielskiej to będzie „fairly”, czyli „uczciwie”. A po francusku mamy słowo „loyal”, czyli również „uczciwie, wiernie”. Mecenas Maciej Gawroński napisał świetny podręcznik dla inspektorów ochrony danych itd. Dowcipny, niesamowicie klarowny i najlepiej oddający, o co chodzi w słowie „rzetelnie”: żeby „nie robić kogoś w konia” – tak autor to nazwał kolokwialnie. Ci sędziowie zostali koncertowo „zrobieni w konia”. Ponieważ podstawa prawna, tj. ustawa o KRS, jasno mówi, że listy nie będą publikowane. A potem sądy orzekły, że publikacja tych załączników jest ważniejsza od ochrony danych. W taki sposób to się bawić nie możemy. Nie możemy ludzi wodzić za nos, działać nieuczciwie, nie w dobrej wierze. Ale tego argumentu nie zdążyliśmy powiedzieć w decyzji w sprawie list poparcia do KRS, do tej pory niewydanej.

Dlaczego decyzji nie wydano? Sam pan mówił, że rok trwało postępowanie przed NSA, było dużo czasu na rozstrzygnięcie tej kwestii przez UODO.

Dlatego że zawiesiliśmy postępowanie do czasu decyzji Trybunału Konstytucyjnego. A ten wyroku nie wydał, na co nie mamy wpływu. Oczywiście mamy przeczucie graniczące z pewnością, że art. 5 ust. 2 jest niekonstytucyjny. Ja doskonale zdaję sobie sprawę z dobra, jakim jest informacja publiczna – jest dobrem społecznym, zapisanym w konstytucji. Gdy pisano ten akt, nie było w ogóle pojęcia ochrony danych, jedynie prawo do prywatności, ale ta ochrona była wtedy mniej ważna. Wszystko się jednak rozwija i dzisiaj, przy tym poziomie cyfryzacji, staje się coraz ważniejsza. Konstytucja stanowi, że sądy powinny wyważyć te dobra. Nie mówimy o wyrzuceniu całej ustawy o informacji publicznej, jedynie o jej art. 5 ust. 2. Jako prezes UODO uważam, że osobom publicznym również przysługuje prawo do prywatności. Oczywiście nie tak szerokie, jak osobom „zwykłym”, ale osoba publiczna też powinna mieć prawo do prywatności, bo jest to podstawowe prawo człowieka. To, że TK się tą sprawą nie zajął, i nie zostały dostosowane do RODO przepisy o dostępie do informacji publicznej, to jest tak naprawdę jedyną porażką tej kadencji. Choć nasza rola jest tu pośrednia, bo przecież nie rozstrzygamy o konstytucyjności norm prawnych i nie mamy inicjatywy ustawodawczej.

Wydaje się, że jest tu podobnie jak ze sprawą nazwania prezydenta obraźliwym słowem przez pewnego pisarza. Tam sąd wskazał, że osoby publiczne na stanowiskach z wyboru, startując na nie (bo nikt nie zmusza do kandydowania), muszą się liczyć z tym, że podlegają ściślejszej społecznej ocenie i mogą być ostrzej krytykowane. Właśnie dlatego, że ktoś na nie głosował i może je rozliczać z ich działań. Więc muszą się godzić z tym ograniczeniem ochrony,

w tamtym wypadku godności, ale także można to odnieść do prywatności.

Mam do tego ambiwalentne podejście. Częściowo jest ta ochrona godności, a częściowo nie. A w gruncie rzeczy nie. W mojej ocenie każdy człowiek ma prawo do poszanowania swojej godności, niezależnie od tego, jaką pełni funkcję, choć rodzaj pełnionej funkcji ma znaczenie. Nie można mieć ciastka i zjeść ciastko. Nie można być „w połowie”, tak jak ten wyrok.

Jak to nie można? Art. 5 ust. 2 ustawy, którą pan przywołał, wprost mówi o „ograniczeniu” ochrony prywatności osób publicznych. To oznacza takie „bycie w połowie” – nie całkowite odebranie prawa, tylko zmniejszenie jego ochrony.

Więc moim zdaniem ten przepis jest niekonstytucyjny, bo posługuje się niejasnymi pojęciami, które można w różny sposób interpretować, stąd te problemy. Różnicuje osoby „normalne”, które nie są osobami publicznymi, i im przysługuje ochrona, wykluczając osoby publiczne jako pozbawione w ogóle tego prawa.

Nikt nie mówi o pozbawieniu. Zacytuję: „Prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej (...). Ograniczenie to dotyczy informacji o osobach pełniących funkcję publiczną, mających związek z pełnieniem tych funkcji w tym warunkach powierzenia i wykonywania funkcji”.