Maciej Pichlak: Dane osobowe coraz lepiej chronione

Choć liczba kar stale rośnie, nadal mamy do czynienia z łagodną polityką.

Publikacja: 14.09.2021 02:00

RODO

RODO

Foto: AdobeStock

Reżim ochrony danych osobowych wprowadzony RODO 25 maja 2018 r. jest wciąż zjawiskiem nowym, będącym na etapie kształtowania i dynamicznego rozwoju. Tę dynamikę widać zarówno w opublikowanym niedawno sprawozdaniu prezesa UODO za 2020 r., jak i w analizie decyzji publikowanych na stronie urzędu. Z satysfakcją można odnotować, że z analizy wyłania się obraz systemu ochrony danych, który jest coraz skuteczniejszy, coraz bardziej refleksyjny i świadomie rozwijany. Warto rozpocząć od wskazania tych tendencji, które zasługują na szczególne uznanie (jeśli nie podano inaczej, wszystkie dane odnoszą się do sprawozdania UODO za 2020 r.).

Tylko w ostateczności

Po pierwsze, stale rośnie ilość rozpatrywanych przez organ spraw (zarówno skarg od osób fizycznych, jak i zgłoszeń naruszeń ze strony administratorów danych). Polska jest pod tym względem zdecydowanym liderem w regionie. Co ciekawe, jedynie trzy promile zgłoszeń doprowadziło do wszczęcia postępowania administracyjnego, z których mniej niż połowa (13) zakończyło się decyzją administracyjną. Wzrosła za to wyraźnie liczba kontaktów z administratorami przed formalnym wszczęciem postępowania na podstawie art. 58 ust. 1 lit. a i lit. e RODO. Widać, że organ coraz chętniej korzysta z tych form oddziaływania, które cechują się niższym formalizmem i stosunkowo niewielką dolegliwością, a które pozwalają na szybkie doprowadzenie działań administratorów danych do stanu zgodnego z prawem. Jedynie w ostateczności sięga się po bardziej formalne i restrykcyjne narzędzia. Prezes UODO działa więc zgodnie z założeniami tzw. piramidy regulacyjnej, według których należy korzystać jak najczęściej z najmniej dolegliwych środków, eskalując interwencję jedynie tam, gdzie to konieczne.

Czytaj też:

Te tendencje widać także w stosunku spraw załatwionych do ilości nałożonych kar pieniężnych na podstawie art. 83 RODO. Spośród łącznej liczby ponad 14 tysięcy rozpoznanych skarg i zgłoszeń, jedynie w trzech (!) przypadkach nałożona została kara pieniężna. W pozostałych sprawach organ sięgał po mniej restrykcyjne środki naprawcze, jak upomnienia, nakazy określonego postępowania, bądź zadowalał się wyjaśnieniami złożonymi przez administratorów. Łącznie w 2020 r. prezes UODO nałożył z różnych tytułów karę pieniężną w 11 sprawach na łączną kwotę ponad 3 mln 400 tys. zł. Choć liczba nakładanych kar stale rośnie (2020 r. był pod tym względem rekordowy, a obecny rok zapewne przebije ten wynik bo już w pierwszym półroczu nałożono 11 kar), nadal mamy do czynienia z łagodną polityką karania. Takie podejście charakteryzuje zresztą większość krajowych organów nadzoru w regionie, w odróżnieniu od ich odpowiedników w krajach Europy Zachodniej.

Coraz wyższe wymagania

Jednocześnie na wysokim poziomie (84 proc.) utrzymuje się skuteczność egzekucji wydanych decyzji. Przebija to znacznie wyniki dla egzekucji administracyjnej na zasadach ogólnych, Rozwiązanie polegające na skupieniu w gestii jednego organu, jakim jest prezes UODO, kompetencji kontrolnych, wydawania decyzji oraz egzekucji, sprawdza się w praktyce.

Coraz większe znaczenie, jakie prezes UODO przywiązuje do udanej współpracy z administratorami na etapie wyjaśniania sprawy, znajduje swoje odzwierciedlenie także w ilości stwierdzanych naruszeń w tym zakresie (art. 31 RODO). Rok 2020 był pierwszym, w którym organ zdecydował się na wszczęcie postępowań na tej podstawie, a ich liczba stale rośnie również w roku obecnym. Można z tego wnioskować, że organ stawia administratorom coraz wyższe wymagania w tym zakresie.

Podsumowując te pozytywne zjawiska możemy stwierdzić, że działalność prezesa UODO nakierowana na ochronę danych osobowych jest nie tylko coraz skuteczniejsza, ale także w coraz większym stopniu odpowiada wymogom tzw. refleksyjnej regulacji i nadzoru, kładącym nacisk m.in. na umożliwianie podmiotom kontrolowanej samoregulacji, bliską i możliwie odformalizowaną współpracę między organem a nadzorowanymi podmiotami oraz sankcjonowanie i egzekwowanie w duchu wspominanej piramidy regulacyjnej (deeskalacja interwencji tam, gdzie to zasadne).

Trzy wyzwania

Dla dalszego podnoszenia skuteczności ochrony danych, konieczne jest jednak przezwyciężenie kilku wciąż obecnych w systemie słabości. Zwracamy uwagę na trzy, najistotniejsze naszym zdaniem, wyzwania.

Po pierwsze, brakuje rozwijania bardziej proaktywnych form ochrony i nadzoru. Prezes UODO działa w przeważającej mierze reaktywnie, w trybie skargowym lub w odpowiedzi na zgłoszenia naruszeń, w bardzo ograniczonym zakresie podejmując działania z urzędu. W 2020 r. spadła, i tak już wcześniej bardzo niska, liczba przeprowadzanych kontroli. Zrealizowane 12 kontroli należy uznać za wynik niepoważny, pełniący co najwyżej rolę listka figowego – nawet biorąc pod uwagę szczególne uwarunkowania czasu pandemii. Co gorsza, w 2021 r. w ogóle zrezygnowano z przygotowania planu kontroli. Rozwijanie działalności kontrolnej wymagałoby zapewne zwiększania zasobów, przede wszystkim kadrowych organu, wydaje się jednak niezbędne dla aktywnej i systematycznej realizacji powierzonych zadań.

Po drugie, w działaniach prezesa UODO nie są widoczne mechanizmy systematycznej identyfikacji i analizy ryzyk związanych z danymi osobowymi. Roczny plan kontroli sektorowych – pomijając wspomnianą bardzo małą liczbę kontroli – wydaje się tworzony w sposób intuicyjny, bez spójnej i jawnej metodologii pozwalającej na selekcję podmiotów lub branż. Organ nigdzie też nie wskazuje ryzyk o charakterze systemowym, nie mówiąc o przeciwdziałaniu im. Nie są także, jak się zdaje, identyfikowane tzw. SIP (systemowo istotne podmioty, ang. systemically imporant entities), tj. administratorzy, których działania lub zaniedbania mogą potencjalnie prowadzić do „katastrofy prywatności" (przykładami SIP mogą być administrator bazy PESEL, administratorzy największych serwisów społecznościowych gromadzących dane milionów użytkowników itp.). Tymczasem podejście oparte na ocenie i analizie ryzyka (risk-based approach) jest coraz powszechniejszym standardem w nowoczesnej administracji.

Po trzecie, słabo funkcjonują te mechanizmy wprowadzone przez RODO, które zakładają bardziej zaawansowaną i aktywną samoregulację przez administratorów lub ich zrzeszenia: certyfikacje, kodeksy postępowania, uprzednie konsultacje. Z nich wszystkich trwają prace jedynie nad kodeksami postępowania w kilku branżach, jednak idą one z trudem. Wydaje się, że zarówno organowi, jak i administratorom wciąż brakuje doświadczenia i kompetencji dla skutecznego korzystania z tego typu rozwiązań.

Przez nieco ponad trzy lata, jakie minęły od momentu wejścia w życie RODO, udało się stworzyć w naszym kraju coraz skuteczniejszy i coraz bardziej refleksyjny system ochrony danych, zgodnie z podstawowymi założeniami rozporządzenia. Rzecz jasna, sama analiza decyzji i dokumentów nie odpowie np., czy praktyka egzekwowania prawa przez UODO jest w pełni spójna (np. co do stosowanych środków czy wysokości kar), ani jak jest ona postrzegana przez samych administratorów. Wymagałoby to dalszych badań. Można jednak stwierdzić, że dalsze wzmacnianie wskazanych sukcesów, w połączeniu z przezwyciężeniem zasygnalizowanych przez nas wyzwań, pozwoli w pełni wykorzystać tkwiący w tym przełomowym unijnym rozporządzeniu potencjał, a w konsekwencji lepiej chronić nasze dane.

Autor jest dr hab. nauk prawnych, adiunktem na Wydziale Prawa, Administracji i Ekonomii Uniwersytetu Wrocławskiego. Kieruje projektem badawczym NCN „Modele prawnej regulacji ryzyka w świetle teorii refleksyjności".

Współpraca Klaudia Gaczoł

Reżim ochrony danych osobowych wprowadzony RODO 25 maja 2018 r. jest wciąż zjawiskiem nowym, będącym na etapie kształtowania i dynamicznego rozwoju. Tę dynamikę widać zarówno w opublikowanym niedawno sprawozdaniu prezesa UODO za 2020 r., jak i w analizie decyzji publikowanych na stronie urzędu. Z satysfakcją można odnotować, że z analizy wyłania się obraz systemu ochrony danych, który jest coraz skuteczniejszy, coraz bardziej refleksyjny i świadomie rozwijany. Warto rozpocząć od wskazania tych tendencji, które zasługują na szczególne uznanie (jeśli nie podano inaczej, wszystkie dane odnoszą się do sprawozdania UODO za 2020 r.).

Pozostało 92% artykułu
Rzecz o prawie
Małecki: Czy Łukasz Ż. może odpowiadać za usiłowanie zabójstwa?
Rzecz o prawie
Łukasz Guza: Szef stajni Augiasza
Rzecz o prawie
Jacek Dubois: Premier, komuna, prezes Manowska i elegancja słów
Rzecz o prawie
Mikołaj Małecki: Konstytucyjne credo zamiast czynnego żalu
Materiał Promocyjny
Zarządzenie samochodami w firmie to złożony proces
Rzecz o prawie
Witold Daniłowicz: Myśliwi nie grasują. Wykonują zlecenia państwa