Dr Kawecki: RODO to ustawa prokonsumencka

Ogólne Rozporządzenie o Ochronie Danych Osobowych, znane w Polsce również jako RODO (ang. General Data Protection Act, GDPR - PAP), to zdaniem Kaweckiego akt o zdecydowanie prokonsumenckim charakterze. RODO to pierwsza reforma prawa o ochronie danych, która w tak pełnym zakresie oddaje kontrolę nad danymi osobowymi w ręce ich właścicieli, którzy dzięki regulacji będą mogli wpływać na to, czy i jak są one przetwarzane przez podmioty, którym zostały udostępnione.

Unijna reforma ochrony danych osobowych, która zobowiązuje państwa członkowskie do wdrożenia stosownych aktów prawnych z dniem 25 maja 2018 roku, jest największą reformą europejskiego systemu ochrony danych osobowych od ponad dwudziestu lat. RODO znacznie wpłynie na kształt krajobrazu ochrony danych nie tylko w Polsce, ale na całym świecie - do przestrzegania zasad unijnej regulacji będą zobowiązane bowiem wszystkie podmioty przetwarzające dane osobowe obywateli państw członkowskich Unii Europejskiej.

Jedną z kluczowych zmian, które wprowadzą w Polsce przepisy krajowe wdrażające RODO, będzie przekształcenie obecnego organu odpowiedzialnego za nadzór nad ochroną danych osobowych w Polsce - Generalnego Inspektora Ochrony Danych (GIODO) w Prezesa Urzędu Ochrony Danych Osobowych (UODO). 

Pierwsze miesiące funkcjonowania nowego organu ochrony danych w Polsce będą bardzo trudne

Jego zdaniem, problemem będzie nie tylko zjawisko fluktuacji kadr, ale i rosnące oczekiwania wobec obowiązków, z którym będzie musiał zmierzyć się nowy Urząd Ochrony Danych Osobowych. "Zatwierdzanie kodeksów branżowych, reagowanie na notyfikacje o naruszeniach, konsultacje, wydawanie certyfikatów dla przedsiębiorców chcących startować w przetargach wymagających ich pozyskania postawi przed UODO nowe wyzwania" - mówi Kawecki, zwracając uwagę, że Prezes Urzędu Ochrony Danych Osobowych zarówno w przypadku reagowania na naruszenia RODO, jak i wydawania certyfikacji, będzie musiał działać pod presją czasu.

W rozmowie z PAP dr Maciej Kawecki zwraca uwagę, że Prezes Urzędu Ochrony Danych Osobowych będzie podmiotem "kompletnie niezależnym", nieodwoływalnym, kadencyjnym. "Kryteria odwołalności prezesa UODO wynikają wprost z RODO. Są to umyślne przestępstwo, sprzeniewierzenie się ślubowaniu, stan zdrowia, bądź też samodzielna rezygnacja ze stanowiska" - wylicza Kawecki przypominając jednocześnie, że unijne rozporządzenie wprowadza również klauzulę odwołania prezesa organu ochrony danych w przypadku rażącego naruszenia prawa.

"Wprowadziliśmy zmiany w procedurze powoływania wiceprezesów UODO", mówi rozmówca PAP odnosząc się do zarzutów Ministerstwa Spraw Zagranicznych, które jakiś czas temu zarzuciło polskiej implementacji unijnego GDPR niezgodność z oryginałem rozporządzenia.

W projekcie włączyliśmy w procedurę powoływania wiceprezesów inne organy, celem dostarczenia mu większego spektrum stanowisk przed podjęciem przez niego finalnej decyzji. Zrobiliśmy to absolutnie świadomie. Zawsze można wprowadzić zmiany, które spowodują polepszenie stanu rzeczy. Przykładem jest z naszej perspektywy również rozwiązanie, które organ nadzorczy ocenia raczej sceptycznie - Rada ds. Ochrony Danych Osobowych

Wymieniona przez niego rada będzie składała się z członków rekomendowanych przez organizacje pozarządowe, izby gospodarcze, Rzecznika Praw Obywatelskich, a także organy administracji rządowej. Jej głównym zadaniem będzie doradzanie prezesowi UODO w sprawach, w których poprosi on o jej opinię. Prezes Urzędu Ochrony Danych Osobowych nie będzie miał jednak obowiązku korzystania z Rady.

Zagadnieniem budzącym szczególną wątpliwość jest w świetle przyznanej prezesowi urzędu w RODO pełnej niezależności, możliwość dyscyplinowania go w trakcie kadencji w razie nienależytego wykonywania ustawowych zadań. Jak wyjaśnia PAP Kawecki, niezależność organów regulacyjnych zawsze ma swoją cenę. 

Organy regulacyjne to bardzo często organy o bardzo silnej pozycji ustrojowej. Prezes urzędu będzie takim organem szczególnie, z uwagi na jego uprawnienia horyzontalne obejmujące wszystkie obszary, nie zaś sektorowe. To organ, który może ukarać każdego - i sklep spożywczy, i kiosk, ale też ogromny podmiot świadczący usługi telekomunikacyjne. Przepisy unijne i krajowe oprócz sprawozdania o którego treści decyduje jednak organ, nie przewidują instrumentów dyscyplinujących go do działania. Ich wprowadzenie zawsze rodzi bowiem ryzyko naruszenia owej niezależności. Jedynym na to sposobem jest bardzo rzetelna ocena działalności organu – jak całej administracji publicznej, sprawowana przez społeczeństwo

Prezes Urzędu Ochrony Danych Osobowych, jako organ odpowiedzialny za przestrzeganie znowelizowanego prawa o ochronie danych osobowych w Polsce, będzie uprawniony do nakładania na podmioty łamiące prawo kar, które od dawna w dyskusji na temat RODO dzielą ekspertów ze środowisk prawnych oraz technologicznych. "Chcielibyśmy, aby kary były ostatnim instrumentem, do którego będzie można odwołać się w drodze egzekwowania prawa" - stwierdza Kawecki. "Warto pamiętać, że RODO to nie reforma o karach. One są środkiem dyscyplinującym, jednak oprócz kar finansowych UODO będzie miał do dyspozycji również inne środki" - przypomina koordynator prac nad polską wersją rozporządzenia.

Według Kaweckiego możliwe, że pierwsza kara w Polsce zostanie nałożona przez UODO już w 2018 roku. "Na pewno wśród wszystkich podmiotów działających w Polsce są takie, za których działania kary się należą, ale kary w wysokościach zdecydowanie umiarkowanych, dostosowane do tego, jak działa podmiot, czy jego wina jest umyślna, czy też nieumyślna" - tłumaczy, dodając, że jeśli organ przyjmie praktykę nakładania kar za każde naruszenie RODO, które następnie będą permanentnie obniżane przez sąd, dyscyplinujący charakter kary finansowej zostanie zniwelowany.

Różnić się będzie również sposób oddziaływania kar na podmioty prywatne i publiczne. "Tym, co boli zarówno sektor prywatny, jak i publiczny, jest utrata wizerunku i renomy" - zauważa Kawecki. "W przypadku administracji publicznej każdy - dyrektor, piastun organu, prezes urzędu, którzy zajmują stanowisko przez okres trwania kadencji, dbają o swój wizerunek. Natomiast w przypadku sektora prywatnego rolę grają również finanse" - opowiada Kawecki, który w rozmowie z PAP odniósł się również do zawartego w polskiej implementacji GDPR zapisu obniżającego kary dla pewnej grupy podmiotów publicznych. "Kara 100 tys. złotych dla podmiotu mającego roczny budżet na poziomie 5 mln to kara odczuwalna i byłbym ostrożny z mówieniem, że jest inaczej" - stwierdza w rozmowie z PAP Kawecki. "Jako Ministerstwo Cyfryzacji nie lubimy jednak straszenia karami. Jednocześnie trzeba jednak zaznaczyć, że na pewno wpłynęły one pozytywnie na zainteresowanie zmianami” - zauważa.

Dzisiejszy system w Polsce, w którym naruszenie prywatności nie jest karane, nie sprawdził się, a liczba skarg do organu nadzorczego rośnie, tak samo jak liczba niechcianych wiadomości reklamowych w mojej skrzynce e-mail