Blog prawniczy

W dniu 25 maja 2018 roku weszło w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (tzw. „RODO”). Treść rozporządzenia wywołuje duży strach w oczach przedsiębiorców, bowiem nakłada na nich szereg obowiązków związanych z ochroną danych osobowych, a także diametralnie zmienia sposób ochrony danych osobowych osób fizycznych. Jednakże największy popłoch wśród przedsiębiorców powoduje okoliczność, iż rozporządzenie przewiduje w poszczególnych przypadkach drakońskie kary pieniężne (nawet do 20.000.000,00 EURO) za naruszenie postanowień rozporządzenia. „RODO nie należy się bać!” – odpowiada obecny Minister Cyfryzacji, Marek Zagórski w pierwszym z serii krótkich spotów wydanych przez resort o RODO.

Fakt, iż za naruszenia RODO mogą zostać nałożone wysokie kary pieniężne, stanowi dla przedsiębiorców powód do strachu, a dla innych – szansę na łatwy zarobek. Niektóre podmioty próbują bowiem namówić przedsiębiorców do skorzystania z ich płatnych – bynajmniej nieprofesjonalnych – usług. Podmioty te w szczególności oferują wprowadzenie poszczególnych rozwiązań, których RODO wcale nie wymaga od przedsiębiorców. Tego rodzaju propozycje składane są pod groźbą zgłoszenia odpowiednim organom administracyjnym, że dany przedsiębiorca nie zachowuje standardów w zakresie ochrony danych osobowych wprowadzonych rozporządzeniem.

W związku z powyższym, na oficjalnej stronie internetowej Ministerstwo Cyfryzacji podjęło próbę ostrzeżenia przedsiębiorców przed fałszywymi propozycjami ze strony oszustów. W artykule zatytułowanym „Nie daj się nabrać na RODO”, ministerstwo wylicza następujące przykłady wiadomości-ofert, na które trzeba zwrócić szczególną ostrożność, bowiem prawdopodobnie mogą stanowić usiłowanie oszustwa:

• informacje zawierające linki bądź załączniki z dokumentami, z których skorzystanie zapewnić ma pozornie pełną zgodność z RODO, a faktycznie może skutkować zainstalowaniem tzw. wirusa na urządzeniu;
• oferty usług doradczych w obszarze ochrony danych osobowych z informacją, że odmowa skorzystania z usług skutkować może złożeniem skargi do Prezesa Urzędu Ochrony Danych Osobowych;
• nieprawdziwe informacje o prawnej konieczności nabycia szaf zapewniających zgodność z RODO, krat w oknach, szczególnych kategorii niszczarek, nakładek na ekrany monitorów, kłódek oraz innych dedykowanych RODO rozwiązań;
• informacje o obowiązkowych egzaminach na Inspektorów Ochrony Danych, obowiązkowych certyfikatach oraz obowiązkowych szkoleniach.

Miejmy nadzieję, że taka praktyka szantażystów szybko zostanie ukrócona. Wszystko jest na dobrej drodze – jak podaje Dziennik Gazeta Prawna, powołując się na rozmowę z przedstawicielem Ministerstwa Cyfryzacji, resort ten zamierza wprowadzić nowelizację kodeksu karnego. Dotychczas kodeks karny bowiem uznaje za przestępstwo jedynie szantaż pod groźbą spowodowania postępowania karnego (art. 191 § 1 KK w zw. z art. 115 § 12 KK), a zatem groźba wszczęcia postępowania administracyjnego jest poza zakresem unormowań kodeksu karnego. Natomiast postępowania w przedmiocie naruszeń RODO będą prowadzone przez organy administracyjne właśnie w trybie postępowania administracyjnego na zasadach określonych w kodeksie postępowania administracyjnego oraz ustawie z dnia 10 maja 2018 roku o ochronie danych osobowych (weszła w życie w dniu 25 maja 2018 roku).

Jednocześnie warto zauważyć, że administracyjne kary pieniężne nie będą wymierzane za każde naruszenia treści rozporządzenia. Do uprawnień organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych) należy między innymi:

• ostrzeżenie o możliwości naruszenia przepisów rozporządzenia,
• upomnienie,
• nakaz spełnienia żądania osoby, której dane dotyczą,
• nakaz dostosowania operacji przetwarzania do przepisów RODO,
• nakaz zawiadomienia osoby, której dane dotyczą o naruszeniu ochrony danych,
• wprowadzenie czasowego lub całkowitego ograniczenia przetwarzania,
• nakaz sprostowania danych,
• nakaz usunięcia danych,
• nakaz ograniczenia przetwarzania danych,
• nakaz powiadomienia odbiorców, których dane ujawniono, o nakazach: sprostowania, usunięcia bądź ograniczenia przetwarzania danych,
• cofnięcie certyfikacji,
• nakaz zawieszenia przepływu danych do odbiorcy w państwie trzecim lub organizacji międzynarodowej.

Natomiast uprawnienie do nałożenia administracyjnej kary pieniężnej przysługuje organowi nadzorczemu zamiast albo oprócz wyżej wymienionych uprawnień. Jednakże wydaje się, że w praktyce takie kary będą stosowane tylko za najpoważniejsze naruszenia treści rozporządzenia. Zgodnie z brzmieniem art. 83 ust. 2 RODO, przy wymierzaniu administracyjnych kar pieniężnych, organy nadzorcze są zobowiązane wziąć pod uwagę, między innymi, następujące czynniki:

• charakter, wagę i czas trwania naruszenia, przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,
• umyślny lub nieumyślny charakter naruszenia,
• działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
• wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego,
• stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.

W związku z powyższym podkreślenia wymaga fakt, iż organ nadzorczy nie będzie miał dowolności w stosowaniu wyżej wymienionych uprawnień za ewentualne naruszenia przepisów o ochronie danych osobowych. Nawet jeśli organ zdecyduje o nałożeniu administracyjnej kary pieniężnej, jej wysokość musi być dostosowana do szeregu czynników warunkujących kwestię naruszenia.

Zatem – powołując się na wypowiedź Ministra Cyfryzacji – RODO nie należy się aż tak bać. Jak zauważa w spocie minister Marek Zagórski, do RODO trzeba się odpowiednio przygotować i postępować zgodnie z rzetelnymi instrukcjami wprowadzenia przepisów rozporządzenia w celu możliwie najlepszego dostosowania się do treści nowej ustawy o ochronie danych osobowych. „Nie można się dać zwariować” – kończy jednak Minister Cyfryzacji, Marek Zagórski.