Dane osobowe - RODO: czy będą kary dla samorządów

Wejście w życie RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, może stanowić dla jednostek samorządu terytorialnego poważny problem. Czasu na dostosowanie się do nowych wymagań jest tylko pozornie dużo. Zaprezentowany niedawno projekt polskiej ustawy wydaje się niekompletny. W konsekwencji pogłębia niepewność po stronie samorządów, bo nie przewiduje wprost przepisów chroniących je przed drakońskimi karami finansowymi.

Rewolucja w ochronie

25 maja 2016 r. weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 o ochronie danych osobowych, zwane potocznie RODO z vacatio legis do 25 maja 2018 r. Zmienia ono w sposób rewolucyjny zasady ochrony danych osobowych. Nowa regulacja dotyczy nie tylko przedsiębiorców, ale też samorządów – przetwarzających między innymi dane pracowników, obywateli czy usługodawców.

RODO wprowadza szereg nowych praw po stronie osób, których dane są przetwarzane i w konsekwencji obowiązków administratorów danych. Spełnienie wymagań zawartych w europejskich przepisach wymaga nie tylko działania od strony prawnej, ale również wdrożenia rozwiązań technicznych wykraczających daleko poza te wskazane w dotychczasowych przepisach. Obrazowo mówiąc, szafy pancerne będą musiały zostać zastąpione przez programy szyfrujące.

By zapewnić wyegzekwowanie nowych obowiązków, RODO przewiduje sankcje finansowe. Wysokość kar wskazanych w rozporządzeniu może sięgnąć 20 mln euro lub 4 proc. całkowitego rocznego obrotu. Wskazuje się, że dotkliwość sankcji ma odstraszać podmioty nieprawidłowo przygotowane do przetwarzania danych. Co ważne, w całej Unii Europejskiej wysokość tych kar jest jednakowa.

Na zasadzie wyjątku wysokość sankcji może być zmniejszona przez ustawodawców krajowych w stosunku do podmiotów publicznych. Dyspozycję w tym zakresie zawiera art. 83 ust. 7 rozporządzenia. Zgodnie z nim każde państwo członkowskie może określić, czy i w jakim zakresie kary administracyjne można nakładać na organy i podmioty publiczne ustanowione w tym państwie. Kary dla samorządów mogą być więc znacznie niższe, o ile postanowienia w tym zakresie wprowadzi polski ustawodawca.

Pozorna luka

Ministerstwo Cyfryzacji opublikowało projekt regulacji w zakresie ochrony danych osobowych, służący zapewnieniu skutecznego stosowania w polskim porządku prawnym rozporządzenia RODO. Proponowane przepisy mogą jednak budzić pewne wątpliwości.

Z jednej strony resort cyfryzacji wskazuje na ograniczenie administracyjnych kar pieniężnych do kwoty 100 tys. zł w stosunku do podmiotów wymienianych w art. 9 pkt 8–14 ustawy o finansach publicznych (wśród których nie wymienia się jednak jednostek samorządu terytorialnego).

Z drugiej strony stwierdza, że na podmioty inne niż wskazane w art. 9 pkt 1–7 ustawy o finansach publicznych (czyli m.in. niebędące jednostkami samorzadu terytorialnego) mogą być nakładane kary zgodnie z RODO, czyli do 20 mln euro.

Powstaje pytanie, jakie kary mogą być nakładane na podmioty wskazane w art. 9 pkt 1–7 ustawy o finansach publicznych? Projekt ustawy nie wskazuje wprost żadnej odpowiedzi. Nie odnosi się do tego również uzasadnienie projektu. Może to oznaczać, że jednostki samorządu terytorialnego w ogóle nie podlegają sankcjom finansowym wynikającym z RODO. W naszej jednak ocenie, jeśli polski ustawodawca chciał wyłączyć odpowiedzialność samorządów w ogóle, to powinien określić to wprost w przepisach.

Sądowe uprawnienia

Regulacja RODO przewiduje (w art. 83 ust. 9), że w razie gdy ustrój prawny państwa członkowskiego nie przewiduje nakładania na podmioty administracyjnych kar pieniężnych, zastosowanie znajdują przepisy unijne, zgodnie z którymi karę pieniężną będzie nakładał właściwy sąd krajowy. Ponadto zgodnie z rozporządzeniem: „nakładane kary pieniężne muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające".

Powyższe odnosi się przede wszystkim do przepisów duńskich i estońskich, które nie przewidują administracyjnych kar pieniężnych. W RODO nie ma jednak bezpośredniego wyłączenia stosowania tej zasady w przypadku innych krajów członkowskich. Biorąc za wyznacznik kary wskazane w RODO, należy się więc spodziewać surowych wyroków.