Mówca: Jan Łopata
Data: 2018-05-08 (Sejm RP, kadencja 8)

Panie Marszałku! Wysoka Izbo! Panie Ministrze! W imieniu Klubu Poselskiego Polskiego Stronnictwa Ludowego - Unii Europejskich Demokratów mam zaszczyt przedstawić nasze stanowisko wobec projektu ustawy o ochronie danych osobowych. Jesteśmy w trakcie omawiania projektu ustawy, która jest niejako uzupełnieniem prawa europejskiego, a konkretnie rozporządzenia Parlamentu Europejskiego i Rady Unii Europejskiej 2016/679 z dnia, to ważne, 27 kwietnia 2016 r. - o czym tu wcześniej panowie posłowie mówili - w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46 Wspólnoty Europejskiej. Warto zauważyć, iż to rozporządzenie będzie obowiązywało w polskim porządku prawnym bezpośrednio, a będzie to miało miejsce, jak to już wielokrotnie padało, właśnie od 25 maja br. Oznacza to, że polskie prawo nie może być - czy nie powinno być - sprzeczne z treścią uregulowań rozporządzenia. Wysoki Sejmie! Dzisiaj jest 8 maja 2018 r., rozporządzenie jest, tak jak mówiłem, z 27 kwietnia 2016 r. Ponad 2 lata zajęła rządowi zmiana uregulowań, a parlamentowi pozostają, jestem tu łagodniejszy, powiedzmy 2 tygodnie, gdybyśmy obradowali nie tylko jako Sejm, lecz także Senat, i oczywiście w tym procesie legislacyjnym jest pan prezydent. Myślę, że tu komentarz jest zbędny, biorąc pod uwagę również wypowiedzi moich poprzedników, panów posłów. Wysoka Izbo! Na chwilę obecną w Polsce obowiązuje w tej materii prawo z 29 sierpnia 1997 r. o ochronie danych osobowych. Ta ustawa zawiera również przepisy sprzeczne z treścią rozporządzenia oraz takie, których nie obejmuje regulacja, rozporządzenie. Zaistniała więc potrzeba czy też konieczność, jak argumentuje rząd - i chyba jest to zgodne z prawdą - opracowania nowej ustawy, nowych przepisów. W projekcie tej nowej ustawy rząd przyjął zakres przedmiotowy adekwatny do zakresu rozporządzenia. Nie zdecydowano się również na ograniczenie zastosowania przepisów o ochronie danych osobowych wyłącznie do przetwarzania danych w związku z działalnością prowadzoną przez jednostkę organizacyjną administratora lub podmiotu przetwarzającego w Polsce. Rząd zdecydował się w tym projekcie wprowadzić przepisy określające zakres zastosowania przepisów o ochronie danych osobowych dla bezpieczeństwa narodowego państwa. W projekcie ustawy uregulowano również tryb notyfikacji inspektorów ochrony danych osobowych oraz podmioty obowiązane w polskim porządku prawnym do wyznaczenia inspektora ochrony danych osobowych. W projekcie omawianej ustawy zaproponowano, by obowiązek wyznaczenia inspektora ochrony danych dotyczył tylko katalogu przypadków opisanych w rozporządzeniu. Nie zdecydowano się na rozszerzenie przedmiotowe w sytuacji obligatoryjnego wyznaczania inspektora wynikającego wprost z zapisów rozporządzenia. Wysoka Izbo! Projekt ustawy opisuje również zasady certyfikacji oraz tryb postępowania. Zaproponowano mianowicie, aby w polskim systemie prawnym certyfikacji udzielał organ nadzorczy, którym, jak wiemy, będzie właśnie prezes Urzędu Ochrony Danych Osobowych oraz podmioty certyfikujące, których kompetencje określi tenże prezes urzędu. Certyfikacji dokonywać się będzie na wniosek administratora lub podmiotu przetwarzającego, producenta albo podmiotu wprowadzającego usługę lub produkt na rynek. Kryteria certyfikacji, jak wcześniej mówiłem, określi prezes urzędu, jednak w tym przypadku pewną rolę będzie miała Rada do Spraw Ochrony Danych Osobowych. Rada będzie - czy ma być - organem opiniodawczo-doradczym i jej zadaniem będzie opiniowanie projektów dokumentów organów i instytucji Unii Europejskiej, ale również opiniowanie projektów aktów prawnych przekazywanych przez prezesa urzędu. W ustawie zaproponowano również uregulowanie wysokości opłaty pobieranej za czynności certyfikacyjne przez prezesa urzędu. Wysoki Sejmie! Rozporządzenie 2016/679 określa, a w zasadzie wymusza na państwach członkowskich stworzenie nowego krajowego systemu ochrony danych osobowych. Zgodnie z omawianym projektem organem nadzorczym będzie prezes Urzędu Ochrony Danych Osobowych. Zgodnie z rozporządzeniem ma to być również element ochrony danych osób fizycznych w związku z przetwarzaniem zadań i wykonywaniem innych uprawnień w sposób, jak zapisano, całkowicie niezależny. Prezes Urzędu Ochrony Danych Osobowych będzie miał również znacznie poszerzone uprawnienia i kompetencje w stosunku do kompetencji generalnego inspektora ochrony danych osobowych, stąd ewentualnie można tłumaczyć zmianę tej instytucji. Będzie zatem również organem nadzorczym, będzie uprawniony do nakładania administracyjnych kar finansowych. Nakładania kar finansowych, jak rozumiem, w związku z nieprzestrzeganiem zapisów ustawy. W wyjaśnieniu, w uzasadnieniu motywuje się konieczność przyspieszenia postępowań i proponuje się zmniejszenie dwuinstancyjności. Budzi to w nas wątpliwości, bo wydaje się, że nawet najlepsze intencje nie mogą burzyć standardów państwa demokratycznego i możliwości odwoławczej. Przyznanie organowi uprawnień do autokontroli, jak zapisano, to według nas pewna parodia dwuinstancyjności. To budzi znaczące wątpliwości prawne. A skoro jesteśmy przy postępowaniach karnych i karach finansowych, to warto odnotować, że przesłanki nakładania kar, jak również ich maksymalne wysokości wynikają wprost z tegoż rozporządzenia, 2016/679. Jest jednak możliwość szczegółowego uregulowania tej materii przez państwa członkowskie, i w omawianym projekcie proponuje się, by kary mogły być nakładane na organy i podmioty publiczne, takie jak Narodowy Bank Polski, instytucje badawcze, instytucje z zakresu finansów publicznych, w wysokości do 100 tys. zł, zaś np. instytucje kultury będą mogły być w przypadku oczywiście złamania zapisów ustawy ukarane kwotą maksymalnie 10 tys. zł. Wynika to, jak myślę, z pewnej logiki działalności jednostek kultury, w szczególności w małych miejscowościach, ale również z ogólnej zasady, że kultura traktowana jest w sposób szczególny zarówno w regulacjach ustrojowych, administracyjnych, karnych, cywilnoprawnych, jak i finansowo-podatkowych. Wysoki Sejmie! Istotnym uregulowaniem, ważną zmianą jest konieczność utworzenia przez administratora lub podmiot przetwarzający wewnątrz ich struktury organizacyjnej funkcji inspektora ochrony danych. Taki obowiązek wynika z zapisów rozporządzenia. Rodziło to pewne komplikacje nazewnicze, choćby łączące się z brakiem jakiegokolwiek związku ustrojowego pomiędzy tymi osobami a organem nadzorczym egzekwującym w Polsce przestrzeganie przepisów rozporządzenia. To niejako też wytłumaczenie zmiany nazewnictwa, jak myślę. Wysoka Izbo! Rozporządzenie 2016/679, tak jak już mówiłem, jest aktem prawnym obowiązującym bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej, a u podstaw tej reformy legła potrzeba zapewnienia w całej Unii spójnego i jednolitego poziomu ochrony danych osób fizycznych i doprowadzenie do tego, by umożliwić swobodny przepływ danych osobowych oraz ułatwić funkcjonowanie przedsiębiorstw na jednolitym rynku. Te kwestie, które rozporządzenie pozostawia do uregulowania i doprecyzowania, mam nadzieję, znalazły się w omawianym projekcie. Wnoszę więc w imieniu klubu o dalszą pracę w komisji sejmowej. Dziękuję. (Oklaski)