# Dziennik Urzędowy L 360/2021

| | ISSN 1977-0766 |
| --- | --- |
| Dziennik Urzędowy
  Unii Europejskiej | L 360 |
| | |
| Wydanie polskie | Legislacja | Rocznik 6411 października 2021 |

ISSN 1977-0766

Dziennik Urzędowy

Unii Europejskiej

L 360

Wydanie polskie

Legislacja

Rocznik 6411 października 2021

---

| Spis treści | | II   Akty o charakterze nieustawodawczym | Strona |
| --- | --- | --- | --- |
| | | DECYZJE |
| | * | Rozporządzenie wykonawcze Komisji (UE) 2021/1772 z dnia 28 czerwca 2021 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo
  (notyfikowana jako dokument nr C(2021) 4800)

   (
  1
  ) | 1 |
| | * | Decyzja wykonawcza Komisji (UE) 2021/1773 z dnia 28 czerwca 2021 r. na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo
  (notyfikowana jako dokument nr C(2021) 4801) | 69 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1774 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą (UE) 2018/1493 upoważniającą Węgry do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 26 ust. 1 lit. a), art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 108 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1775 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą (UE) 2018/789 w sprawie upoważnienia Węgier do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 110 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1776 z dnia 5 października 2021 r. zmieniająca decyzję 2009/791/WE upoważniającą Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 112 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1777 z dnia 5 października 2021 r. upoważniająca Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do ogrzewania oraz na energię elektryczną, dostarczane w gminie Campione d’Italia | 115 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1778 z dnia 5 października 2021 r. upoważniająca Republikę Federalną Niemiec do stosowania szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 117 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1779 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą 2009/1013/UE upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 120 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1780 z dnia 5 października 2021 r. zmieniająca decyzję 2009/790/WE upoważniającą Rzeczpospolitą Polską do stosowania środka stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej | 122 |
| | * | Decyzja wykonawcza Rady (UE) 2021/1781 z dnia 7 października 2021 r. w sprawie zawieszenia niektórych przepisów rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 810/2009 w odniesieniu do Gambii | 124 |
| | | ZALECENIA |
| | * | Zalecenie Rady (UE) 2021/1782 z dnia 8 października 2021 r. zmieniające zalecenie (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia | 128 |

Spis treści

II   Akty o charakterze nieustawodawczym

Strona

DECYZJE

*

Rozporządzenie wykonawcze Komisji (UE) 2021/1772 z dnia 28 czerwca 2021 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo
  (notyfikowana jako dokument nr C(2021) 4800)

   (
  1
  )

(notyfikowana jako dokument nr C(2021) 4800)

1

1

*

Decyzja wykonawcza Komisji (UE) 2021/1773 z dnia 28 czerwca 2021 r. na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo
  (notyfikowana jako dokument nr C(2021) 4801)

(notyfikowana jako dokument nr C(2021) 4801)

69

*

Decyzja wykonawcza Rady (UE) 2021/1774 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą (UE) 2018/1493 upoważniającą Węgry do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 26 ust. 1 lit. a), art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

108

*

Decyzja wykonawcza Rady (UE) 2021/1775 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą (UE) 2018/789 w sprawie upoważnienia Węgier do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

110

*

Decyzja wykonawcza Rady (UE) 2021/1776 z dnia 5 października 2021 r. zmieniająca decyzję 2009/791/WE upoważniającą Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

112

*

Decyzja wykonawcza Rady (UE) 2021/1777 z dnia 5 października 2021 r. upoważniająca Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do ogrzewania oraz na energię elektryczną, dostarczane w gminie Campione d’Italia

115

*

Decyzja wykonawcza Rady (UE) 2021/1778 z dnia 5 października 2021 r. upoważniająca Republikę Federalną Niemiec do stosowania szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

117

*

Decyzja wykonawcza Rady (UE) 2021/1779 z dnia 5 października 2021 r. zmieniająca decyzję wykonawczą 2009/1013/UE upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

120

*

Decyzja wykonawcza Rady (UE) 2021/1780 z dnia 5 października 2021 r. zmieniająca decyzję 2009/790/WE upoważniającą Rzeczpospolitą Polską do stosowania środka stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

122

*

Decyzja wykonawcza Rady (UE) 2021/1781 z dnia 7 października 2021 r. w sprawie zawieszenia niektórych przepisów rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 810/2009 w odniesieniu do Gambii

124

ZALECENIA

*

Zalecenie Rady (UE) 2021/1782 z dnia 8 października 2021 r. zmieniające zalecenie (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia

128

| | |
| --- | --- |
| | (1)   Tekst mający znaczenie dla EOG. |

---

(1)   Tekst mający znaczenie dla EOG.

1

| PL | Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.
  Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną. |
| --- | --- |

PL

Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.

Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną.

---

II Akty o charakterze nieustawodawczym

DECYZJE

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/1

---

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2021/1772

z dnia 28 czerwca 2021 r.

na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo

(notyfikowana jako dokument nr C(2021) 4800)

(Tekst mający znaczenie dla EOG)

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (1), w szczególności jego art. 45 ust. 3,

a także mając na uwadze, co następuje:

1.   WPROWADZENIE

WPROWADZENIE

| (1) | W rozporządzeniu (UE) 2016/679 określono zasady dotyczące przekazywania danych osobowych przez administratorów danych lub podmioty przetwarzające w Unii Europejskiej do państw trzecich i organizacji międzynarodowych w zakresie, w jakim takie przekazywanie wchodzi w zakres stosowania rozporządzenia. Zasady dotyczące międzynarodowego przekazywania danych określono w rozdziale V rozporządzenia, tj. w art. 44–50. Chociaż przepływ danych osobowych do państw spoza Unii Europejskiej oraz z takich państw jest niezbędnym warunkiem rozwoju współpracy międzynarodowej i handlu transgranicznego, przekazywanie danych osobowych do państw trzecich nie może obniżać stopnia ochrony zapewnianego tym danym w Unii Europejskiej (2). |
| --- | --- |

(1)

W rozporządzeniu (UE) 2016/679 określono zasady dotyczące przekazywania danych osobowych przez administratorów danych lub podmioty przetwarzające w Unii Europejskiej do państw trzecich i organizacji międzynarodowych w zakresie, w jakim takie przekazywanie wchodzi w zakres stosowania rozporządzenia. Zasady dotyczące międzynarodowego przekazywania danych określono w rozdziale V rozporządzenia, tj. w art. 44–50. Chociaż przepływ danych osobowych do państw spoza Unii Europejskiej oraz z takich państw jest niezbędnym warunkiem rozwoju współpracy międzynarodowej i handlu transgranicznego, przekazywanie danych osobowych do państw trzecich nie może obniżać stopnia ochrony zapewnianego tym danym w Unii Europejskiej (2).

2

| (2) | Na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Przy spełnieniu tego warunku przekazanie danych osobowych do państwa trzeciego może nastąpić bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia, jak przewidziano w art. 45 ust. 1 i motywie 103 rozporządzenia. |
| --- | --- |

(2)

Na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Przy spełnieniu tego warunku przekazanie danych osobowych do państwa trzeciego może nastąpić bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia, jak przewidziano w art. 45 ust. 1 i motywie 103 rozporządzenia.

| (3) | Jak określono w art. 45 ust. 2 rozporządzenia (UE) 2016/679, przy przyjmowaniu decyzji stwierdzającej odpowiedni stopień ochrony należy opierać się na wszechstronnej analizie porządku prawnego państwa trzeciego, obejmującej zarówno jego przepisy dotyczące podmiotów odbierających dane, jak i ograniczenia oraz zabezpieczenia w zakresie dostępu organów publicznych do danych osobowych. W swojej ocenie Komisja musi ustalić, czy dane państwo trzecie daje gwarancje zapewniające stopień ochrony „zasadniczo odpowiadający” stopniowi ochrony zapewnianemu w Unii Europejskiej (motyw 104 rozporządzenia (UE) 2016/679). Oceny spełnienia tego warunku dokonuje się według standardu ustanowionego w przepisach Unii Europejskiej, w szczególności w rozporządzeniu (UE) 2016/679, a także w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej (3). Istotne znaczenie w tym zakresie mają również wytyczne dotyczące odpowiedniego stopnia ochrony przekazywanych danych osobowych zatwierdzone przez Europejską Radę Ochrony Danych (EROD) (4). |
| --- | --- |

(3)

Jak określono w art. 45 ust. 2 rozporządzenia (UE) 2016/679, przy przyjmowaniu decyzji stwierdzającej odpowiedni stopień ochrony należy opierać się na wszechstronnej analizie porządku prawnego państwa trzeciego, obejmującej zarówno jego przepisy dotyczące podmiotów odbierających dane, jak i ograniczenia oraz zabezpieczenia w zakresie dostępu organów publicznych do danych osobowych. W swojej ocenie Komisja musi ustalić, czy dane państwo trzecie daje gwarancje zapewniające stopień ochrony „zasadniczo odpowiadający” stopniowi ochrony zapewnianemu w Unii Europejskiej (motyw 104 rozporządzenia (UE) 2016/679). Oceny spełnienia tego warunku dokonuje się według standardu ustanowionego w przepisach Unii Europejskiej, w szczególności w rozporządzeniu (UE) 2016/679, a także w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej (3). Istotne znaczenie w tym zakresie mają również wytyczne dotyczące odpowiedniego stopnia ochrony przekazywanych danych osobowych zatwierdzone przez Europejską Radę Ochrony Danych (EROD) (4).

3

4

| (4) | Jak wyjaśnił w swoim orzecznictwie Trybunał Sprawiedliwości Unii Europejskiej, nie oznacza to konieczności stwierdzenia identycznego stopnia ochrony (5). W szczególności środki, z jakich korzysta dane państwo trzecie do zapewnienia ochrony danych osobowych, mogą różnić się od środków wprowadzonych w Unii Europejskiej, o ile w praktyce skutecznie zapewniają wysoki stopień ochrony (6). W związku z powyższym odpowiedni standard ochrony można osiągnąć bez konieczności dokładnego powielenia przepisów unijnych. Przy określaniu odpowiedniości chodzi raczej o stwierdzenie, czy biorąc pod uwagę istotę prawa do ochrony danych oraz jego skuteczne wprowadzenie w życie, egzekwowanie i nadzór nad jego przestrzeganiem, konkretny zagraniczny system zapewnia jako całość wymagany stopień ochrony (7). |
| --- | --- |

(4)

Jak wyjaśnił w swoim orzecznictwie Trybunał Sprawiedliwości Unii Europejskiej, nie oznacza to konieczności stwierdzenia identycznego stopnia ochrony (5). W szczególności środki, z jakich korzysta dane państwo trzecie do zapewnienia ochrony danych osobowych, mogą różnić się od środków wprowadzonych w Unii Europejskiej, o ile w praktyce skutecznie zapewniają wysoki stopień ochrony (6). W związku z powyższym odpowiedni standard ochrony można osiągnąć bez konieczności dokładnego powielenia przepisów unijnych. Przy określaniu odpowiedniości chodzi raczej o stwierdzenie, czy biorąc pod uwagę istotę prawa do ochrony danych oraz jego skuteczne wprowadzenie w życie, egzekwowanie i nadzór nad jego przestrzeganiem, konkretny zagraniczny system zapewnia jako całość wymagany stopień ochrony (7).

5

6

7

| (5) | Komisja uważnie przeanalizowała prawo i praktykę Zjednoczonego Królestwa. Na podstawie ustaleń przedstawionych w motywach 8–270 Komisja stwierdza, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych w ramach zakresu stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do Zjednoczonego Królestwa. |
| --- | --- |

(5)

Komisja uważnie przeanalizowała prawo i praktykę Zjednoczonego Królestwa. Na podstawie ustaleń przedstawionych w motywach 8–270 Komisja stwierdza, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych w ramach zakresu stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do Zjednoczonego Królestwa.

| (6) | Wniosek ten nie dotyczy danych osobowych przekazywanych do celów kontroli imigracji w Zjednoczonym Królestwie ani danych, które z innego względu wchodzą w zakres wyłączenia niektórych praw osób, których dane dotyczą, do celów utrzymania skutecznej kontroli imigracyjnej („wyłączenie dotyczące imigracji”) zgodnie z pkt 4 ppkt 1 załącznika 2 do brytyjskiej ustawy o ochronie danych. Ważność i wykładnia zwolnienia imigracyjnego na mocy prawa Zjednoczonego Królestwa nie została rozstrzygnięta w następstwie orzeczenia sądu apelacyjnego Anglii i Walii z dnia 26 maja 2021 r. Uznając, że prawa osób, których dane dotyczą, mogą co do zasady zostać ograniczone do celów kontroli imigracyjnej, co stanowi „istotny aspekt interesu publicznego”, sąd apelacyjny stwierdził, że zwolnienie imigracyjne w obecnej postaci jest niezgodne z prawem Zjednoczonego Królestwa, ponieważ ten środek ustawodawczy nie zawiera szczegółowych przepisów określających zabezpieczenia wymienione w art. 23 ust. 2 ogólnego rozporządzenia o ochronie danych Zjednoczonego Królestwa (RODO UK) (8). W tej sytuacji przekazywanie z Unii do Zjednoczonego Królestwa danych osobowych, do których może mieć zastosowanie wyłączenie imigracyjne, należy wyłączyć z zakresu niniejszej decyzji (9). Gdy niezgodność z prawem Zjednoczonego Królestwa zostanie usunięta, należy ponownie ocenić wyłączenie dotyczące imigracji, a także potrzebę utrzymania ograniczenia zakresu stosowania niniejszej decyzji. |
| --- | --- |

(6)

Wniosek ten nie dotyczy danych osobowych przekazywanych do celów kontroli imigracji w Zjednoczonym Królestwie ani danych, które z innego względu wchodzą w zakres wyłączenia niektórych praw osób, których dane dotyczą, do celów utrzymania skutecznej kontroli imigracyjnej („wyłączenie dotyczące imigracji”) zgodnie z pkt 4 ppkt 1 załącznika 2 do brytyjskiej ustawy o ochronie danych. Ważność i wykładnia zwolnienia imigracyjnego na mocy prawa Zjednoczonego Królestwa nie została rozstrzygnięta w następstwie orzeczenia sądu apelacyjnego Anglii i Walii z dnia 26 maja 2021 r. Uznając, że prawa osób, których dane dotyczą, mogą co do zasady zostać ograniczone do celów kontroli imigracyjnej, co stanowi „istotny aspekt interesu publicznego”, sąd apelacyjny stwierdził, że zwolnienie imigracyjne w obecnej postaci jest niezgodne z prawem Zjednoczonego Królestwa, ponieważ ten środek ustawodawczy nie zawiera szczegółowych przepisów określających zabezpieczenia wymienione w art. 23 ust. 2 ogólnego rozporządzenia o ochronie danych Zjednoczonego Królestwa (RODO UK) (8). W tej sytuacji przekazywanie z Unii do Zjednoczonego Królestwa danych osobowych, do których może mieć zastosowanie wyłączenie imigracyjne, należy wyłączyć z zakresu niniejszej decyzji (9). Gdy niezgodność z prawem Zjednoczonego Królestwa zostanie usunięta, należy ponownie ocenić wyłączenie dotyczące imigracji, a także potrzebę utrzymania ograniczenia zakresu stosowania niniejszej decyzji.

8

9

| (7) | Niniejsza decyzja nie powinna mieć wpływu na bezpośrednie stosowanie rozporządzenia (UE) 2016/679 w odniesieniu do organizacji mających siedzibę w Zjednoczonym Królestwie, jeżeli spełnione są warunki dotyczące terytorialnego zakresu stosowania tego rozporządzenia, określone w jego art. 3. |
| --- | --- |

(7)

Niniejsza decyzja nie powinna mieć wpływu na bezpośrednie stosowanie rozporządzenia (UE) 2016/679 w odniesieniu do organizacji mających siedzibę w Zjednoczonym Królestwie, jeżeli spełnione są warunki dotyczące terytorialnego zakresu stosowania tego rozporządzenia, określone w jego art. 3.

2.   PRZEPISY MAJĄCE ZASTOSOWANIE DO PRZETWARZANIA DANYCH OSOBOWYCH

PRZEPISY MAJĄCE ZASTOSOWANIE DO PRZETWARZANIA DANYCH OSOBOWYCH

2.1.   Ramy konstytucyjne

Ramy konstytucyjne

| (8) | Zjednoczone Królestwo jest demokracją parlamentarną, w której głową państwa jest suweren konstytucyjny. W państwie tym istnieje suwerenny parlament, który jest nadrzędny wobec wszystkich innych instytucji rządowych, władza wykonawcza wywodząca się z parlamentu i przed nim odpowiedzialna oraz niezależna władza sądownicza. Legitymacja władzy wykonawczej wywodzi się z jej zdolności do zdobycia zaufania wybieranej Izby Gmin; władza wykonawcza jest odpowiedzialna przed obiema izbami parlamentu odpowiadającymi za nadzorowanie rządu oraz za debatowanie nad ustawami i ich uchwalanie. |
| --- | --- |

(8)

Zjednoczone Królestwo jest demokracją parlamentarną, w której głową państwa jest suweren konstytucyjny. W państwie tym istnieje suwerenny parlament, który jest nadrzędny wobec wszystkich innych instytucji rządowych, władza wykonawcza wywodząca się z parlamentu i przed nim odpowiedzialna oraz niezależna władza sądownicza. Legitymacja władzy wykonawczej wywodzi się z jej zdolności do zdobycia zaufania wybieranej Izby Gmin; władza wykonawcza jest odpowiedzialna przed obiema izbami parlamentu odpowiadającymi za nadzorowanie rządu oraz za debatowanie nad ustawami i ich uchwalanie.

| (9) | Parlament Zjednoczonego Królestwa przekazał Parlamentowi Szkockiemu, Zgromadzeniu Narodowemu Walii (Senedd Cymru) oraz Zgromadzeniu Irlandii Północnej odpowiedzialność za stanowienie prawa w kwestiach krajowych w Szkocji, Walii i Irlandii Północnej, których Parlament Zjednoczonego Królestwa nie zastrzegł dla siebie. Chociaż ochrona danych jest kwestią zastrzeżoną, tj. w całym państwie obowiązują te same przepisy, inne obszary polityki istotne dla niniejszej decyzji są zdecentralizowane. Na przykład zwierzchnictwo nad systemami sądownictwa karnego, w tym nad policją, w Szkocji i Irlandii Północnej zostało powierzone odpowiednio Parlamentowi Szkockiemu i Zgromadzeniu Irlandii Północnej. Zjednoczone Królestwo nie posiada skodyfikowanej konstytucji w postaci spisanej ustawy zasadniczej. Zasady konstytucyjne kształtowały się w miarę upływu czasu i wywodzą się w szczególności z orzecznictwa i zwyczaju. Wartość konstytucyjna niektórych ustaw, takich jak Wielka Karta Swobód, ustawa o prawach z 1689 r. i ustawa o prawach człowieka z 1998 r., została uznana przez sądy. Prawa podstawowe osób fizycznych ukształtowano, jako element konstytucji, poprzez prawo precedensowe (common law), wspomniane ustawy oraz traktaty międzynarodowe, w szczególności europejską konwencję praw człowieka, którą Zjednoczone Królestwo ratyfikowało w 1951 r. W 1987 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) (10). |
| --- | --- |

(9)

Parlament Zjednoczonego Królestwa przekazał Parlamentowi Szkockiemu, Zgromadzeniu Narodowemu Walii (Senedd Cymru) oraz Zgromadzeniu Irlandii Północnej odpowiedzialność za stanowienie prawa w kwestiach krajowych w Szkocji, Walii i Irlandii Północnej, których Parlament Zjednoczonego Królestwa nie zastrzegł dla siebie. Chociaż ochrona danych jest kwestią zastrzeżoną, tj. w całym państwie obowiązują te same przepisy, inne obszary polityki istotne dla niniejszej decyzji są zdecentralizowane. Na przykład zwierzchnictwo nad systemami sądownictwa karnego, w tym nad policją, w Szkocji i Irlandii Północnej zostało powierzone odpowiednio Parlamentowi Szkockiemu i Zgromadzeniu Irlandii Północnej. Zjednoczone Królestwo nie posiada skodyfikowanej konstytucji w postaci spisanej ustawy zasadniczej. Zasady konstytucyjne kształtowały się w miarę upływu czasu i wywodzą się w szczególności z orzecznictwa i zwyczaju. Wartość konstytucyjna niektórych ustaw, takich jak Wielka Karta Swobód, ustawa o prawach z 1689 r. i ustawa o prawach człowieka z 1998 r., została uznana przez sądy. Prawa podstawowe osób fizycznych ukształtowano, jako element konstytucji, poprzez prawo precedensowe (common law), wspomniane ustawy oraz traktaty międzynarodowe, w szczególności europejską konwencję praw człowieka, którą Zjednoczone Królestwo ratyfikowało w 1951 r. W 1987 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) (10).

common law

10

| (10) | Ustawą o prawach człowieka z 1998 r. wprowadzono prawa zawarte w europejskiej konwencji praw człowieka do prawa Zjednoczonego Królestwa. Ustawa o prawach człowieka zapewnia każdej osobie fizycznej podstawowe prawa i wolności przewidziane w art. 2–12 i 14 europejskiej konwencji praw człowieka, art. 1, 2 i 3 pierwszego protokołu do niej oraz art. 1 trzynastego protokołu do niej w związku z art. 16, 17 i 18 tej konwencji. Należą do nich prawo do poszanowania życia prywatnego i rodzinnego (i prawo do ochrony danych jako element tego prawa) oraz prawo do rzetelnego procesu sądowego (11). W szczególności na podstawie art. 8 tej konwencji władza publiczna może ingerować w korzystanie z prawa do prywatności wyłącznie w przypadkach przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób. |
| --- | --- |

(10)

Ustawą o prawach człowieka z 1998 r. wprowadzono prawa zawarte w europejskiej konwencji praw człowieka do prawa Zjednoczonego Królestwa. Ustawa o prawach człowieka zapewnia każdej osobie fizycznej podstawowe prawa i wolności przewidziane w art. 2–12 i 14 europejskiej konwencji praw człowieka, art. 1, 2 i 3 pierwszego protokołu do niej oraz art. 1 trzynastego protokołu do niej w związku z art. 16, 17 i 18 tej konwencji. Należą do nich prawo do poszanowania życia prywatnego i rodzinnego (i prawo do ochrony danych jako element tego prawa) oraz prawo do rzetelnego procesu sądowego (11). W szczególności na podstawie art. 8 tej konwencji władza publiczna może ingerować w korzystanie z prawa do prywatności wyłącznie w przypadkach przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób.

11

| (11) | Zgodnie z ustawą o prawach człowieka z 1998 r. wszelkie działania władzy publicznej muszą być zgodne z prawem określonym w konwencji (12). Ponadto akty ustawowe i wykonawcze muszą być interpretowane i stosowane w sposób zgodny z prawami określonymi w konwencji (13). |
| --- | --- |

(11)

Zgodnie z ustawą o prawach człowieka z 1998 r. wszelkie działania władzy publicznej muszą być zgodne z prawem określonym w konwencji (12). Ponadto akty ustawowe i wykonawcze muszą być interpretowane i stosowane w sposób zgodny z prawami określonymi w konwencji (13).

12

13

2.2.   Ramy ochrony danych obowiązujące w Zjednoczonym Królestwie

Ramy ochrony danych obowiązujące w Zjednoczonym Królestwie

| (12) | Zjednoczone Królestwo wystąpiło z Unii Europejskiej w dniu 31 stycznia 2020 r. Na podstawie Umowy o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej (14) prawo Unii nadal miało zastosowanie w Zjednoczonym Królestwie w okresie przejściowym do dnia 31 grudnia 2020 r. Przed wystąpieniem i w okresie przejściowym ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie składały się z odpowiednich przepisów UE (w szczególności rozporządzenia (UE) 2016/679 i dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 (15)) oraz ustawodawstwa krajowego, zwłaszcza ustawy o ochronie danych z 2018 r. (Data Protection Act 2018, „DPA 2018”) (16), która przewidywała przepisy krajowe doprecyzowujące i ograniczające stosowanie przepisów rozporządzenia (UE) 2016/679 (w przypadkach dozwolonych na mocy tego rozporządzenia) oraz transponujące dyrektywę (UE) 2016/680. |
| --- | --- |

(12)

Zjednoczone Królestwo wystąpiło z Unii Europejskiej w dniu 31 stycznia 2020 r. Na podstawie Umowy o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej (14) prawo Unii nadal miało zastosowanie w Zjednoczonym Królestwie w okresie przejściowym do dnia 31 grudnia 2020 r. Przed wystąpieniem i w okresie przejściowym ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie składały się z odpowiednich przepisów UE (w szczególności rozporządzenia (UE) 2016/679 i dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 (15)) oraz ustawodawstwa krajowego, zwłaszcza ustawy o ochronie danych z 2018 r. (Data Protection Act 2018, „DPA 2018”) (16), która przewidywała przepisy krajowe doprecyzowujące i ograniczające stosowanie przepisów rozporządzenia (UE) 2016/679 (w przypadkach dozwolonych na mocy tego rozporządzenia) oraz transponujące dyrektywę (UE) 2016/680.

14

15

Data Protection Act 2018

16

| (13) | Aby przygotować się do wystąpienia z UE, rząd Zjednoczonego Królestwa przyjął Ustawę o wystąpieniu z Unii Europejskiej z 2018 r. (17), która wprowadza do prawa Zjednoczonego Królestwa przepisy Unii mające bezpośrednie zastosowanie (18). To tzw. „pozostające w mocy prawo Unii” obejmuje rozporządzenie (UE) 2016/679 w całości (włącznie z motywami) (19). Zgodnie z tym aktem sądy Zjednoczonego Królestwa muszą dokonywać wykładni tego niezmienionego, pozostającego w mocy prawa Unii zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego (zwanymi odpowiednio „pozostającym w mocy orzecznictwem UE” i „pozostającymi w mocy ogólnymi zasadami prawa Unii”) (20). |
| --- | --- |

(13)

Aby przygotować się do wystąpienia z UE, rząd Zjednoczonego Królestwa przyjął Ustawę o wystąpieniu z Unii Europejskiej z 2018 r. (17), która wprowadza do prawa Zjednoczonego Królestwa przepisy Unii mające bezpośrednie zastosowanie (18). To tzw. „pozostające w mocy prawo Unii” obejmuje rozporządzenie (UE) 2016/679 w całości (włącznie z motywami) (19). Zgodnie z tym aktem sądy Zjednoczonego Królestwa muszą dokonywać wykładni tego niezmienionego, pozostającego w mocy prawa Unii zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego (zwanymi odpowiednio „pozostającym w mocy orzecznictwem UE” i „pozostającymi w mocy ogólnymi zasadami prawa Unii”) (20).

17

18

19

20

| (14) | Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. ministrowie Zjednoczonego Królestwa są uprawnieni do uchwalania przepisów wykonawczych w drodze aktów zwanych statutory instruments, aby wprowadzać niezbędne zmiany w pozostającym w mocy prawie Unii Europejskiej w następstwie wystąpienia Zjednoczonego Królestwa z Unii Europejskiej. Uprawnienie to wykonali za pomocą rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzającego zmiany w związku z wyjściem z UE z 2019 r. (rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej) (21). Rozporządzeniem tym zmieniono rozporządzenie (UE) 2016/679 wprowadzone do prawa Zjednoczonego Królestwa Ustawą o wystąpieniu z Unii Europejskiej z 2018 r., DPA 2018 oraz inne ustawodawstwo w dziedzinie ochrony danych w celu dostosowania ich do kontekstu krajowego (22). |
| --- | --- |

(14)

Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. ministrowie Zjednoczonego Królestwa są uprawnieni do uchwalania przepisów wykonawczych w drodze aktów zwanych statutory instruments, aby wprowadzać niezbędne zmiany w pozostającym w mocy prawie Unii Europejskiej w następstwie wystąpienia Zjednoczonego Królestwa z Unii Europejskiej. Uprawnienie to wykonali za pomocą rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzającego zmiany w związku z wyjściem z UE z 2019 r. (rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej) (21). Rozporządzeniem tym zmieniono rozporządzenie (UE) 2016/679 wprowadzone do prawa Zjednoczonego Królestwa Ustawą o wystąpieniu z Unii Europejskiej z 2018 r., DPA 2018 oraz inne ustawodawstwo w dziedzinie ochrony danych w celu dostosowania ich do kontekstu krajowego (22).

statutory instruments

21

22

| (15) | W związku z tym po zakończeniu okresu przejściowego ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie obejmują:






  — | RODO UK, wprowadzone do prawa Zjednoczonego Królestwa na mocy Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. i zmienione rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej (23), oraz |
| --- | --- | --- |

(15)

W związku z tym po zakończeniu okresu przejściowego ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie obejmują:

—

RODO UK, wprowadzone do prawa Zjednoczonego Królestwa na mocy Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. i zmienione rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej (23), oraz

23

| — | DPA 2018 (24), zmieniona rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej. |
| --- | --- |

—

DPA 2018 (24), zmieniona rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej.

24

| (16) | Ponieważ RODO UK opiera się na przepisach UE, przepisy o ochronie danych w Zjednoczonym Królestwie w wielu aspektach ściśle odzwierciedlają odpowiednie przepisy mające zastosowanie w Unii Europejskiej. |
| --- | --- |

(16)

Ponieważ RODO UK opiera się na przepisach UE, przepisy o ochronie danych w Zjednoczonym Królestwie w wielu aspektach ściśle odzwierciedlają odpowiednie przepisy mające zastosowanie w Unii Europejskiej.

| (17) | Oprócz uprawnień przyznanych Sekretarzowi Stanu na mocy Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. w kilku przepisach DPA 2018 przyznano Sekretarzowi Stanu uprawnienia do przyjęcia przepisów wykonawczych w celu zmiany niektórych przepisów ustawy lub przyjęcia przepisów uzupełniających i dodatkowych (25). Dotychczas Sekretarz Stanu wykonywał wyłącznie uprawnienie wynikające z art. 137 DPA 2018 do przyjęcia rozporządzenia zmieniającego w sprawie opłat i informacji dotyczących ochrony danych z 2019 r., określającego okoliczności, w których administratorzy danych są zobowiązani do uiszczenia rocznej opłaty na rzecz niezależnego organu ochrony danych Zjednoczonego Królestwa – Komisarza ds. Informacji. |
| --- | --- |

(17)

Oprócz uprawnień przyznanych Sekretarzowi Stanu na mocy Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. w kilku przepisach DPA 2018 przyznano Sekretarzowi Stanu uprawnienia do przyjęcia przepisów wykonawczych w celu zmiany niektórych przepisów ustawy lub przyjęcia przepisów uzupełniających i dodatkowych (25). Dotychczas Sekretarz Stanu wykonywał wyłącznie uprawnienie wynikające z art. 137 DPA 2018 do przyjęcia rozporządzenia zmieniającego w sprawie opłat i informacji dotyczących ochrony danych z 2019 r., określającego okoliczności, w których administratorzy danych są zobowiązani do uiszczenia rocznej opłaty na rzecz niezależnego organu ochrony danych Zjednoczonego Królestwa – Komisarza ds. Informacji.

25

| (18) | Ponadto dalsze wytyczne dotyczące ustawodawstwa Zjednoczonego Królestwa w dziedzinie ochrony danych przedstawiono w kodeksach postępowania i innych wytycznych przyjętych przez Komisarza ds. Informacji. Chociaż formalnie wytyczne te nie są prawnie wiążące, mają znaczenie dla wykładni i przedstawiają, w jaki sposób ustawodawstwo w dziedzinie ochrony danych ma zastosowanie i jest egzekwowane przez Komisarza w praktyce. W szczególności w art. 121–125 DPA 2018 nałożono na Komisarza obowiązek opracowania kodeksów postępowania dotyczących udostępniania danych, marketingu bezpośredniego, projektowania dostosowanego do wieku oraz ochrony danych i dziennikarstwa. |
| --- | --- |

(18)

Ponadto dalsze wytyczne dotyczące ustawodawstwa Zjednoczonego Królestwa w dziedzinie ochrony danych przedstawiono w kodeksach postępowania i innych wytycznych przyjętych przez Komisarza ds. Informacji. Chociaż formalnie wytyczne te nie są prawnie wiążące, mają znaczenie dla wykładni i przedstawiają, w jaki sposób ustawodawstwo w dziedzinie ochrony danych ma zastosowanie i jest egzekwowane przez Komisarza w praktyce. W szczególności w art. 121–125 DPA 2018 nałożono na Komisarza obowiązek opracowania kodeksów postępowania dotyczących udostępniania danych, marketingu bezpośredniego, projektowania dostosowanego do wieku oraz ochrony danych i dziennikarstwa.

| (19) | Pod względem struktury i głównych elementów ramy prawne Zjednoczonego Królestwa mające zastosowanie do danych przekazywanych na podstawie niniejszej decyzji są zatem bardzo podobne do ram obowiązujących w Unii Europejskiej. Jest to związane z faktem, że ramy takie opierają się nie tylko na zobowiązaniach ustanowionych w prawie krajowym, które zostało ukształtowane przez prawo Unii, ale również na zobowiązaniach zapisanych w prawie międzynarodowym, w szczególności w rezultacie przystąpienia przez Zjednoczone Królestwo do europejskiej konwencji praw człowieka i konwencji nr 108, a także poddania się jurysdykcji Europejskiego Trybunału Praw Człowieka. W związku z tym wspomniane zobowiązania wynikające z prawnie wiążących instrumentów międzynarodowych, dotyczące zwłaszcza ochrony danych osobowych, stanowią szczególnie ważny element ram prawnych będących przedmiotem oceny w niniejszej decyzji. |
| --- | --- |

(19)

Pod względem struktury i głównych elementów ramy prawne Zjednoczonego Królestwa mające zastosowanie do danych przekazywanych na podstawie niniejszej decyzji są zatem bardzo podobne do ram obowiązujących w Unii Europejskiej. Jest to związane z faktem, że ramy takie opierają się nie tylko na zobowiązaniach ustanowionych w prawie krajowym, które zostało ukształtowane przez prawo Unii, ale również na zobowiązaniach zapisanych w prawie międzynarodowym, w szczególności w rezultacie przystąpienia przez Zjednoczone Królestwo do europejskiej konwencji praw człowieka i konwencji nr 108, a także poddania się jurysdykcji Europejskiego Trybunału Praw Człowieka. W związku z tym wspomniane zobowiązania wynikające z prawnie wiążących instrumentów międzynarodowych, dotyczące zwłaszcza ochrony danych osobowych, stanowią szczególnie ważny element ram prawnych będących przedmiotem oceny w niniejszej decyzji.

2.3.   Zakres przedmiotowy i terytorialny

Zakres przedmiotowy i terytorialny

| (20) | Podobnie do rozporządzenia (UE) 2016/679 RODO UK ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany lub do przetwarzania w sposób inny niż zautomatyzowany, jeżeli dane osobowe stanowią część zbioru danych (26). Definicje pojęć „dane osobowe”, „osoba, której dane dotyczą” i „przetwarzanie” w RODO UK są takie same jak definicje tych pojęć w rozporządzeniu (UE) 2016/679 (27). Ponadto RODO UK ma zastosowanie do ręcznego przetwarzania nieusystematyzowanych danych osobowych (28) przechowywanych przez niektóre organy publiczne Zjednoczonego Królestwa (29), chociaż zasady i prawa określone w RODO UK, które nie są związane z takimi danymi osobowymi, nie mają już zastosowania na mocy art. 24 i 25 DPA 2018. Podobnie do zakresu rozporządzenia (UE) 2016/679 RODO UK nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze (30). |
| --- | --- |

(20)

Podobnie do rozporządzenia (UE) 2016/679 RODO UK ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany lub do przetwarzania w sposób inny niż zautomatyzowany, jeżeli dane osobowe stanowią część zbioru danych (26). Definicje pojęć „dane osobowe”, „osoba, której dane dotyczą” i „przetwarzanie” w RODO UK są takie same jak definicje tych pojęć w rozporządzeniu (UE) 2016/679 (27). Ponadto RODO UK ma zastosowanie do ręcznego przetwarzania nieusystematyzowanych danych osobowych (28) przechowywanych przez niektóre organy publiczne Zjednoczonego Królestwa (29), chociaż zasady i prawa określone w RODO UK, które nie są związane z takimi danymi osobowymi, nie mają już zastosowania na mocy art. 24 i 25 DPA 2018. Podobnie do zakresu rozporządzenia (UE) 2016/679 RODO UK nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze (30).

26

27

28

29

30

| (21) | RODO UK obejmuje swoim zakresem także przetwarzanie w ramach działalności, która bezpośrednio przed końcem okresu przejściowego nie wchodziła w zakres prawa Unii Europejskiej (np. bezpieczeństwo narodowe) (31) lub wchodziła w zakres tytułu V rozdział 2 Traktatu o Unii Europejskiej (działania w dziedzinie wspólnej polityki zagranicznej i bezpieczeństwa) (32). Podobnie jak w systemie Unii Europejskiej RODO UK nie ma zastosowania do przetwarzania danych osobowych przez właściwy organ do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (tzw. „cele ścigania przestępstw”) – takie przetwarzanie reguluje natomiast część 3 DPA 2018, tak jak ma to miejsce w przypadku dyrektywy (UE) 2016/680 na gruncie prawa Unii Europejskiej – ani przetwarzania danych osobowych przez służby wywiadowcze (Służbę Bezpieczeństwa, Tajną Służbę Wywiadowczą i Centralę Łączności Rządowej), które obejmuje część 4 DPA 2018 (33). |
| --- | --- |

(21)

RODO UK obejmuje swoim zakresem także przetwarzanie w ramach działalności, która bezpośrednio przed końcem okresu przejściowego nie wchodziła w zakres prawa Unii Europejskiej (np. bezpieczeństwo narodowe) (31) lub wchodziła w zakres tytułu V rozdział 2 Traktatu o Unii Europejskiej (działania w dziedzinie wspólnej polityki zagranicznej i bezpieczeństwa) (32). Podobnie jak w systemie Unii Europejskiej RODO UK nie ma zastosowania do przetwarzania danych osobowych przez właściwy organ do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (tzw. „cele ścigania przestępstw”) – takie przetwarzanie reguluje natomiast część 3 DPA 2018, tak jak ma to miejsce w przypadku dyrektywy (UE) 2016/680 na gruncie prawa Unii Europejskiej – ani przetwarzania danych osobowych przez służby wywiadowcze (Służbę Bezpieczeństwa, Tajną Służbę Wywiadowczą i Centralę Łączności Rządowej), które obejmuje część 4 DPA 2018 (33).

31

32

33

| (22) | Zakres terytorialny RODO UK jest opisany w art. 3 RODO UK (34) i obejmuje przetwarzanie danych osobowych (niezależnie od miejsca, w którym się ono odbywa) w związku z działalnością prowadzoną przez jednostkę organizacyjną administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie, jak również przetwarzanie danych osobowych osób przebywających w Zjednoczonym Królestwie, jeżeli czynności przetwarzania dotyczą oferowania towarów lub usług takim osobom lub monitorowania ich zachowania (35). Odzwierciedla to podejście przyjęte w art. 3 rozporządzenia (UE) 2016/679. |
| --- | --- |

(22)

Zakres terytorialny RODO UK jest opisany w art. 3 RODO UK (34) i obejmuje przetwarzanie danych osobowych (niezależnie od miejsca, w którym się ono odbywa) w związku z działalnością prowadzoną przez jednostkę organizacyjną administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie, jak również przetwarzanie danych osobowych osób przebywających w Zjednoczonym Królestwie, jeżeli czynności przetwarzania dotyczą oferowania towarów lub usług takim osobom lub monitorowania ich zachowania (35). Odzwierciedla to podejście przyjęte w art. 3 rozporządzenia (UE) 2016/679.

34

35

2.4.   Definicje danych osobowych i pojęć administratora i podmiotu przetwarzającego

Definicje danych osobowych i pojęć administratora i podmiotu przetwarzającego

| (23) | Definicje danych osobowych, przetwarzania, administratora, podmiotu przetwarzającego, a także definicja pseudonimizacji, określone w rozporządzeniu (UE) 2016/679, są zachowane w RODO UK bez istotnych zmian (36). Ponadto szczególne kategorie danych są zdefiniowane w art. 9 ust. 1 RODO UK w taki sam sposób, jak w rozporządzeniu (UE) 2016/679 („ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby”). Art. 205 DPA 2018 zawiera definicję „danych biometrycznych” (37), „danych dotyczących zdrowia” (38) i „danych genetycznych” (39). |
| --- | --- |

(23)

Definicje danych osobowych, przetwarzania, administratora, podmiotu przetwarzającego, a także definicja pseudonimizacji, określone w rozporządzeniu (UE) 2016/679, są zachowane w RODO UK bez istotnych zmian (36). Ponadto szczególne kategorie danych są zdefiniowane w art. 9 ust. 1 RODO UK w taki sam sposób, jak w rozporządzeniu (UE) 2016/679 („ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby”). Art. 205 DPA 2018 zawiera definicję „danych biometrycznych” (37), „danych dotyczących zdrowia” (38) i „danych genetycznych” (39).

36

37

38

39

2.5.   Zabezpieczenia, prawa i obowiązki

Zabezpieczenia, prawa i obowiązki

2.5.1.   Zgodność z prawem i rzetelność przetwarzania

Zgodność z prawem i rzetelność przetwarzania

| (24) | Dane osobowe powinno się przetwarzać zgodnie z prawem i rzetelnie. |
| --- | --- |

(24)

Dane osobowe powinno się przetwarzać zgodnie z prawem i rzetelnie.

| (25) | Zasady zgodności z prawem, rzetelności i przejrzystości oraz podstawy zgodności przetwarzania z prawem są zagwarantowane w prawie Zjednoczonego Królestwa poprzez art. 5 ust. 1 lit. a) i art. 6 ust. 1 RODO UK, które są identyczne z odpowiednimi przepisami rozporządzenia (UE) 2016/679 (40). Art. 8 DPA 2018 uzupełnia art. 6 ust. 1 lit. e), stanowiąc, że przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. e) RODO UK (niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej przez administratora) obejmuje przetwarzanie danych osobowych, które jest niezbędne do sprawowania wymiaru sprawiedliwości, sprawowania funkcji przez którąkolwiek z izb parlamentu, sprawowania funkcji powierzonej danej osobie na mocy przepisu prawa stanowionego lub precedensowego, sprawowania władzy królewskiej, funkcji ministerstwa lub departamentu rządowego bądź działania wspierającego lub promującego zaangażowanie demokratyczne. |
| --- | --- |

(25)

Zasady zgodności z prawem, rzetelności i przejrzystości oraz podstawy zgodności przetwarzania z prawem są zagwarantowane w prawie Zjednoczonego Królestwa poprzez art. 5 ust. 1 lit. a) i art. 6 ust. 1 RODO UK, które są identyczne z odpowiednimi przepisami rozporządzenia (UE) 2016/679 (40). Art. 8 DPA 2018 uzupełnia art. 6 ust. 1 lit. e), stanowiąc, że przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. e) RODO UK (niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej przez administratora) obejmuje przetwarzanie danych osobowych, które jest niezbędne do sprawowania wymiaru sprawiedliwości, sprawowania funkcji przez którąkolwiek z izb parlamentu, sprawowania funkcji powierzonej danej osobie na mocy przepisu prawa stanowionego lub precedensowego, sprawowania władzy królewskiej, funkcji ministerstwa lub departamentu rządowego bądź działania wspierającego lub promującego zaangażowanie demokratyczne.

40

| (26) | W odniesieniu do zgody (jednej z podstaw zgodności przetwarzania z prawem) w RODO UK również zachowano warunki przewidziane w art. 7 rozporządzenia (UE) 2016/679 w niezmienionej formie, tj. administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę, pisemne zapytanie o zgodę musi być przedstawione jasnym i prostym językiem, osoba, której dane dotyczą, musi mieć prawo w dowolnym momencie wycofać zgodę, a oceniając, czy zgodę wyrażono dobrowolnie, należy wziąć pod uwagę, czy od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy. Ponadto zgodnie z art. 8 RODO UK, w związku ze świadczeniem usług społeczeństwa informacyjnego zgoda dziecka jest zgodna z prawem tylko wtedy, gdy wiek dziecka wynosi co najmniej 13 lat. Mieści się to w przedziale wiekowym ustanowionym w art. 8 rozporządzenia (UE) 2016/679. |
| --- | --- |

(26)

W odniesieniu do zgody (jednej z podstaw zgodności przetwarzania z prawem) w RODO UK również zachowano warunki przewidziane w art. 7 rozporządzenia (UE) 2016/679 w niezmienionej formie, tj. administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę, pisemne zapytanie o zgodę musi być przedstawione jasnym i prostym językiem, osoba, której dane dotyczą, musi mieć prawo w dowolnym momencie wycofać zgodę, a oceniając, czy zgodę wyrażono dobrowolnie, należy wziąć pod uwagę, czy od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy. Ponadto zgodnie z art. 8 RODO UK, w związku ze świadczeniem usług społeczeństwa informacyjnego zgoda dziecka jest zgodna z prawem tylko wtedy, gdy wiek dziecka wynosi co najmniej 13 lat. Mieści się to w przedziale wiekowym ustanowionym w art. 8 rozporządzenia (UE) 2016/679.

2.5.2.   Przetwarzanie szczególnych kategorii danych osobowych

Przetwarzanie szczególnych kategorii danych osobowych

| (27) | Jeżeli przetwarzane są „szczególne kategorie” danych, powinny istnieć szczególne zabezpieczenia. |
| --- | --- |

(27)

Jeżeli przetwarzane są „szczególne kategorie” danych, powinny istnieć szczególne zabezpieczenia.

| (28) | RODO UK i DPA 2018 zawierają przepisy szczególne dotyczące przetwarzania szczególnych kategorii danych osobowych, które zdefiniowano w art. 9 ust. 1 RODO UK w taki sam sposób, jak w rozporządzeniu (UE) 2016/679 (zob. motyw 23 powyżej). Zgodnie z art. 9 RODO UK przetwarzanie szczególnych kategorii danych jest zasadniczo zabronione, chyba że ma zastosowanie szczególny wyjątek. |
| --- | --- |

(28)

RODO UK i DPA 2018 zawierają przepisy szczególne dotyczące przetwarzania szczególnych kategorii danych osobowych, które zdefiniowano w art. 9 ust. 1 RODO UK w taki sam sposób, jak w rozporządzeniu (UE) 2016/679 (zob. motyw 23 powyżej). Zgodnie z art. 9 RODO UK przetwarzanie szczególnych kategorii danych jest zasadniczo zabronione, chyba że ma zastosowanie szczególny wyjątek.

| (29) | W wyjątkach tych (wymienionych w art. 9 ust. 2 i 3 RODO UK) nie wprowadzono żadnych zmian merytorycznych w stosunku do wyjątków zawartych w art. 9 ust. 2 i 3 rozporządzenia (UE) 2016/679. O ile osoba, której dane dotyczą, nie wyraziła wyraźnej zgody na przetwarzanie tych danych osobowych, przetwarzanie szczególnych kategorii danych osobowych jest dopuszczalne tylko w szczególnych i ograniczonych okolicznościach. W większości przypadków przetwarzanie danych wrażliwych musi być niezbędne do konkretnego celu określonego w odpowiednim przepisie (zob. art. 9 ust. 2 lit. b), c), f), g), h), i) oraz j)). |
| --- | --- |

(29)

W wyjątkach tych (wymienionych w art. 9 ust. 2 i 3 RODO UK) nie wprowadzono żadnych zmian merytorycznych w stosunku do wyjątków zawartych w art. 9 ust. 2 i 3 rozporządzenia (UE) 2016/679. O ile osoba, której dane dotyczą, nie wyraziła wyraźnej zgody na przetwarzanie tych danych osobowych, przetwarzanie szczególnych kategorii danych osobowych jest dopuszczalne tylko w szczególnych i ograniczonych okolicznościach. W większości przypadków przetwarzanie danych wrażliwych musi być niezbędne do konkretnego celu określonego w odpowiednim przepisie (zob. art. 9 ust. 2 lit. b), c), f), g), h), i) oraz j)).

| (30) | Ponadto, w przypadku gdy wyjątek na podstawie art. 9 ust. 2 RODO UK wymaga zezwolenia z mocy prawa lub odnosi się do interesu publicznego, w art. 10 DPA 2018 oraz w załączniku 1 do tej ustawy dodatkowo określono warunki, które muszą być spełnione, aby można było powołać się na te wyjątki. Na przykład w przypadku przetwarzania danych wrażliwych w celu ochrony „zdrowia publicznego” (art. 9 ust. 2 lit. i) RODO UK), w załączniku 1 część 1 pkt 3 lit. b) wymaga się, aby oprócz kryterium niezbędności takie przetwarzanie było prowadzone „przez pracownika służby zdrowia lub na jego odpowiedzialność” lub „przez inną osobę, która jest zobowiązana do zachowania poufności na mocy przepisu prawa stanowionego lub precedensowego”, w tym na mocy ugruntowanego w common law obowiązku zachowania poufności. |
| --- | --- |

(30)

Ponadto, w przypadku gdy wyjątek na podstawie art. 9 ust. 2 RODO UK wymaga zezwolenia z mocy prawa lub odnosi się do interesu publicznego, w art. 10 DPA 2018 oraz w załączniku 1 do tej ustawy dodatkowo określono warunki, które muszą być spełnione, aby można było powołać się na te wyjątki. Na przykład w przypadku przetwarzania danych wrażliwych w celu ochrony „zdrowia publicznego” (art. 9 ust. 2 lit. i) RODO UK), w załączniku 1 część 1 pkt 3 lit. b) wymaga się, aby oprócz kryterium niezbędności takie przetwarzanie było prowadzone „przez pracownika służby zdrowia lub na jego odpowiedzialność” lub „przez inną osobę, która jest zobowiązana do zachowania poufności na mocy przepisu prawa stanowionego lub precedensowego”, w tym na mocy ugruntowanego w common law obowiązku zachowania poufności.

common law

| (31) | W przypadku przetwarzania danych wrażliwych ze względów związanych z ważnym interesem publicznym (art. 9 ust. 2 lit. g) RODO UK), część 2 załącznika 1 do DPA 2018 zawiera wyczerpujący wykaz celów, które można uznać za leżące w ważnym interesie publicznym, oraz określa – dla każdego z tych celów – konkretne warunki dodatkowe. Za ważny interes publiczny uznaje się na przykład promowanie różnorodności rasowej i etnicznej na wyższych szczeblach organizacji. Przetwarzanie danych wrażliwych w tym konkretnym celu podlega szczegółowym wymogom, w tym wymogowi, aby przetwarzanie odbywało się w ramach procesu identyfikacji osób odpowiednich do zajmowania wyższych stanowisk, było niezbędne do promowania różnorodności rasowej i etnicznej oraz aby wyrządzenie znacznej szkody lub spowodowanie znaczących niedogodności dla osoby, której dane dotyczą, nie było prawdopodobne. |
| --- | --- |

(31)

W przypadku przetwarzania danych wrażliwych ze względów związanych z ważnym interesem publicznym (art. 9 ust. 2 lit. g) RODO UK), część 2 załącznika 1 do DPA 2018 zawiera wyczerpujący wykaz celów, które można uznać za leżące w ważnym interesie publicznym, oraz określa – dla każdego z tych celów – konkretne warunki dodatkowe. Za ważny interes publiczny uznaje się na przykład promowanie różnorodności rasowej i etnicznej na wyższych szczeblach organizacji. Przetwarzanie danych wrażliwych w tym konkretnym celu podlega szczegółowym wymogom, w tym wymogowi, aby przetwarzanie odbywało się w ramach procesu identyfikacji osób odpowiednich do zajmowania wyższych stanowisk, było niezbędne do promowania różnorodności rasowej i etnicznej oraz aby wyrządzenie znacznej szkody lub spowodowanie znaczących niedogodności dla osoby, której dane dotyczą, nie było prawdopodobne.

| (32) | W art. 11 ust. 1 DPA 2018 ustanowiono warunki przetwarzania danych osobowych w okolicznościach opisanych w art. 9 ust. 3 RODO UK odnoszącym się do obowiązku zachowania tajemnicy. Obejmuje to okoliczności, w których przetwarzanie jest prowadzone przez pracownika służby zdrowia lub pracownika opieki społecznej bądź przez inną osobę, która w tych okolicznościach jest zobowiązana do zachowania poufności na mocy przepisu prawa stanowionego lub precedensowego, lub na odpowiedzialność takiego pracownika lub takiej osoby. |
| --- | --- |

(32)

W art. 11 ust. 1 DPA 2018 ustanowiono warunki przetwarzania danych osobowych w okolicznościach opisanych w art. 9 ust. 3 RODO UK odnoszącym się do obowiązku zachowania tajemnicy. Obejmuje to okoliczności, w których przetwarzanie jest prowadzone przez pracownika służby zdrowia lub pracownika opieki społecznej bądź przez inną osobę, która w tych okolicznościach jest zobowiązana do zachowania poufności na mocy przepisu prawa stanowionego lub precedensowego, lub na odpowiedzialność takiego pracownika lub takiej osoby.

| (33) | Ponadto korzystanie z wielu wyjątków wymienionych w art. 9 ust. 2 RODO UK wymaga odpowiednich i szczególnych zabezpieczeń. W zależności od charakteru przetwarzania i poziomu ryzyka dla praw i wolności osób, których dane dotyczą, w warunkach przetwarzania przewidzianych w załączniku 1 do DPA 2018 ustanowiono różne zabezpieczenia. Z kolei w załączniku 1 określono warunki dla każdej sytuacji przetwarzania. |
| --- | --- |

(33)

Ponadto korzystanie z wielu wyjątków wymienionych w art. 9 ust. 2 RODO UK wymaga odpowiednich i szczególnych zabezpieczeń. W zależności od charakteru przetwarzania i poziomu ryzyka dla praw i wolności osób, których dane dotyczą, w warunkach przetwarzania przewidzianych w załączniku 1 do DPA 2018 ustanowiono różne zabezpieczenia. Z kolei w załączniku 1 określono warunki dla każdej sytuacji przetwarzania.

| (34) | W niektórych przypadkach DPA 2018 reguluje i ogranicza rodzaj danych wrażliwych, które można przetwarzać pod kątem spełnienia konkretnej podstawy prawnej. W pkt 8 załącznika 1 zezwala się na przykład na przetwarzanie danych wrażliwych do celów promowania równości szans lub równego traktowania. Ten warunek przetwarzania można zastosować tylko wtedy, gdy dane ujawniają pochodzenie rasowe lub etniczne, przekonania religijne lub światopoglądowe, orientację seksualną lub gdy są to dane dotyczące zdrowia. |
| --- | --- |

(34)

W niektórych przypadkach DPA 2018 reguluje i ogranicza rodzaj danych wrażliwych, które można przetwarzać pod kątem spełnienia konkretnej podstawy prawnej. W pkt 8 załącznika 1 zezwala się na przykład na przetwarzanie danych wrażliwych do celów promowania równości szans lub równego traktowania. Ten warunek przetwarzania można zastosować tylko wtedy, gdy dane ujawniają pochodzenie rasowe lub etniczne, przekonania religijne lub światopoglądowe, orientację seksualną lub gdy są to dane dotyczące zdrowia.

| (35) | W niektórych przypadkach w DPA 2018 ograniczono możliwość stosowania tego warunku przetwarzania do określonego rodzaju administratora. W pkt 23 załącznika 1 przewidziano na przykład przetwarzanie danych wrażliwych w związku z odpowiedziami wybieranych przedstawicieli na pytania obywateli Ten warunek przetwarzania można zastosować tylko wtedy, gdy administrator jest wybranym przedstawicielem lub działa z jego upoważnienia. |
| --- | --- |

(35)

W niektórych przypadkach w DPA 2018 ograniczono możliwość stosowania tego warunku przetwarzania do określonego rodzaju administratora. W pkt 23 załącznika 1 przewidziano na przykład przetwarzanie danych wrażliwych w związku z odpowiedziami wybieranych przedstawicieli na pytania obywateli Ten warunek przetwarzania można zastosować tylko wtedy, gdy administrator jest wybranym przedstawicielem lub działa z jego upoważnienia.

| (36) | W niektórych innych przypadkach w DPA 2018 określono ograniczenia dotyczące kategorii osób, których dane dotyczą, w odniesieniu do warunku przetwarzania, który ma być stosowany. Pkt 21 załącznika 1 reguluje na przykład przetwarzanie danych wrażliwych na potrzeby pracowniczych programów emerytalnych. Warunek ten można zastosować wyłącznie wówczas, gdy osoba, której dane dotyczą, jest siostrą lub bratem bądź jednym z rodziców, dziadków lub pradziadków członka programu. |
| --- | --- |

(36)

W niektórych innych przypadkach w DPA 2018 określono ograniczenia dotyczące kategorii osób, których dane dotyczą, w odniesieniu do warunku przetwarzania, który ma być stosowany. Pkt 21 załącznika 1 reguluje na przykład przetwarzanie danych wrażliwych na potrzeby pracowniczych programów emerytalnych. Warunek ten można zastosować wyłącznie wówczas, gdy osoba, której dane dotyczą, jest siostrą lub bratem bądź jednym z rodziców, dziadków lub pradziadków członka programu.

| (37) | Ponadto w przypadku powoływania się na wyjątki zawarte w art. 9 ust. 2 RODO UK, które doprecyzowano w art. 10 DPA 2018 wraz z załącznikiem 1 do tej ustawy, administrator w większości przypadków jest zobowiązany do sporządzenia „odpowiedniego dokumentu dotyczącego polityki”. W dokumencie tym muszą się znaleźć procedury administratora danych mające na celu zapewnienie zgodności z zasadami określonymi w art. 5 RODO UK. Muszą się w nim również znaleźć zasady dotyczące zatrzymywania i usuwania danych, ze wskazaniem prawdopodobnego okresu przechowywania. W stosownych przypadkach administratorzy muszą dokonać przeglądu i aktualizacji tego dokumentu. Administrator musi przechowywać dokument programowy przez sześć miesięcy po zakończeniu przetwarzania i musi udostępnić go na żądanie Komisarzowi ds. Informacji (41). |
| --- | --- |

(37)

Ponadto w przypadku powoływania się na wyjątki zawarte w art. 9 ust. 2 RODO UK, które doprecyzowano w art. 10 DPA 2018 wraz z załącznikiem 1 do tej ustawy, administrator w większości przypadków jest zobowiązany do sporządzenia „odpowiedniego dokumentu dotyczącego polityki”. W dokumencie tym muszą się znaleźć procedury administratora danych mające na celu zapewnienie zgodności z zasadami określonymi w art. 5 RODO UK. Muszą się w nim również znaleźć zasady dotyczące zatrzymywania i usuwania danych, ze wskazaniem prawdopodobnego okresu przechowywania. W stosownych przypadkach administratorzy muszą dokonać przeglądu i aktualizacji tego dokumentu. Administrator musi przechowywać dokument programowy przez sześć miesięcy po zakończeniu przetwarzania i musi udostępnić go na żądanie Komisarzowi ds. Informacji (41).

41

| (38) | Zgodnie z pkt 41 załącznika 1 do DPA 2018 dokumentowi dotyczącemu polityki musi zawsze towarzyszyć rozszerzony rejestr przetwarzania. W rejestrze tym należy odnotowywać wywiązywanie się z zobowiązań zawartych w dokumencie dotyczącym polityki, tj. czy dane są usuwane lub zatrzymywane zgodnie z przyjętą polityką. Jeśli nie stosowano się do przyjętej polityki, w rejestrze należy odnotować przyczyny. W rejestrze należy również opisać, w jaki sposób przetwarzanie spełnia warunki określone w art. 6 RODO UK (zgodność przetwarzania z prawem) i konkretny warunek określony w załączniku 1 do DPA 2018, na który się powołano. |
| --- | --- |

(38)

Zgodnie z pkt 41 załącznika 1 do DPA 2018 dokumentowi dotyczącemu polityki musi zawsze towarzyszyć rozszerzony rejestr przetwarzania. W rejestrze tym należy odnotowywać wywiązywanie się z zobowiązań zawartych w dokumencie dotyczącym polityki, tj. czy dane są usuwane lub zatrzymywane zgodnie z przyjętą polityką. Jeśli nie stosowano się do przyjętej polityki, w rejestrze należy odnotować przyczyny. W rejestrze należy również opisać, w jaki sposób przetwarzanie spełnia warunki określone w art. 6 RODO UK (zgodność przetwarzania z prawem) i konkretny warunek określony w załączniku 1 do DPA 2018, na który się powołano.

| (39) | Ponadto, podobnie jak rozporządzenie (UE) 2016/679, RODO UK przewiduje również ogólne zabezpieczenia niektórych operacji przetwarzania szczególnych kategorii danych. W art. 35 RODO UK znajduje się wymóg przeprowadzenia oceny skutków dla ochrony danych, jeśli przetwarzanie szczególnych kategorii danych odbywa się na dużą skalę. Zgodnie z art. 37 RODO UK administrator lub podmiot przetwarzający musi wyznaczyć inspektora ochrony danych, gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu szczególnych kategorii danych na dużą skalę. |
| --- | --- |

(39)

Ponadto, podobnie jak rozporządzenie (UE) 2016/679, RODO UK przewiduje również ogólne zabezpieczenia niektórych operacji przetwarzania szczególnych kategorii danych. W art. 35 RODO UK znajduje się wymóg przeprowadzenia oceny skutków dla ochrony danych, jeśli przetwarzanie szczególnych kategorii danych odbywa się na dużą skalę. Zgodnie z art. 37 RODO UK administrator lub podmiot przetwarzający musi wyznaczyć inspektora ochrony danych, gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu szczególnych kategorii danych na dużą skalę.

| (40) | W odniesieniu do danych osobowych dotyczących wyroków skazujących i czynów zabronionych art. 10 RODO UK ma takie samo brzmienie jak art. 10 rozporządzenia (UE) 2016/679. Umożliwia przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem krajowym przewidującym odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. |
| --- | --- |

(40)

W odniesieniu do danych osobowych dotyczących wyroków skazujących i czynów zabronionych art. 10 RODO UK ma takie samo brzmienie jak art. 10 rozporządzenia (UE) 2016/679. Umożliwia przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem krajowym przewidującym odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.

| (41) | Jeśli przetwarzanie danych dotyczących wyroków skazujących oraz czynów zabronionych nie odbywa się pod nadzorem władz publicznych, art. 10 ust. 5 DPA 2018 stanowi, że takie przetwarzanie może odbywać się wyłącznie w konkretnych celach lub sytuacjach określonych w częściach 1, 2 i 3 załącznika 1 do DPA 2018 i podlega szczegółowym wymogom, które określono dla każdego z tych celów/każdej z tych sytuacji. Na przykład przetwarzanie danych dotyczących wyroków skazujących przez podmioty niezarobkowe może odbywać się, jeśli przetwarzania dokonuje się a) w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, b) pod warunkiem że (i) przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że (ii) dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą. |
| --- | --- |

(41)

Jeśli przetwarzanie danych dotyczących wyroków skazujących oraz czynów zabronionych nie odbywa się pod nadzorem władz publicznych, art. 10 ust. 5 DPA 2018 stanowi, że takie przetwarzanie może odbywać się wyłącznie w konkretnych celach lub sytuacjach określonych w częściach 1, 2 i 3 załącznika 1 do DPA 2018 i podlega szczegółowym wymogom, które określono dla każdego z tych celów/każdej z tych sytuacji. Na przykład przetwarzanie danych dotyczących wyroków skazujących przez podmioty niezarobkowe może odbywać się, jeśli przetwarzania dokonuje się a) w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, b) pod warunkiem że (i) przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że (ii) dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą.

| (42) | Ponadto w części 3 załącznika 1 do DPA 2018 określono dalsze okoliczności, w których można wykorzystywać dane dotyczące wyroków skazujących, odpowiadające podstawom prawnym przetwarzania danych wrażliwych określonym w art. 9 ust. 2 rozporządzenia (UE) 2016/679 i RODO UK (np. zgoda osoby, której dane dotyczą, żywotne interesy osoby fizycznej, jeśli osoba, której dane dotyczą, jest prawnie lub fizycznie niezdolna do wyrażenia zgody, jeśli dane zostały już w sposób oczywisty upublicznione przez osobę, której dane dotyczą, jeśli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczenia itp.). |
| --- | --- |

(42)

Ponadto w części 3 załącznika 1 do DPA 2018 określono dalsze okoliczności, w których można wykorzystywać dane dotyczące wyroków skazujących, odpowiadające podstawom prawnym przetwarzania danych wrażliwych określonym w art. 9 ust. 2 rozporządzenia (UE) 2016/679 i RODO UK (np. zgoda osoby, której dane dotyczą, żywotne interesy osoby fizycznej, jeśli osoba, której dane dotyczą, jest prawnie lub fizycznie niezdolna do wyrażenia zgody, jeśli dane zostały już w sposób oczywisty upublicznione przez osobę, której dane dotyczą, jeśli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczenia itp.).

2.5.3.   Ograniczenie celu, prawidłowość, minimalizacja danych, ograniczenie przechowywania i bezpieczeństwo danych

Ograniczenie celu, prawidłowość, minimalizacja danych, ograniczenie przechowywania i bezpieczeństwo danych

| (43) | Dane osobowe powinny być przetwarzane w określonym celu, a następnie wykorzystywane tylko w takim zakresie, w jakim nie jest to niezgodne z celem przetwarzania. |
| --- | --- |

(43)

Dane osobowe powinny być przetwarzane w określonym celu, a następnie wykorzystywane tylko w takim zakresie, w jakim nie jest to niezgodne z celem przetwarzania.

| (44) | Zasadę tę przewidziano w art. 5 ust. 1 lit. b) rozporządzenia (UE) 2016/679 i zachowano bez zmian w art. 5 ust. 1 lit. b) RODO UK. Warunki dotyczące dalszego zgodnego z celem przetwarzania, o których mowa w art. 6 ust. 4 rozporządzenia (UE) 2016/679, zachowano również bez istotnych zmian w art. 6 ust. 4 lit. a)–e) RODO UK. |
| --- | --- |

(44)

Zasadę tę przewidziano w art. 5 ust. 1 lit. b) rozporządzenia (UE) 2016/679 i zachowano bez zmian w art. 5 ust. 1 lit. b) RODO UK. Warunki dotyczące dalszego zgodnego z celem przetwarzania, o których mowa w art. 6 ust. 4 rozporządzenia (UE) 2016/679, zachowano również bez istotnych zmian w art. 6 ust. 4 lit. a)–e) RODO UK.

| (45) | Ponadto dane powinny być prawidłowe i w razie potrzeby uaktualniane. Powinny być również adekwatne, stosowne oraz ograniczone do celów, w których są przetwarzane, a także co do zasady przechowywane przez okres nie dłuższy niż jest to niezbędne do celów, w których przetwarza się dane osobowe. |
| --- | --- |

(45)

Ponadto dane powinny być prawidłowe i w razie potrzeby uaktualniane. Powinny być również adekwatne, stosowne oraz ograniczone do celów, w których są przetwarzane, a także co do zasady przechowywane przez okres nie dłuższy niż jest to niezbędne do celów, w których przetwarza się dane osobowe.

| (46) | Te zasady minimalizacji danych, prawidłowości i ograniczenia przechowywania określono w art. 5 ust. 1 lit. c)–e) rozporządzenia (UE) 2016/679 i zachowano bez zmian w art. 5 ust. 1 lit. c)–e) RODO UK. |
| --- | --- |

(46)

Te zasady minimalizacji danych, prawidłowości i ograniczenia przechowywania określono w art. 5 ust. 1 lit. c)–e) rozporządzenia (UE) 2016/679 i zachowano bez zmian w art. 5 ust. 1 lit. c)–e) RODO UK.

| (47) | Dane osobowe powinny być również przetwarzane w sposób zapewniający im bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu podmioty gospodarcze powinny wdrożyć odpowiednie środki techniczne lub organizacyjne, aby chronić dane osobowe przed ewentualnymi zagrożeniami. Środki te należy ocenić, biorąc pod uwagę stan wiedzy technicznej oraz koszty ich wdrożenia. |
| --- | --- |

(47)

Dane osobowe powinny być również przetwarzane w sposób zapewniający im bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu podmioty gospodarcze powinny wdrożyć odpowiednie środki techniczne lub organizacyjne, aby chronić dane osobowe przed ewentualnymi zagrożeniami. Środki te należy ocenić, biorąc pod uwagę stan wiedzy technicznej oraz koszty ich wdrożenia.

| (48) | Bezpieczeństwo danych jest zapisane w prawie Zjednoczonego Królestwa za pomocą zasady integralności i poufności w art. 5 ust. 1 lit. f) RODO UK oraz w art. 32 RODO UK dotyczącym bezpieczeństwa przetwarzania. Przepisy te są takie same jak odpowiednie przepisy rozporządzenia (UE) 2016/679. Ponadto, na tych samych warunkach, jak określone w art. 33 i 34 rozporządzenia (UE) 2016/679, RODO UK zawiera wymóg zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu (art. 33 RODO UK) oraz zawiadamiania osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych (art. 34 RODO UK). |
| --- | --- |

(48)

Bezpieczeństwo danych jest zapisane w prawie Zjednoczonego Królestwa za pomocą zasady integralności i poufności w art. 5 ust. 1 lit. f) RODO UK oraz w art. 32 RODO UK dotyczącym bezpieczeństwa przetwarzania. Przepisy te są takie same jak odpowiednie przepisy rozporządzenia (UE) 2016/679. Ponadto, na tych samych warunkach, jak określone w art. 33 i 34 rozporządzenia (UE) 2016/679, RODO UK zawiera wymóg zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu (art. 33 RODO UK) oraz zawiadamiania osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych (art. 34 RODO UK).

2.5.4.   Przejrzystość

Przejrzystość

| (49) | Osoby, których dane dotyczą, powinny być informowane o głównych cechach przetwarzania ich danych osobowych. |
| --- | --- |

(49)

Osoby, których dane dotyczą, powinny być informowane o głównych cechach przetwarzania ich danych osobowych.

| (50) | Zapewniają to art. 13 i 14 RODO UK, które, oprócz ogólnej zasady przejrzystości, określają przepisy dotyczące informacji, których należy udzielać osobom, których dane dotyczą (42). W RODO UK nie wprowadzono żadnych istotnych zmian tych przepisów w porównaniu z odpowiednimi artykułami rozporządzenia (UE) 2016/679. Podobnie jak w przypadku rozporządzenia (UE) 2016/679, wymogi dotyczące przejrzystości zawarte w tych artykułach podlegają jednak kilku wyjątkom określonym w DPA 2018 (zob. motywy 55–72). |
| --- | --- |

(50)

Zapewniają to art. 13 i 14 RODO UK, które, oprócz ogólnej zasady przejrzystości, określają przepisy dotyczące informacji, których należy udzielać osobom, których dane dotyczą (42). W RODO UK nie wprowadzono żadnych istotnych zmian tych przepisów w porównaniu z odpowiednimi artykułami rozporządzenia (UE) 2016/679. Podobnie jak w przypadku rozporządzenia (UE) 2016/679, wymogi dotyczące przejrzystości zawarte w tych artykułach podlegają jednak kilku wyjątkom określonym w DPA 2018 (zob. motywy 55–72).

42

2.5.5.   Prawa indywidualne

Prawa indywidualne

| (51) | Osobom, których dane dotyczą, powinny przysługiwać określone prawa, które można egzekwować wobec administratora lub podmiotu przetwarzającego, w szczególności prawo dostępu do zebranych danych, prawo do sprzeciwu wobec przetwarzania oraz prawo do sprostowania i usunięcia danych. Jednocześnie prawa te mogą podlegać ograniczeniom w zakresie, w jakim ograniczenia te są niezbędne i proporcjonalne do ochrony bezpieczeństwa publicznego lub innych ważnych celów leżących w ogólnym interesie publicznym. |
| --- | --- |

(51)

Osobom, których dane dotyczą, powinny przysługiwać określone prawa, które można egzekwować wobec administratora lub podmiotu przetwarzającego, w szczególności prawo dostępu do zebranych danych, prawo do sprzeciwu wobec przetwarzania oraz prawo do sprostowania i usunięcia danych. Jednocześnie prawa te mogą podlegać ograniczeniom w zakresie, w jakim ograniczenia te są niezbędne i proporcjonalne do ochrony bezpieczeństwa publicznego lub innych ważnych celów leżących w ogólnym interesie publicznym.

2.5.5.1.   Prawa podmiotowe

Prawa podmiotowe

| (52) | W RODO UK osobom fizycznym przyznano te same egzekwowalne prawa co w rozporządzeniu (UE) 2016/679. Przepisy zapewniające prawa osób fizycznych utrzymano w RODO UK bez istotnych zmian. |
| --- | --- |

(52)

W RODO UK osobom fizycznym przyznano te same egzekwowalne prawa co w rozporządzeniu (UE) 2016/679. Przepisy zapewniające prawa osób fizycznych utrzymano w RODO UK bez istotnych zmian.

| (53) | Prawa te obejmują prawo dostępu przysługujące osobie, której dane dotyczą (art. 15 RODO UK), prawo do sprostowania danych (art. 16 RODO UK), prawo do usunięcia danych (art. 17 RODO UK), prawo do ograniczenia przetwarzania (art. 18 RODO UK), obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania (art. 19 RODO UK), prawo do przenoszenia danych (art. 20 RODO UK) oraz prawo do sprzeciwu (art. 21 RODO UK) (43). Prawo do sprzeciwu obejmuje również prawo osoby, której dane dotyczą, do sprzeciwu wobec przetwarzania danych osobowych na potrzeby marketingu bezpośredniego przewidziane w art. 21 ust. 2 i 3 rozporządzenia (UE) 2016/679. Ponadto, zgodnie z art. 122 DPA 2018, Komisarz ds. Informacji musi przygotować kodeks postępowania dotyczący prowadzenia marketingu bezpośredniego zgodnie z wymogami zawartymi w ustawodawstwie w dziedzinie ochrony danych (oraz rozporządzeniu w sprawie prywatności i łączności elektronicznej w związku z dyrektywą WE z 2003 r.) oraz innymi tego rodzaju wytycznymi służącymi promowaniu dobrych praktyk w zakresie marketingu bezpośredniego, które Komisarz uzna za stosowne. Biuro Komisarza ds. Informacji opracowuje obecnie kodeks marketingu bezpośredniego (44). |
| --- | --- |

(53)

Prawa te obejmują prawo dostępu przysługujące osobie, której dane dotyczą (art. 15 RODO UK), prawo do sprostowania danych (art. 16 RODO UK), prawo do usunięcia danych (art. 17 RODO UK), prawo do ograniczenia przetwarzania (art. 18 RODO UK), obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania (art. 19 RODO UK), prawo do przenoszenia danych (art. 20 RODO UK) oraz prawo do sprzeciwu (art. 21 RODO UK) (43). Prawo do sprzeciwu obejmuje również prawo osoby, której dane dotyczą, do sprzeciwu wobec przetwarzania danych osobowych na potrzeby marketingu bezpośredniego przewidziane w art. 21 ust. 2 i 3 rozporządzenia (UE) 2016/679. Ponadto, zgodnie z art. 122 DPA 2018, Komisarz ds. Informacji musi przygotować kodeks postępowania dotyczący prowadzenia marketingu bezpośredniego zgodnie z wymogami zawartymi w ustawodawstwie w dziedzinie ochrony danych (oraz rozporządzeniu w sprawie prywatności i łączności elektronicznej w związku z dyrektywą WE z 2003 r.) oraz innymi tego rodzaju wytycznymi służącymi promowaniu dobrych praktyk w zakresie marketingu bezpośredniego, które Komisarz uzna za stosowne. Biuro Komisarza ds. Informacji opracowuje obecnie kodeks marketingu bezpośredniego (44).

43

44

| (54) | W RODO UK bez istotnych zmian zachowano również prawo osoby, której dane dotyczą, do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, które wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa zgodnie z art. 22 RODO. Dodano jednak nowy ustęp 3A, aby uwzględnić fakt, że w art. 14 DPA 2018 określono zabezpieczenia praw, wolności i uzasadnionych interesów osób, których dane dotyczą, w przypadku gdy przetwarzanie odbywa się na podstawie art. 22 ust. 2 lit. b) RODO UK. Dotyczy to wyłącznie sytuacji, w której podstawą takiej decyzji jest zezwolenie lub wymóg wynikający z prawa Zjednoczonego Królestwa, i nie dotyczy sytuacji, w której decyzja jest niezbędna na podstawie umowy lub osoba, której dane dotyczą, wyraziła wyraźną zgodę na jej podjęcie. W przypadkach gdy ma zastosowanie art. 14 DPA 2018, administrator musi, w możliwie najkrótszym czasie, powiadomić na piśmie osobę, której dane dotyczą, że decyzję podjęto wyłącznie na podstawie zautomatyzowanego przetwarzania. Osoba, której dane dotyczą, ma prawo zwrócić się do administratora – w terminie miesiąca od otrzymania zawiadomienia – o ponowne rozpatrzenie decyzji lub podjęcie nowej decyzji, która nie będzie oparta wyłącznie na zautomatyzowanym przetwarzaniu. Sekretarz Stanu jest uprawniony do przyjęcia dalszych gwarancji w odniesieniu do zautomatyzowanego podejmowania decyzji. Uprawnienie to nie jest jeszcze wykonywane. |
| --- | --- |

(54)

W RODO UK bez istotnych zmian zachowano również prawo osoby, której dane dotyczą, do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, które wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa zgodnie z art. 22 RODO. Dodano jednak nowy ustęp 3A, aby uwzględnić fakt, że w art. 14 DPA 2018 określono zabezpieczenia praw, wolności i uzasadnionych interesów osób, których dane dotyczą, w przypadku gdy przetwarzanie odbywa się na podstawie art. 22 ust. 2 lit. b) RODO UK. Dotyczy to wyłącznie sytuacji, w której podstawą takiej decyzji jest zezwolenie lub wymóg wynikający z prawa Zjednoczonego Królestwa, i nie dotyczy sytuacji, w której decyzja jest niezbędna na podstawie umowy lub osoba, której dane dotyczą, wyraziła wyraźną zgodę na jej podjęcie. W przypadkach gdy ma zastosowanie art. 14 DPA 2018, administrator musi, w możliwie najkrótszym czasie, powiadomić na piśmie osobę, której dane dotyczą, że decyzję podjęto wyłącznie na podstawie zautomatyzowanego przetwarzania. Osoba, której dane dotyczą, ma prawo zwrócić się do administratora – w terminie miesiąca od otrzymania zawiadomienia – o ponowne rozpatrzenie decyzji lub podjęcie nowej decyzji, która nie będzie oparta wyłącznie na zautomatyzowanym przetwarzaniu. Sekretarz Stanu jest uprawniony do przyjęcia dalszych gwarancji w odniesieniu do zautomatyzowanego podejmowania decyzji. Uprawnienie to nie jest jeszcze wykonywane.

2.5.5.2.   Ograniczenia praw indywidualnych i inne przepisy

Ograniczenia praw indywidualnych i inne przepisy

| (55) | W DPA 2018 określono kilka ograniczeń praw indywidualnych, które mieszczą się w ramach art. 23 RODO UK. We wspomnianych ramach nie wprowadza się żadnych ograniczeń dotyczących prawa do sprzeciwu wobec marketingu bezpośredniego przewidzianego w art. 21 ust. 2 i 3 RODO UK ani prawa do tego, by nie podlegać zautomatyzowanemu podejmowaniu decyzji, o którym mowa w art. 22 RODO UK. |
| --- | --- |

(55)

W DPA 2018 określono kilka ograniczeń praw indywidualnych, które mieszczą się w ramach art. 23 RODO UK. We wspomnianych ramach nie wprowadza się żadnych ograniczeń dotyczących prawa do sprzeciwu wobec marketingu bezpośredniego przewidzianego w art. 21 ust. 2 i 3 RODO UK ani prawa do tego, by nie podlegać zautomatyzowanemu podejmowaniu decyzji, o którym mowa w art. 22 RODO UK.

| (56) | Ograniczenia te określono w załącznikach 2–4 do DPA 2018. Władze Zjednoczonego Królestwa wyjaśniły, że kierują się dwiema zasadami: zasadą szczegółowości (przyjmowanie szczegółowego podejścia, dzielenie szeroko zakrojonych ograniczeń na liczne bardziej szczegółowe przepisy) i zasadą warunkowości (każdemu przepisowi towarzyszą zabezpieczenia w formie ograniczeń lub warunków w celu zapobiegania nadużyciom) (45). |
| --- | --- |

(56)

Ograniczenia te określono w załącznikach 2–4 do DPA 2018. Władze Zjednoczonego Królestwa wyjaśniły, że kierują się dwiema zasadami: zasadą szczegółowości (przyjmowanie szczegółowego podejścia, dzielenie szeroko zakrojonych ograniczeń na liczne bardziej szczegółowe przepisy) i zasadą warunkowości (każdemu przepisowi towarzyszą zabezpieczenia w formie ograniczeń lub warunków w celu zapobiegania nadużyciom) (45).

45

| (57) | Ograniczenia opisane w art. 23 ust. 1 RODO UK mają z założenia być stosowane wyłącznie w określonych okolicznościach, w których są one niezbędne w demokratycznym społeczeństwie, oraz w sposób proporcjonalny do wyznaczonego, prawnie uzasadnionego celu. Ponadto zgodnie z utrwalonym orzecznictwem dotyczącym wykładni ograniczeń wyłączenie z zakresu stosowania systemu ochrony danych można zastosować w każdym konkretnych przypadku wyłącznie wtedy, gdy jest to niezbędne i proporcjonalne (46). Wymaga się, aby kryterium niezbędności było „rygorystyczne i wymagało, by ingerencja w prawa podmiotu była proporcjonalna do wagi zagrożenia interesu publicznego. W tym celu należy zatem przeprowadzić klasyczną analizę proporcjonalności (47)”. |
| --- | --- |

(57)

Ograniczenia opisane w art. 23 ust. 1 RODO UK mają z założenia być stosowane wyłącznie w określonych okolicznościach, w których są one niezbędne w demokratycznym społeczeństwie, oraz w sposób proporcjonalny do wyznaczonego, prawnie uzasadnionego celu. Ponadto zgodnie z utrwalonym orzecznictwem dotyczącym wykładni ograniczeń wyłączenie z zakresu stosowania systemu ochrony danych można zastosować w każdym konkretnych przypadku wyłącznie wtedy, gdy jest to niezbędne i proporcjonalne (46). Wymaga się, aby kryterium niezbędności było „rygorystyczne i wymagało, by ingerencja w prawa podmiotu była proporcjonalna do wagi zagrożenia interesu publicznego. W tym celu należy zatem przeprowadzić klasyczną analizę proporcjonalności (47)”.

46

47

| (58) | Cele, jakim mają służyć opisane ograniczenia, odpowiadają celom wymienionym w art. 23 rozporządzenia (UE) 2016/679, z wyjątkiem ograniczeń dotyczących bezpieczeństwa narodowego i obrony, które uregulowano w art. 26 DPA 2018, ale które podlegają tym samym wymogom niezbędności i proporcjonalności (zob. motywy 63–66). |
| --- | --- |

(58)

Cele, jakim mają służyć opisane ograniczenia, odpowiadają celom wymienionym w art. 23 rozporządzenia (UE) 2016/679, z wyjątkiem ograniczeń dotyczących bezpieczeństwa narodowego i obrony, które uregulowano w art. 26 DPA 2018, ale które podlegają tym samym wymogom niezbędności i proporcjonalności (zob. motywy 63–66).

| (59) | Niektóre ograniczenia, np. ograniczenia związane z zapobieganiem przestępstwom lub ich wykrywaniem, zatrzymywaniem i ściganiem przestępców oraz wymiarem lub pobieraniem podatków lub ceł (48), pozwalają na ograniczenie wszystkich praw indywidualnych i obowiązków w zakresie przejrzystości (z wyjątkiem praw określonych w art. 21 ust. 2 i art. 22). Zakres stosowania innych ograniczeń ogranicza się do obowiązków w zakresie przejrzystości i praw dostępu, takich jak ograniczenia związane z prawniczą tajemnicą zawodową (49), prawem do wolności od wymogu udzielenia informacji, które prowadziłyby do samooskarżenia (50), oraz finansowaniem przedsiębiorstw, w szczególności z zapobieganiem wykorzystywaniu informacji wewnętrznych (51). Niewiele z tych ograniczeń pozwala na ograniczenie obowiązku administratora w zakresie informowania osoby, której dane dotyczą, o naruszeniu ochrony danych oraz zasad ograniczenia celu, a także zgodności z prawem, rzetelności i przejrzystości przetwarzania (52). |
| --- | --- |

(59)

Niektóre ograniczenia, np. ograniczenia związane z zapobieganiem przestępstwom lub ich wykrywaniem, zatrzymywaniem i ściganiem przestępców oraz wymiarem lub pobieraniem podatków lub ceł (48), pozwalają na ograniczenie wszystkich praw indywidualnych i obowiązków w zakresie przejrzystości (z wyjątkiem praw określonych w art. 21 ust. 2 i art. 22). Zakres stosowania innych ograniczeń ogranicza się do obowiązków w zakresie przejrzystości i praw dostępu, takich jak ograniczenia związane z prawniczą tajemnicą zawodową (49), prawem do wolności od wymogu udzielenia informacji, które prowadziłyby do samooskarżenia (50), oraz finansowaniem przedsiębiorstw, w szczególności z zapobieganiem wykorzystywaniu informacji wewnętrznych (51). Niewiele z tych ograniczeń pozwala na ograniczenie obowiązku administratora w zakresie informowania osoby, której dane dotyczą, o naruszeniu ochrony danych oraz zasad ograniczenia celu, a także zgodności z prawem, rzetelności i przejrzystości przetwarzania (52).

48

49

50

51

52

| (60) | Niektóre ograniczenia są „w pełni” automatycznie stosowane do określonego rodzaju przetwarzania danych osobowych (np. stosowanie obowiązków w zakresie przejrzystości i praw indywidualnych jest wyłączone, w przypadku gdy dane osobowe są przetwarzane do celów oceny, czy dana osoba ma odpowiednie kwalifikacje do pełnienia urzędu sądowego, lub dane osobowe są przetwarzane przez sąd, trybunał lub osobę fizyczną w ramach sprawowania przez nie wymiaru sprawiedliwości). |
| --- | --- |

(60)

Niektóre ograniczenia są „w pełni” automatycznie stosowane do określonego rodzaju przetwarzania danych osobowych (np. stosowanie obowiązków w zakresie przejrzystości i praw indywidualnych jest wyłączone, w przypadku gdy dane osobowe są przetwarzane do celów oceny, czy dana osoba ma odpowiednie kwalifikacje do pełnienia urzędu sądowego, lub dane osobowe są przetwarzane przez sąd, trybunał lub osobę fizyczną w ramach sprawowania przez nie wymiaru sprawiedliwości).

| (61) | W większości przypadków w odpowiednim punkcie załącznika 2 do DPA 2018 określono jednak, że ograniczenie ma zastosowanie wyłącznie w przypadku, gdy (i w takim zakresie, w jakim) zastosowanie przepisów „prawdopodobnie byłoby sprzeczne” z prawnie uzasadnionym celem tego ograniczenia: na przykład wymienione przepisy RODO UK nie mają zastosowania do danych osobowych przetwarzanych w celu zapobiegania przestępstwom lub ich wykrywania, zatrzymywania lub ścigania przestępców lub wymiaru lub pobierania podatków lub ceł „w zakresie, w jakim zastosowanie tych przepisów prawdopodobnie byłoby sprzeczne z którąkolwiek z tych kwestii” (53). |
| --- | --- |

(61)

W większości przypadków w odpowiednim punkcie załącznika 2 do DPA 2018 określono jednak, że ograniczenie ma zastosowanie wyłącznie w przypadku, gdy (i w takim zakresie, w jakim) zastosowanie przepisów „prawdopodobnie byłoby sprzeczne” z prawnie uzasadnionym celem tego ograniczenia: na przykład wymienione przepisy RODO UK nie mają zastosowania do danych osobowych przetwarzanych w celu zapobiegania przestępstwom lub ich wykrywania, zatrzymywania lub ścigania przestępców lub wymiaru lub pobierania podatków lub ceł „w zakresie, w jakim zastosowanie tych przepisów prawdopodobnie byłoby sprzeczne z którąkolwiek z tych kwestii” (53).

53

| (62) | Zgodnie z wykładnią dokonywaną konsekwentnie przez sądy Zjednoczonego Królestwa sformułowanie „prawdopodobnie byłoby sprzeczne” oznacza „bardzo znaczącą i dużą szansę uszczerbku dla określonych interesów publicznych” (54). Na ograniczenie podlegające kryterium sprzeczności można się zatem powołać tylko wówczas i tylko w takim zakresie, w jakim istnieje bardzo znacząca i duża szansa, że przyznanie określonego prawa naruszyłoby określony interes publiczny. Administrator jest odpowiedzialny za ocenę w poszczególnych przypadkach, czy warunki te zostały spełnione (55). |
| --- | --- |

(62)

Zgodnie z wykładnią dokonywaną konsekwentnie przez sądy Zjednoczonego Królestwa sformułowanie „prawdopodobnie byłoby sprzeczne” oznacza „bardzo znaczącą i dużą szansę uszczerbku dla określonych interesów publicznych” (54). Na ograniczenie podlegające kryterium sprzeczności można się zatem powołać tylko wówczas i tylko w takim zakresie, w jakim istnieje bardzo znacząca i duża szansa, że przyznanie określonego prawa naruszyłoby określony interes publiczny. Administrator jest odpowiedzialny za ocenę w poszczególnych przypadkach, czy warunki te zostały spełnione (55).

54

55

| (63) | Oprócz ograniczeń zawartych w załączniku 2 do DPA 2018 w art. 26 DPA 2018 przewidziano wyłączenie, które można stosować w odniesieniu do określonych przepisów RODO UK i DPA 2018, jeżeli wyłączenie to jest wymagane do celów ochrony bezpieczeństwa narodowego lub do celów obrony. Wspomniane wyłączenie ma zastosowanie do zasad ochrony danych (z wyjątkiem zasady zgodności z prawem), obowiązków w zakresie przejrzystości, praw osoby, której dane dotyczą, obowiązku powiadomienia o naruszeniu ochrony danych, zasad dotyczących międzynarodowego przekazywania danych, niektórych obowiązków i uprawnień Komisarza ds. Informacji, a także zasad dotyczących środków ochrony prawnej, odpowiedzialności i sankcji, z wyjątkiem przepisu dotyczącego ogólnych warunków nakładania administracyjnych kar pieniężnych określonego w art. 83 RODO UK oraz przepisu dotyczącego sankcji określonego w art. 84 RODO UK. Ponadto w art. 28 DPA 2018 zmieniono zastosowanie art. 9 ust. 1, aby umożliwić przetwarzanie szczególnych kategorii danych określonych w art. 9 ust. 1 RODO UK w zakresie, w jakim przetwarzanie odbywa się w celu zapewnienia bezpieczeństwa narodowego lub w celach obrony oraz przy zapewnieniu odpowiednich zabezpieczeń w odniesieniu do praw i wolności osób, których dane dotyczą (56). |
| --- | --- |

(63)

Oprócz ograniczeń zawartych w załączniku 2 do DPA 2018 w art. 26 DPA 2018 przewidziano wyłączenie, które można stosować w odniesieniu do określonych przepisów RODO UK i DPA 2018, jeżeli wyłączenie to jest wymagane do celów ochrony bezpieczeństwa narodowego lub do celów obrony. Wspomniane wyłączenie ma zastosowanie do zasad ochrony danych (z wyjątkiem zasady zgodności z prawem), obowiązków w zakresie przejrzystości, praw osoby, której dane dotyczą, obowiązku powiadomienia o naruszeniu ochrony danych, zasad dotyczących międzynarodowego przekazywania danych, niektórych obowiązków i uprawnień Komisarza ds. Informacji, a także zasad dotyczących środków ochrony prawnej, odpowiedzialności i sankcji, z wyjątkiem przepisu dotyczącego ogólnych warunków nakładania administracyjnych kar pieniężnych określonego w art. 83 RODO UK oraz przepisu dotyczącego sankcji określonego w art. 84 RODO UK. Ponadto w art. 28 DPA 2018 zmieniono zastosowanie art. 9 ust. 1, aby umożliwić przetwarzanie szczególnych kategorii danych określonych w art. 9 ust. 1 RODO UK w zakresie, w jakim przetwarzanie odbywa się w celu zapewnienia bezpieczeństwa narodowego lub w celach obrony oraz przy zapewnieniu odpowiednich zabezpieczeń w odniesieniu do praw i wolności osób, których dane dotyczą (56).

56

| (64) | Wyłączenie można stosować wyłącznie w zakresie, w jakim jest to wymagane do zapewnienia bezpieczeństwa narodowego lub obronności. Ponieważ dotyczy to również pozostałych wyłączeń określonych w DPA 2018, administrator musi rozpatrywać je i powoływać się na nie w każdym przypadku z osobna. Ponadto każde zastosowanie wyłączenia musi być zgodne ze standardami praw człowieka (opartymi na ustawie o prawach człowieka z 1998 r.), według których w demokratycznym społeczeństwie każda ingerencja w prawo do prywatności powinna być niezbędna i proporcjonalna (57). |
| --- | --- |

(64)

Wyłączenie można stosować wyłącznie w zakresie, w jakim jest to wymagane do zapewnienia bezpieczeństwa narodowego lub obronności. Ponieważ dotyczy to również pozostałych wyłączeń określonych w DPA 2018, administrator musi rozpatrywać je i powoływać się na nie w każdym przypadku z osobna. Ponadto każde zastosowanie wyłączenia musi być zgodne ze standardami praw człowieka (opartymi na ustawie o prawach człowieka z 1998 r.), według których w demokratycznym społeczeństwie każda ingerencja w prawo do prywatności powinna być niezbędna i proporcjonalna (57).

57

| (65) | Taką wykładnię zwolnienia potwierdza Komisarz ds. Informacji, który wydał szczegółowe wytyczne dotyczące stosowania wyłączenia dotyczącego bezpieczeństwa narodowego i obronności, stwierdzając w nich, że administrator musi rozpatrywać je i powoływać się na nie w każdym przypadku z osobna (58). W wytycznych podkreślono w szczególności, że „[n]ie jest to wyłączenie ogólne” i że do jego zastosowania „nie wystarczy, aby dane były przetwarzane do celów bezpieczeństwa narodowego”. Administrator danych, powołując się na to wyłączenie, musi „wykazać, że istnieje realna możliwość negatywnego wpływu na bezpieczeństwo narodowe”, a w razie potrzeby wymaga się od administratora danych „dostarczenia [Komisarzowi ds. Informacji] uzasadnienia skorzystania z tego wyłączenia”. Wytyczne zawierają listę kontrolną i szereg przykładów służących dalszemu doprecyzowaniu warunków, na jakich można powoływać się na to wyłączenie. |
| --- | --- |

(65)

Taką wykładnię zwolnienia potwierdza Komisarz ds. Informacji, który wydał szczegółowe wytyczne dotyczące stosowania wyłączenia dotyczącego bezpieczeństwa narodowego i obronności, stwierdzając w nich, że administrator musi rozpatrywać je i powoływać się na nie w każdym przypadku z osobna (58). W wytycznych podkreślono w szczególności, że „[n]ie jest to wyłączenie ogólne” i że do jego zastosowania „nie wystarczy, aby dane były przetwarzane do celów bezpieczeństwa narodowego”. Administrator danych, powołując się na to wyłączenie, musi „wykazać, że istnieje realna możliwość negatywnego wpływu na bezpieczeństwo narodowe”, a w razie potrzeby wymaga się od administratora danych „dostarczenia [Komisarzowi ds. Informacji] uzasadnienia skorzystania z tego wyłączenia”. Wytyczne zawierają listę kontrolną i szereg przykładów służących dalszemu doprecyzowaniu warunków, na jakich można powoływać się na to wyłączenie.

58

| (66) | Fakt, że dane są przetwarzane do celów bezpieczeństwa narodowego lub obrony, nie jest zatem sam w sobie wystarczający do zastosowania wyłączenia. Administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego, gdyby musiał zastosować się do konkretnego przepisu dotyczącego ochrony danych. Wyłączenie można stosować wyłącznie do przepisów szczegółowych, które określono jako stwarzające ryzyko, i należy je stosować w możliwie najbardziej restrykcyjny sposób (59). |
| --- | --- |

(66)

Fakt, że dane są przetwarzane do celów bezpieczeństwa narodowego lub obrony, nie jest zatem sam w sobie wystarczający do zastosowania wyłączenia. Administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego, gdyby musiał zastosować się do konkretnego przepisu dotyczącego ochrony danych. Wyłączenie można stosować wyłącznie do przepisów szczegółowych, które określono jako stwarzające ryzyko, i należy je stosować w możliwie najbardziej restrykcyjny sposób (59).

59

| (67) | Podejście to potwierdził Trybunał ds. Ochrony Danych (Information Tribunal) (60). W sprawie Baker przeciwko Secretary of State for the Home Department („Baker przeciwko Secretary of State”) Trybunał orzekł, że zastosowanie wyłączenia dotyczącego bezpieczeństwa narodowego jako wyłączenia ogólnego w odniesieniu do wniosków o udzielenie dostępu otrzymanych przez służby wywiadowcze jest niezgodne z prawem. Wyłączenie należy stosować w każdym przypadku z osobna, rozpatrując każdy wniosek indywidualnie i w świetle prawa osób fizycznych do poszanowania ich życia prywatnego (61). |
| --- | --- |

(67)

Podejście to potwierdził Trybunał ds. Ochrony Danych (Information Tribunal) (60). W sprawie Baker przeciwko Secretary of State for the Home Department („Baker przeciwko Secretary of State”) Trybunał orzekł, że zastosowanie wyłączenia dotyczącego bezpieczeństwa narodowego jako wyłączenia ogólnego w odniesieniu do wniosków o udzielenie dostępu otrzymanych przez służby wywiadowcze jest niezgodne z prawem. Wyłączenie należy stosować w każdym przypadku z osobna, rozpatrując każdy wniosek indywidualnie i w świetle prawa osób fizycznych do poszanowania ich życia prywatnego (61).

60

61

2.5.6.   Ograniczenia dotyczące danych osobowych przetwarzanych do celów dziennikarskich, artystycznych, akademickich i literackich, do celów archiwalnych oraz do celów badań naukowych

Ograniczenia dotyczące danych osobowych przetwarzanych do celów dziennikarskich, artystycznych, akademickich i literackich, do celów archiwalnych oraz do celów badań naukowych

| (68) | Zgodnie z art. 85 ust. 2 RODO UK możliwe jest wyłączenie danych osobowych przetwarzanych do celów dziennikarskich, artystycznych, akademickich i literackich z szeregu przepisów RODO UK. W części 5 załącznika 2 do DPA 2018 określono wyłączenia dotyczące przetwarzania w tych celach. Przewidziano w niej wyłączenia z zasad ochrony danych (z wyjątkiem zasady integralności i poufności), podstaw prawnych przetwarzania (w tym szczególnych kategorii danych i danych dotyczących wyroków skazujących itp.), warunków wyrażenia zgody, obowiązków w zakresie przejrzystości, praw osób, których dane dotyczą, obowiązku powiadomienia o naruszeniu ochrony danych, wymogu przeprowadzenia konsultacji z Komisarzem ds. Informacji przed przetwarzaniem wysokiego ryzyka oraz zasad dotyczących międzynarodowego przekazywania danych (62). W tym zakresie RODO UK nie odbiega w istotny sposób od rozporządzenia (UE) 2016/679, w którym w art. 85 przewidziano możliwość wyłączenia przetwarzania dokonywanego dla potrzeb dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej z szeregu wymogów określonych w rozporządzeniu (UE) 2016/679. Przepisy DPA 2018, zwłaszcza część 5 załącznika 2, są zgodne z RODO UK. |
| --- | --- |

(68)

Zgodnie z art. 85 ust. 2 RODO UK możliwe jest wyłączenie danych osobowych przetwarzanych do celów dziennikarskich, artystycznych, akademickich i literackich z szeregu przepisów RODO UK. W części 5 załącznika 2 do DPA 2018 określono wyłączenia dotyczące przetwarzania w tych celach. Przewidziano w niej wyłączenia z zasad ochrony danych (z wyjątkiem zasady integralności i poufności), podstaw prawnych przetwarzania (w tym szczególnych kategorii danych i danych dotyczących wyroków skazujących itp.), warunków wyrażenia zgody, obowiązków w zakresie przejrzystości, praw osób, których dane dotyczą, obowiązku powiadomienia o naruszeniu ochrony danych, wymogu przeprowadzenia konsultacji z Komisarzem ds. Informacji przed przetwarzaniem wysokiego ryzyka oraz zasad dotyczących międzynarodowego przekazywania danych (62). W tym zakresie RODO UK nie odbiega w istotny sposób od rozporządzenia (UE) 2016/679, w którym w art. 85 przewidziano możliwość wyłączenia przetwarzania dokonywanego dla potrzeb dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej z szeregu wymogów określonych w rozporządzeniu (UE) 2016/679. Przepisy DPA 2018, zwłaszcza część 5 załącznika 2, są zgodne z RODO UK.

62

| (69) | Podstawowy proces ważenia interesów, który należy przeprowadzić zgodnie z art. 85 RODO UK, dotyczy tego, czy wyłączenie od przepisów o ochronie danych wymienionych w motywie 68 jest „niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji” (63). Zgodnie z pkt 26 ppkt 2 i 3 załącznika 2 do DPA 2018 Zjednoczone Królestwo stosuje kryterium „zasadnego przekonania” w celu osiągnięcia tej równowagi. Aby wyłączenie było uzasadnione, administrator musi być zasadnie przekonany, (i) że publikacja leży w interesie publicznym; oraz (ii) że zastosowanie odpowiedniego przepisu RODO byłoby niezgodne z celem dziennikarskim, akademickim, artystycznym lub literackim. Jak potwierdzono w orzecznictwie, kryterium „zasadnego przekonania” obejmuje zarówno element subiektywny, jak i obiektywny (64): nie wystarczy, aby administrator wykazał, że sam uznał zachowanie zgodności z przepisem za niezgodne z określonym celem. Jego przekonanie musi być uzasadnione, tj. takie, które mogłaby podzielać racjonalnie myśląca osoba, znająca istotne fakty. W związku z tym administrator musi dołożyć należytej staranności, dochodząc do swojego przekonania, aby być w stanie wykazać jego zasadność. Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa kryterium „zasadnego przekonania” należy stosować w odniesieniu do każdego wyłączenia z osobna (65). W przypadku spełnienia warunków wyłączenie uznaje się za niezbędne i proporcjonalne w rozumieniu prawa Zjednoczonego Królestwa. |
| --- | --- |

(69)

Podstawowy proces ważenia interesów, który należy przeprowadzić zgodnie z art. 85 RODO UK, dotyczy tego, czy wyłączenie od przepisów o ochronie danych wymienionych w motywie 68 jest „niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji” (63). Zgodnie z pkt 26 ppkt 2 i 3 załącznika 2 do DPA 2018 Zjednoczone Królestwo stosuje kryterium „zasadnego przekonania” w celu osiągnięcia tej równowagi. Aby wyłączenie było uzasadnione, administrator musi być zasadnie przekonany, (i) że publikacja leży w interesie publicznym; oraz (ii) że zastosowanie odpowiedniego przepisu RODO byłoby niezgodne z celem dziennikarskim, akademickim, artystycznym lub literackim. Jak potwierdzono w orzecznictwie, kryterium „zasadnego przekonania” obejmuje zarówno element subiektywny, jak i obiektywny (64): nie wystarczy, aby administrator wykazał, że sam uznał zachowanie zgodności z przepisem za niezgodne z określonym celem. Jego przekonanie musi być uzasadnione, tj. takie, które mogłaby podzielać racjonalnie myśląca osoba, znająca istotne fakty. W związku z tym administrator musi dołożyć należytej staranności, dochodząc do swojego przekonania, aby być w stanie wykazać jego zasadność. Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa kryterium „zasadnego przekonania” należy stosować w odniesieniu do każdego wyłączenia z osobna (65). W przypadku spełnienia warunków wyłączenie uznaje się za niezbędne i proporcjonalne w rozumieniu prawa Zjednoczonego Królestwa.

63

64

65

| (70) | Zgodnie z art. 124 DPA 2018 Komisarz ds. Informacji ma opracować kodeks postępowania w zakresie ochrony danych i dziennikarstwa. Trwają prace nad tym kodeksem. Na podstawie ustawy o ochronie danych z 1998 r. wydano w tej sprawie wytyczne, w których podkreślono w szczególności, że aby powołać się na opisane wyłączenie, nie wystarczy jedynie stwierdzić, że zgodność z przepisami stanowiłaby utrudnienie dla działalności dziennikarskiej, lecz należy przedstawić wyraźny argument świadczący o tym, że dany przepis stanowi przeszkodę w prowadzeniu odpowiedzialnego dziennikarstwa (66). Organ regulacyjny Zjednoczonego Królestwa ds. telekomunikacji, OFCOM, oraz BBC – w ramach swoich wytycznych redakcyjnych – również opublikowały wytyczne dotyczące stosowania kryterium interesu publicznego i równoważenia interesu publicznego z interesem osoby fizycznej w zakresie ochrony prywatności (67). W wytycznych przedstawiono przykłady informacji, które można uznać za leżące w interesie publicznym, oraz wyjaśniono konieczność wykazania, że w szczególnych okolicznościach konkretnej sprawy interes publiczny przeważa nad prawem do prywatności. |
| --- | --- |

(70)

Zgodnie z art. 124 DPA 2018 Komisarz ds. Informacji ma opracować kodeks postępowania w zakresie ochrony danych i dziennikarstwa. Trwają prace nad tym kodeksem. Na podstawie ustawy o ochronie danych z 1998 r. wydano w tej sprawie wytyczne, w których podkreślono w szczególności, że aby powołać się na opisane wyłączenie, nie wystarczy jedynie stwierdzić, że zgodność z przepisami stanowiłaby utrudnienie dla działalności dziennikarskiej, lecz należy przedstawić wyraźny argument świadczący o tym, że dany przepis stanowi przeszkodę w prowadzeniu odpowiedzialnego dziennikarstwa (66). Organ regulacyjny Zjednoczonego Królestwa ds. telekomunikacji, OFCOM, oraz BBC – w ramach swoich wytycznych redakcyjnych – również opublikowały wytyczne dotyczące stosowania kryterium interesu publicznego i równoważenia interesu publicznego z interesem osoby fizycznej w zakresie ochrony prywatności (67). W wytycznych przedstawiono przykłady informacji, które można uznać za leżące w interesie publicznym, oraz wyjaśniono konieczność wykazania, że w szczególnych okolicznościach konkretnej sprawy interes publiczny przeważa nad prawem do prywatności.

66

67

| (71) | Podobnie do przepisów art. 89 RODO dane osobowe przetwarzane do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych można również wyłączyć z zakresu stosowania szeregu wymienionych przepisów RODO UK (68). W odniesieniu do badań naukowych i celów statystycznych możliwe jest zastosowanie wyłączeń od przepisów RODO UK dotyczących potwierdzenia przetwarzania, dostępu do danych i zabezpieczeń w przypadku przekazywania danych do państw trzecich; prawa do sprostowania; ograniczenia przetwarzania i sprzeciwu wobec przetwarzania. W odniesieniu do archiwizacji w interesie publicznym możliwe są również wyłączenia z zakresu stosowania obowiązku powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania oraz prawa do przenoszenia danych. |
| --- | --- |

(71)

Podobnie do przepisów art. 89 RODO dane osobowe przetwarzane do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych można również wyłączyć z zakresu stosowania szeregu wymienionych przepisów RODO UK (68). W odniesieniu do badań naukowych i celów statystycznych możliwe jest zastosowanie wyłączeń od przepisów RODO UK dotyczących potwierdzenia przetwarzania, dostępu do danych i zabezpieczeń w przypadku przekazywania danych do państw trzecich; prawa do sprostowania; ograniczenia przetwarzania i sprzeciwu wobec przetwarzania. W odniesieniu do archiwizacji w interesie publicznym możliwe są również wyłączenia z zakresu stosowania obowiązku powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania oraz prawa do przenoszenia danych.

68

| (72) | Zgodnie z pkt 27 ppkt 1 i pkt 28 ppkt 1 załącznika 2 do DPA 2018 wyłączenia z zakresu stosowania wymienionych przepisów RODO UK są możliwe, gdy zastosowanie przepisów „uniemożliwiłoby lub poważnie utrudniłoby osiągnięcie” wspomnianych celów (69). |
| --- | --- |

(72)

Zgodnie z pkt 27 ppkt 1 i pkt 28 ppkt 1 załącznika 2 do DPA 2018 wyłączenia z zakresu stosowania wymienionych przepisów RODO UK są możliwe, gdy zastosowanie przepisów „uniemożliwiłoby lub poważnie utrudniłoby osiągnięcie” wspomnianych celów (69).

69

| (73) | Biorąc pod uwagę znaczenie wyżej wymienionych wyłączeń dla skutecznego wykonywania praw indywidualnych, wszelkie istotne zmiany dotyczące wykładni tych wyłączeń i ich stosowania w praktyce (oprócz wyjaśnionego w motywie 6 wyłączenia dotyczącego utrzymania skutecznej kontroli imigracji), w tym wszelkie dalsze zmiany w orzecznictwie oraz wytycznych Komisarza ds. Informacji i jego działań w zakresie egzekwowania przepisów, zostaną należycie uwzględnione w kontekście ciągłego monitorowania niniejszej decyzji (70). |
| --- | --- |

(73)

Biorąc pod uwagę znaczenie wyżej wymienionych wyłączeń dla skutecznego wykonywania praw indywidualnych, wszelkie istotne zmiany dotyczące wykładni tych wyłączeń i ich stosowania w praktyce (oprócz wyjaśnionego w motywie 6 wyłączenia dotyczącego utrzymania skutecznej kontroli imigracji), w tym wszelkie dalsze zmiany w orzecznictwie oraz wytycznych Komisarza ds. Informacji i jego działań w zakresie egzekwowania przepisów, zostaną należycie uwzględnione w kontekście ciągłego monitorowania niniejszej decyzji (70).

70

2.5.7.   Ograniczenia dotyczące dalszego przekazywania danych

Ograniczenia dotyczące dalszego przekazywania danych

| (74) | Stopień ochrony zapewnianej danym osobowym przekazywanym z Unii Europejskiej administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie nie może zostać obniżony wskutek dalszego przekazywania takich danych odbiorcom z państw trzecich. Takie „dalsze przekazywanie danych”, które z perspektywy administratora lub podmiotu przetwarzającego ze Zjednoczonego Królestwa stanowi międzynarodowe przekazywanie danych ze Zjednoczonego Królestwa, powinno być dozwolone wyłącznie wówczas, gdy kolejny odbiorca spoza Zjednoczonego Królestwa sam podlega przepisom zapewniającym stopień ochrony zbliżony do poziomu gwarantowanego w porządku prawnym Zjednoczonego Królestwa. Z tego powodu stosowanie przepisów RODO UK i DPA 2018 dotyczących międzynarodowego przekazywania danych osobowych jest ważnym czynnikiem zapewniającym ciągłość ochrony w przypadku przekazywania danych osobowych z Unii Europejskiej do Zjednoczonego Królestwa na podstawie niniejszej decyzji. |
| --- | --- |

(74)

Stopień ochrony zapewnianej danym osobowym przekazywanym z Unii Europejskiej administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie nie może zostać obniżony wskutek dalszego przekazywania takich danych odbiorcom z państw trzecich. Takie „dalsze przekazywanie danych”, które z perspektywy administratora lub podmiotu przetwarzającego ze Zjednoczonego Królestwa stanowi międzynarodowe przekazywanie danych ze Zjednoczonego Królestwa, powinno być dozwolone wyłącznie wówczas, gdy kolejny odbiorca spoza Zjednoczonego Królestwa sam podlega przepisom zapewniającym stopień ochrony zbliżony do poziomu gwarantowanego w porządku prawnym Zjednoczonego Królestwa. Z tego powodu stosowanie przepisów RODO UK i DPA 2018 dotyczących międzynarodowego przekazywania danych osobowych jest ważnym czynnikiem zapewniającym ciągłość ochrony w przypadku przekazywania danych osobowych z Unii Europejskiej do Zjednoczonego Królestwa na podstawie niniejszej decyzji.

| (75) | System międzynarodowego przekazywania danych osobowych ze Zjednoczonego Królestwa określono w art. 44–49 RODO UK, uzupełnionego DPA 2018; system ten jest zasadniczo identyczny z zasadami określonymi w rozdziale V rozporządzenia (UE) 2016/679 (71). Przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej może odbywać się wyłącznie na podstawie rozporządzenia stwierdzającego odpowiedni stopień ochrony (obowiązujący w Zjednoczonym Królestwie odpowiednik decyzji stwierdzającej odpowiedni stopień ochrony na podstawie rozporządzenia (UE) 2016/679) lub – w przypadku braku takiego rozporządzenia – pod warunkiem zapewnienia przez administratora lub podmiot przetwarzający odpowiednich zabezpieczeń zgodnie z art. 46 RODO UK. W przypadku braku rozporządzenia stwierdzającego odpowiedni stopień ochrony lub odpowiednich zabezpieczeń przekazywanie danych może nastąpić wyłącznie na podstawie wyjątków określonych w art. 49 RODO UK. |
| --- | --- |

(75)

System międzynarodowego przekazywania danych osobowych ze Zjednoczonego Królestwa określono w art. 44–49 RODO UK, uzupełnionego DPA 2018; system ten jest zasadniczo identyczny z zasadami określonymi w rozdziale V rozporządzenia (UE) 2016/679 (71). Przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej może odbywać się wyłącznie na podstawie rozporządzenia stwierdzającego odpowiedni stopień ochrony (obowiązujący w Zjednoczonym Królestwie odpowiednik decyzji stwierdzającej odpowiedni stopień ochrony na podstawie rozporządzenia (UE) 2016/679) lub – w przypadku braku takiego rozporządzenia – pod warunkiem zapewnienia przez administratora lub podmiot przetwarzający odpowiednich zabezpieczeń zgodnie z art. 46 RODO UK. W przypadku braku rozporządzenia stwierdzającego odpowiedni stopień ochrony lub odpowiednich zabezpieczeń przekazywanie danych może nastąpić wyłącznie na podstawie wyjątków określonych w art. 49 RODO UK.

71

| (76) | Rozporządzenia stwierdzające odpowiedni stopień ochrony, wydawane przez Sekretarza Stanu, mogą stanowić, że państwo trzecie (lub terytorium lub sektor w państwie trzecim), organizacja międzynarodowa lub opis (72) takiego państwa, terytorium, sektora lub takiej organizacji zapewniają odpowiedni stopień ochrony danych osobowych. Dokonując oceny odpowiedniości stopnia ochrony, Sekretarz Stanu musi wziąć pod uwagę dokładnie te same elementy, które Komisja jest zobowiązana ocenić na mocy art. 45 ust. 2 lit. a)–c) rozporządzenia (UE) 2016/679 w związku z motywem 104 rozporządzenia (UE) 2016/679 oraz pozostającym w mocy orzecznictwem UE. Oznacza to, że przy ocenie odpowiedniości stopnia ochrony państwa trzeciego właściwym standardem będzie to, czy dane państwo trzecie zapewnia stopień ochrony „zasadniczo odpowiadający” stopniowi gwarantowanemu w Zjednoczonym Królestwie. |
| --- | --- |

(76)

Rozporządzenia stwierdzające odpowiedni stopień ochrony, wydawane przez Sekretarza Stanu, mogą stanowić, że państwo trzecie (lub terytorium lub sektor w państwie trzecim), organizacja międzynarodowa lub opis (72) takiego państwa, terytorium, sektora lub takiej organizacji zapewniają odpowiedni stopień ochrony danych osobowych. Dokonując oceny odpowiedniości stopnia ochrony, Sekretarz Stanu musi wziąć pod uwagę dokładnie te same elementy, które Komisja jest zobowiązana ocenić na mocy art. 45 ust. 2 lit. a)–c) rozporządzenia (UE) 2016/679 w związku z motywem 104 rozporządzenia (UE) 2016/679 oraz pozostającym w mocy orzecznictwem UE. Oznacza to, że przy ocenie odpowiedniości stopnia ochrony państwa trzeciego właściwym standardem będzie to, czy dane państwo trzecie zapewnia stopień ochrony „zasadniczo odpowiadający” stopniowi gwarantowanemu w Zjednoczonym Królestwie.

72

| (77) | Co się tyczy procedury, rozporządzenia stwierdzające odpowiedni stopień ochrony podlegają „ogólnym” wymogom proceduralnym określonym w art. 182 DPA 2018. W ramach wspomnianej procedury Sekretarz Stanu musi przeprowadzić konsultacje z Komisarzem ds. Informacji, gdy proponuje przyjęcie rozporządzeń Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony (73). Po przyjęciu przez Sekretarza Stanu rozporządzenia te są przedkładane parlamentowi i podlegają procedurze „odrzucenia przez obie izby parlamentu”, w ramach której obie izby parlamentu mogą poddać rozporządzenie kontroli i mają możliwość przyjęcia wniosku o jego unieważnienie w ciągu 40 dni (74). |
| --- | --- |

(77)

Co się tyczy procedury, rozporządzenia stwierdzające odpowiedni stopień ochrony podlegają „ogólnym” wymogom proceduralnym określonym w art. 182 DPA 2018. W ramach wspomnianej procedury Sekretarz Stanu musi przeprowadzić konsultacje z Komisarzem ds. Informacji, gdy proponuje przyjęcie rozporządzeń Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony (73). Po przyjęciu przez Sekretarza Stanu rozporządzenia te są przedkładane parlamentowi i podlegają procedurze „odrzucenia przez obie izby parlamentu”, w ramach której obie izby parlamentu mogą poddać rozporządzenie kontroli i mają możliwość przyjęcia wniosku o jego unieważnienie w ciągu 40 dni (74).

73

74

| (78) | Zgodnie z art. 17B ust. 1 DPA 2018 rozporządzenia stwierdzające odpowiedni stopień ochrony należy poddawać przeglądowi co najmniej raz na cztery lata, a Sekretarz Stanu musi na bieżąco monitorować zmiany zachodzące w państwach trzecich i organizacjach międzynarodowych, które mogłyby wpłynąć na decyzje w sprawie wprowadzenia rozporządzeń stwierdzających odpowiedni stopień ochrony lub w sprawie zmiany lub uchylenia takich przepisów. Jeżeli Sekretarz Stanu uzyska wiedzę, że określone państwo lub organizacja nie zapewnia już odpowiedniego stopnia ochrony danych osobowych, musi zmienić lub uchylić – w niezbędnym zakresie – rozporządzenie i rozpocząć konsultacje z danym państwem trzecim lub organizacją międzynarodową w celu rozwiązania kwestii braku odpowiedniego stopnia ochrony. Te aspekty proceduralne odzwierciedlają również odpowiednie wymogi określone w rozporządzeniu (UE) 2016/679. |
| --- | --- |

(78)

Zgodnie z art. 17B ust. 1 DPA 2018 rozporządzenia stwierdzające odpowiedni stopień ochrony należy poddawać przeglądowi co najmniej raz na cztery lata, a Sekretarz Stanu musi na bieżąco monitorować zmiany zachodzące w państwach trzecich i organizacjach międzynarodowych, które mogłyby wpłynąć na decyzje w sprawie wprowadzenia rozporządzeń stwierdzających odpowiedni stopień ochrony lub w sprawie zmiany lub uchylenia takich przepisów. Jeżeli Sekretarz Stanu uzyska wiedzę, że określone państwo lub organizacja nie zapewnia już odpowiedniego stopnia ochrony danych osobowych, musi zmienić lub uchylić – w niezbędnym zakresie – rozporządzenie i rozpocząć konsultacje z danym państwem trzecim lub organizacją międzynarodową w celu rozwiązania kwestii braku odpowiedniego stopnia ochrony. Te aspekty proceduralne odzwierciedlają również odpowiednie wymogi określone w rozporządzeniu (UE) 2016/679.

| (79) | W przypadku braku rozporządzeń stwierdzających odpowiedni stopień ochrony międzynarodowe przekazywanie danych może mieć miejsce, jeżeli administrator lub podmiot przetwarzający zapewnili odpowiednie zabezpieczenia zgodnie z art. 46 RODO UK. Zabezpieczenia te są podobne do tych, określonych w art. 46 rozporządzenia (UE) 2016/679. Obejmują one prawnie wiążące i możliwe do wyegzekwowania instrumenty między organami lub podmiotami publicznymi, wiążące reguły korporacyjne (75), standardowe klauzule o ochronie danych, zatwierdzone kodeksy postępowania, zatwierdzone mechanizmy certyfikacji oraz – za zgodą Komisarza ds. Informacji – klauzule umowne między administratorami (lub podmiotami przetwarzającymi) lub porozumienia administracyjne między organami publicznymi. Z proceduralnego punktu widzenia zmieniono jednak reguły, aby funkcjonowały w ramach Zjednoczonego Królestwa, w szczególności Sekretarz Stanu (art. 17C) lub Komisarz ds. Informacji (art. 119A) mogą przyjąć standardowe klauzule o ochronie danych zgodnie z DPA 2018. |
| --- | --- |

(79)

W przypadku braku rozporządzeń stwierdzających odpowiedni stopień ochrony międzynarodowe przekazywanie danych może mieć miejsce, jeżeli administrator lub podmiot przetwarzający zapewnili odpowiednie zabezpieczenia zgodnie z art. 46 RODO UK. Zabezpieczenia te są podobne do tych, określonych w art. 46 rozporządzenia (UE) 2016/679. Obejmują one prawnie wiążące i możliwe do wyegzekwowania instrumenty między organami lub podmiotami publicznymi, wiążące reguły korporacyjne (75), standardowe klauzule o ochronie danych, zatwierdzone kodeksy postępowania, zatwierdzone mechanizmy certyfikacji oraz – za zgodą Komisarza ds. Informacji – klauzule umowne między administratorami (lub podmiotami przetwarzającymi) lub porozumienia administracyjne między organami publicznymi. Z proceduralnego punktu widzenia zmieniono jednak reguły, aby funkcjonowały w ramach Zjednoczonego Królestwa, w szczególności Sekretarz Stanu (art. 17C) lub Komisarz ds. Informacji (art. 119A) mogą przyjąć standardowe klauzule o ochronie danych zgodnie z DPA 2018.

75

| (80) | W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń, przekazywanie danych może nastąpić wyłącznie na podstawie wyjątków określonych w art. 49 RODO UK (76). W RODO UK nie wprowadzono żadnych istotnych zmian w zakresie wyjątków w porównaniu z odpowiednimi przepisami rozporządzenia (UE) 2016/679. Zgodnie z RODO UK, podobnie jak w przypadku rozporządzenia (UE) 2016/679, na określone wyjątki można się powoływać wyłącznie w przypadku gdy przekazywanie danych ma charakter sporadyczny (77). Ponadto Komisarz ds. Informacji w swoich wytycznych dotyczących międzynarodowego przekazywania danych wyjaśnia, że: „Należy je stosować wyłącznie jako faktyczne »wyjątki« od ogólnej zasady, zgodnie z którą nie należy przekazywać danych w sposób ograniczony, chyba że jest to przedmiotem decyzji stwierdzającej odpowiedni stopień ochrony lub istnieją odpowiednie zabezpieczenia” (78). W odniesieniu do przekazania, które jest niezbędne ze względu na ważne względy interesu publicznego (art. 49 ust. 1 lit. d)), Sekretarz Stanu może przyjąć przepisy w celu określenia okoliczności, w których przekazywanie danych osobowych państwu trzeciemu lub organizacji międzynarodowej nie jest niezbędne ze względu na ważne względy interesu publicznego. Ponadto na mocy rozporządzenia Sekretarz Stanu może ograniczyć przekazywanie danej kategorii danych osobowych do państwa trzeciego lub organizacji międzynarodowej, jeżeli przekazanie nie może nastąpić na podstawie rozporządzeń stwierdzających odpowiedni stopień ochrony, a Sekretarz Stanu uważa, że ograniczenie jest niezbędne ze względu na ważne względy interesu publicznego. Dotychczas nie przyjęto takich przepisów. |
| --- | --- |

(80)

W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń, przekazywanie danych może nastąpić wyłącznie na podstawie wyjątków określonych w art. 49 RODO UK (76). W RODO UK nie wprowadzono żadnych istotnych zmian w zakresie wyjątków w porównaniu z odpowiednimi przepisami rozporządzenia (UE) 2016/679. Zgodnie z RODO UK, podobnie jak w przypadku rozporządzenia (UE) 2016/679, na określone wyjątki można się powoływać wyłącznie w przypadku gdy przekazywanie danych ma charakter sporadyczny (77). Ponadto Komisarz ds. Informacji w swoich wytycznych dotyczących międzynarodowego przekazywania danych wyjaśnia, że: „Należy je stosować wyłącznie jako faktyczne »wyjątki« od ogólnej zasady, zgodnie z którą nie należy przekazywać danych w sposób ograniczony, chyba że jest to przedmiotem decyzji stwierdzającej odpowiedni stopień ochrony lub istnieją odpowiednie zabezpieczenia” (78). W odniesieniu do przekazania, które jest niezbędne ze względu na ważne względy interesu publicznego (art. 49 ust. 1 lit. d)), Sekretarz Stanu może przyjąć przepisy w celu określenia okoliczności, w których przekazywanie danych osobowych państwu trzeciemu lub organizacji międzynarodowej nie jest niezbędne ze względu na ważne względy interesu publicznego. Ponadto na mocy rozporządzenia Sekretarz Stanu może ograniczyć przekazywanie danej kategorii danych osobowych do państwa trzeciego lub organizacji międzynarodowej, jeżeli przekazanie nie może nastąpić na podstawie rozporządzeń stwierdzających odpowiedni stopień ochrony, a Sekretarz Stanu uważa, że ograniczenie jest niezbędne ze względu na ważne względy interesu publicznego. Dotychczas nie przyjęto takich przepisów.

76

77

78

| (81) | Wspomniane ramy dotyczące międzynarodowego przekazywania danych zaczęły obowiązywać na koniec okresu przejściowego (79). Pkt 4 załącznika 21 do DPA 2018 (wprowadzony na mocy rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej) stanowi jednak, że do zakończenia okresu przejściowego określone przekazania danych osobowych są traktowane tak, jakby opierały się na rozporządzeniach stwierdzających odpowiedni stopień ochrony. Przekazania te obejmują przekazania danych do państwa EOG, na terytorium Gibraltaru, do instytucji, organu i jednostki organizacyjnej UE ustanowionych na mocy lub na podstawie Traktatu o Unii Europejskiej oraz do państw trzecich będących przedmiotem decyzji UE stwierdzającej odpowiedni stopień ochrony na koniec okresu przejściowego. W związku z tym przekazywanie danych do tych państw może nadal się odbywać na takich samych zasadach jak przed wystąpieniem Zjednoczonego Królestwa z Unii Europejskiej. Po zakończeniu okresu przejściowego Sekretarz Stanu ma obowiązek przeprowadzić przegląd tych ustaleń dotyczących odpowiedniego stopnia ochrony w terminie czterech lat, tj. do końca grudnia 2024 r. Zgodnie z wyjaśnieniem przedstawionym przez władze Zjednoczonego Królestwa, mimo że Sekretarz Stanu ma obowiązek przeprowadzić taki przegląd do końca grudnia 2024 r., przepisy przejściowe nie obejmują przepisu dotyczącego „wygaśnięcia” i odpowiednie przepisy przejściowe nie przestaną automatycznie obowiązywać, jeżeli przegląd nie zostanie zakończony do końca grudnia 2024 r. |
| --- | --- |

(81)

Wspomniane ramy dotyczące międzynarodowego przekazywania danych zaczęły obowiązywać na koniec okresu przejściowego (79). Pkt 4 załącznika 21 do DPA 2018 (wprowadzony na mocy rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej) stanowi jednak, że do zakończenia okresu przejściowego określone przekazania danych osobowych są traktowane tak, jakby opierały się na rozporządzeniach stwierdzających odpowiedni stopień ochrony. Przekazania te obejmują przekazania danych do państwa EOG, na terytorium Gibraltaru, do instytucji, organu i jednostki organizacyjnej UE ustanowionych na mocy lub na podstawie Traktatu o Unii Europejskiej oraz do państw trzecich będących przedmiotem decyzji UE stwierdzającej odpowiedni stopień ochrony na koniec okresu przejściowego. W związku z tym przekazywanie danych do tych państw może nadal się odbywać na takich samych zasadach jak przed wystąpieniem Zjednoczonego Królestwa z Unii Europejskiej. Po zakończeniu okresu przejściowego Sekretarz Stanu ma obowiązek przeprowadzić przegląd tych ustaleń dotyczących odpowiedniego stopnia ochrony w terminie czterech lat, tj. do końca grudnia 2024 r. Zgodnie z wyjaśnieniem przedstawionym przez władze Zjednoczonego Królestwa, mimo że Sekretarz Stanu ma obowiązek przeprowadzić taki przegląd do końca grudnia 2024 r., przepisy przejściowe nie obejmują przepisu dotyczącego „wygaśnięcia” i odpowiednie przepisy przejściowe nie przestaną automatycznie obowiązywać, jeżeli przegląd nie zostanie zakończony do końca grudnia 2024 r.

79

| (82) | Jeśli chodzi wreszcie o przyszłą ewolucję międzynarodowego systemu Zjednoczonego Królestwa w zakresie przekazywania danych – czy to poprzez przyjęcie nowych rozporządzeń stwierdzających odpowiedni stopień ochrony, zawieranie umów międzynarodowych lub wypracowanie innych mechanizmów przekazywania – Komisja będzie ściśle monitorować sytuację, oceniać, czy poszczególne mechanizmy transferu są wykorzystywane w sposób zapewniający ciągłość ochrony, oraz, w razie konieczności, podejmować odpowiednie środki w celu zaradzenia ewentualnym negatywnym skutkom dla takiej ciągłości (zob. motywy 278–287). Ponieważ UE i Zjednoczone Królestwo mają podobne zasady dotyczące międzynarodowego przekazywania danych, można się spodziewać, że problematycznym rozbieżnościom będzie można również zapobiec dzięki współpracy oraz wymianie informacji i doświadczeń, m.in. między Komisarzem ds. Informacji a EROD. |
| --- | --- |

(82)

Jeśli chodzi wreszcie o przyszłą ewolucję międzynarodowego systemu Zjednoczonego Królestwa w zakresie przekazywania danych – czy to poprzez przyjęcie nowych rozporządzeń stwierdzających odpowiedni stopień ochrony, zawieranie umów międzynarodowych lub wypracowanie innych mechanizmów przekazywania – Komisja będzie ściśle monitorować sytuację, oceniać, czy poszczególne mechanizmy transferu są wykorzystywane w sposób zapewniający ciągłość ochrony, oraz, w razie konieczności, podejmować odpowiednie środki w celu zaradzenia ewentualnym negatywnym skutkom dla takiej ciągłości (zob. motywy 278–287). Ponieważ UE i Zjednoczone Królestwo mają podobne zasady dotyczące międzynarodowego przekazywania danych, można się spodziewać, że problematycznym rozbieżnościom będzie można również zapobiec dzięki współpracy oraz wymianie informacji i doświadczeń, m.in. między Komisarzem ds. Informacji a EROD.

2.5.8.   Rozliczalność

Rozliczalność

| (83) | Zgodnie z zasadą rozliczalności podmioty przetwarzające dane są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby skutecznie przestrzegać swoich obowiązków w zakresie ochrony danych oraz być w stanie wykazać taką zgodność, zwłaszcza wobec właściwego organu nadzorczego. |
| --- | --- |

(83)

Zgodnie z zasadą rozliczalności podmioty przetwarzające dane są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby skutecznie przestrzegać swoich obowiązków w zakresie ochrony danych oraz być w stanie wykazać taką zgodność, zwłaszcza wobec właściwego organu nadzorczego.

| (84) | Zasadę rozliczalności przewidzianą w rozporządzeniu (UE) 2016/679 zachowano bez istotnych zmian w art. 5 ust. 2 RODO UK i to samo odnosi się do art. 24 dotyczącego obowiązków administratora, art. 25 dotyczącego uwzględnienia ochrony danych w fazie projektowania oraz domyślnej ochrony danych, a także art. 30 dotyczącego rejestrowania czynności przetwarzania. Zachowano również art. 35 i 36 dotyczące oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym. W RODO UK zachowano bez istotnych zmian przepisy art. 37–39 rozporządzenia (UE) 2016/679 dotyczące wyznaczenia inspektora ochrony danych i jego zadań. Ponadto w RODO UK zachowano przepisy art. 40 i 42 rozporządzenia (UE) 2016/679 dotyczące kodeksu postępowania i certyfikacji (80). |
| --- | --- |

(84)

Zasadę rozliczalności przewidzianą w rozporządzeniu (UE) 2016/679 zachowano bez istotnych zmian w art. 5 ust. 2 RODO UK i to samo odnosi się do art. 24 dotyczącego obowiązków administratora, art. 25 dotyczącego uwzględnienia ochrony danych w fazie projektowania oraz domyślnej ochrony danych, a także art. 30 dotyczącego rejestrowania czynności przetwarzania. Zachowano również art. 35 i 36 dotyczące oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym. W RODO UK zachowano bez istotnych zmian przepisy art. 37–39 rozporządzenia (UE) 2016/679 dotyczące wyznaczenia inspektora ochrony danych i jego zadań. Ponadto w RODO UK zachowano przepisy art. 40 i 42 rozporządzenia (UE) 2016/679 dotyczące kodeksu postępowania i certyfikacji (80).

80

2.6.   Nadzór i egzekwowanie przepisów

Nadzór i egzekwowanie przepisów

2.6.1.   Niezależny nadzór

Niezależny nadzór

| (85) | Aby zagwarantować w praktyce odpowiedni stopień ochrony danych, należy ustanowić niezależny organ nadzorczy, uprawniony do monitorowania i egzekwowania zgodności z przepisami o ochronie danych. W ramach wykonywanych obowiązków i realizowanych uprawnień organ ten powinien być całkowicie niezależny i bezstronny. |
| --- | --- |

(85)

Aby zagwarantować w praktyce odpowiedni stopień ochrony danych, należy ustanowić niezależny organ nadzorczy, uprawniony do monitorowania i egzekwowania zgodności z przepisami o ochronie danych. W ramach wykonywanych obowiązków i realizowanych uprawnień organ ten powinien być całkowicie niezależny i bezstronny.

| (86) | W Zjednoczonym Królestwie za nadzór i egzekwowanie zgodności z przepisami RODO UK i DPA 2018 odpowiada Komisarz ds. Informacji. Komisarz ds. Informacji jest „pojedynczą osobą prawną”: odrębnym podmiotem prawnym składającym się z jednej osoby. Komisarza ds. Informacji wspiera w pracy biuro. W dniu 31 marca 2020 r. Biuro Komisarza ds. Informacji zatrudniało 768 stałych pracowników (81). Departamentem finansującym Komisarza ds. Informacji jest Departament Cyfryzacji, Kultury, Mediów i Sportu (82). |
| --- | --- |

(86)

W Zjednoczonym Królestwie za nadzór i egzekwowanie zgodności z przepisami RODO UK i DPA 2018 odpowiada Komisarz ds. Informacji. Komisarz ds. Informacji jest „pojedynczą osobą prawną”: odrębnym podmiotem prawnym składającym się z jednej osoby. Komisarza ds. Informacji wspiera w pracy biuro. W dniu 31 marca 2020 r. Biuro Komisarza ds. Informacji zatrudniało 768 stałych pracowników (81). Departamentem finansującym Komisarza ds. Informacji jest Departament Cyfryzacji, Kultury, Mediów i Sportu (82).

81

82

| (87) | Kwestię niezależności Komisarza ds. Informacji wyraźnie uregulowano w art. 52 RODO UK, w którym nie wprowadzono żadnych istotnych zmian względem art. 52 ust. 1–3 RODO. Komisarz musi działać z zachowaniem pełnej niezależności, wykonując swoje zadania i uprawnienia zgodnie z RODO UK, pozostawać wolny od bezpośrednich lub pośrednich wpływów zewnętrznych w odniesieniu do tych zadań i uprawnień oraz nie może zwracać się do nikogo o instrukcje ani ich od nikogo przyjmować. Komisarz musi również powstrzymać się od wszelkich czynności sprzecznych ze swoimi obowiązkami i w okresie sprawowania urzędu nie może podejmować żadnego zajęcia zarobkowego ani niezarobkowego sprzecznego z tymi obowiązkami. |
| --- | --- |

(87)

Kwestię niezależności Komisarza ds. Informacji wyraźnie uregulowano w art. 52 RODO UK, w którym nie wprowadzono żadnych istotnych zmian względem art. 52 ust. 1–3 RODO. Komisarz musi działać z zachowaniem pełnej niezależności, wykonując swoje zadania i uprawnienia zgodnie z RODO UK, pozostawać wolny od bezpośrednich lub pośrednich wpływów zewnętrznych w odniesieniu do tych zadań i uprawnień oraz nie może zwracać się do nikogo o instrukcje ani ich od nikogo przyjmować. Komisarz musi również powstrzymać się od wszelkich czynności sprzecznych ze swoimi obowiązkami i w okresie sprawowania urzędu nie może podejmować żadnego zajęcia zarobkowego ani niezarobkowego sprzecznego z tymi obowiązkami.

| (88) | Warunki powoływania i odwoływania Komisarza ds. Informacji określono w załączniku 12 do DPA 2018. Komisarz ds. Informacji jest powoływany przez Jej Królewską Mość na wniosek rządu w wyniku uczciwego i otwartego konkursu. Kandydat musi posiadać odpowiednie kwalifikacje, umiejętności i kompetencje. Zgodnie z kodeksem zarządzania w zakresie nominacji publicznych (83) zespół doradczy ds. oceny sporządza wykaz ewentualnych kandydatów. Zanim Sekretarz Stanu w Departamencie Cyfryzacji, Kultury, Mediów i Sportu podejmie ostateczną decyzję, właściwa komisja specjalna parlamentu musi przeprowadzić kontrolę poprzedzającą nominację. Stanowisko komisji podaje się do wiadomości publicznej (84). |
| --- | --- |

(88)

Warunki powoływania i odwoływania Komisarza ds. Informacji określono w załączniku 12 do DPA 2018. Komisarz ds. Informacji jest powoływany przez Jej Królewską Mość na wniosek rządu w wyniku uczciwego i otwartego konkursu. Kandydat musi posiadać odpowiednie kwalifikacje, umiejętności i kompetencje. Zgodnie z kodeksem zarządzania w zakresie nominacji publicznych (83) zespół doradczy ds. oceny sporządza wykaz ewentualnych kandydatów. Zanim Sekretarz Stanu w Departamencie Cyfryzacji, Kultury, Mediów i Sportu podejmie ostateczną decyzję, właściwa komisja specjalna parlamentu musi przeprowadzić kontrolę poprzedzającą nominację. Stanowisko komisji podaje się do wiadomości publicznej (84).

83

84

| (89) | Kadencja Komisarza ds. Informacji trwa maksymalnie siedem lat. Ta sama osoba nie może zostać powołana na stanowisko Komisarza ds. Informacji więcej niż jeden raz. Jej Królewska Mość może odwołać Komisarza ds. Informacji ze stanowiska na podstawie oświadczenia obu izb parlamentu (85). Wniosek o odwołanie Komisarza ds. Informacji może zostać przedstawiony jednej z izb parlamentu jedynie w wypadku, gdy minister przedstawi sprawozdanie, w którym wyrazi przekonanie, że Komisarz ds. Informacji jest winny poważnego uchybienia lub nie spełnia już warunków wymaganych do sprawowania funkcji Komisarza (86). |
| --- | --- |

(89)

Kadencja Komisarza ds. Informacji trwa maksymalnie siedem lat. Ta sama osoba nie może zostać powołana na stanowisko Komisarza ds. Informacji więcej niż jeden raz. Jej Królewska Mość może odwołać Komisarza ds. Informacji ze stanowiska na podstawie oświadczenia obu izb parlamentu (85). Wniosek o odwołanie Komisarza ds. Informacji może zostać przedstawiony jednej z izb parlamentu jedynie w wypadku, gdy minister przedstawi sprawozdanie, w którym wyrazi przekonanie, że Komisarz ds. Informacji jest winny poważnego uchybienia lub nie spełnia już warunków wymaganych do sprawowania funkcji Komisarza (86).

85

86

| (90) | Środki na finansowanie działalności Komisarza ds. Informacji pochodzą z trzech źródeł: (i) opłat za ochronę danych wnoszonych przez administratorów, które są ustalane na podstawie rozporządzeń wydanych przez Sekretarza Stanu (87) (rozporządzenie dotyczące opłat i informacji związanych z ochroną danych z 2018 r.) i wynoszą 85–90 % rocznego budżetu Biura (88); (ii) subwencji wypłacanych przez rząd na rzecz Komisarza ds. Informacji, wykorzystywanych głównie do finansowania kosztów operacyjnych Komisarza ds. Informacji w odniesieniu do zadań niezwiązanych z ochroną danych (89); oraz (iii) opłat pobieranych z tytułu świadczenia usług (90). Obecnie nie pobiera się takich opłat. |
| --- | --- |

(90)

Środki na finansowanie działalności Komisarza ds. Informacji pochodzą z trzech źródeł: (i) opłat za ochronę danych wnoszonych przez administratorów, które są ustalane na podstawie rozporządzeń wydanych przez Sekretarza Stanu (87) (rozporządzenie dotyczące opłat i informacji związanych z ochroną danych z 2018 r.) i wynoszą 85–90 % rocznego budżetu Biura (88); (ii) subwencji wypłacanych przez rząd na rzecz Komisarza ds. Informacji, wykorzystywanych głównie do finansowania kosztów operacyjnych Komisarza ds. Informacji w odniesieniu do zadań niezwiązanych z ochroną danych (89); oraz (iii) opłat pobieranych z tytułu świadczenia usług (90). Obecnie nie pobiera się takich opłat.

87

88

89

90

| (91) | Ogólne funkcje Komisarza ds. Informacji dotyczące przetwarzania danych osobowych, do których ma zastosowanie ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa, określono w art. 57 RODO UK, wiernie odzwierciedlając odpowiednie przepisy rozporządzenia (UE) 2016/679. Jego funkcje obejmują monitorowanie i egzekwowanie przepisów RODO UK, promowanie świadomości społecznej, rozpatrywanie skarg wnoszonych przez osoby, których dane dotyczą, prowadzenie postępowań itp. Ponadto w art. 115 DPA 2018 określono inne ogólne funkcje Komisarza, które obejmują obowiązek doradzania parlamentowi, rządowi i innym instytucjom i organom w sprawie środków prawnych i administracyjnych związanych z ochroną praw i wolności osób fizycznych w odniesieniu do przetwarzania danych osobowych, oraz uprawnienia do wydawania, z inicjatywy Komisarza lub na wniosek, opinii przeznaczonych dla parlamentu, rządu lub innych instytucji i organów, a także ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. Nadzór nad sądownictwem zapewniają wyspecjalizowane organy (zob. motywy 99–103). |
| --- | --- |

(91)

Ogólne funkcje Komisarza ds. Informacji dotyczące przetwarzania danych osobowych, do których ma zastosowanie ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa, określono w art. 57 RODO UK, wiernie odzwierciedlając odpowiednie przepisy rozporządzenia (UE) 2016/679. Jego funkcje obejmują monitorowanie i egzekwowanie przepisów RODO UK, promowanie świadomości społecznej, rozpatrywanie skarg wnoszonych przez osoby, których dane dotyczą, prowadzenie postępowań itp. Ponadto w art. 115 DPA 2018 określono inne ogólne funkcje Komisarza, które obejmują obowiązek doradzania parlamentowi, rządowi i innym instytucjom i organom w sprawie środków prawnych i administracyjnych związanych z ochroną praw i wolności osób fizycznych w odniesieniu do przetwarzania danych osobowych, oraz uprawnienia do wydawania, z inicjatywy Komisarza lub na wniosek, opinii przeznaczonych dla parlamentu, rządu lub innych instytucji i organów, a także ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. Nadzór nad sądownictwem zapewniają wyspecjalizowane organy (zob. motywy 99–103).

2.6.2.   Egzekwowanie przepisów, w tym sankcje

Egzekwowanie przepisów, w tym sankcje

| (92) | Uprawnienia Komisarza ds. Informacji określono w art. 58 RODO UK, w którym nie wprowadzono żadnych istotnych zmian w porównaniu z odpowiednim artykułem rozporządzenia (UE) 2016/679. DPA 2018 zawiera przepisy uzupełniające dotyczące sposobu wykonywania tych uprawnień. W szczególności Komisarz posiada uprawnienia w zakresie: a) nakazania administratorowi i podmiotowi przetwarzającemu (a w określonych okolicznościach każdej innej osobie) dostarczenia niezbędnych informacji poprzez publikację zawiadomienia informacyjnego („zawiadomienie informacyjne”) (91); b) prowadzenia postępowań i audytów poprzez wydanie zawiadomienia oceniającego, na mocy którego administrator lub podmiot przetwarzający może być zobowiązany do zezwolenia Komisarzowi na wejście do określonych pomieszczeń, przeprowadzenie inspekcji lub analizy dokumentów lub sprzętu, przesłuchanie osób przetwarzających dane osobowe w imieniu administratora itp. („zawiadomienie oceniające”) (92); c) uzyskania w inny sposób dostępu do dokumentów itp. administratorów i podmiotów przetwarzających oraz dostępu do ich pomieszczeń zgodnie z art. 154 DPA 2018 („uprawnienia do wstępu i inspekcji”); d) wykonywania uprawnień naprawczych, w tym za pomocą ostrzeżeń i upomnień lub wydawania nakazów w postaci zawiadomienia egzekucyjnego, w ramach którego zobowiązuje się administratorów/podmioty przetwarzające do podjęcia lub powstrzymania się od podjęcia konkretnych kroków, w tym nakazuje się administratorowi lub podmiotowi przetwarzającemu podjęcie działań określonych w art. 58 ust. 2 lit. c)–g) i j) RODO UK („zawiadomienie egzekucyjne”) (93); e) oraz nakładania administracyjnych kar pieniężnych w drodze zawiadomienia w sprawie sankcji („zawiadomienie w sprawie sankcji”) (94). Kary takie mogą zostać nałożone również w przypadku nieprzestrzegania przez organ publiczny przepisów RODO UK (95). |
| --- | --- |

(92)

Uprawnienia Komisarza ds. Informacji określono w art. 58 RODO UK, w którym nie wprowadzono żadnych istotnych zmian w porównaniu z odpowiednim artykułem rozporządzenia (UE) 2016/679. DPA 2018 zawiera przepisy uzupełniające dotyczące sposobu wykonywania tych uprawnień. W szczególności Komisarz posiada uprawnienia w zakresie: a) nakazania administratorowi i podmiotowi przetwarzającemu (a w określonych okolicznościach każdej innej osobie) dostarczenia niezbędnych informacji poprzez publikację zawiadomienia informacyjnego („zawiadomienie informacyjne”) (91); b) prowadzenia postępowań i audytów poprzez wydanie zawiadomienia oceniającego, na mocy którego administrator lub podmiot przetwarzający może być zobowiązany do zezwolenia Komisarzowi na wejście do określonych pomieszczeń, przeprowadzenie inspekcji lub analizy dokumentów lub sprzętu, przesłuchanie osób przetwarzających dane osobowe w imieniu administratora itp. („zawiadomienie oceniające”) (92); c) uzyskania w inny sposób dostępu do dokumentów itp. administratorów i podmiotów przetwarzających oraz dostępu do ich pomieszczeń zgodnie z art. 154 DPA 2018 („uprawnienia do wstępu i inspekcji”); d) wykonywania uprawnień naprawczych, w tym za pomocą ostrzeżeń i upomnień lub wydawania nakazów w postaci zawiadomienia egzekucyjnego, w ramach którego zobowiązuje się administratorów/podmioty przetwarzające do podjęcia lub powstrzymania się od podjęcia konkretnych kroków, w tym nakazuje się administratorowi lub podmiotowi przetwarzającemu podjęcie działań określonych w art. 58 ust. 2 lit. c)–g) i j) RODO UK („zawiadomienie egzekucyjne”) (93); e) oraz nakładania administracyjnych kar pieniężnych w drodze zawiadomienia w sprawie sankcji („zawiadomienie w sprawie sankcji”) (94). Kary takie mogą zostać nałożone również w przypadku nieprzestrzegania przez organ publiczny przepisów RODO UK (95).

91

92

93

94

95

| (93) | W ramach polityki działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których Komisarz ds. Informacji może wydać zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji (96). W ramach zawiadomienia egzekucyjnego wydanego w odpowiedzi na uchybienie administratora lub podmiotu przetwarzającego możliwe jest nakładanie wyłącznie wymogów, które Komisarz uzna za właściwe w celu zaradzenia uchybieniu. Zawiadomienia egzekucyjne i w sprawie sankcji można wydać w odniesieniu do administratora lub podmiotu przetwarzającego w związku z naruszeniem przepisów rozdziału II RODO UK (zasady przetwarzania), art. 12–22 (prawa osoby, której dane dotyczą), art. 25–39 (obowiązki administratorów i podmiotów przetwarzających) oraz art. 44–49 (międzynarodowe przekazywanie danych) RODO UK. Zawiadomienie egzekucyjne można również wydać w przypadku gdy administrator nie spełnił wymogu uiszczenia opłaty określonej w przepisach zawartych w art. 137 DPA 2018. Ponadto podmiot monitorujący, o którym mowa w art. 41, lub podmiot świadczący usługi certyfikacyjne mogą otrzymać zawiadomienie egzekucyjne, jeżeli nie wypełnili swoich zobowiązań wynikających z RODO UK. Zawiadomienie w sprawie sankcji można również wydać w odniesieniu do osoby, która nie zastosowała się do zawiadomienia informacyjnego, oceniającego ani egzekucyjnego. |
| --- | --- |

(93)

W ramach polityki działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których Komisarz ds. Informacji może wydać zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji (96). W ramach zawiadomienia egzekucyjnego wydanego w odpowiedzi na uchybienie administratora lub podmiotu przetwarzającego możliwe jest nakładanie wyłącznie wymogów, które Komisarz uzna za właściwe w celu zaradzenia uchybieniu. Zawiadomienia egzekucyjne i w sprawie sankcji można wydać w odniesieniu do administratora lub podmiotu przetwarzającego w związku z naruszeniem przepisów rozdziału II RODO UK (zasady przetwarzania), art. 12–22 (prawa osoby, której dane dotyczą), art. 25–39 (obowiązki administratorów i podmiotów przetwarzających) oraz art. 44–49 (międzynarodowe przekazywanie danych) RODO UK. Zawiadomienie egzekucyjne można również wydać w przypadku gdy administrator nie spełnił wymogu uiszczenia opłaty określonej w przepisach zawartych w art. 137 DPA 2018. Ponadto podmiot monitorujący, o którym mowa w art. 41, lub podmiot świadczący usługi certyfikacyjne mogą otrzymać zawiadomienie egzekucyjne, jeżeli nie wypełnili swoich zobowiązań wynikających z RODO UK. Zawiadomienie w sprawie sankcji można również wydać w odniesieniu do osoby, która nie zastosowała się do zawiadomienia informacyjnego, oceniającego ani egzekucyjnego.

96

| (94) | W ramach zawiadomienia w sprawie sankcji zobowiązuje się daną osobę do wpłacenia na rzecz Komisarza ds. Informacji kwoty określonej w zawiadomieniu. Podejmując decyzję o wydaniu zawiadomienia w sprawie sankcji danej osobie i określając kwotę sankcji, Komisarz ds. Informacji musi uwzględnić kwestie wymienione w art. 83 ust. 1 i 2 RODO UK, które są identyczne z odpowiednimi przepisami rozporządzenia (UE) 2016/679 (97). Zgodnie z art. 83 ust. 4 i 5 maksymalne kwoty administracyjnych kar pieniężnych w przypadku niewypełnienia zobowiązań, o których mowa we wspomnianych przepisach, wynoszą odpowiednio 8 700 000 GBP lub 17 500 000 GBP. W przypadku przedsiębiorstwa Komisarz ds. Informacji może również nałożyć grzywnę stanowiącą odsetek rocznego światowego obrotu, przy czym zastosowanie ma kwota wyższa. Podobnie jak w równoważnych przepisach rozporządzenia (UE) 2016/679, kwoty te ustalono w art. 83 ust. 4 i 5 odpowiednio na poziomie 2 % i 4 %. W przypadku niezastosowania się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego maksymalna kwota sankcji, jaką można nałożyć w ramach zawiadomienia w sprawie sankcji, jest równa wyższej z następujących kwot: 17 500 000 GBP lub – w przypadku przedsiębiorstwa – 4 % rocznego światowego obrotu. |
| --- | --- |

(94)

W ramach zawiadomienia w sprawie sankcji zobowiązuje się daną osobę do wpłacenia na rzecz Komisarza ds. Informacji kwoty określonej w zawiadomieniu. Podejmując decyzję o wydaniu zawiadomienia w sprawie sankcji danej osobie i określając kwotę sankcji, Komisarz ds. Informacji musi uwzględnić kwestie wymienione w art. 83 ust. 1 i 2 RODO UK, które są identyczne z odpowiednimi przepisami rozporządzenia (UE) 2016/679 (97). Zgodnie z art. 83 ust. 4 i 5 maksymalne kwoty administracyjnych kar pieniężnych w przypadku niewypełnienia zobowiązań, o których mowa we wspomnianych przepisach, wynoszą odpowiednio 8 700 000 GBP lub 17 500 000 GBP. W przypadku przedsiębiorstwa Komisarz ds. Informacji może również nałożyć grzywnę stanowiącą odsetek rocznego światowego obrotu, przy czym zastosowanie ma kwota wyższa. Podobnie jak w równoważnych przepisach rozporządzenia (UE) 2016/679, kwoty te ustalono w art. 83 ust. 4 i 5 odpowiednio na poziomie 2 % i 4 %. W przypadku niezastosowania się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego maksymalna kwota sankcji, jaką można nałożyć w ramach zawiadomienia w sprawie sankcji, jest równa wyższej z następujących kwot: 17 500 000 GBP lub – w przypadku przedsiębiorstwa – 4 % rocznego światowego obrotu.

97

| (95) | RODO UK wraz z DPA 2018 przyczyniły się również do wzmocnienia innych uprawnień Komisarza ds. Informacji. Przykładowo Komisarz może obecnie przeprowadzać obowiązkowe kontrole w odniesieniu do wszystkich administratorów i podmiotów przetwarzających w drodze zawiadomień oceniających, podczas gdy na mocy poprzednich przepisów – ustawy o ochronie danych z 1998 r. – Komisarz miał takie uprawnienia wyłącznie w odniesieniu do instytucji rządowych na szczeblu centralnym i organizacji zajmujących się ochroną zdrowia, zaś pozostałe podmioty musiały wyrazić zgodę na kontrolę. |
| --- | --- |

(95)

RODO UK wraz z DPA 2018 przyczyniły się również do wzmocnienia innych uprawnień Komisarza ds. Informacji. Przykładowo Komisarz może obecnie przeprowadzać obowiązkowe kontrole w odniesieniu do wszystkich administratorów i podmiotów przetwarzających w drodze zawiadomień oceniających, podczas gdy na mocy poprzednich przepisów – ustawy o ochronie danych z 1998 r. – Komisarz miał takie uprawnienia wyłącznie w odniesieniu do instytucji rządowych na szczeblu centralnym i organizacji zajmujących się ochroną zdrowia, zaś pozostałe podmioty musiały wyrazić zgodę na kontrolę.

| (96) | Od czasu wprowadzenia rozporządzenia (UE) 2016/679 Komisarz ds. Informacji rozpatruje rocznie około 40 000 skarg od osób, których dane dotyczą (98), a ponadto prowadzi około 2 000 postępowań z urzędu (99). Większość skarg dotyczy praw dostępu do danych i praw do ich ujawniania. W następstwie prowadzonych postępowań Komisarz podejmuje środki egzekucyjne w wielu sektorach. Mówiąc ściślej, według ostatniego sprawozdania rocznego Komisarza ds. Informacji (2019–2020) (100), w okresie sprawozdawczym Komisarz wydał 54 zawiadomienia informacyjne, 8 zawiadomień oceniających, 7 zawiadomień egzekucyjnych, 4 ostrzeżenia, doprowadził do 8 oskarżeń i nałożył 15 kar (101). |
| --- | --- |

(96)

Od czasu wprowadzenia rozporządzenia (UE) 2016/679 Komisarz ds. Informacji rozpatruje rocznie około 40 000 skarg od osób, których dane dotyczą (98), a ponadto prowadzi około 2 000 postępowań z urzędu (99). Większość skarg dotyczy praw dostępu do danych i praw do ich ujawniania. W następstwie prowadzonych postępowań Komisarz podejmuje środki egzekucyjne w wielu sektorach. Mówiąc ściślej, według ostatniego sprawozdania rocznego Komisarza ds. Informacji (2019–2020) (100), w okresie sprawozdawczym Komisarz wydał 54 zawiadomienia informacyjne, 8 zawiadomień oceniających, 7 zawiadomień egzekucyjnych, 4 ostrzeżenia, doprowadził do 8 oskarżeń i nałożył 15 kar (101).

98

99

100

101

| (97) | Obejmują one szereg znaczących kar pieniężnych nałożonych na podstawie rozporządzenia (UE) 2016/679 i DPA 2018. W szczególności w październiku 2020 r. Komisarz ds. Informacji nałożył na brytyjskie przedsiębiorstwo lotnicze karę w wysokości 20 mln GBP za naruszenie ochrony danych dotyczące ponad 400 000 klientów. Pod koniec października 2020 r. na międzynarodową sieć hoteli nałożono grzywnę w wysokości 18,4 mln GBP za niedopełnienie obowiązku zapewnienia bezpieczeństwa danych osobowych milionów klientów, a w listopadzie 2020 r. na brytyjskiego usługodawcę sprzedającego w internecie bilety wstępu na imprezy nałożono grzywnę w wysokości 1,25 mln GBP za niedopełnienie obowiązku ochrony danych klientów dotyczących płatności (102). |
| --- | --- |

(97)

Obejmują one szereg znaczących kar pieniężnych nałożonych na podstawie rozporządzenia (UE) 2016/679 i DPA 2018. W szczególności w październiku 2020 r. Komisarz ds. Informacji nałożył na brytyjskie przedsiębiorstwo lotnicze karę w wysokości 20 mln GBP za naruszenie ochrony danych dotyczące ponad 400 000 klientów. Pod koniec października 2020 r. na międzynarodową sieć hoteli nałożono grzywnę w wysokości 18,4 mln GBP za niedopełnienie obowiązku zapewnienia bezpieczeństwa danych osobowych milionów klientów, a w listopadzie 2020 r. na brytyjskiego usługodawcę sprzedającego w internecie bilety wstępu na imprezy nałożono grzywnę w wysokości 1,25 mln GBP za niedopełnienie obowiązku ochrony danych klientów dotyczących płatności (102).

102

| (98) | Oprócz opisanych w motywie 92 uprawnień Komisarza ds. Informacji do egzekwowania przestrzegania przepisów, niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo i mogą tym samym podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład świadomego lub nieopatrznego uzyskania lub ujawnienia danych osobowych bez zgody administratora, doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (103), deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (104), umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (105), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (106). |
| --- | --- |

(98)

Oprócz opisanych w motywie 92 uprawnień Komisarza ds. Informacji do egzekwowania przestrzegania przepisów, niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo i mogą tym samym podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład świadomego lub nieopatrznego uzyskania lub ujawnienia danych osobowych bez zgody administratora, doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (103), deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (104), umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (105), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (106).

103

104

105

106

2.6.3.   Nadzór nad wymiarem sprawiedliwości

Nadzór nad wymiarem sprawiedliwości

| (99) | Nadzór nad przetwarzaniem danych osobowych przez sądy i wymiar sprawiedliwości ma dwojaki charakter. W przypadku gdy osoby zajmujące stanowisko sędziowskie lub sąd nie sprawują wymiaru sprawiedliwości, nadzór sprawuje Komisarz ds. Informacji. W przypadku gdy administrator sprawuje wymiar sprawiedliwości, Komisarz ds. Informacji nie może wykonywać swoich funkcji nadzorczych (107), a nadzór sprawują organy specjalne. Odzwierciedla to podejście przyjęte w rozporządzeniu (UE) 2016/679 (art. 55 ust. 3). |
| --- | --- |

(99)

Nadzór nad przetwarzaniem danych osobowych przez sądy i wymiar sprawiedliwości ma dwojaki charakter. W przypadku gdy osoby zajmujące stanowisko sędziowskie lub sąd nie sprawują wymiaru sprawiedliwości, nadzór sprawuje Komisarz ds. Informacji. W przypadku gdy administrator sprawuje wymiar sprawiedliwości, Komisarz ds. Informacji nie może wykonywać swoich funkcji nadzorczych (107), a nadzór sprawują organy specjalne. Odzwierciedla to podejście przyjęte w rozporządzeniu (UE) 2016/679 (art. 55 ust. 3).

107

| (100) | W szczególności w drugim scenariuszu w przypadku sądów Anglii i Walii i trybunału pierwszej instancji i wyższych trybunałów Anglii i Walii, taki nadzór sprawuje panel sądowy ds. ochrony danych (Judicial Data Protection Panel) (108). Ponadto Lord Chief Justice (zwierzchnik sądownictwa Anglii i Walii) i Senior President of Tribunals (zwierzchnik trybunałów pozasądowych) wydali oświadczenie o ochronie prywatności (109), w którym określili sposób, w jaki sądy w Anglii i Walii przetwarzają dane osobowe w związku z pełnieniem funkcji sądowych. Podobne oświadczenie wydano w systemach sądownictwa Irlandii Północnej (110) i Szkocji (111). |
| --- | --- |

(100)

W szczególności w drugim scenariuszu w przypadku sądów Anglii i Walii i trybunału pierwszej instancji i wyższych trybunałów Anglii i Walii, taki nadzór sprawuje panel sądowy ds. ochrony danych (Judicial Data Protection Panel) (108). Ponadto Lord Chief Justice (zwierzchnik sądownictwa Anglii i Walii) i Senior President of Tribunals (zwierzchnik trybunałów pozasądowych) wydali oświadczenie o ochronie prywatności (109), w którym określili sposób, w jaki sądy w Anglii i Walii przetwarzają dane osobowe w związku z pełnieniem funkcji sądowych. Podobne oświadczenie wydano w systemach sądownictwa Irlandii Północnej (110) i Szkocji (111).

108

109

110

111

| (101) | Ponadto w Irlandii Północnej Lord Chief Justice Irlandii Północnej mianował sędziego Wysokiego Trybunału na stanowisko sędziego sprawującego nadzór nad ochroną danych osobowych (112). Wydano również wytyczne dla kadr wymiaru sprawiedliwości Irlandii Północnej dotyczące postępowania w przypadku utraty lub ewentualnej utraty danych oraz procedury rozwiązywania wszelkich kwestii z tym związanych (113). |
| --- | --- |

(101)

Ponadto w Irlandii Północnej Lord Chief Justice Irlandii Północnej mianował sędziego Wysokiego Trybunału na stanowisko sędziego sprawującego nadzór nad ochroną danych osobowych (112). Wydano również wytyczne dla kadr wymiaru sprawiedliwości Irlandii Północnej dotyczące postępowania w przypadku utraty lub ewentualnej utraty danych oraz procedury rozwiązywania wszelkich kwestii z tym związanych (113).

112

113

| (102) | W Szkocji Lord President (zwierzchnik sądownictwa) wyznaczył sędziego sprawującego nadzór nad ochroną danych osobowych, który rozpatruje wszelkie skargi dotyczące ochrony danych. Odbywa się to na zasadach rozpatrywania skarg sądowych, które odzwierciedlają zasady określone dla Anglii i Walii (114). |
| --- | --- |

(102)

W Szkocji Lord President (zwierzchnik sądownictwa) wyznaczył sędziego sprawującego nadzór nad ochroną danych osobowych, który rozpatruje wszelkie skargi dotyczące ochrony danych. Odbywa się to na zasadach rozpatrywania skarg sądowych, które odzwierciedlają zasady określone dla Anglii i Walii (114).

114

| (103) | Natomiast jeżeli chodzi o Sąd Najwyższy, wyznaczono jednego z sędziów tego sądu do sprawowania nadzoru nad ochroną danych. |
| --- | --- |

(103)

Natomiast jeżeli chodzi o Sąd Najwyższy, wyznaczono jednego z sędziów tego sądu do sprawowania nadzoru nad ochroną danych.

2.6.4.   Środki zaskarżenia

Środki zaskarżenia

| (104) | W celu zapewnienia odpowiedniej ochrony, a zwłaszcza egzekwowania praw indywidualnych, osoba, której dane dotyczą, powinna mieć możliwość korzystania ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym dochodzenia odszkodowania. |
| --- | --- |

(104)

W celu zapewnienia odpowiedniej ochrony, a zwłaszcza egzekwowania praw indywidualnych, osoba, której dane dotyczą, powinna mieć możliwość korzystania ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym dochodzenia odszkodowania.

| (105) | Po pierwsze, osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia RODO UK w odniesieniu do danych osobowych, które jej dotyczą (115). W RODO UK zachowano bez istotnych zmian przepisy dotyczącego tego prawa, określone w art. 77 rozporządzenia (UE) 2016/679. To samo dotyczy art. 57 ust. 1 lit. f) i art. 57 ust. 2, w których określono zadania Komisarza w odniesieniu do rozpatrywania skarg. Jak opisano w motywach 92–98 powyżej, Komisarz ds. Informacji jest uprawniony do oceny przestrzegania RODO UK i DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do podjęcia lub zaniechania koniecznych kroków w przypadku nieprzestrzegania przepisów i nałożenia grzywien. |
| --- | --- |

(105)

Po pierwsze, osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia RODO UK w odniesieniu do danych osobowych, które jej dotyczą (115). W RODO UK zachowano bez istotnych zmian przepisy dotyczącego tego prawa, określone w art. 77 rozporządzenia (UE) 2016/679. To samo dotyczy art. 57 ust. 1 lit. f) i art. 57 ust. 2, w których określono zadania Komisarza w odniesieniu do rozpatrywania skarg. Jak opisano w motywach 92–98 powyżej, Komisarz ds. Informacji jest uprawniony do oceny przestrzegania RODO UK i DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do podjęcia lub zaniechania koniecznych kroków w przypadku nieprzestrzegania przepisów i nałożenia grzywien.

115

| (106) | Po drugie, RODO UK i DPA 2018 zapewniają prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji. Zgodnie z art. 78 ust. 1 RODO UK osoba fizyczna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji Komisarza jej dotyczącej. W ramach kontroli sądowej sędzia bada decyzję zaskarżoną w pozwie i sprawdza, czy Komisarz ds. Informacji działał zgodnie z prawem. Ponadto, zgodnie z art. 78 ust. 2 RODO UK, jeżeli Komisarz nie rozpatrzy odpowiednio skargi złożonej przez osobę, której dane dotyczą, (116) skarżący może skorzystać z środka ochrony prawnej przed sądem. Może on wystąpić do trybunału pierwszej instancji o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (117). Ponadto każda osoba, której Komisarz doręczył jedno z wyżej wymienionych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do trybunału pierwszej instancji (118). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać. |
| --- | --- |

(106)

Po drugie, RODO UK i DPA 2018 zapewniają prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji. Zgodnie z art. 78 ust. 1 RODO UK osoba fizyczna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji Komisarza jej dotyczącej. W ramach kontroli sądowej sędzia bada decyzję zaskarżoną w pozwie i sprawdza, czy Komisarz ds. Informacji działał zgodnie z prawem. Ponadto, zgodnie z art. 78 ust. 2 RODO UK, jeżeli Komisarz nie rozpatrzy odpowiednio skargi złożonej przez osobę, której dane dotyczą, (116) skarżący może skorzystać z środka ochrony prawnej przed sądem. Może on wystąpić do trybunału pierwszej instancji o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (117). Ponadto każda osoba, której Komisarz doręczył jedno z wyżej wymienionych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do trybunału pierwszej instancji (118). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać.

116

117

118

| (107) | Po trzecie, osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu na podstawie art. 79 RODO UK i art. 167 DPA 2018. Jeżeli po otrzymaniu wniosku osoby, której dane dotyczą, sąd stwierdzi, że doszło do naruszenia jej praw wynikających z ustawodawstwa w dziedzinie ochrony danych, sąd może nakazać administratorowi w odniesieniu do tego przetwarzania lub podmiotowi przetwarzającemu działającemu w imieniu tego administratora podjęcie kroków określonych w nakazie lub zaniechanie podejmowania kroków określonych w nakazie. |
| --- | --- |

(107)

Po trzecie, osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu na podstawie art. 79 RODO UK i art. 167 DPA 2018. Jeżeli po otrzymaniu wniosku osoby, której dane dotyczą, sąd stwierdzi, że doszło do naruszenia jej praw wynikających z ustawodawstwa w dziedzinie ochrony danych, sąd może nakazać administratorowi w odniesieniu do tego przetwarzania lub podmiotowi przetwarzającemu działającemu w imieniu tego administratora podjęcie kroków określonych w nakazie lub zaniechanie podejmowania kroków określonych w nakazie.

| (108) | Ponadto, zgodnie z art. 82 RODO UK i art. 168 DPA 2018 każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO UK, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. Przepisy dotyczące odszkodowania i odpowiedzialności zawarte w art. 82 ust. 1–5 RODO UK są identyczne z odpowiadającymi im przepisami rozporządzenia (UE) 2016/679. Zgodnie z art. 168 DPA 2018 szkody niemajątkowe obejmują również cierpienie. Zgodnie z art. 80 RODO UK osoba, której dane dotyczą, ma również prawo do upoważnienia reprezentatywnego organu lub reprezentatywnej organizacji do złożenia do Komisarza skargi w jej imieniu (na podstawie art. 77 RODO UK) oraz do wykonywania w jej imieniu praw, o których mowa w art. 78 (prawo do skutecznego środka ochrony prawnej przed sądem przeciwko Komisarzowi), art. 79 (prawo do skutecznego środka ochrony prawnej przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu) oraz art. 82 (prawo do odszkodowania i pociągnięcia do odpowiedzialności) RODO UK. |
| --- | --- |

(108)

Ponadto, zgodnie z art. 82 RODO UK i art. 168 DPA 2018 każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO UK, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. Przepisy dotyczące odszkodowania i odpowiedzialności zawarte w art. 82 ust. 1–5 RODO UK są identyczne z odpowiadającymi im przepisami rozporządzenia (UE) 2016/679. Zgodnie z art. 168 DPA 2018 szkody niemajątkowe obejmują również cierpienie. Zgodnie z art. 80 RODO UK osoba, której dane dotyczą, ma również prawo do upoważnienia reprezentatywnego organu lub reprezentatywnej organizacji do złożenia do Komisarza skargi w jej imieniu (na podstawie art. 77 RODO UK) oraz do wykonywania w jej imieniu praw, o których mowa w art. 78 (prawo do skutecznego środka ochrony prawnej przed sądem przeciwko Komisarzowi), art. 79 (prawo do skutecznego środka ochrony prawnej przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu) oraz art. 82 (prawo do odszkodowania i pociągnięcia do odpowiedzialności) RODO UK.

| (109) | Po czwarte, oprócz opisanych powyżej możliwości wniesienia środków zaskarżenia każda osoba, która uważa, że jej prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez organy publiczne, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. (119) Osoba fizyczna, która twierdzi, że organ publiczny działał (lub zamierza działać) w sposób niezgodny z prawem określonym w konwencji, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r., może wytoczyć powództwo przeciwko temu organowi przed właściwy sąd lub trybunał lub powołać się na dane prawa w dowolnym postępowaniu sądowym, jeśli jest (lub byłaby) ofiarą działania niezgodnego z prawem. |
| --- | --- |

(109)

Po czwarte, oprócz opisanych powyżej możliwości wniesienia środków zaskarżenia każda osoba, która uważa, że jej prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez organy publiczne, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. (119) Osoba fizyczna, która twierdzi, że organ publiczny działał (lub zamierza działać) w sposób niezgodny z prawem określonym w konwencji, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r., może wytoczyć powództwo przeciwko temu organowi przed właściwy sąd lub trybunał lub powołać się na dane prawa w dowolnym postępowaniu sądowym, jeśli jest (lub byłaby) ofiarą działania niezgodnego z prawem.

119

| (110) | Jeśli sąd stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub środek ochrony prawnej lub wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (120). Sąd może również orzec, że przepis ustawodawczy jest niezgodny z prawem określonym w konwencji. |
| --- | --- |

(110)

Jeśli sąd stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub środek ochrony prawnej lub wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (120). Sąd może również orzec, że przepis ustawodawczy jest niezgodny z prawem określonym w konwencji.

120

| (111) | Ponadto po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszeń praw gwarantowanych na mocy Konwencji o ochronie praw człowieka i podstawowych wolności. |
| --- | --- |

(111)

Ponadto po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszeń praw gwarantowanych na mocy Konwencji o ochronie praw człowieka i podstawowych wolności.

3.   DOSTĘP DO DANYCH OSOBOWYCH PRZEKAZYWANYCH Z UNII EUROPEJSKIEJ I ICH WYKORZYSTYWANIE PRZEZ ORGANY PUBLICZNE W ZJEDNOCZONYM KRÓLESTWIE

DOSTĘP DO DANYCH OSOBOWYCH PRZEKAZYWANYCH Z UNII EUROPEJSKIEJ I ICH WYKORZYSTYWANIE PRZEZ ORGANY PUBLICZNE W ZJEDNOCZONYM KRÓLESTWIE

| (112) | Komisja oceniła również ramy prawne Zjednoczonego Królestwa dotyczące gromadzenia danych osobowych przekazywanych podmiotom gospodarczym w Zjednoczonym Królestwie i późniejszego ich wykorzystywania przez organy publiczne Zjednoczonego Królestwa w interesie publicznym, w szczególności do celów ścigania przestępstw i do celów dotyczących bezpieczeństwa narodowego (zwanego dalej „dostępem rządowym”). Oceniając, czy warunki dostępu rządowego do danych przekazywanych do Zjednoczonego Królestwa na podstawie niniejszej decyzji spełniałyby kryterium „zasadniczej odpowiedniości” zgodnie z art. 45 ust. 1 rozporządzenia (UE) 2016/679, zgodnie z wykładnią dokonaną przez Trybunał Sprawiedliwości Unii Europejskiej w świetle Karty praw podstawowych, Komisja wzięła pod uwagę w szczególności następujące kryteria. |
| --- | --- |

(112)

Komisja oceniła również ramy prawne Zjednoczonego Królestwa dotyczące gromadzenia danych osobowych przekazywanych podmiotom gospodarczym w Zjednoczonym Królestwie i późniejszego ich wykorzystywania przez organy publiczne Zjednoczonego Królestwa w interesie publicznym, w szczególności do celów ścigania przestępstw i do celów dotyczących bezpieczeństwa narodowego (zwanego dalej „dostępem rządowym”). Oceniając, czy warunki dostępu rządowego do danych przekazywanych do Zjednoczonego Królestwa na podstawie niniejszej decyzji spełniałyby kryterium „zasadniczej odpowiedniości” zgodnie z art. 45 ust. 1 rozporządzenia (UE) 2016/679, zgodnie z wykładnią dokonaną przez Trybunał Sprawiedliwości Unii Europejskiej w świetle Karty praw podstawowych, Komisja wzięła pod uwagę w szczególności następujące kryteria.

| (113) | Po pierwsze, każde ograniczenie prawa do ochrony danych osobowych musi być przewidziane ustawą, a podstawa prawna, która pozwala na ingerencję w te prawa, musi sama określać zakres ograniczenia wykonywania danego prawa (121). |
| --- | --- |

(113)

Po pierwsze, każde ograniczenie prawa do ochrony danych osobowych musi być przewidziane ustawą, a podstawa prawna, która pozwala na ingerencję w te prawa, musi sama określać zakres ograniczenia wykonywania danego prawa (121).

121

| (114) | Po drugie, aby spełnić wymóg proporcjonalności, zgodnie z którym wyjątki od ochrony danych osobowych i ograniczenia tej ochrony mogą być stosowane tylko w takim zakresie, w jakim jest to absolutnie niezbędne w demokratycznym społeczeństwie do osiągnięcia szczególnych celów leżących w interesie ogólnym równoważnych z celami uznanymi przez Unię, ustawodawstwo danego państwa trzeciego, które zezwala na ingerencję, musi określać jasne i precyzyjne reguły dotyczące zakresu i stosowania danych środków oraz ustanawiać minimalne wymagania służące temu, aby osoby, których dane osobowe zostały przekazane, były zaopatrzone w wystarczające zabezpieczenia umożliwiające rzeczywistą ochronę ich danych przed ryzykiem nadużyć (122). Ustawodawstwo powinno w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami może zostać przyjęty środek przewidujący przetwarzanie takich danych (123), a także obejmować spełnienie takich wymogów niezależnym nadzorem (124). |
| --- | --- |

(114)

Po drugie, aby spełnić wymóg proporcjonalności, zgodnie z którym wyjątki od ochrony danych osobowych i ograniczenia tej ochrony mogą być stosowane tylko w takim zakresie, w jakim jest to absolutnie niezbędne w demokratycznym społeczeństwie do osiągnięcia szczególnych celów leżących w interesie ogólnym równoważnych z celami uznanymi przez Unię, ustawodawstwo danego państwa trzeciego, które zezwala na ingerencję, musi określać jasne i precyzyjne reguły dotyczące zakresu i stosowania danych środków oraz ustanawiać minimalne wymagania służące temu, aby osoby, których dane osobowe zostały przekazane, były zaopatrzone w wystarczające zabezpieczenia umożliwiające rzeczywistą ochronę ich danych przed ryzykiem nadużyć (122). Ustawodawstwo powinno w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami może zostać przyjęty środek przewidujący przetwarzanie takich danych (123), a także obejmować spełnienie takich wymogów niezależnym nadzorem (124).

122

123

124

| (115) | Po trzecie, ustawodawstwo to musi być prawnie wiążące na mocy prawa krajowego, a wspomniane wymogi prawne muszą być nie tylko wiążące dla władz, ale także egzekwowalne wobec władz danego państwa trzeciego przed sądami (125). W szczególności osobom, których dane dotyczą, powinna przysługiwać możliwość skorzystania przed niezawisłym i bezstronnym sądem ze środków prawnych w celu uzyskania dostępu do dotyczących ich danych osobowych lub spowodowania korekty lub usunięcia takich danych (126). |
| --- | --- |

(115)

Po trzecie, ustawodawstwo to musi być prawnie wiążące na mocy prawa krajowego, a wspomniane wymogi prawne muszą być nie tylko wiążące dla władz, ale także egzekwowalne wobec władz danego państwa trzeciego przed sądami (125). W szczególności osobom, których dane dotyczą, powinna przysługiwać możliwość skorzystania przed niezawisłym i bezstronnym sądem ze środków prawnych w celu uzyskania dostępu do dotyczących ich danych osobowych lub spowodowania korekty lub usunięcia takich danych (126).

125

126

3.1.   Ogólne ramy prawne

Ogólne ramy prawne

| (116) | Dostęp rządowy w Zjednoczonym Królestwie, w ramach wykonywania uprawnień przez organ publiczny, musi się odbywać z pełnym poszanowaniem prawa. Zjednoczone Królestwo ratyfikowało Konwencję o ochronie praw człowieka i podstawowych wolności (zob. motyw 9) i wszystkie organy publiczne w Zjednoczonym Królestwie są zobowiązane do działania zgodnie z jej postanowieniami (127). Art. 8 konwencji stanowi, że jakakolwiek ingerencja w prywatność musi być zgodna z prawem, musi służyć osiągnięciu jednego z celów określonych w art. 8 ust. 2 oraz musi być proporcjonalna w odniesieniu do tego celu. Art. 8 wymaga również, aby ingerencja była „przewidywalna”, tj. miała jasną, dostępną podstawę prawną, oraz aby prawo obejmowało odpowiednie zabezpieczenia zapobiegające nadużyciom. |
| --- | --- |

(116)

Dostęp rządowy w Zjednoczonym Królestwie, w ramach wykonywania uprawnień przez organ publiczny, musi się odbywać z pełnym poszanowaniem prawa. Zjednoczone Królestwo ratyfikowało Konwencję o ochronie praw człowieka i podstawowych wolności (zob. motyw 9) i wszystkie organy publiczne w Zjednoczonym Królestwie są zobowiązane do działania zgodnie z jej postanowieniami (127). Art. 8 konwencji stanowi, że jakakolwiek ingerencja w prywatność musi być zgodna z prawem, musi służyć osiągnięciu jednego z celów określonych w art. 8 ust. 2 oraz musi być proporcjonalna w odniesieniu do tego celu. Art. 8 wymaga również, aby ingerencja była „przewidywalna”, tj. miała jasną, dostępną podstawę prawną, oraz aby prawo obejmowało odpowiednie zabezpieczenia zapobiegające nadużyciom.

127

| (117) | Ponadto Europejski Trybunał Praw Człowieka określił w swoim orzecznictwie, że wszelkie ingerencje w prawo do prywatności i ochrony danych powinny podlegać skutecznemu, niezależnemu i bezstronnemu systemowi nadzoru, który musi być zapewniony albo przez sędziego, albo przez inny niezależny organ (128) (np. organ administracji lub organ parlamentarny). |
| --- | --- |

(117)

Ponadto Europejski Trybunał Praw Człowieka określił w swoim orzecznictwie, że wszelkie ingerencje w prawo do prywatności i ochrony danych powinny podlegać skutecznemu, niezależnemu i bezstronnemu systemowi nadzoru, który musi być zapewniony albo przez sędziego, albo przez inny niezależny organ (128) (np. organ administracji lub organ parlamentarny).

128

| (118) | Ponadto osobom fizycznym musi przysługiwać skuteczny środek ochrony prawnej, a Europejski Trybunał Praw Człowieka wyjaśnił, że środek ten musi zapewniać niezależny i bezstronny organ, który przyjął własny regulamin, w którego skład muszą wchodzić członkowie zajmujący (obecnie lub w przeszłości) wysokie stanowiska sędziowskie lub będący doświadczonymi prawnikami, a złożenie skargi do tego organu nie może wiązać się z ciężarem dowodu po stronie skarżącego. Przy rozpatrywaniu skarg od osób fizycznych niezależny i bezstronny organ powinien mieć dostęp do wszystkich istotnych informacji, w tym do materiałów niejawnych. Organ ten powinien wreszcie posiadać uprawnienia do usuwania niezgodności (129). |
| --- | --- |

(118)

Ponadto osobom fizycznym musi przysługiwać skuteczny środek ochrony prawnej, a Europejski Trybunał Praw Człowieka wyjaśnił, że środek ten musi zapewniać niezależny i bezstronny organ, który przyjął własny regulamin, w którego skład muszą wchodzić członkowie zajmujący (obecnie lub w przeszłości) wysokie stanowiska sędziowskie lub będący doświadczonymi prawnikami, a złożenie skargi do tego organu nie może wiązać się z ciężarem dowodu po stronie skarżącego. Przy rozpatrywaniu skarg od osób fizycznych niezależny i bezstronny organ powinien mieć dostęp do wszystkich istotnych informacji, w tym do materiałów niejawnych. Organ ten powinien wreszcie posiadać uprawnienia do usuwania niezgodności (129).

129

| (119) | W 2018 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) i podpisało protokół zmieniający Konwencję o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (znany jako konwencja nr 108+) (130). Art. 9 konwencji nr 108 stanowi, że odstępstwa od ogólnych zasad ochrony danych (art. 5 – Jakość danych), zasad regulujących szczególne kategorie danych (art. 6 – Szczególne kategorie danych) i praw osób, których dane dotyczą, (art. 8 – Dodatkowe prawa osób, których dane dotyczą) są dopuszczalne tylko wtedy, gdy takie odstępstwo jest przewidziane przez prawo strony konwencji i jest środkiem niezbędnym w demokratycznym społeczeństwie w celu ochrony bezpieczeństwa państwa, bezpieczeństwa publicznego, interesów finansowych państwa lub zwalczania przestępstw lub w celu ochrony osoby, której dane dotyczą, lub praw i wolności innych osób (131). |
| --- | --- |

(119)

W 2018 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) i podpisało protokół zmieniający Konwencję o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (znany jako konwencja nr 108+) (130). Art. 9 konwencji nr 108 stanowi, że odstępstwa od ogólnych zasad ochrony danych (art. 5 – Jakość danych), zasad regulujących szczególne kategorie danych (art. 6 – Szczególne kategorie danych) i praw osób, których dane dotyczą, (art. 8 – Dodatkowe prawa osób, których dane dotyczą) są dopuszczalne tylko wtedy, gdy takie odstępstwo jest przewidziane przez prawo strony konwencji i jest środkiem niezbędnym w demokratycznym społeczeństwie w celu ochrony bezpieczeństwa państwa, bezpieczeństwa publicznego, interesów finansowych państwa lub zwalczania przestępstw lub w celu ochrony osoby, której dane dotyczą, lub praw i wolności innych osób (131).

130

131

| (120) | W związku z tym dzięki członkostwu w Radzie Europy, przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka Zjednoczone Królestwo podlega szeregowi zobowiązań zapisanych w prawie międzynarodowym, które kształtują jego system dostępu rządowego w oparciu o zasady, zabezpieczenia i prawa indywidualne podobne do tych gwarantowanych w prawie Unii i mających zastosowanie do państw członkowskich. Jak podkreślono w motywie 19, nieprzerwane przestrzeganie takich instrumentów stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja. |
| --- | --- |

(120)

W związku z tym dzięki członkostwu w Radzie Europy, przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka Zjednoczone Królestwo podlega szeregowi zobowiązań zapisanych w prawie międzynarodowym, które kształtują jego system dostępu rządowego w oparciu o zasady, zabezpieczenia i prawa indywidualne podobne do tych gwarantowanych w prawie Unii i mających zastosowanie do państw członkowskich. Jak podkreślono w motywie 19, nieprzerwane przestrzeganie takich instrumentów stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja.

| (121) | Ponadto szczególne zabezpieczenia służące ochronie danych i prawa do ochrony danych zagwarantowano w DPA 2018 w odniesieniu do sytuacji, gdy dane są przetwarzane przez organy publiczne, w tym przez organy ścigania i bezpieczeństwa narodowego. |
| --- | --- |

(121)

Ponadto szczególne zabezpieczenia służące ochronie danych i prawa do ochrony danych zagwarantowano w DPA 2018 w odniesieniu do sytuacji, gdy dane są przetwarzane przez organy publiczne, w tym przez organy ścigania i bezpieczeństwa narodowego.

| (122) | W szczególności system przetwarzania danych osobowych w kontekście ścigania przestępstw określono w części 3 DPA 2018, którą uchwalono w celu transpozycji dyrektywy (UE) 2016/680. Część 3 DPA 2018 ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (132). |
| --- | --- |

(122)

W szczególności system przetwarzania danych osobowych w kontekście ścigania przestępstw określono w części 3 DPA 2018, którą uchwalono w celu transpozycji dyrektywy (UE) 2016/680. Część 3 DPA 2018 ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (132).

132

| (123) | Pojęcie „właściwego organu” zdefiniowano w art. 30 DPA 2018 jako osobę wymienioną w załączniku 7 do DPA 2018, a także jako wszelką inną osobę w zakresie, w jakim pełni ona funkcje ustawowe do jakichkolwiek celów ścigania przestępstw (133). Jak wyjaśniono poniżej (zob. motyw 139), niektóre właściwe organy (np. Krajowa Agencja ds. Zwalczania Przestępczości) mogą pod pewnymi warunkami korzystać z uprawnień przewidzianych w ustawie o uprawnieniach dochodzeniowo-śledczych z 2016 r. (IPA 2016). W takim przypadku zabezpieczenia przewidziane w IPA 2016 będą miały zastosowanie w uzupełnieniu zabezpieczeń przewidzianych w części 3 DPA 2018. Służby wywiadowcze (Tajna Służba Wywiadowcza, Służba Bezpieczeństwa i Centrala Łączności Rządowej) nie są „właściwymi organami” (134) w rozumieniu części 3 DPA 2018 i w związku z tym przepisy tej części nie mają zastosowania do żadnych ich działań. Odrębna część organu ochrony danych z 2018 r. (część 4) poświęcona jest przetwarzaniu danych osobowych przez służby wywiadowcze (więcej szczegółów w motywie 125). |
| --- | --- |

(123)

Pojęcie „właściwego organu” zdefiniowano w art. 30 DPA 2018 jako osobę wymienioną w załączniku 7 do DPA 2018, a także jako wszelką inną osobę w zakresie, w jakim pełni ona funkcje ustawowe do jakichkolwiek celów ścigania przestępstw (133). Jak wyjaśniono poniżej (zob. motyw 139), niektóre właściwe organy (np. Krajowa Agencja ds. Zwalczania Przestępczości) mogą pod pewnymi warunkami korzystać z uprawnień przewidzianych w ustawie o uprawnieniach dochodzeniowo-śledczych z 2016 r. (IPA 2016). W takim przypadku zabezpieczenia przewidziane w IPA 2016 będą miały zastosowanie w uzupełnieniu zabezpieczeń przewidzianych w części 3 DPA 2018. Służby wywiadowcze (Tajna Służba Wywiadowcza, Służba Bezpieczeństwa i Centrala Łączności Rządowej) nie są „właściwymi organami” (134) w rozumieniu części 3 DPA 2018 i w związku z tym przepisy tej części nie mają zastosowania do żadnych ich działań. Odrębna część organu ochrony danych z 2018 r. (część 4) poświęcona jest przetwarzaniu danych osobowych przez służby wywiadowcze (więcej szczegółów w motywie 125).

133

134

| (124) | Podobnie jak w przypadku dyrektywy (UE) 2016/680 w części 3 DPA 2018 określono zasady dotyczące zgodności z prawem i rzetelności (135), ograniczenia celu (136), minimalizacji danych (137), prawidłowości (138), ograniczenia przechowywania (139) i bezpieczeństwa (140). W ustawodawstwie określono szczególne obowiązki w zakresie przejrzystości (141) i zapewniono osobom fizycznym prawo dostępu do danych (142), prawo do sprostowania i usunięcia danych (143) oraz prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (144). Właściwe organy są również zobowiązane do uwzględniania ochrony danych w fazie projektowania oraz stosowania domyślnej ochrony danych, do rejestrowania czynności przetwarzania oraz, w przypadku niektórych operacji przetwarzania, do przeprowadzania ocen skutków dla ochrony danych i do uprzedniego konsultowania się z Komisarzem ds. Informacji (145). Zgodnie z art. 56 DPA 2018 organy muszą wykazać, że przestrzegają przepisów. Ponadto są one zobowiązane do wprowadzenia odpowiednich środków zapewniających bezpieczeństwo przetwarzania (146) i podlegają szczegółowym obowiązkom w przypadku naruszenia ochrony danych, w tym mają obowiązek zgłaszania takich naruszeń Komisarzowi ds. Informacji i osobom, których dane dotyczą (147). Podobnie jak w przypadku dyrektywy (UE) 2016/680 istnieje również wymóg wyznaczenia przez administratora (chyba że jest nim sąd lub inny organ sądowy sprawujący wymiar sprawiedliwości) inspektora ochrony danych (148), który pomaga administratorowi wywiązać się z jego obowiązków, a także monitoruje ich wypełnianie (149). Ponadto aby zapewnić ciągłość ochrony, w ustawodawstwie określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych do celów ścigania przestępstw (150). W dniu przyjęcia niniejszej decyzji Komisja [przyjęła] decyzję stwierdzającą odpowiedni stopień ochrony na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680, w której ustaliła, że system ochrony danych mający zastosowanie do przetwarzania danych przez organy ścigania Zjednoczonego Królestwa zapewnia stopień ochrony, który zasadniczo odpowiada ochronie zagwarantowanej na mocy dyrektywy (UE) 2016/680. |
| --- | --- |

(124)

Podobnie jak w przypadku dyrektywy (UE) 2016/680 w części 3 DPA 2018 określono zasady dotyczące zgodności z prawem i rzetelności (135), ograniczenia celu (136), minimalizacji danych (137), prawidłowości (138), ograniczenia przechowywania (139) i bezpieczeństwa (140). W ustawodawstwie określono szczególne obowiązki w zakresie przejrzystości (141) i zapewniono osobom fizycznym prawo dostępu do danych (142), prawo do sprostowania i usunięcia danych (143) oraz prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (144). Właściwe organy są również zobowiązane do uwzględniania ochrony danych w fazie projektowania oraz stosowania domyślnej ochrony danych, do rejestrowania czynności przetwarzania oraz, w przypadku niektórych operacji przetwarzania, do przeprowadzania ocen skutków dla ochrony danych i do uprzedniego konsultowania się z Komisarzem ds. Informacji (145). Zgodnie z art. 56 DPA 2018 organy muszą wykazać, że przestrzegają przepisów. Ponadto są one zobowiązane do wprowadzenia odpowiednich środków zapewniających bezpieczeństwo przetwarzania (146) i podlegają szczegółowym obowiązkom w przypadku naruszenia ochrony danych, w tym mają obowiązek zgłaszania takich naruszeń Komisarzowi ds. Informacji i osobom, których dane dotyczą (147). Podobnie jak w przypadku dyrektywy (UE) 2016/680 istnieje również wymóg wyznaczenia przez administratora (chyba że jest nim sąd lub inny organ sądowy sprawujący wymiar sprawiedliwości) inspektora ochrony danych (148), który pomaga administratorowi wywiązać się z jego obowiązków, a także monitoruje ich wypełnianie (149). Ponadto aby zapewnić ciągłość ochrony, w ustawodawstwie określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych do celów ścigania przestępstw (150). W dniu przyjęcia niniejszej decyzji Komisja [przyjęła] decyzję stwierdzającą odpowiedni stopień ochrony na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680, w której ustaliła, że system ochrony danych mający zastosowanie do przetwarzania danych przez organy ścigania Zjednoczonego Królestwa zapewnia stopień ochrony, który zasadniczo odpowiada ochronie zagwarantowanej na mocy dyrektywy (UE) 2016/680.

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

| (125) | Część 4 DPA 2018 ma zastosowanie do wszelkiego przetwarzania danych przez służby wywiadowcze lub w ich imieniu. W szczególności określono w niej główne zasady ochrony danych (zgodność z prawem, rzetelność i przejrzystość (151); ograniczenie celu (152); minimalizacja danych (153); prawidłowość (154); ograniczenie przechowywania (155) i bezpieczeństwo (156)), określono warunki dotyczące przetwarzania szczególnych kategorii danych (157), zapewniono prawa osób, których dane dotyczą (158), określono obowiązek uwzględniania ochrony danych w fazie projektowania (159) i uregulowano międzynarodowe przekazywanie danych osobowych (160). Komisarz ds. Informacji wydał niedawno szczegółowe wytyczne dotyczące przetwarzania danych przez agencje wywiadowcze na podstawie części 4 DPA 2018 (161). |
| --- | --- |

(125)

Część 4 DPA 2018 ma zastosowanie do wszelkiego przetwarzania danych przez służby wywiadowcze lub w ich imieniu. W szczególności określono w niej główne zasady ochrony danych (zgodność z prawem, rzetelność i przejrzystość (151); ograniczenie celu (152); minimalizacja danych (153); prawidłowość (154); ograniczenie przechowywania (155) i bezpieczeństwo (156)), określono warunki dotyczące przetwarzania szczególnych kategorii danych (157), zapewniono prawa osób, których dane dotyczą (158), określono obowiązek uwzględniania ochrony danych w fazie projektowania (159) i uregulowano międzynarodowe przekazywanie danych osobowych (160). Komisarz ds. Informacji wydał niedawno szczegółowe wytyczne dotyczące przetwarzania danych przez agencje wywiadowcze na podstawie części 4 DPA 2018 (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | Jednocześnie w art. 110 DPA 2018 przewidziano wyłączenie stosowania określonych przepisów zawartych w części 4 tej ustawy (162), gdy takie wyłączenie jest wymagane do ochrony bezpieczeństwa narodowego. Na wyłączenie to można się powołać na podstawie analizy poszczególnych przypadków (163). Jak wyjaśniły władze Zjednoczonego Królestwa i jak potwierdzono w orzecznictwie, „administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego lub obrony narodowej, wynikające z ewentualnego zastosowania się do konkretnego przepisu dotyczącego ochrony danych, z uwzględnieniem racjonalnej możliwości przestrzegania zwykłej zasady bez narażania bezpieczeństwa narodowego lub obrony narodowej” (164). Komisarz ds. Informacji sprawuje nadzór nad tym, czy wyłączenie zostało zastosowane prawidłowo (165). |
| --- | --- |

(126)

Jednocześnie w art. 110 DPA 2018 przewidziano wyłączenie stosowania określonych przepisów zawartych w części 4 tej ustawy (162), gdy takie wyłączenie jest wymagane do ochrony bezpieczeństwa narodowego. Na wyłączenie to można się powołać na podstawie analizy poszczególnych przypadków (163). Jak wyjaśniły władze Zjednoczonego Królestwa i jak potwierdzono w orzecznictwie, „administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego lub obrony narodowej, wynikające z ewentualnego zastosowania się do konkretnego przepisu dotyczącego ochrony danych, z uwzględnieniem racjonalnej możliwości przestrzegania zwykłej zasady bez narażania bezpieczeństwa narodowego lub obrony narodowej” (164). Komisarz ds. Informacji sprawuje nadzór nad tym, czy wyłączenie zostało zastosowane prawidłowo (165).

162

163

164

165

| (127) | Ponadto jeżeli chodzi o możliwość ograniczenia stosowania określonych powyżej przepisów zgodnie z częścią 111 DPA 2018 ze względu na ochronę „bezpieczeństwa narodowego”, administrator może ubiegać się o podpisane przez ministra lub Prokuratora Generalnego poświadczenie potwierdzające, że ograniczenie takich praw jest niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (166). |
| --- | --- |

(127)

Ponadto jeżeli chodzi o możliwość ograniczenia stosowania określonych powyżej przepisów zgodnie z częścią 111 DPA 2018 ze względu na ochronę „bezpieczeństwa narodowego”, administrator może ubiegać się o podpisane przez ministra lub Prokuratora Generalnego poświadczenie potwierdzające, że ograniczenie takich praw jest niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (166).

166

| (128) | Rząd Zjednoczonego Królestwa opublikował wytyczne w celu ułatwienia administratorom podjęcia decyzji o ewentualnym wystąpieniu o wydanie poświadczenia bezpieczeństwa narodowego na podstawie DPA 2018, w których to wytycznych w szczególności podkreślono, że wszelkie ograniczenia praw osób, których dane dotyczą, do celów ochrony bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (167). Wszelkie poświadczenia bezpieczeństwa narodowego muszą być publikowane na stronie internetowej Komisarza ds. Informacji (168). |
| --- | --- |

(128)

Rząd Zjednoczonego Królestwa opublikował wytyczne w celu ułatwienia administratorom podjęcia decyzji o ewentualnym wystąpieniu o wydanie poświadczenia bezpieczeństwa narodowego na podstawie DPA 2018, w których to wytycznych w szczególności podkreślono, że wszelkie ograniczenia praw osób, których dane dotyczą, do celów ochrony bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (167). Wszelkie poświadczenia bezpieczeństwa narodowego muszą być publikowane na stronie internetowej Komisarza ds. Informacji (168).

167

168

| (129) | Poświadczenie powinno być wydawane na czas określony, nie dłuższy niż pięć lat, tak aby podlegało regularnej ocenie przez władzę wykonawczą (169). W poświadczeniu określa się dane osobowe lub kategorie danych osobowych podlegające wyłączeniu, a także przepisy DPA 2018, do których wyłączenie ma zastosowanie (170). |
| --- | --- |

(129)

Poświadczenie powinno być wydawane na czas określony, nie dłuższy niż pięć lat, tak aby podlegało regularnej ocenie przez władzę wykonawczą (169). W poświadczeniu określa się dane osobowe lub kategorie danych osobowych podlegające wyłączeniu, a także przepisy DPA 2018, do których wyłączenie ma zastosowanie (170).

169

170

| (130) | Należy zauważyć, że poświadczenie bezpieczeństwa narodowego nie stanowią dodatkowej podstawy ograniczania praw do ochrony danych ze względów bezpieczeństwa narodowego. Innymi słowy, administrator lub podmiot przetwarzający może powołać się na poświadczenie wyłącznie wówczas, gdy stwierdzi, że konieczne jest skorzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego, co – jak wyjaśniono powyżej – jest możliwe jedynie na podstawie oceny każdego przypadku z osobna (171). Nawet jeżeli do danej sprawy zastosowanie ma poświadczenie bezpieczeństwa narodowego, Komisarz ds. Informacji może zbadać, czy w tym konkretnym przypadku skorzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego było uzasadnione (172). |
| --- | --- |

(130)

Należy zauważyć, że poświadczenie bezpieczeństwa narodowego nie stanowią dodatkowej podstawy ograniczania praw do ochrony danych ze względów bezpieczeństwa narodowego. Innymi słowy, administrator lub podmiot przetwarzający może powołać się na poświadczenie wyłącznie wówczas, gdy stwierdzi, że konieczne jest skorzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego, co – jak wyjaśniono powyżej – jest możliwe jedynie na podstawie oceny każdego przypadku z osobna (171). Nawet jeżeli do danej sprawy zastosowanie ma poświadczenie bezpieczeństwa narodowego, Komisarz ds. Informacji może zbadać, czy w tym konkretnym przypadku skorzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego było uzasadnione (172).

171

172

| (131) | Każdy, na kogo wydanie poświadczenia wywarło bezpośredni wpływ, może odwołać się do Wyższego Trybunału (173) od wydania poświadczenia (174) lub, gdy w poświadczeniu dane określono za pomocą ogólnego opisu, zaskarżyć stosowanie poświadczenia w odniesieniu do konkretnych danych (175). W takiej sytuacji Trybunał bada decyzję o wydaniu poświadczenia i orzeka, czy istniały uzasadnione podstawy do jego wydania (176). Może rozważyć wiele różnych aspektów, w tym niezbędność, proporcjonalność i zgodność z prawem, uwzględniając wpływ na prawa osób, których dane dotyczą, oraz wyważając potrzebę ochrony bezpieczeństwa narodowego. W rezultacie Trybunał może stwierdzić, że poświadczenie nie ma zastosowania do konkretnych danych osobowych będących przedmiotem odwołania (177). |
| --- | --- |

(131)

Każdy, na kogo wydanie poświadczenia wywarło bezpośredni wpływ, może odwołać się do Wyższego Trybunału (173) od wydania poświadczenia (174) lub, gdy w poświadczeniu dane określono za pomocą ogólnego opisu, zaskarżyć stosowanie poświadczenia w odniesieniu do konkretnych danych (175). W takiej sytuacji Trybunał bada decyzję o wydaniu poświadczenia i orzeka, czy istniały uzasadnione podstawy do jego wydania (176). Może rozważyć wiele różnych aspektów, w tym niezbędność, proporcjonalność i zgodność z prawem, uwzględniając wpływ na prawa osób, których dane dotyczą, oraz wyważając potrzebę ochrony bezpieczeństwa narodowego. W rezultacie Trybunał może stwierdzić, że poświadczenie nie ma zastosowania do konkretnych danych osobowych będących przedmiotem odwołania (177).

173

174

175

176

177

| (132) | Inny zbiór możliwych ograniczeń dotyczy wyłączeń, które na podstawie załącznika 11 do DPA 2018 stosuje się do określonych przepisów zawartych w części 4 DPA 2018 (178) na potrzeby zabezpieczenia innych ważnych celów leżących w ogólnym interesie publicznym lub chronionych interesów, takich jak np. przywilej parlamentarny, prawnicza tajemnica zawodowa, przebieg postępowania sądowego lub skuteczność bojowa sił zbrojnych (179). Wyłączenia stosowania tych przepisów dokonuje się albo w odniesieniu do określonych kategorii informacji („ze względu na klasę”), albo w zakresie, w jakim stosowanie tych przepisów mogłoby zaszkodzić chronionemu interesowi („ze względu na szkodę”) (180). Na wyłączenia ze względu na szkodę można się powoływać tylko w takim zakresie, w jakim zastosowanie wymienionego przepisu dotyczącego ochrony danych prawdopodobnie zaszkodziłoby danemu interesowi. Stosowanie wyłączenia musi być zatem zawsze uzasadnione poprzez wskazanie odpowiedniej szkody, która prawdopodobnie powstałaby w danym przypadku. Na wyłączenia ze względu na klasę można się powoływać wyłącznie w odniesieniu do konkretnej, ściśle zdefiniowanej kategorii informacji, dla której przyznano wyłączenie. Wyłączenia te są podobne pod względem celu i skutku do szeregu wyjątków od RODO UK (określonych w załączniku 2 do DPA 2018), które z kolei odzwierciedlają cel i skutek przewidziane w art. 23 RODO. |
| --- | --- |

(132)

Inny zbiór możliwych ograniczeń dotyczy wyłączeń, które na podstawie załącznika 11 do DPA 2018 stosuje się do określonych przepisów zawartych w części 4 DPA 2018 (178) na potrzeby zabezpieczenia innych ważnych celów leżących w ogólnym interesie publicznym lub chronionych interesów, takich jak np. przywilej parlamentarny, prawnicza tajemnica zawodowa, przebieg postępowania sądowego lub skuteczność bojowa sił zbrojnych (179). Wyłączenia stosowania tych przepisów dokonuje się albo w odniesieniu do określonych kategorii informacji („ze względu na klasę”), albo w zakresie, w jakim stosowanie tych przepisów mogłoby zaszkodzić chronionemu interesowi („ze względu na szkodę”) (180). Na wyłączenia ze względu na szkodę można się powoływać tylko w takim zakresie, w jakim zastosowanie wymienionego przepisu dotyczącego ochrony danych prawdopodobnie zaszkodziłoby danemu interesowi. Stosowanie wyłączenia musi być zatem zawsze uzasadnione poprzez wskazanie odpowiedniej szkody, która prawdopodobnie powstałaby w danym przypadku. Na wyłączenia ze względu na klasę można się powoływać wyłącznie w odniesieniu do konkretnej, ściśle zdefiniowanej kategorii informacji, dla której przyznano wyłączenie. Wyłączenia te są podobne pod względem celu i skutku do szeregu wyjątków od RODO UK (określonych w załączniku 2 do DPA 2018), które z kolei odzwierciedlają cel i skutek przewidziane w art. 23 RODO.

178

179

180

| (133) | Z powyższego wynika, że w rozumieniu obowiązujących w Zjednoczonym Królestwie przepisów prawnych – oraz zgodnie z wykładnią sądów i interpretacją Komisji ds. Informacji – istnieją ograniczenia i warunki zapewniające, aby wspomniane wyłączenia i ograniczenia pozostawały w zakresie niezbędnym i proporcjonalnym do ochrony bezpieczeństwa narodowego. |
| --- | --- |

(133)

Z powyższego wynika, że w rozumieniu obowiązujących w Zjednoczonym Królestwie przepisów prawnych – oraz zgodnie z wykładnią sądów i interpretacją Komisji ds. Informacji – istnieją ograniczenia i warunki zapewniające, aby wspomniane wyłączenia i ograniczenia pozostawały w zakresie niezbędnym i proporcjonalnym do ochrony bezpieczeństwa narodowego.

3.2.   Dostęp organów publicznych Zjednoczonego Królestwa do danych na potrzeby ścigania przestępstw i wykorzystywanie danych przez te organy w tym celu

Dostęp organów publicznych Zjednoczonego Królestwa do danych na potrzeby ścigania przestępstw i wykorzystywanie danych przez te organy w tym celu

| (134) | W prawie Zjednoczonego Królestwa ustanowiono szereg ograniczeń w zakresie dostępu do danych osobowych i korzystania z nich na potrzeby ścigania przestępstw, a także mechanizmy nadzoru i środki zaskarżenia, które są zgodne z wymogami określonymi w motywach 113–115 niniejszej decyzji. Warunki uzyskania takiego dostępu oraz zabezpieczenia mające zastosowanie do wykonywania tych uprawnień poddano szczegółowej ocenie w kolejnych sekcjach. |
| --- | --- |

(134)

W prawie Zjednoczonego Królestwa ustanowiono szereg ograniczeń w zakresie dostępu do danych osobowych i korzystania z nich na potrzeby ścigania przestępstw, a także mechanizmy nadzoru i środki zaskarżenia, które są zgodne z wymogami określonymi w motywach 113–115 niniejszej decyzji. Warunki uzyskania takiego dostępu oraz zabezpieczenia mające zastosowanie do wykonywania tych uprawnień poddano szczegółowej ocenie w kolejnych sekcjach.

3.2.1.   Podstawy prawne i właściwe ograniczenia/zabezpieczenia

Podstawy prawne i właściwe ograniczenia/zabezpieczenia

| (135) | Zgodnie z zasadą zgodności z prawem zagwarantowaną na podstawie art. 35 DPA 2018 przetwarzanie danych osobowych do jakichkolwiek celów ścigania przestępstw jest zgodne z prawem tylko wtedy, gdy opiera się na przepisach prawa oraz albo osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w tym celu (181), albo przetwarzanie jest niezbędne do wykonania zadania realizowanego w tym celu przez właściwy organ. |
| --- | --- |

(135)

Zgodnie z zasadą zgodności z prawem zagwarantowaną na podstawie art. 35 DPA 2018 przetwarzanie danych osobowych do jakichkolwiek celów ścigania przestępstw jest zgodne z prawem tylko wtedy, gdy opiera się na przepisach prawa oraz albo osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w tym celu (181), albo przetwarzanie jest niezbędne do wykonania zadania realizowanego w tym celu przez właściwy organ.

181

3.2.1.1.   Nakazy przeszukania i nakazy wydania dowodów

Nakazy przeszukania i nakazy wydania dowodów

| (136) | W ramach prawnych Zjednoczonego Królestwa pobieranie danych osobowych od podmiotów gospodarczych – w tym tych, które przetwarzałyby dane przekazywane z UE na podstawie niniejszej decyzji stwierdzającej odpowiedni stopień ochrony – do celów ścigania przestępstw jest dopuszczalne na podstawie nakazów przeszukania (182) i nakazów wydania dowodów (183). |
| --- | --- |

(136)

W ramach prawnych Zjednoczonego Królestwa pobieranie danych osobowych od podmiotów gospodarczych – w tym tych, które przetwarzałyby dane przekazywane z UE na podstawie niniejszej decyzji stwierdzającej odpowiedni stopień ochrony – do celów ścigania przestępstw jest dopuszczalne na podstawie nakazów przeszukania (182) i nakazów wydania dowodów (183).

182

183

| (137) | Nakazy przeszukania wydaje sąd, zazwyczaj na wniosek funkcjonariusza prowadzącego postępowanie przygotowawcze. Nakazy umożliwiają funkcjonariuszowi wejście do pomieszczeń w celu poszukiwania materiałów lub osób istotnych dla prowadzonego przez niego postępowania przygotowawczego oraz zatrzymanie wszystkiego, co wskazano w ramach zezwolenia na przeszukanie, w tym wszelkich istotnych dokumentów lub materiałów zawierających dane osobowe (184). Nakaz wydania dowodów, który również musi wydać sąd, zobowiązuje wskazaną w nakazie osobę do wydania lub udostępnienia materiałów, które znajdują się w jej posiadaniu lub nad którymi sprawuje kontrolę. Wnioskodawca musi uzasadnić przed sądem, dlaczego nakaz jest niezbędny, a także dlaczego leży on w interesie publicznym. Istnieje szereg uprawnień ustawowych, które pozwalają na wydawanie nakazów przeszukania i nakazów wydania dowodów. Z każdym przepisem wiąże się osobny zbiór warunków ustawowych, które należy spełnić, aby można było wydać nakaz przeszukania (185) lub nakaz wydania dowodów (186). |
| --- | --- |

(137)

Nakazy przeszukania wydaje sąd, zazwyczaj na wniosek funkcjonariusza prowadzącego postępowanie przygotowawcze. Nakazy umożliwiają funkcjonariuszowi wejście do pomieszczeń w celu poszukiwania materiałów lub osób istotnych dla prowadzonego przez niego postępowania przygotowawczego oraz zatrzymanie wszystkiego, co wskazano w ramach zezwolenia na przeszukanie, w tym wszelkich istotnych dokumentów lub materiałów zawierających dane osobowe (184). Nakaz wydania dowodów, który również musi wydać sąd, zobowiązuje wskazaną w nakazie osobę do wydania lub udostępnienia materiałów, które znajdują się w jej posiadaniu lub nad którymi sprawuje kontrolę. Wnioskodawca musi uzasadnić przed sądem, dlaczego nakaz jest niezbędny, a także dlaczego leży on w interesie publicznym. Istnieje szereg uprawnień ustawowych, które pozwalają na wydawanie nakazów przeszukania i nakazów wydania dowodów. Z każdym przepisem wiąże się osobny zbiór warunków ustawowych, które należy spełnić, aby można było wydać nakaz przeszukania (185) lub nakaz wydania dowodów (186).

184

185

186

| (138) | Nakazy wydania dowodów oraz nakazy przeszukania mogą zostać zaskarżone w ramach kontroli sądowej (187). Jeśli chodzi o zabezpieczenia, wszystkie organy ścigania objęte zakresem części 3 DPA 2018, mogą uzyskać dostęp do danych osobowych – co jest formą przetwarzania – wyłącznie zgodnie z zasadami i wymogami określonymi w DPA 2018 (zob. motywy 122 i 124). W związku z tym wniosek złożony przez jakikolwiek organ ścigania powinien być zgodny z zasadą, według której cele przetwarzania muszą być konkretne, wyraźne i prawnie uzasadnione (188), a dane osobowe przetwarzane przez właściwy organ muszą być stosowne oraz ograniczone do celu, w którym są przetwarzane (189). |
| --- | --- |

(138)

Nakazy wydania dowodów oraz nakazy przeszukania mogą zostać zaskarżone w ramach kontroli sądowej (187). Jeśli chodzi o zabezpieczenia, wszystkie organy ścigania objęte zakresem części 3 DPA 2018, mogą uzyskać dostęp do danych osobowych – co jest formą przetwarzania – wyłącznie zgodnie z zasadami i wymogami określonymi w DPA 2018 (zob. motywy 122 i 124). W związku z tym wniosek złożony przez jakikolwiek organ ścigania powinien być zgodny z zasadą, według której cele przetwarzania muszą być konkretne, wyraźne i prawnie uzasadnione (188), a dane osobowe przetwarzane przez właściwy organ muszą być stosowne oraz ograniczone do celu, w którym są przetwarzane (189).

187

188

189

3.2.1.2.   Uprawnienia dochodzeniowo-śledcze do celów ścigania przestępstw

Uprawnienia dochodzeniowo-śledcze do celów ścigania przestępstw

| (139) | W celu zapobiegania tylko poważnym przestępstwom lub ich wykrywania (190) niektórym organom ścigania, na przykład Krajowej Agencji ds. Zwalczania Przestępczości lub Komendantowi Głównemu Policji (191), przysługują ukierunkowane uprawnienia dochodzeniowo-śledcze na mocy IPA 2016. W takim przypadku zabezpieczenia przewidziane w IPA 2016 będą miały zastosowanie w uzupełnieniu zabezpieczeń przewidzianych w części 3 DPA 2018. Szczególne uprawnienia dochodzeniowe przysługujące wspomnianym organom ścigania to: ukierunkowane przechwytywanie (część 2 IPA 2016), ukierunkowane pozyskiwanie danych pochodzących z łączności (część 3 IPA 2016), ukierunkowane zatrzymywanie danych pochodzących z łączności (część 4 IPA 2016) oraz ukierunkowana ingerencja w urządzenia elektroniczne (część 5 IPA 2016). Przechwytywanie obejmuje pozyskanie treści wiadomości (192), natomiast pozyskiwanie i zatrzymywanie danych pochodzących z łączności nie ma na celu zdobycia treści wiadomości, ale ustalenie, kto, kiedy, gdzie i jak wysłał wiadomość. Obejmuje to na przykład czas i okres trwania połączenia, numery telefonu lub adresy e-mail nadawcy i odbiorcy wiadomości, a czasami lokalizację urządzeń, z których przesłano wiadomość, abonenta usługi telefonicznej lub szczegółowy rachunek (193). Ingerencja w urządzenia elektroniczne oznacza szereg technik stosowanych w celu uzyskania różnego rodzaju danych z urządzeń, w tym z komputerów, tabletów i smartfonów, a także kabli, przewodów i urządzeń pamięciowych (194). |
| --- | --- |

(139)

W celu zapobiegania tylko poważnym przestępstwom lub ich wykrywania (190) niektórym organom ścigania, na przykład Krajowej Agencji ds. Zwalczania Przestępczości lub Komendantowi Głównemu Policji (191), przysługują ukierunkowane uprawnienia dochodzeniowo-śledcze na mocy IPA 2016. W takim przypadku zabezpieczenia przewidziane w IPA 2016 będą miały zastosowanie w uzupełnieniu zabezpieczeń przewidzianych w części 3 DPA 2018. Szczególne uprawnienia dochodzeniowe przysługujące wspomnianym organom ścigania to: ukierunkowane przechwytywanie (część 2 IPA 2016), ukierunkowane pozyskiwanie danych pochodzących z łączności (część 3 IPA 2016), ukierunkowane zatrzymywanie danych pochodzących z łączności (część 4 IPA 2016) oraz ukierunkowana ingerencja w urządzenia elektroniczne (część 5 IPA 2016). Przechwytywanie obejmuje pozyskanie treści wiadomości (192), natomiast pozyskiwanie i zatrzymywanie danych pochodzących z łączności nie ma na celu zdobycia treści wiadomości, ale ustalenie, kto, kiedy, gdzie i jak wysłał wiadomość. Obejmuje to na przykład czas i okres trwania połączenia, numery telefonu lub adresy e-mail nadawcy i odbiorcy wiadomości, a czasami lokalizację urządzeń, z których przesłano wiadomość, abonenta usługi telefonicznej lub szczegółowy rachunek (193). Ingerencja w urządzenia elektroniczne oznacza szereg technik stosowanych w celu uzyskania różnego rodzaju danych z urządzeń, w tym z komputerów, tabletów i smartfonów, a także kabli, przewodów i urządzeń pamięciowych (194).

190

191

192

193

194

| (140) | Z uprawnień do ukierunkowanego przechwytywania można również korzystać, gdy jest to „niezbędne do celów wykonania przepisów unijnego instrumentu wzajemnej pomocy lub międzynarodowej umowy o wzajemnej pomocy” (tzw. „nakaz w ramach wzajemnej pomocy” (195)). Nakazy w ramach wzajemnej pomocy wydaje się wyłącznie w związku z przechwytywaniem, a nie pozyskiwaniem danych pochodzących z łączności lub ingerencji w urządzenia elektroniczne. Te ukierunkowane uprawnienia uregulowano ustawą o uprawnieniach dochodzeniowo-śledczych z 2016 r. (IPA 2016) (196), która wraz z ustawą regulującą uprawnienia dochodzeniowo-śledcze z 2000 r. (RIPA) w przypadku Anglii, Walii i Irlandii Północnej oraz ustawą regulującą uprawnienia dochodzeniowo-śledcze w Szkocji z 2000 r. (RIPSA), w przypadku Szkocji, zapewnia podstawę prawną i określa obowiązujące ograniczenia i zabezpieczenia dotyczące korzystania z takich uprawnień. W IPA 2016 przewidziano również system masowego korzystania z uprawnień dochodzeniowo-śledczych, chociaż nie jest on dostępny dla organów ścigania (mogą z niego korzystać wyłącznie agencje wywiadowcze) (197). |
| --- | --- |

(140)

Z uprawnień do ukierunkowanego przechwytywania można również korzystać, gdy jest to „niezbędne do celów wykonania przepisów unijnego instrumentu wzajemnej pomocy lub międzynarodowej umowy o wzajemnej pomocy” (tzw. „nakaz w ramach wzajemnej pomocy” (195)). Nakazy w ramach wzajemnej pomocy wydaje się wyłącznie w związku z przechwytywaniem, a nie pozyskiwaniem danych pochodzących z łączności lub ingerencji w urządzenia elektroniczne. Te ukierunkowane uprawnienia uregulowano ustawą o uprawnieniach dochodzeniowo-śledczych z 2016 r. (IPA 2016) (196), która wraz z ustawą regulującą uprawnienia dochodzeniowo-śledcze z 2000 r. (RIPA) w przypadku Anglii, Walii i Irlandii Północnej oraz ustawą regulującą uprawnienia dochodzeniowo-śledcze w Szkocji z 2000 r. (RIPSA), w przypadku Szkocji, zapewnia podstawę prawną i określa obowiązujące ograniczenia i zabezpieczenia dotyczące korzystania z takich uprawnień. W IPA 2016 przewidziano również system masowego korzystania z uprawnień dochodzeniowo-śledczych, chociaż nie jest on dostępny dla organów ścigania (mogą z niego korzystać wyłącznie agencje wywiadowcze) (197).

195

196

197

| (141) | Aby skorzystać z tych uprawnień, organy muszą uzyskać nakaz (198) wydany przez właściwy organ (199) i zatwierdzony przez niezależnego komisarza sądowego (200) (tzw. procedura dwustopniowej autoryzacji nakazów). Uzyskanie takiego nakazu wymaga przeprowadzenia analizy niezbędności i proporcjonalności (201). Ponieważ te ukierunkowane uprawnienia dochodzeniowo-śledcze przewidziane w IPA 2016 są takie same jak uprawnienia, którymi dysponują agencje bezpieczeństwa narodowego, warunki, ograniczenia i zabezpieczenia mające zastosowanie do takich uprawnień zostały szczegółowo omówione w artykule dotyczącym uzyskiwania dostępu do danych osobowych i ich wykorzystywania przez organy publiczne Zjednoczonego Królestwa do celów bezpieczeństwa narodowego (zob. motyw 177 i następne). |
| --- | --- |

(141)

Aby skorzystać z tych uprawnień, organy muszą uzyskać nakaz (198) wydany przez właściwy organ (199) i zatwierdzony przez niezależnego komisarza sądowego (200) (tzw. procedura dwustopniowej autoryzacji nakazów). Uzyskanie takiego nakazu wymaga przeprowadzenia analizy niezbędności i proporcjonalności (201). Ponieważ te ukierunkowane uprawnienia dochodzeniowo-śledcze przewidziane w IPA 2016 są takie same jak uprawnienia, którymi dysponują agencje bezpieczeństwa narodowego, warunki, ograniczenia i zabezpieczenia mające zastosowanie do takich uprawnień zostały szczegółowo omówione w artykule dotyczącym uzyskiwania dostępu do danych osobowych i ich wykorzystywania przez organy publiczne Zjednoczonego Królestwa do celów bezpieczeństwa narodowego (zob. motyw 177 i następne).

198

199

200

201

3.2.2.   Dalsze wykorzystywanie zebranych informacji

Dalsze wykorzystywanie zebranych informacji

| (142) | Udostępnianie danych przez organ ścigania innemu organowi do celów innych niż te, dla których pierwotnie je zebrano (tzw. „dalsze przekazywanie”), podlega określonym warunkom. |
| --- | --- |

(142)

Udostępnianie danych przez organ ścigania innemu organowi do celów innych niż te, dla których pierwotnie je zebrano (tzw. „dalsze przekazywanie”), podlega określonym warunkom.

| (143) | Podobnie do tego, co przewidziano w art. 4 ust. 2 dyrektywy (UE) 2016/680, art. 36 ust. 3 DPA 2018 dopuszcza aby dane osobowe zebrane przez właściwy organ do celów ścigania przestępstw były dalej przetwarzane (przez pierwotnego administratora lub innego administratora) do wszelkich innych celów ścigania przestępstw, pod warunkiem że administrator jest upoważniony na mocy prawa do przetwarzania danych w tym innym celu, a przetwarzanie jest niezbędne i proporcjonalne w odniesieniu tego celu (202). W takim przypadku wszystkie zabezpieczenia przewidziane w części 3 DPA 2018, o których mowa w motywach 122 i 124, mają zastosowanie do przetwarzania prowadzonego przez organ otrzymujący. |
| --- | --- |

(143)

Podobnie do tego, co przewidziano w art. 4 ust. 2 dyrektywy (UE) 2016/680, art. 36 ust. 3 DPA 2018 dopuszcza aby dane osobowe zebrane przez właściwy organ do celów ścigania przestępstw były dalej przetwarzane (przez pierwotnego administratora lub innego administratora) do wszelkich innych celów ścigania przestępstw, pod warunkiem że administrator jest upoważniony na mocy prawa do przetwarzania danych w tym innym celu, a przetwarzanie jest niezbędne i proporcjonalne w odniesieniu tego celu (202). W takim przypadku wszystkie zabezpieczenia przewidziane w części 3 DPA 2018, o których mowa w motywach 122 i 124, mają zastosowanie do przetwarzania prowadzonego przez organ otrzymujący.

202

| (144) | W porządku prawnym Zjednoczonego Królestwa różne ustawy wyraźnie dopuszczają takie dalsze przekazywanie. W szczególności (i) ustawa o gospodarce cyfrowej z 2017 r. umożliwia udostępnianie danych między organami publicznymi do szeregu celów, na przykład w przypadku wszelkich nadużyć finansowych na szkodę sektora publicznego, które wiązałyby się ze stratą lub ryzykiem straty dla organów publicznych (203), lub w przypadku długu należnego na rzecz organu publicznego lub Korony (204); (ii) ustawa o przestępczości i sądach z 2013 r. zezwala na udostępnianie danych Krajowej Agencji ds. Zwalczania Przestępczości (NCA) (205) w celu zwalczania przestępczości poważnej i zorganizowanej, prowadzenia postępowań przygotowawczych w sprawie takich przestępstw i ich ścigania; (iii) ustawa o poważnej przestępczości z 2007 r. zezwala organom publicznym na ujawnianie informacji organizacjom zwalczającym nadużycia finansowe do celów zapobiegania nadużyciom finansowym (206). |
| --- | --- |

(144)

W porządku prawnym Zjednoczonego Królestwa różne ustawy wyraźnie dopuszczają takie dalsze przekazywanie. W szczególności (i) ustawa o gospodarce cyfrowej z 2017 r. umożliwia udostępnianie danych między organami publicznymi do szeregu celów, na przykład w przypadku wszelkich nadużyć finansowych na szkodę sektora publicznego, które wiązałyby się ze stratą lub ryzykiem straty dla organów publicznych (203), lub w przypadku długu należnego na rzecz organu publicznego lub Korony (204); (ii) ustawa o przestępczości i sądach z 2013 r. zezwala na udostępnianie danych Krajowej Agencji ds. Zwalczania Przestępczości (NCA) (205) w celu zwalczania przestępczości poważnej i zorganizowanej, prowadzenia postępowań przygotowawczych w sprawie takich przestępstw i ich ścigania; (iii) ustawa o poważnej przestępczości z 2007 r. zezwala organom publicznym na ujawnianie informacji organizacjom zwalczającym nadużycia finansowe do celów zapobiegania nadużyciom finansowym (206).

203

204

205

206

| (145) | Ustawy te wyraźnie stanowią, że udostępnianie informacji musi być zgodne z zasadami określonymi w DPA 2018 Ponadto Kolegium Policyjne wydało zatwierdzone praktyki zawodowe dotyczące udostępniania informacji (207), aby pomóc policji w wypełnianiu obowiązków w zakresie ochrony danych wynikających z RODO UK, DPA oraz ustawy o prawach człowieka z 1998 r. Zgodność udostępniania informacji z obowiązującymi ramami prawnymi w zakresie ochrony danych podlega oczywiście kontroli sądowej (208). |
| --- | --- |

(145)

Ustawy te wyraźnie stanowią, że udostępnianie informacji musi być zgodne z zasadami określonymi w DPA 2018 Ponadto Kolegium Policyjne wydało zatwierdzone praktyki zawodowe dotyczące udostępniania informacji (207), aby pomóc policji w wypełnianiu obowiązków w zakresie ochrony danych wynikających z RODO UK, DPA oraz ustawy o prawach człowieka z 1998 r. Zgodność udostępniania informacji z obowiązującymi ramami prawnymi w zakresie ochrony danych podlega oczywiście kontroli sądowej (208).

207

208

| (146) | Ponadto podobnie do tego, co wynika z art. 9 dyrektywy (UE) 2016/680, DPA 2018 stanowi, że dane osobowe zebrane w jakimkolwiek celu związanym ze ściganiem przestępstw mogą być przetwarzane w celu, który nie jest celem związanym ze ściganiem przestępstw, jeżeli to przetwarzanie jest dozwolone przez prawo (209). |
| --- | --- |

(146)

Ponadto podobnie do tego, co wynika z art. 9 dyrektywy (UE) 2016/680, DPA 2018 stanowi, że dane osobowe zebrane w jakimkolwiek celu związanym ze ściganiem przestępstw mogą być przetwarzane w celu, który nie jest celem związanym ze ściganiem przestępstw, jeżeli to przetwarzanie jest dozwolone przez prawo (209).

209

| (147) | Ten rodzaj udostępniania danych obejmuje dwa scenariusze: 1) gdy organ ścigania przekazuje dane organowi niebędącemu organem ścigania ani agencją wywiadowczą (np. organowi ds. regulacji finansowej, organowi podatkowemu, organowi ochrony konkurencji, urzędowi ds. młodzieży itp.) oraz 2) gdy organ ścigania przekazuje dane agencji wywiadowczej. W pierwszym scenariuszu przetwarzanie danych osobowych wchodzi w zakres RODO UK, jak również w zakres części 2 DPA 2018. Komisja oceniła zabezpieczenia przewidziane w RODO UK i części 2 DPA 2018 w motywach 12–111 i stwierdziła, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych zgodnie z zakresem stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do Zjednoczonego Królestwa. |
| --- | --- |

(147)

Ten rodzaj udostępniania danych obejmuje dwa scenariusze: 1) gdy organ ścigania przekazuje dane organowi niebędącemu organem ścigania ani agencją wywiadowczą (np. organowi ds. regulacji finansowej, organowi podatkowemu, organowi ochrony konkurencji, urzędowi ds. młodzieży itp.) oraz 2) gdy organ ścigania przekazuje dane agencji wywiadowczej. W pierwszym scenariuszu przetwarzanie danych osobowych wchodzi w zakres RODO UK, jak również w zakres części 2 DPA 2018. Komisja oceniła zabezpieczenia przewidziane w RODO UK i części 2 DPA 2018 w motywach 12–111 i stwierdziła, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych zgodnie z zakresem stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do Zjednoczonego Królestwa.

| (148) | W drugim scenariuszu, w odniesieniu do udostępniania danych zebranych przez organ ścigania agencji wywiadowczej do celów bezpieczeństwa narodowego, podstawą prawną upoważniającą do takiego udostępniania jest art. 19 ustawy o zwalczaniu terroryzmu z 2008 r. (CTA 2008) (210). Zgodnie z tą ustawą każdy może przekazać informacje którejkolwiek ze służb wywiadowczych na potrzeby wykonywania którejkolwiek z funkcji tej służby, w tym dotyczącej „bezpieczeństwa narodowego”. |
| --- | --- |

(148)

W drugim scenariuszu, w odniesieniu do udostępniania danych zebranych przez organ ścigania agencji wywiadowczej do celów bezpieczeństwa narodowego, podstawą prawną upoważniającą do takiego udostępniania jest art. 19 ustawy o zwalczaniu terroryzmu z 2008 r. (CTA 2008) (210). Zgodnie z tą ustawą każdy może przekazać informacje którejkolwiek ze służb wywiadowczych na potrzeby wykonywania którejkolwiek z funkcji tej służby, w tym dotyczącej „bezpieczeństwa narodowego”.

210

| (149) | Jeśli chodzi o warunki, na jakich dane można udostępniać do celów bezpieczeństwa narodowego, ustawa o służbach wywiadowczych (211) oraz ustawa o Służbie Bezpieczeństwa (212) ograniczają możliwości służb wywiadowczych w zakresie uzyskiwania danych do tego, co jest niezbędne do wykonywania ich funkcji ustawowych. Organy ścigania zamierzające udostępniać dane służbom wywiadowczym będą musiały uwzględnić szereg czynników/ograniczeń oprócz ustawowych funkcji agencji określonych w ustawie o służbach wywiadowczych i ustawie o Służbie Bezpieczeństwa (213). W art. 20 ustawy o zwalczaniu terroryzmu z 2008 r. wyraźnie wskazano, że wszelkie udostępnianie danych na podstawie art. 19 musi być również zgodne z ustawodawstwem w dziedzinie ochrony danych; oznacza to, że mają zastosowanie wszystkie ograniczenia i wymogi określone w części 3 DPA 2018. Ponadto ponieważ właściwe organy są organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r., organy te muszą zagwarantować, że działają zgodnie z prawami określonymi w konwencji, w tym z art. 8 EKPC. Ograniczenia te służą temu, aby wszelkie udostępnianie danych między organami ścigania a służbami wywiadowczymi było zgodne z ustawodawstwem w dziedzinie ochrony danych i EKPC. |
| --- | --- |

(149)

Jeśli chodzi o warunki, na jakich dane można udostępniać do celów bezpieczeństwa narodowego, ustawa o służbach wywiadowczych (211) oraz ustawa o Służbie Bezpieczeństwa (212) ograniczają możliwości służb wywiadowczych w zakresie uzyskiwania danych do tego, co jest niezbędne do wykonywania ich funkcji ustawowych. Organy ścigania zamierzające udostępniać dane służbom wywiadowczym będą musiały uwzględnić szereg czynników/ograniczeń oprócz ustawowych funkcji agencji określonych w ustawie o służbach wywiadowczych i ustawie o Służbie Bezpieczeństwa (213). W art. 20 ustawy o zwalczaniu terroryzmu z 2008 r. wyraźnie wskazano, że wszelkie udostępnianie danych na podstawie art. 19 musi być również zgodne z ustawodawstwem w dziedzinie ochrony danych; oznacza to, że mają zastosowanie wszystkie ograniczenia i wymogi określone w części 3 DPA 2018. Ponadto ponieważ właściwe organy są organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r., organy te muszą zagwarantować, że działają zgodnie z prawami określonymi w konwencji, w tym z art. 8 EKPC. Ograniczenia te służą temu, aby wszelkie udostępnianie danych między organami ścigania a służbami wywiadowczymi było zgodne z ustawodawstwem w dziedzinie ochrony danych i EKPC.

211

212

213

| (150) | Gdy właściwy organ zamierza udostępnić dane osobowe przetwarzane na podstawie części 3 DPA 2018 organom ścigania państwa trzeciego, zastosowanie mają szczególne wymagania (214). Mianowicie takie przekazywanie może mieć miejsce, gdy odbywa się na podstawie rozporządzeń stwierdzających odpowiedni stopień ochrony wydanych przez Sekretarza Stanu lub, w przypadku braku takich rozporządzeń, pod warunkiem zapewnienia odpowiednich zabezpieczeń. Art. 75 DPA 2018 stanowi, że odpowiednie zabezpieczenia istnieją, gdy ustanowiono je aktem prawnym, który jest wiążący dla zamierzonego odbiorcy, lub gdy administrator, po dokonaniu oceny wszystkich okoliczności związanych z przekazywaniem tego rodzaju danych osobowych do państwa trzeciego lub organizacji międzynarodowej, stwierdza, że istnieją odpowiednie zabezpieczenia służące ochronie danych. |
| --- | --- |

(150)

Gdy właściwy organ zamierza udostępnić dane osobowe przetwarzane na podstawie części 3 DPA 2018 organom ścigania państwa trzeciego, zastosowanie mają szczególne wymagania (214). Mianowicie takie przekazywanie może mieć miejsce, gdy odbywa się na podstawie rozporządzeń stwierdzających odpowiedni stopień ochrony wydanych przez Sekretarza Stanu lub, w przypadku braku takich rozporządzeń, pod warunkiem zapewnienia odpowiednich zabezpieczeń. Art. 75 DPA 2018 stanowi, że odpowiednie zabezpieczenia istnieją, gdy ustanowiono je aktem prawnym, który jest wiążący dla zamierzonego odbiorcy, lub gdy administrator, po dokonaniu oceny wszystkich okoliczności związanych z przekazywaniem tego rodzaju danych osobowych do państwa trzeciego lub organizacji międzynarodowej, stwierdza, że istnieją odpowiednie zabezpieczenia służące ochronie danych.

214

| (151) | Jeżeli przekazanie nie opiera się na rozporządzeniu stwierdzającym odpowiedni stopień ochrony ani na odpowiednich zabezpieczeniach, może nastąpić wyłącznie w niektórych, określonych okolicznościach, zwanych „szczególnymi okolicznościami” (215). Dotyczy to sytuacji, w których przekazanie jest niezbędne: a) w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby; b) w celu zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą; c) dla zapobieżenia bezpośredniemu, poważnemu ryzyku naruszenia bezpieczeństwa publicznego państwa członkowskiego lub państwa trzeciego; d) w indywidualnym przypadku do celów ścigania przestępstw; lub e) w indywidualnym przypadku do celów prawnych (np. w związku z postępowaniem sądowym lub w celu uzyskania porady prawnej). Należy zauważyć, że lit. d) i e) nie mają zastosowania, jeżeli podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego przemawiającego za przekazaniem. Ten zbiór okoliczności odpowiada szczególnym sytuacjom i warunkom kwalifikującym się jako „wyjątki” na podstawie art. 38 dyrektywy (UE) 2016/680. |
| --- | --- |

(151)

Jeżeli przekazanie nie opiera się na rozporządzeniu stwierdzającym odpowiedni stopień ochrony ani na odpowiednich zabezpieczeniach, może nastąpić wyłącznie w niektórych, określonych okolicznościach, zwanych „szczególnymi okolicznościami” (215). Dotyczy to sytuacji, w których przekazanie jest niezbędne: a) w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby; b) w celu zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą; c) dla zapobieżenia bezpośredniemu, poważnemu ryzyku naruszenia bezpieczeństwa publicznego państwa członkowskiego lub państwa trzeciego; d) w indywidualnym przypadku do celów ścigania przestępstw; lub e) w indywidualnym przypadku do celów prawnych (np. w związku z postępowaniem sądowym lub w celu uzyskania porady prawnej). Należy zauważyć, że lit. d) i e) nie mają zastosowania, jeżeli podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego przemawiającego za przekazaniem. Ten zbiór okoliczności odpowiada szczególnym sytuacjom i warunkom kwalifikującym się jako „wyjątki” na podstawie art. 38 dyrektywy (UE) 2016/680.

215

| (152) | Ponadto w IPA 2016 nałożono dodatkowe zabezpieczenia w sytuacji, w której materiały uzyskane przez organy ścigania na podstawie nakazu upoważniającego do przechwytywania lub ingerencji w urządzenia elektroniczne są przekazywane do państwa trzeciego. W szczególności takie ujawnienie, określone jako „ujawnienie za granicą”, jest dozwolone tylko wtedy, gdy organ wydający stwierdzi, że istnieją specjalne odpowiednie rozwiązania ograniczające liczbę osób, którym ujawnia się dane, oraz zakres ujawniania, udostępniania lub kopiowania wszelkich materiałów i liczbę wykonanych kopii. Ponadto organ wydający może stwierdzić, że konieczne są odpowiednie rozwiązania służące zapewnieniu, aby wszelkie kopie jakichkolwiek części tych materiałów zostały zniszczone, gdy tylko przestaną istnieć uzasadnione powody do ich zachowania (o ile nie zostaną zniszczone wcześniej) (216). |
| --- | --- |

(152)

Ponadto w IPA 2016 nałożono dodatkowe zabezpieczenia w sytuacji, w której materiały uzyskane przez organy ścigania na podstawie nakazu upoważniającego do przechwytywania lub ingerencji w urządzenia elektroniczne są przekazywane do państwa trzeciego. W szczególności takie ujawnienie, określone jako „ujawnienie za granicą”, jest dozwolone tylko wtedy, gdy organ wydający stwierdzi, że istnieją specjalne odpowiednie rozwiązania ograniczające liczbę osób, którym ujawnia się dane, oraz zakres ujawniania, udostępniania lub kopiowania wszelkich materiałów i liczbę wykonanych kopii. Ponadto organ wydający może stwierdzić, że konieczne są odpowiednie rozwiązania służące zapewnieniu, aby wszelkie kopie jakichkolwiek części tych materiałów zostały zniszczone, gdy tylko przestaną istnieć uzasadnione powody do ich zachowania (o ile nie zostaną zniszczone wcześniej) (216).

216

| (153) | Ponadto szczególne formy dalszego przekazywania danych ze Zjednoczonego Królestwa do Stanów Zjednoczonych mogą w przyszłości odbywać się na podstawie „Umowy między rządem Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej a rządem Stanów Zjednoczonych Ameryki o dostępie do danych elektronicznych w celu zwalczania poważnej przestępczości” („umowa między Zjednoczonym Królestwem a USA” lub „umowa”) (217) zawartej w październiku 2019 r. (218) Chociaż umowa między Zjednoczonym Królestwem a USA nie weszła jeszcze w życie w momencie przyjmowania niniejszej decyzji, jej spodziewane wejście w życie może mieć wpływ na dalsze przekazywanie do USA danych przekazanych wcześniej do Zjednoczonego Królestwa na podstawie decyzji. Dokładniej rzecz ujmując, dane przekazywane z UE do dostawców usług w Zjednoczonym Królestwie mogą podlegać nakazom wydania elektronicznego materiału dowodowego wydanym przez właściwe organy ścigania USA i stosowanym w Zjednoczonym Królestwie na podstawie wspomnianej umowy po jej wejściu w życie. W związku z tym ocena warunków i zabezpieczeń, na jakich takie nakazy mogą być wydawane i wykonywane, jest istotna dla niniejszej decyzji. |
| --- | --- |

(153)

Ponadto szczególne formy dalszego przekazywania danych ze Zjednoczonego Królestwa do Stanów Zjednoczonych mogą w przyszłości odbywać się na podstawie „Umowy między rządem Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej a rządem Stanów Zjednoczonych Ameryki o dostępie do danych elektronicznych w celu zwalczania poważnej przestępczości” („umowa między Zjednoczonym Królestwem a USA” lub „umowa”) (217) zawartej w październiku 2019 r. (218) Chociaż umowa między Zjednoczonym Królestwem a USA nie weszła jeszcze w życie w momencie przyjmowania niniejszej decyzji, jej spodziewane wejście w życie może mieć wpływ na dalsze przekazywanie do USA danych przekazanych wcześniej do Zjednoczonego Królestwa na podstawie decyzji. Dokładniej rzecz ujmując, dane przekazywane z UE do dostawców usług w Zjednoczonym Królestwie mogą podlegać nakazom wydania elektronicznego materiału dowodowego wydanym przez właściwe organy ścigania USA i stosowanym w Zjednoczonym Królestwie na podstawie wspomnianej umowy po jej wejściu w życie. W związku z tym ocena warunków i zabezpieczeń, na jakich takie nakazy mogą być wydawane i wykonywane, jest istotna dla niniejszej decyzji.

217

218

| (154) | W tym zakresie należy zauważyć, że, po pierwsze, jeśli chodzi o zakres przedmiotowy umowy, ma ona zastosowanie wyłącznie do przestępstw, które podlegają karze pozbawienia wolności o maksymalnym wymiarze co najmniej trzech lat (określanych jako „poważne przestępstwa”) (219), w tym „działalności terrorystycznej”. Po drugie, dane przetwarzane w jurysdykcji drugiej strony można uzyskać na podstawie tej umowy wyłącznie w następstwie „nakazu [...] podlegającego kontroli lub nadzorowi na mocy prawa krajowego strony wydającej przez sąd, sędziego lub inny niezależny organ przed postępowaniem lub w trakcie postępowania dotyczącego wykonania nakazu” (220). Po trzecie, wszelkie nakazy muszą „spełniać wymogi dotyczące racjonalnego uzasadnienia opartego na jasnych i wiarygodnych faktach, szczegółowości, zgodności z prawem i powagi działań będących przedmiotem postępowania przygotowawczego” (221) oraz „dotyczyć określonych kont, jak również wskazywać określoną osobę, konto, adres, urządzenie osobiste lub jakikolwiek inny określony identyfikator” (222). Po czwarte, dane uzyskane na podstawie tej umowy są objęte ochroną równoważną względem szczególnych zabezpieczeń przewidzianych w tzw. „umowie ramowej między UE a USA” (223) – kompleksowej umowie o ochronie danych zawartej w grudniu 2016 r. przez UE i USA, w której określono zabezpieczenia i prawa mające zastosowanie do przekazywania danych w ramach współpracy dotyczącej ścigania przestępstw – i które w całości włączono do przedmiotowej umowy przez odniesienie na zasadzie mutatis mutandis, przede wszystkim aby uwzględnić szczególny charakter przekazywania danych (tj. przekazywanie danych od operatorów prywatnych do organów ścigania, a nie przekazywanie danych między organami ścigania) (224). Umowa między Zjednoczonym Królestwem a USA wyraźnie stanowi, że ochrona równoważna ochronie zapewnianej przez umowę ramową między UE a USA będzie miała zastosowanie „do wszystkich danych osobowych wydanych w trakcie wykonywania nakazów podlegających umowie w celu zapewnienia równoważnej ochrony” (225). |
| --- | --- |

(154)

W tym zakresie należy zauważyć, że, po pierwsze, jeśli chodzi o zakres przedmiotowy umowy, ma ona zastosowanie wyłącznie do przestępstw, które podlegają karze pozbawienia wolności o maksymalnym wymiarze co najmniej trzech lat (określanych jako „poważne przestępstwa”) (219), w tym „działalności terrorystycznej”. Po drugie, dane przetwarzane w jurysdykcji drugiej strony można uzyskać na podstawie tej umowy wyłącznie w następstwie „nakazu [...] podlegającego kontroli lub nadzorowi na mocy prawa krajowego strony wydającej przez sąd, sędziego lub inny niezależny organ przed postępowaniem lub w trakcie postępowania dotyczącego wykonania nakazu” (220). Po trzecie, wszelkie nakazy muszą „spełniać wymogi dotyczące racjonalnego uzasadnienia opartego na jasnych i wiarygodnych faktach, szczegółowości, zgodności z prawem i powagi działań będących przedmiotem postępowania przygotowawczego” (221) oraz „dotyczyć określonych kont, jak również wskazywać określoną osobę, konto, adres, urządzenie osobiste lub jakikolwiek inny określony identyfikator” (222). Po czwarte, dane uzyskane na podstawie tej umowy są objęte ochroną równoważną względem szczególnych zabezpieczeń przewidzianych w tzw. „umowie ramowej między UE a USA” (223) – kompleksowej umowie o ochronie danych zawartej w grudniu 2016 r. przez UE i USA, w której określono zabezpieczenia i prawa mające zastosowanie do przekazywania danych w ramach współpracy dotyczącej ścigania przestępstw – i które w całości włączono do przedmiotowej umowy przez odniesienie na zasadzie mutatis mutandis, przede wszystkim aby uwzględnić szczególny charakter przekazywania danych (tj. przekazywanie danych od operatorów prywatnych do organów ścigania, a nie przekazywanie danych między organami ścigania) (224). Umowa między Zjednoczonym Królestwem a USA wyraźnie stanowi, że ochrona równoważna ochronie zapewnianej przez umowę ramową między UE a USA będzie miała zastosowanie „do wszystkich danych osobowych wydanych w trakcie wykonywania nakazów podlegających umowie w celu zapewnienia równoważnej ochrony” (225).

219

220

221

222

223

mutatis mutandis

224

225

| (155) | Dane przekazywane organom USA na podstawie umowy między Zjednoczonym Królestwem a USA powinny zatem być objęte ochroną zapewnianą instrumentem prawa Unii, zawierającym niezbędne dostosowania odzwierciedlające charakter takiego przekazywania. Władze Zjednoczonego Królestwa potwierdziły ponadto, że ochrona przewidziana w umowie ramowej będzie miała zastosowanie do wszystkich danych osobowych wydawanych lub przechowywanych na podstawie umowy, niezależnie od charakteru lub rodzaju organu występującego z wnioskiem (np. zarówno federalne, jak i stanowe amerykańskie organy ścigania), tak więc równoważną ochronę należy zapewnić we wszystkich przypadkach. Władze Zjednoczonego Królestwa wyjaśniły jednak również, że nadal trwają rozmowy między Zjednoczonym Królestwem a USA w sprawie szczegółowych ustaleń dotyczących konkretnego wdrożenia zabezpieczeń służących ochronie danych. W kontekście rozmów ze służbami Komisji Europejskiej na temat niniejszej decyzji władze Zjednoczonego Królestwa potwierdziły, że dopuszczą do wejścia umowy w życie dopiero wtedy, gdy będą miały pewność, że zostanie wdrożona zgodnie z przewidzianymi w niej zobowiązaniami prawnymi, w tym w kwestii jasności co do zgodności z normami ochrony danych w przypadku wszelkich danych, o które wystąpiono na podstawie wspomnianej umowy. Ponieważ ewentualne wejście w życie umowy może mieć wpływ na stopień ochrony oceniany w niniejszej decyzji, Zjednoczone Królestwo powinno przekazywać Komisji Europejskiej wszelkie informacje i przyszłe wyjaśnienia na temat sposobu, w jaki USA będzie wypełniać swoje zobowiązania wynikające z umowy, gdy tylko staną się dostępne, a w każdym razie przed wejściem w życie umowy, aby zapewnić właściwe monitorowanie niniejszej decyzji zgodnie z art. 45 ust. 4 rozporządzenia (UE) 2016/679. Szczególna uwaga zostanie poświęcona stosowaniu i dostosowaniu zabezpieczeń umowy ramowej do szczególnego rodzaju przekazywania danych objętego umową między Zjednoczonym Królestwem a USA. |
| --- | --- |

(155)

Dane przekazywane organom USA na podstawie umowy między Zjednoczonym Królestwem a USA powinny zatem być objęte ochroną zapewnianą instrumentem prawa Unii, zawierającym niezbędne dostosowania odzwierciedlające charakter takiego przekazywania. Władze Zjednoczonego Królestwa potwierdziły ponadto, że ochrona przewidziana w umowie ramowej będzie miała zastosowanie do wszystkich danych osobowych wydawanych lub przechowywanych na podstawie umowy, niezależnie od charakteru lub rodzaju organu występującego z wnioskiem (np. zarówno federalne, jak i stanowe amerykańskie organy ścigania), tak więc równoważną ochronę należy zapewnić we wszystkich przypadkach. Władze Zjednoczonego Królestwa wyjaśniły jednak również, że nadal trwają rozmowy między Zjednoczonym Królestwem a USA w sprawie szczegółowych ustaleń dotyczących konkretnego wdrożenia zabezpieczeń służących ochronie danych. W kontekście rozmów ze służbami Komisji Europejskiej na temat niniejszej decyzji władze Zjednoczonego Królestwa potwierdziły, że dopuszczą do wejścia umowy w życie dopiero wtedy, gdy będą miały pewność, że zostanie wdrożona zgodnie z przewidzianymi w niej zobowiązaniami prawnymi, w tym w kwestii jasności co do zgodności z normami ochrony danych w przypadku wszelkich danych, o które wystąpiono na podstawie wspomnianej umowy. Ponieważ ewentualne wejście w życie umowy może mieć wpływ na stopień ochrony oceniany w niniejszej decyzji, Zjednoczone Królestwo powinno przekazywać Komisji Europejskiej wszelkie informacje i przyszłe wyjaśnienia na temat sposobu, w jaki USA będzie wypełniać swoje zobowiązania wynikające z umowy, gdy tylko staną się dostępne, a w każdym razie przed wejściem w życie umowy, aby zapewnić właściwe monitorowanie niniejszej decyzji zgodnie z art. 45 ust. 4 rozporządzenia (UE) 2016/679. Szczególna uwaga zostanie poświęcona stosowaniu i dostosowaniu zabezpieczeń umowy ramowej do szczególnego rodzaju przekazywania danych objętego umową między Zjednoczonym Królestwem a USA.

| (156) | Mówiąc bardziej ogólnie, wszelkie istotne zmiany dotyczące wejścia w życie i stosowania umowy zostaną należycie uwzględnione w kontekście stałego monitorowania niniejszej decyzji, w tym w odniesieniu do niezbędnych konsekwencji, które będzie należało wyciągnąć w przypadku jakichkolwiek przesłanek wskazujących, że zasadniczo odpowiadający stopień ochrony nie jest już zapewniany. |
| --- | --- |

(156)

Mówiąc bardziej ogólnie, wszelkie istotne zmiany dotyczące wejścia w życie i stosowania umowy zostaną należycie uwzględnione w kontekście stałego monitorowania niniejszej decyzji, w tym w odniesieniu do niezbędnych konsekwencji, które będzie należało wyciągnąć w przypadku jakichkolwiek przesłanek wskazujących, że zasadniczo odpowiadający stopień ochrony nie jest już zapewniany.

3.2.3.   Nadzór

Nadzór

| (157) | W zależności od uprawnień wykonywanych przez właściwe organy przy przetwarzaniu danych osobowych do celów ścigania przestępstw (czy to na mocy DPA 2018, czy IPA 2016) nadzór nad wykonaniem tych uprawnień zapewniają różne organy. Gdy przetwarzanie danych osobowych wchodzi w zakres części 3 DPA 2018, nadzoruje je Komisarz ds. Informacji (226). Niezależny i sądowy nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych na podstawie IPA 2016 zapewnia biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (227) (do tej kwestii odniesiono się w motywach 250–255). Ponadto dodatkowy nadzór gwarantuje parlament oraz inne organy. |
| --- | --- |

(157)

W zależności od uprawnień wykonywanych przez właściwe organy przy przetwarzaniu danych osobowych do celów ścigania przestępstw (czy to na mocy DPA 2018, czy IPA 2016) nadzór nad wykonaniem tych uprawnień zapewniają różne organy. Gdy przetwarzanie danych osobowych wchodzi w zakres części 3 DPA 2018, nadzoruje je Komisarz ds. Informacji (226). Niezależny i sądowy nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych na podstawie IPA 2016 zapewnia biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (227) (do tej kwestii odniesiono się w motywach 250–255). Ponadto dodatkowy nadzór gwarantuje parlament oraz inne organy.

226

227

3.2.3.1.   Nadzór na podstawie części 3 DPA 2018

Nadzór na podstawie części 3 DPA 2018

| (158) | Ogólne funkcje Komisarza ds. Informacji – którego niezależność i organizację omówiono w motywie 87 – w odniesieniu do przetwarzania danych osobowych wchodzącego w zakres części 3 DPA 2018 określono w załączniku 13 do DPA 2018. Głównym zadaniem Komisarza ds. Informacji jest monitorowanie i egzekwowanie części 3 DPA 2018, jak również zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi oraz innym instytucjom i organom. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. W takich okolicznościach funkcje nadzorcze wykonują inne organy, jak wyjaśniono w motywach 99–103. |
| --- | --- |

(158)

Ogólne funkcje Komisarza ds. Informacji – którego niezależność i organizację omówiono w motywie 87 – w odniesieniu do przetwarzania danych osobowych wchodzącego w zakres części 3 DPA 2018 określono w załączniku 13 do DPA 2018. Głównym zadaniem Komisarza ds. Informacji jest monitorowanie i egzekwowanie części 3 DPA 2018, jak również zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi oraz innym instytucjom i organom. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. W takich okolicznościach funkcje nadzorcze wykonują inne organy, jak wyjaśniono w motywach 99–103.

| (159) | Komisarz posiada ogólne uprawnienia dochodzeniowo-śledcze, uprawnienia w zakresie korekt, upoważnień i uprawnienia doradcze w odniesieniu do przetwarzania danych osobowych, do których zastosowanie ma część 3. W szczególności Komisarz posiada uprawnienia do zawiadomienia administratora lub podmiotu przetwarzającego o domniemanym naruszeniu przepisów części 3 DPA 2018, do udzielania ostrzeżeń lub upomnień administratorowi lub podmiotowi przetwarzającemu, który naruszył przepisy części 3 ustawy, a także do wydawania z własnej inicjatywy lub na wniosek opinii dla parlamentu, rządu lub innych instytucji i organów, a także obywateli w sprawie dowolnej kwestii związanej z ochroną danych osobowych (228). |
| --- | --- |

(159)

Komisarz posiada ogólne uprawnienia dochodzeniowo-śledcze, uprawnienia w zakresie korekt, upoważnień i uprawnienia doradcze w odniesieniu do przetwarzania danych osobowych, do których zastosowanie ma część 3. W szczególności Komisarz posiada uprawnienia do zawiadomienia administratora lub podmiotu przetwarzającego o domniemanym naruszeniu przepisów części 3 DPA 2018, do udzielania ostrzeżeń lub upomnień administratorowi lub podmiotowi przetwarzającemu, który naruszył przepisy części 3 ustawy, a także do wydawania z własnej inicjatywy lub na wniosek opinii dla parlamentu, rządu lub innych instytucji i organów, a także obywateli w sprawie dowolnej kwestii związanej z ochroną danych osobowych (228).

228

| (160) | Ponadto Komisarz posiada uprawnienia do wydawania zawiadomień informacyjnych (229), zawiadomień oceniających (230) i zawiadomień egzekucyjnych (231), a także uprawnienia do uzyskania dostępu do dokumentów administratorów i podmiotów przetwarzających, dostępu do ich pomieszczeń (232) oraz nakładania administracyjnych kar pieniężnych w formie zawiadomień w sprawie sankcji (233). W polityce działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których wydaje on, odpowiednio, zawiadomienia informacyjne, oceniające, egzekucyjne i zawiadomienia w sprawie sankcji (234) (zob. również motyw 93 oraz motywy 101–102 decyzji stwierdzającej odpowiedni stopień ochrony na podstawie dyrektywy (UE) 2016/680. |
| --- | --- |

(160)

Ponadto Komisarz posiada uprawnienia do wydawania zawiadomień informacyjnych (229), zawiadomień oceniających (230) i zawiadomień egzekucyjnych (231), a także uprawnienia do uzyskania dostępu do dokumentów administratorów i podmiotów przetwarzających, dostępu do ich pomieszczeń (232) oraz nakładania administracyjnych kar pieniężnych w formie zawiadomień w sprawie sankcji (233). W polityce działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których wydaje on, odpowiednio, zawiadomienia informacyjne, oceniające, egzekucyjne i zawiadomienia w sprawie sankcji (234) (zob. również motyw 93 oraz motywy 101–102 decyzji stwierdzającej odpowiedni stopień ochrony na podstawie dyrektywy (UE) 2016/680.

229

230

231

232

233

234

| (161) | Zgodnie z ostatnimi sprawozdaniami rocznymi (2018–2019 (235), 2019–2020 (236)) Komisarz ds. Informacji przeprowadził szereg postępowań i zastosował środki egzekucyjne w odniesieniu do przetwarzania danych przez organy ścigania. Na przykład w październiku 2019 r. Komisarz przeprowadził postępowanie i wydał opinię w sprawie wykorzystywania przez organy ścigania technologii rozpoznawania twarzy w miejscach publicznych. W postępowaniu skupiono się w szczególności na wykorzystywaniu przez policję południowej Walii i Metropolitalną Służbę Policyjną możliwości w zakresie rozpoznawania twarzy na żywo. Komisarz ds. Informacji zbadał również stosowaną przez Metropolitalną Służbę Policyjną „matrycę gangów” (237) i stwierdził szereg poważnych naruszeń przepisów o ochronie danych, które mogły podważyć zaufanie publiczne w kwestii stosowania matrycy i sposobu wykorzystywania danych. W listopadzie 2018 r. Komisarz ds. Informacji wydał zawiadomienie egzekucyjne, w następstwie którego Metropolitalna Służba Policyjna podjęła kroki wymagane do zwiększenia bezpieczeństwa i rozliczalności oraz zapewnienia wykorzystywania danych w sposób proporcjonalny. Innym przykładem działań egzekucyjnych w tym obszarze jest grzywna w wysokości 325 000 GBP, którą Komisarz nałożył w maju 2018 r. na prokuraturę za utracenie niezaszyfrowanych płyt DVD zawierających nagrania z przesłuchań policyjnych. Komisarz ds. Informacji prowadził również postępowania dotyczące szerszych zagadnień, na przykład w pierwszej połowie 2020 r. w sprawie wydobywania danych z telefonów komórkowych do celów policyjnych oraz przetwarzania przez policję danych osób poszkodowanych. Ponadto Komisarz bada obecnie sprawę, która dotyczy dostępu organów ścigania do danych będących w posiadaniu podmiotu sektora prywatnego, Clearview AI Inc. (238) |
| --- | --- |

(161)

Zgodnie z ostatnimi sprawozdaniami rocznymi (2018–2019 (235), 2019–2020 (236)) Komisarz ds. Informacji przeprowadził szereg postępowań i zastosował środki egzekucyjne w odniesieniu do przetwarzania danych przez organy ścigania. Na przykład w październiku 2019 r. Komisarz przeprowadził postępowanie i wydał opinię w sprawie wykorzystywania przez organy ścigania technologii rozpoznawania twarzy w miejscach publicznych. W postępowaniu skupiono się w szczególności na wykorzystywaniu przez policję południowej Walii i Metropolitalną Służbę Policyjną możliwości w zakresie rozpoznawania twarzy na żywo. Komisarz ds. Informacji zbadał również stosowaną przez Metropolitalną Służbę Policyjną „matrycę gangów” (237) i stwierdził szereg poważnych naruszeń przepisów o ochronie danych, które mogły podważyć zaufanie publiczne w kwestii stosowania matrycy i sposobu wykorzystywania danych. W listopadzie 2018 r. Komisarz ds. Informacji wydał zawiadomienie egzekucyjne, w następstwie którego Metropolitalna Służba Policyjna podjęła kroki wymagane do zwiększenia bezpieczeństwa i rozliczalności oraz zapewnienia wykorzystywania danych w sposób proporcjonalny. Innym przykładem działań egzekucyjnych w tym obszarze jest grzywna w wysokości 325 000 GBP, którą Komisarz nałożył w maju 2018 r. na prokuraturę za utracenie niezaszyfrowanych płyt DVD zawierających nagrania z przesłuchań policyjnych. Komisarz ds. Informacji prowadził również postępowania dotyczące szerszych zagadnień, na przykład w pierwszej połowie 2020 r. w sprawie wydobywania danych z telefonów komórkowych do celów policyjnych oraz przetwarzania przez policję danych osób poszkodowanych. Ponadto Komisarz bada obecnie sprawę, która dotyczy dostępu organów ścigania do danych będących w posiadaniu podmiotu sektora prywatnego, Clearview AI Inc. (238)

235

236

237

238

| (162) | Oprócz wymienionych w motywach 160 i 161 uprawnień Komisarza ds. Informacji do egzekwowania przestrzegania przepisów niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo i mogą tym samym podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład uzyskania, ujawnienia lub zatrzymania danych osobowych bez zgody administratora oraz doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (239); deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (240); umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (241), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (242). |
| --- | --- |

(162)

Oprócz wymienionych w motywach 160 i 161 uprawnień Komisarza ds. Informacji do egzekwowania przestrzegania przepisów niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo i mogą tym samym podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład uzyskania, ujawnienia lub zatrzymania danych osobowych bez zgody administratora oraz doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (239); deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (240); umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (241), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (242).

239

240

241

242

3.2.3.2.   Inne organy nadzoru w obszarze ścigania przestępstw

Inne organy nadzoru w obszarze ścigania przestępstw

| (163) | Oprócz Komisarza ds. Informacji istnieje szereg organów nadzorczych w obszarze ścigania przestępstw, które posiadają szczególne uprawnienia związane z kwestiami dotyczącymi ochrony danych. Są to m.in. Komisarz ds. Zatrzymywania i Wykorzystywania Materiału Biometrycznego (Komisarz ds. Biometrii) (243) oraz Komisarz ds. Kamer Nadzorujących (244). |
| --- | --- |

(163)

Oprócz Komisarza ds. Informacji istnieje szereg organów nadzorczych w obszarze ścigania przestępstw, które posiadają szczególne uprawnienia związane z kwestiami dotyczącymi ochrony danych. Są to m.in. Komisarz ds. Zatrzymywania i Wykorzystywania Materiału Biometrycznego (Komisarz ds. Biometrii) (243) oraz Komisarz ds. Kamer Nadzorujących (244).

243

244

3.2.3.3.   Nadzór parlamentarny w obszarze ścigania przestępstw

| (164) | Komisja Specjalna do Spraw Wewnętrznych (Home Affairs Select Committee, HASC) zapewnia nadzór parlamentarny w obszarze ścigania przestępstw. Komisja składa się z 11 członków parlamentu wybranych z trzech największych partii politycznych. Zadaniem komisji jest badanie wydatków, administracji i polityki Home Office oraz powiązanych z nim organów publicznych, tj. m.in. policji i Krajowej Agencji ds. Zwalczania Przestępczości, których pracę komisja może kontrolować w szczególności (245). |
| --- | --- |

(164)

Komisja Specjalna do Spraw Wewnętrznych (Home Affairs Select Committee, HASC) zapewnia nadzór parlamentarny w obszarze ścigania przestępstw. Komisja składa się z 11 członków parlamentu wybranych z trzech największych partii politycznych. Zadaniem komisji jest badanie wydatków, administracji i polityki Home Office oraz powiązanych z nim organów publicznych, tj. m.in. policji i Krajowej Agencji ds. Zwalczania Przestępczości, których pracę komisja może kontrolować w szczególności (245).

245

| (165) | Komisja może, w granicach swoich kompetencji, wybrać własny przedmiot dochodzenia, w tym konkretne przypadki, o ile dana sprawa nie jest rozpatrywana przez sąd. Komisja może również zwracać się do szerokiego grona odpowiednich grup i osób fizycznych o przedstawienie dowodów w formie pisemnej i ustnej. Komisja sporządza sprawozdania w sprawie swoich ustaleń i wydaje zalecenia dla rządu (246). Rząd powinien odpowiedzieć na każde z zaleceń zawartych w sprawozdaniu i musi odpowiedzieć w ciągu 60 dni (247). |
| --- | --- |

(165)

Komisja może, w granicach swoich kompetencji, wybrać własny przedmiot dochodzenia, w tym konkretne przypadki, o ile dana sprawa nie jest rozpatrywana przez sąd. Komisja może również zwracać się do szerokiego grona odpowiednich grup i osób fizycznych o przedstawienie dowodów w formie pisemnej i ustnej. Komisja sporządza sprawozdania w sprawie swoich ustaleń i wydaje zalecenia dla rządu (246). Rząd powinien odpowiedzieć na każde z zaleceń zawartych w sprawozdaniu i musi odpowiedzieć w ciągu 60 dni (247).

246

247

| (166) | Jeżeli chodzi o niejawny nadzór, Komisja sporządziła również sprawozdanie dotyczące ustawy regulującej uprawnienia dochodzeniowo-śledcze z 2000 r. (RIPA 2000) (248), w którym stwierdzono, że RIPA 2000 jest nieadekwatna. Sprawozdanie to uwzględniono podczas zastępowania istotnych części ustawy RIPA 2000 ustawą IPA 2016. Pełna lista dochodzeń znajduje się na stronie internetowej komisji (249). |
| --- | --- |

(166)

Jeżeli chodzi o niejawny nadzór, Komisja sporządziła również sprawozdanie dotyczące ustawy regulującej uprawnienia dochodzeniowo-śledcze z 2000 r. (RIPA 2000) (248), w którym stwierdzono, że RIPA 2000 jest nieadekwatna. Sprawozdanie to uwzględniono podczas zastępowania istotnych części ustawy RIPA 2000 ustawą IPA 2016. Pełna lista dochodzeń znajduje się na stronie internetowej komisji (249).

248

249

| (167) | Zadania Komisji Specjalnej do Spraw Wewnętrznych są wykonywane w Szkocji przez Podkomisję Sprawiedliwości ds. Działań Policyjnych (Justice Subcommittee on Policing), a w Irlandii Północnej przez Komisję Sprawiedliwości (Committee for Justice) (250). |
| --- | --- |

(167)

Zadania Komisji Specjalnej do Spraw Wewnętrznych są wykonywane w Szkocji przez Podkomisję Sprawiedliwości ds. Działań Policyjnych (Justice Subcommittee on Policing), a w Irlandii Północnej przez Komisję Sprawiedliwości (Committee for Justice) (250).

250

3.2.4.   Środki zaskarżenia

Środki zaskarżenia

| (168) | Jeśli chodzi o przetwarzanie danych przez organy ścigania, mechanizmy regulujące środki zaskarżenia określono w części 3 DPA 2018 oraz w IPA 2016, a także w ustawie o prawach człowieka z 1998 r. |
| --- | --- |

(168)

Jeśli chodzi o przetwarzanie danych przez organy ścigania, mechanizmy regulujące środki zaskarżenia określono w części 3 DPA 2018 oraz w IPA 2016, a także w ustawie o prawach człowieka z 1998 r.

| (169) | Ten zbiór mechanizmów zapewnia osobom, których dane dotyczą, skuteczne administracyjne i sądowe środki zaskarżenia, dzięki czemu mogą dochodzić swoich praw, w tym prawa do uzyskania dostępu do dotyczących ich danych osobowych lub sprostowania lub usunięcia takich danych. |
| --- | --- |

(169)

Ten zbiór mechanizmów zapewnia osobom, których dane dotyczą, skuteczne administracyjne i sądowe środki zaskarżenia, dzięki czemu mogą dochodzić swoich praw, w tym prawa do uzyskania dostępu do dotyczących ich danych osobowych lub sprostowania lub usunięcia takich danych.

| (170) | Po pierwsze, zgodnie z art. 165 DPA 2018 osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 3 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą (251). Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do poczynienia koniecznych kroków w przypadku nieprzestrzegania przepisów oraz nakładania grzywien. |
| --- | --- |

(170)

Po pierwsze, zgodnie z art. 165 DPA 2018 osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 3 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą (251). Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do poczynienia koniecznych kroków w przypadku nieprzestrzegania przepisów oraz nakładania grzywien.

251

| (171) | Po drugie DPA 2018 przewiduje prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji, jeżeli nie rozpatrzy on odpowiednio skargi złożonej przez osobę, której dane dotyczą. Mówiąc ściślej, jeżeli Komisarz nie „poczyni postępów” (252) w rozpatrywaniu skargi złożonej przez osobę, której dane dotyczą, skarżący ma dostęp do środka ochrony prawnej przed sądem – może zwrócić się do trybunału pierwszej instancji (253) o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (254). Ponadto każda osoba, wobec której Komisarz wydał którekolwiek ze wspomnianych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do Trybunału Pierwszej Instancji (First Tier Tribunal). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać (255). |
| --- | --- |

(171)

Po drugie DPA 2018 przewiduje prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji, jeżeli nie rozpatrzy on odpowiednio skargi złożonej przez osobę, której dane dotyczą. Mówiąc ściślej, jeżeli Komisarz nie „poczyni postępów” (252) w rozpatrywaniu skargi złożonej przez osobę, której dane dotyczą, skarżący ma dostęp do środka ochrony prawnej przed sądem – może zwrócić się do trybunału pierwszej instancji (253) o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (254). Ponadto każda osoba, wobec której Komisarz wydał którekolwiek ze wspomnianych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do Trybunału Pierwszej Instancji (First Tier Tribunal). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać (255).

252

253

254

255

| (172) | Po trzecie osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu. W szczególności, zgodnie z art. 167 DPA 2018, osoba, której dane dotyczą, może złożyć wniosek do sądu w sprawie naruszenia jej prawa wynikającego z ustawodawstwa w dziedzinie ochrony danych, a sąd może w drodze nakazu zażądać od administratora podjęcia (lub powstrzymania się od podjęcia) wszelkich kroków w odniesieniu do przetwarzania w celu zapewnienia zgodności z DPA 2018. Ponadto, zgodnie z art. 169 DPA 2018, każda osoba, która poniosła szkodę z powodu naruszenia wymogu określonego w ustawodawstwie w dziedzinie ochrony danych (w tym w części 3 DPA 2018), innym niż RODO UK, jest uprawniona do odszkodowania z tytułu tej szkody od administratora lub podmiotu przetwarzającego, z wyjątkiem sytuacji, gdy administrator lub podmiot przetwarzający udowodni, że nie jest w żaden sposób odpowiedzialny za zdarzenie powodujące szkodę. Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie. |
| --- | --- |

(172)

Po trzecie osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu. W szczególności, zgodnie z art. 167 DPA 2018, osoba, której dane dotyczą, może złożyć wniosek do sądu w sprawie naruszenia jej prawa wynikającego z ustawodawstwa w dziedzinie ochrony danych, a sąd może w drodze nakazu zażądać od administratora podjęcia (lub powstrzymania się od podjęcia) wszelkich kroków w odniesieniu do przetwarzania w celu zapewnienia zgodności z DPA 2018. Ponadto, zgodnie z art. 169 DPA 2018, każda osoba, która poniosła szkodę z powodu naruszenia wymogu określonego w ustawodawstwie w dziedzinie ochrony danych (w tym w części 3 DPA 2018), innym niż RODO UK, jest uprawniona do odszkodowania z tytułu tej szkody od administratora lub podmiotu przetwarzającego, z wyjątkiem sytuacji, gdy administrator lub podmiot przetwarzający udowodni, że nie jest w żaden sposób odpowiedzialny za zdarzenie powodujące szkodę. Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie.

| (173) | Każda osoba, która uważa, że jej prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez dowolne organy publiczne, może wreszcie dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. (256), a po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej, organizacji pozarządowej i grupie osób przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszeń praw gwarantowanych w Konwencji o ochronie praw człowieka i podstawowych wolności (257) (zob. motyw 111). |
| --- | --- |

(173)

Każda osoba, która uważa, że jej prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez dowolne organy publiczne, może wreszcie dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. (256), a po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej, organizacji pozarządowej i grupie osób przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszeń praw gwarantowanych w Konwencji o ochronie praw człowieka i podstawowych wolności (257) (zob. motyw 111).

256

257

3.2.4.1.   Mechanizmy zaskarżenia dostępne na mocy IPA 2016

Mechanizmy zaskarżenia dostępne na mocy IPA 2016

| (174) | Osobom fizycznym przysługują środki zaskarżenia z tytułu naruszenia IPA 2016 przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal). Możliwe środki zaskarżenia dostępne na podstawie IPA 2016 opisano w motywach 263–269 poniżej. |
| --- | --- |

(174)

Osobom fizycznym przysługują środki zaskarżenia z tytułu naruszenia IPA 2016 przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal). Możliwe środki zaskarżenia dostępne na podstawie IPA 2016 opisano w motywach 263–269 poniżej.

3.3.   Dostęp organów publicznych Zjednoczonego Królestwa do danych w celach związanych z bezpieczeństwem narodowym i wykorzystywanie przez nie danych w tych celach

Dostęp organów publicznych Zjednoczonego Królestwa do danych w celach związanych z bezpieczeństwem narodowym i wykorzystywanie przez nie danych w tych celach

| (175) | W porządku prawnym Zjednoczonego Królestwa służbami wywiadowczymi uprawnionymi do gromadzenia informacji elektronicznych będących w posiadaniu administratorów lub podmiotów przetwarzających ze względów bezpieczeństwa narodowego, w sytuacjach istotnych dla scenariusza odpowiedniości, są: Służba Bezpieczeństwa (258) (Security Service, MI5), (259) Tajna Służba Wywiadowcza (Secret Intelligence Service, SIS) oraz Centrala Łączności Rządowej (260) (Government Communications Headquarters, GCHQ) (261). |
| --- | --- |

(175)

W porządku prawnym Zjednoczonego Królestwa służbami wywiadowczymi uprawnionymi do gromadzenia informacji elektronicznych będących w posiadaniu administratorów lub podmiotów przetwarzających ze względów bezpieczeństwa narodowego, w sytuacjach istotnych dla scenariusza odpowiedniości, są: Służba Bezpieczeństwa (258) (Security Service, MI5), (259) Tajna Służba Wywiadowcza (Secret Intelligence Service, SIS) oraz Centrala Łączności Rządowej (260) (Government Communications Headquarters, GCHQ) (261).

258

259

260

261

3.3.1.   Podstawy prawne, ograniczenia i zabezpieczenia

Podstawy prawne, ograniczenia i zabezpieczenia

| (176) | W Zjednoczonym Królestwie uprawnienia agencji wywiadowczych określono w IPA 2016 i RIPA 2000, które wraz z DPA 2018 określają zakres przedmiotowy i podmiotowy tych uprawnień i przewidują ograniczenia i zabezpieczenia w zakresie ich wykonywania. W dalszych sekcjach szczegółowo oceniono powyższe uprawnienia, jak również ograniczenia i zabezpieczenia mające do nich zastosowanie. |
| --- | --- |

(176)

W Zjednoczonym Królestwie uprawnienia agencji wywiadowczych określono w IPA 2016 i RIPA 2000, które wraz z DPA 2018 określają zakres przedmiotowy i podmiotowy tych uprawnień i przewidują ograniczenia i zabezpieczenia w zakresie ich wykonywania. W dalszych sekcjach szczegółowo oceniono powyższe uprawnienia, jak również ograniczenia i zabezpieczenia mające do nich zastosowanie.

3.3.1.1.   Uprawnienia dochodzeniowo-śledcze wykonywane w kontekście bezpieczeństwa narodowego

Uprawnienia dochodzeniowo-śledcze wykonywane w kontekście bezpieczeństwa narodowego

| (177) | W IPA 2016 przewidziano ramy prawne dla korzystania z uprawnień dochodzeniowo-śledczych, tj. uprawnień do przechwytywania i dostępu do danych pochodzących z łączności oraz dokonywania ingerencji w urządzenia elektroniczne. W IPA 2016 wprowadzono ogólny zakaz i uznano za czyn zabroniony stosowanie technik umożliwiających dostęp do treści komunikacji, dostęp do danych pochodzących z łączności lub ingerencję w urządzenia elektroniczne bez zgodnego z prawem upoważnienia (262). Znajduje to odzwierciedlenie w fakcie, że korzystanie z tych uprawnień dochodzeniowo-śledczych jest zgodne z prawem tylko wtedy, gdy odbywa się na podstawie nakazu lub upoważnienia (263). |
| --- | --- |

(177)

W IPA 2016 przewidziano ramy prawne dla korzystania z uprawnień dochodzeniowo-śledczych, tj. uprawnień do przechwytywania i dostępu do danych pochodzących z łączności oraz dokonywania ingerencji w urządzenia elektroniczne. W IPA 2016 wprowadzono ogólny zakaz i uznano za czyn zabroniony stosowanie technik umożliwiających dostęp do treści komunikacji, dostęp do danych pochodzących z łączności lub ingerencję w urządzenia elektroniczne bez zgodnego z prawem upoważnienia (262). Znajduje to odzwierciedlenie w fakcie, że korzystanie z tych uprawnień dochodzeniowo-śledczych jest zgodne z prawem tylko wtedy, gdy odbywa się na podstawie nakazu lub upoważnienia (263).

262

263

| (178) | W IPA 2016 określono szczegółowe zasady regulujące zakres i stosowanie poszczególnych uprawnień dochodzeniowych, a także szczególne ograniczenia i zabezpieczenia ich dotyczące. Stosuje się różne zasady w zależności od rodzaju uprawnień dochodzeniowo-śledczych (przechwytywanie komunikacji, pozyskiwanie i zatrzymywanie danych pochodzących z łączności oraz ingerencja w urządzenia elektroniczne) (264), a także od tego, czy uprawnienia te wykonuje się w odniesieniu do konkretnego celu, czy też masowo. Szczegółowe informacje na temat zakresu, zabezpieczeń i ograniczeń określonych w IPA 2016 w odniesieniu do poszczególnych środków przedstawiono w sekcji poniżej. |
| --- | --- |

(178)

W IPA 2016 określono szczegółowe zasady regulujące zakres i stosowanie poszczególnych uprawnień dochodzeniowych, a także szczególne ograniczenia i zabezpieczenia ich dotyczące. Stosuje się różne zasady w zależności od rodzaju uprawnień dochodzeniowo-śledczych (przechwytywanie komunikacji, pozyskiwanie i zatrzymywanie danych pochodzących z łączności oraz ingerencja w urządzenia elektroniczne) (264), a także od tego, czy uprawnienia te wykonuje się w odniesieniu do konkretnego celu, czy też masowo. Szczegółowe informacje na temat zakresu, zabezpieczeń i ograniczeń określonych w IPA 2016 w odniesieniu do poszczególnych środków przedstawiono w sekcji poniżej.

264

| (179) | Ponadto uzupełnieniem IPA 2016 jest szereg ustawowych kodeksów postępowania, wydanych przez Sekretarza Stanu, zatwierdzonych przez obie izby parlamentu (265) i obowiązujących w całym państwie, zawierających dalsze wytyczne dotyczące korzystania ze wspomnianych uprawnień (266). Jakkolwiek osoby, których dane dotyczą, mogą przy wykonywaniu swoich praw powoływać się bezpośrednio na przepisy określone w IPA 2016, w załączniku 7 ust. 5 do IPA 2016 określono, że kodeksy postępowania są dopuszczalne jako dowód w postępowaniu cywilnym i karnym, a sąd, trybunał lub organ nadzorczy może wziąć pod uwagę wszelkie niezgodności z kodeksami przy ustalaniu istotnej kwestii w postępowaniu sądowym (267). W kontekście oceny wcześniejszych przepisów Zjednoczonego Królestwa w dziedzinie nadzoru – RIPA 2000 – pod kątem jakości prawa wielka izba Europejskiego Trybunału Praw Człowieka wyraźnie uznała znaczenie brytyjskich kodeksów postępowania i przyznała, że ich przepisy mogą być brane pod uwagę przy ocenie przewidywalności przepisów umożliwiających nadzór (268). |
| --- | --- |

(179)

Ponadto uzupełnieniem IPA 2016 jest szereg ustawowych kodeksów postępowania, wydanych przez Sekretarza Stanu, zatwierdzonych przez obie izby parlamentu (265) i obowiązujących w całym państwie, zawierających dalsze wytyczne dotyczące korzystania ze wspomnianych uprawnień (266). Jakkolwiek osoby, których dane dotyczą, mogą przy wykonywaniu swoich praw powoływać się bezpośrednio na przepisy określone w IPA 2016, w załączniku 7 ust. 5 do IPA 2016 określono, że kodeksy postępowania są dopuszczalne jako dowód w postępowaniu cywilnym i karnym, a sąd, trybunał lub organ nadzorczy może wziąć pod uwagę wszelkie niezgodności z kodeksami przy ustalaniu istotnej kwestii w postępowaniu sądowym (267). W kontekście oceny wcześniejszych przepisów Zjednoczonego Królestwa w dziedzinie nadzoru – RIPA 2000 – pod kątem jakości prawa wielka izba Europejskiego Trybunału Praw Człowieka wyraźnie uznała znaczenie brytyjskich kodeksów postępowania i przyznała, że ich przepisy mogą być brane pod uwagę przy ocenie przewidywalności przepisów umożliwiających nadzór (268).

265

266

267

268

| (180) | Należy zatem zauważyć, że ukierunkowane uprawnienia (ukierunkowane przechwytywanie (269), pozyskiwanie danych pochodzących z łączności (270), zatrzymywanie danych pochodzących z łączności (271) i ukierunkowana ingerencja w urządzenia elektroniczne (272)) są dostępne dla agencji bezpieczeństwa narodowego i niektórych organów ścigania (273), podczas gdy wyłącznie służby wywiadowcze mogą korzystać z uprawnień do masowego pozyskiwania danych (tj. masowego przechwytywania (274), masowego pozyskiwania danych pochodzących z łączności (275), masowej ingerencji w urządzenia elektroniczne (276) i masowych zbiorów danych osobowych (277)). |
| --- | --- |

(180)

Należy zatem zauważyć, że ukierunkowane uprawnienia (ukierunkowane przechwytywanie (269), pozyskiwanie danych pochodzących z łączności (270), zatrzymywanie danych pochodzących z łączności (271) i ukierunkowana ingerencja w urządzenia elektroniczne (272)) są dostępne dla agencji bezpieczeństwa narodowego i niektórych organów ścigania (273), podczas gdy wyłącznie służby wywiadowcze mogą korzystać z uprawnień do masowego pozyskiwania danych (tj. masowego przechwytywania (274), masowego pozyskiwania danych pochodzących z łączności (275), masowej ingerencji w urządzenia elektroniczne (276) i masowych zbiorów danych osobowych (277)).

269

270

271

272

273

274

275

276

277

| (181) | Podejmując decyzję, z którego uprawnienia dochodzeniowo-śledczego należy skorzystać, agencja wywiadowcza musi przestrzegać „ogólnych obowiązków w odniesieniu do prywatności” wymienionych w art. 2 ust. 2 lit. a) IPA 2016, które obejmują analizę niezbędności i proporcjonalności. Ściślej rzecz ujmując, zgodnie z tym przepisem organ publiczny mający zamiar skorzystać z uprawnienia dochodzeniowo-śledczego musi rozważyć (i) czy skutek, który ma zostać osiągnięty za pomocą nakazu, upoważnienia lub zawiadomienia, można by osiągnąć w sposób racjonalny za pomocą innych środków związanych z mniejszą ingerencją w prywatność; (ii) czy stopień ochrony, jaki należy zastosować w odniesieniu do każdego przypadku pozyskiwania informacji na podstawie nakazu, upoważnienia lub zawiadomienia, jest wyższy ze względu na szczególną wrażliwość tych informacji; (iii) interes publiczny w zakresie integralności i bezpieczeństwa systemów telekomunikacyjnych i usług pocztowych oraz (iv) wszelkie inne aspekty interesu publicznego w zakresie ochrony prywatności (278). |
| --- | --- |

(181)

Podejmując decyzję, z którego uprawnienia dochodzeniowo-śledczego należy skorzystać, agencja wywiadowcza musi przestrzegać „ogólnych obowiązków w odniesieniu do prywatności” wymienionych w art. 2 ust. 2 lit. a) IPA 2016, które obejmują analizę niezbędności i proporcjonalności. Ściślej rzecz ujmując, zgodnie z tym przepisem organ publiczny mający zamiar skorzystać z uprawnienia dochodzeniowo-śledczego musi rozważyć (i) czy skutek, który ma zostać osiągnięty za pomocą nakazu, upoważnienia lub zawiadomienia, można by osiągnąć w sposób racjonalny za pomocą innych środków związanych z mniejszą ingerencją w prywatność; (ii) czy stopień ochrony, jaki należy zastosować w odniesieniu do każdego przypadku pozyskiwania informacji na podstawie nakazu, upoważnienia lub zawiadomienia, jest wyższy ze względu na szczególną wrażliwość tych informacji; (iii) interes publiczny w zakresie integralności i bezpieczeństwa systemów telekomunikacyjnych i usług pocztowych oraz (iv) wszelkie inne aspekty interesu publicznego w zakresie ochrony prywatności (278).

278

| (182) | Sposób, w jaki należy stosować te kryteria – oraz sposób, w jaki ocenia się ich zgodność w ramach zatwierdzania korzystania z takich uprawnień przez Sekretarza Stanu i niezależnych komisarzy sądowych – określono dokładniej w odpowiednich kodeksach postępowania. W szczególności korzystanie z któregokolwiek ze wspomnianych uprawnień dochodzeniowych musi być zawsze „proporcjonalne do skutku, który ma zostać osiągnięty[, co] obejmuje zrównoważenie wagi ingerencji w prywatność (i innych względów określonych w art. 2 ust. 2) w stosunku do potrzeby prowadzenia działań pod względem dochodzeniowym, operacyjnym lub w zakresie zdolności”. Oznacza to przede wszystkim, że „powinno ono dawać realistyczną perspektywę uzyskania oczekiwanej korzyści i nie powinno być nieproporcjonalne ani arbitralne” oraz, że „[n]ie należy uznawać ingerencji w prywatność za proporcjonalną, jeżeli poszukiwaną informację można by pozyskać za pomocą innych środków związanych z mniejszą ingerencją w prywatność (279). Ściślej rzecz ujmując, zgodność z zasadą proporcjonalności należy oceniać z uwzględnieniem następujących kryteriów: „(i) zakres proponowanej ingerencji w prywatność w stosunku do skutku, który ma zostać osiągnięty; (ii) to, w jaki sposób i dlaczego metody, które mają zostać przyjęte, spowodują najmniejszą możliwą ingerencję w prywatność danej osoby i innych osób; (iii) to, czy działanie stanowi właściwe wykorzystanie ustawy oraz zasadny sposób osiągnięcia zamierzonego skutku, po rozważeniu wszystkich zasadnych alternatyw; (iv) to, jakich innych metod, w stosownych przypadkach, nie wdrożono lub jakie zastosowano, ale oceniono jako niewystarczające do osiągnięcia celów operacyjnych bez wykorzystania proponowanych uprawnień dochodzeniowo-śledczych” (280). |
| --- | --- |

(182)

Sposób, w jaki należy stosować te kryteria – oraz sposób, w jaki ocenia się ich zgodność w ramach zatwierdzania korzystania z takich uprawnień przez Sekretarza Stanu i niezależnych komisarzy sądowych – określono dokładniej w odpowiednich kodeksach postępowania. W szczególności korzystanie z któregokolwiek ze wspomnianych uprawnień dochodzeniowych musi być zawsze „proporcjonalne do skutku, który ma zostać osiągnięty[, co] obejmuje zrównoważenie wagi ingerencji w prywatność (i innych względów określonych w art. 2 ust. 2) w stosunku do potrzeby prowadzenia działań pod względem dochodzeniowym, operacyjnym lub w zakresie zdolności”. Oznacza to przede wszystkim, że „powinno ono dawać realistyczną perspektywę uzyskania oczekiwanej korzyści i nie powinno być nieproporcjonalne ani arbitralne” oraz, że „[n]ie należy uznawać ingerencji w prywatność za proporcjonalną, jeżeli poszukiwaną informację można by pozyskać za pomocą innych środków związanych z mniejszą ingerencją w prywatność (279). Ściślej rzecz ujmując, zgodność z zasadą proporcjonalności należy oceniać z uwzględnieniem następujących kryteriów: „(i) zakres proponowanej ingerencji w prywatność w stosunku do skutku, który ma zostać osiągnięty; (ii) to, w jaki sposób i dlaczego metody, które mają zostać przyjęte, spowodują najmniejszą możliwą ingerencję w prywatność danej osoby i innych osób; (iii) to, czy działanie stanowi właściwe wykorzystanie ustawy oraz zasadny sposób osiągnięcia zamierzonego skutku, po rozważeniu wszystkich zasadnych alternatyw; (iv) to, jakich innych metod, w stosownych przypadkach, nie wdrożono lub jakie zastosowano, ale oceniono jako niewystarczające do osiągnięcia celów operacyjnych bez wykorzystania proponowanych uprawnień dochodzeniowo-śledczych” (280).

279

280

| (183) | W praktyce, jak wyjaśniły władze Zjednoczonego Królestwa, gwarantuje to, że agencja wywiadowcza po pierwsze określa cel operacyjny (wyznaczając w ten sposób granice gromadzenia, np. międzynarodowy cel walki z terroryzmem na określonym obszarze geograficznym), a po drugie, na podstawie tego celu operacyjnego, będzie ona musiała rozważyć, która opcja techniczna (np. ukierunkowane lub masowe przechwytywanie, ukierunkowana lub masowa ingerencja w urządzenia elektroniczne, ukierunkowane lub masowe pozyskiwanie danych pochodzących z łączności) jest najbardziej proporcjonalna (tj. najmniej naruszająca prywatność, por. art. 2 ust. 2 ustawy o uprawnieniach dochodzeniowo-śledczych) do zamierzonego celu i dlatego może zostać zatwierdzona na podstawie jednej z dostępnych ustawowych podstaw prawnych. |
| --- | --- |

(183)

W praktyce, jak wyjaśniły władze Zjednoczonego Królestwa, gwarantuje to, że agencja wywiadowcza po pierwsze określa cel operacyjny (wyznaczając w ten sposób granice gromadzenia, np. międzynarodowy cel walki z terroryzmem na określonym obszarze geograficznym), a po drugie, na podstawie tego celu operacyjnego, będzie ona musiała rozważyć, która opcja techniczna (np. ukierunkowane lub masowe przechwytywanie, ukierunkowana lub masowa ingerencja w urządzenia elektroniczne, ukierunkowane lub masowe pozyskiwanie danych pochodzących z łączności) jest najbardziej proporcjonalna (tj. najmniej naruszająca prywatność, por. art. 2 ust. 2 ustawy o uprawnieniach dochodzeniowo-śledczych) do zamierzonego celu i dlatego może zostać zatwierdzona na podstawie jednej z dostępnych ustawowych podstaw prawnych.

| (184) | Warto zauważyć, że to oparcie się na standardach niezbędności i proporcjonalności zauważył także i przyjął z zadowoleniem specjalny sprawozdawca ONZ ds. prawa do prywatności, Joseph Cannataci, który w odniesieniu do systemu ustanowionego na podstawie IPA 2016 stwierdził, że „[t]e procedury obowiązujące zarówno w ramach służb wywiadowczych, jak i w ramach organów ścigania wydają się systematycznie wymagać rozważenia niezbędności i proporcjonalności środka lub operacji nadzoru przed zaleceniem jego zatwierdzenia, jak również jego przeglądu na tych samych podstawach” (281). Ponadto zauważył on, że na spotkaniu z przedstawicielami organów ścigania i agencji bezpieczeństwa narodowego „dotarł [do niego] zgodny pogląd, że prawo do prywatności musi być głównym czynnikiem przy podejmowaniu jakichkolwiek decyzji dotyczących środków nadzoru. Wszyscy rozumieli i doceniali niezbędność i proporcjonalność jako kardynalne zasady, które należy brać pod uwagę”. |
| --- | --- |

(184)

Warto zauważyć, że to oparcie się na standardach niezbędności i proporcjonalności zauważył także i przyjął z zadowoleniem specjalny sprawozdawca ONZ ds. prawa do prywatności, Joseph Cannataci, który w odniesieniu do systemu ustanowionego na podstawie IPA 2016 stwierdził, że „[t]e procedury obowiązujące zarówno w ramach służb wywiadowczych, jak i w ramach organów ścigania wydają się systematycznie wymagać rozważenia niezbędności i proporcjonalności środka lub operacji nadzoru przed zaleceniem jego zatwierdzenia, jak również jego przeglądu na tych samych podstawach” (281). Ponadto zauważył on, że na spotkaniu z przedstawicielami organów ścigania i agencji bezpieczeństwa narodowego „dotarł [do niego] zgodny pogląd, że prawo do prywatności musi być głównym czynnikiem przy podejmowaniu jakichkolwiek decyzji dotyczących środków nadzoru. Wszyscy rozumieli i doceniali niezbędność i proporcjonalność jako kardynalne zasady, które należy brać pod uwagę”.

281

| (185) | Szczegółowe kryteria wydawania poszczególnych nakazów, a także ograniczenia i zabezpieczenia ustanowione w IPA 2016 w odniesieniu do poszczególnych uprawnień dochodzeniowych opisano szczegółowo w motywach 186–243. |
| --- | --- |

(185)

Szczegółowe kryteria wydawania poszczególnych nakazów, a także ograniczenia i zabezpieczenia ustanowione w IPA 2016 w odniesieniu do poszczególnych uprawnień dochodzeniowych opisano szczegółowo w motywach 186–243.

3.3.1.1.1.   Ukierunkowane przechwytywanie i badanie

| (186) | Istnieją trzy rodzaje nakazów ukierunkowanego przechwytywania: nakaz ukierunkowanego przechwytywania (282), nakaz ukierunkowanego zbadania oraz nakaz wzajemnej pomocy (283). Warunki ich uzyskania takich nakazów oraz dotyczące ich zabezpieczenia określono w części 2 rozdział 1 IPA 2016 |
| --- | --- |

(186)

Istnieją trzy rodzaje nakazów ukierunkowanego przechwytywania: nakaz ukierunkowanego przechwytywania (282), nakaz ukierunkowanego zbadania oraz nakaz wzajemnej pomocy (283). Warunki ich uzyskania takich nakazów oraz dotyczące ich zabezpieczenia określono w części 2 rozdział 1 IPA 2016

282

283

| (187) | Nakaz ukierunkowanego przechwytywania upoważnia do przechwytywania komunikacji opisanej w nakazie w trakcie jej przekazywania oraz do pozyskiwania innych danych istotnych dla tej komunikacji (284), w tym danych wtórnych (285). Nakaz ukierunkowanego badania upoważnia osobę do dokonania wyboru w celu zbadania przechwyconych treści pozyskanych na podstawie nakazu masowego przechwytywania (286). |
| --- | --- |

(187)

Nakaz ukierunkowanego przechwytywania upoważnia do przechwytywania komunikacji opisanej w nakazie w trakcie jej przekazywania oraz do pozyskiwania innych danych istotnych dla tej komunikacji (284), w tym danych wtórnych (285). Nakaz ukierunkowanego badania upoważnia osobę do dokonania wyboru w celu zbadania przechwyconych treści pozyskanych na podstawie nakazu masowego przechwytywania (286).

284

285

286

| (188) | Każdy nakaz na podstawie części 2 IPA 2016 może zostać wydany przez Sekretarza Stanu (287) i zatwierdzony przez komisarza sądowego (288). We wszystkich przypadkach okres obowiązywania każdego rodzaju ukierunkowanego nakazu jest ograniczony do 6 miesięcy (289), a zastosowanie mają przepisy szczegółowe dotyczące jego zmiany (290) i przedłużania (291). |
| --- | --- |

(188)

Każdy nakaz na podstawie części 2 IPA 2016 może zostać wydany przez Sekretarza Stanu (287) i zatwierdzony przez komisarza sądowego (288). We wszystkich przypadkach okres obowiązywania każdego rodzaju ukierunkowanego nakazu jest ograniczony do 6 miesięcy (289), a zastosowanie mają przepisy szczegółowe dotyczące jego zmiany (290) i przedłużania (291).

287

288

289

290

291

| (189) | Przed wydaniem nakazu Sekretarz Stanu przeprowadza ocenę niezbędności i proporcjonalności (292). W szczególności w przypadku nakazu ukierunkowanego przechwytywania i nakazu ukierunkowanego badania Sekretarz Stanu powinien sprawdzić, czy środek jest niezbędny z jednego z następujących powodów: interesu bezpieczeństwa narodowego; zapobiegania poważnym przestępstwom lub ich wykrywania lub interesu dobrobytu gospodarczego Zjednoczonego Królestwa (293) w zakresie, w jakim interesy te są również istotne dla interesów bezpieczeństwa narodowego (294). Z drugiej strony nakaz w ramach wzajemnej pomocy (zob. motyw 139 powyżej) może zostać wydany tylko wtedy, gdy Sekretarz Stanu uzna, że istnieją okoliczności równoważne z tymi, w których wydałby nakaz w celu zapobieżenia poważnemu przestępstwu lub jego wykrycia (295). |
| --- | --- |

(189)

Przed wydaniem nakazu Sekretarz Stanu przeprowadza ocenę niezbędności i proporcjonalności (292). W szczególności w przypadku nakazu ukierunkowanego przechwytywania i nakazu ukierunkowanego badania Sekretarz Stanu powinien sprawdzić, czy środek jest niezbędny z jednego z następujących powodów: interesu bezpieczeństwa narodowego; zapobiegania poważnym przestępstwom lub ich wykrywania lub interesu dobrobytu gospodarczego Zjednoczonego Królestwa (293) w zakresie, w jakim interesy te są również istotne dla interesów bezpieczeństwa narodowego (294). Z drugiej strony nakaz w ramach wzajemnej pomocy (zob. motyw 139 powyżej) może zostać wydany tylko wtedy, gdy Sekretarz Stanu uzna, że istnieją okoliczności równoważne z tymi, w których wydałby nakaz w celu zapobieżenia poważnemu przestępstwu lub jego wykrycia (295).

292

293

294

295

| (190) | Ponadto Sekretarz Stanu powinien ocenić, czy środek jest proporcjonalny do skutku, który ma zostać osiągnięty (296). Ocena proporcjonalności wnioskowanych środków musi uwzględniać ogólne obowiązki w odniesieniu do prywatności określone w art. 2 ust. 2 IPA 2016, w szczególności potrzebę oceny, czy skutek, który ma zostać osiągnięty za pomocą nakazu, upoważnienia lub zawiadomienia, można by w zasadny sposób osiągnąć za pomocą innych środków związanych z mniejszą ingerencją w prywatność oraz czy stopień ochrony, który ma być stosowany w odniesieniu do wszelkiego pozyskiwania informacji na podstawie nakazu, jest wyższy ze względu na szczególną wrażliwość tych informacji (zob. motyw 181 powyżej). |
| --- | --- |

(190)

Ponadto Sekretarz Stanu powinien ocenić, czy środek jest proporcjonalny do skutku, który ma zostać osiągnięty (296). Ocena proporcjonalności wnioskowanych środków musi uwzględniać ogólne obowiązki w odniesieniu do prywatności określone w art. 2 ust. 2 IPA 2016, w szczególności potrzebę oceny, czy skutek, który ma zostać osiągnięty za pomocą nakazu, upoważnienia lub zawiadomienia, można by w zasadny sposób osiągnąć za pomocą innych środków związanych z mniejszą ingerencją w prywatność oraz czy stopień ochrony, który ma być stosowany w odniesieniu do wszelkiego pozyskiwania informacji na podstawie nakazu, jest wyższy ze względu na szczególną wrażliwość tych informacji (zob. motyw 181 powyżej).

296

| (191) | W tym celu Sekretarz Stanu musi wziąć pod uwagę wszystkie elementy wniosku przedstawione przez organ składający wniosek, w szczególności te związane z osobami, których ma dotyczyć przechwycenie, oraz ze znaczeniem środka dla dochodzenia. Elementy te wyszczególniono w kodeksie postępowania w zakresie przechwytywania komunikacji i należy je opisać z określonym stopniem szczegółowości (297). Ponadto w art. 17 IPA 2016 wymaga się, aby w każdym nakazie wydanym na podstawie jej rozdziału 2 wskazano lub opisano konkretną osobę lub grupę osób, organizację lub obiekt, których ma dotyczyć przechwycenie („cel”). W przypadku nakazu ukierunkowanego przechwytywania lub nakazu ukierunkowanego badania mogą one również odnosić się do grupy osób, więcej niż jednej osoby lub organizacji, lub więcej niż jednego zespołu obiektów (zwane również „nakazem tematycznym”) (298). W takich przypadkach w nakazie należy opisać wspólny cel lub wspólną działalność grupy osób lub operację/dochodzenia oraz wymienić lub opisać jak największą liczbę tych osób/organizacji lub zespół lokali, o ile jest to wykonalne w zasadny sposób (299). Ponadto we wszystkich nakazach wydanych na podstawie części 2 IPA 2016 należy określić adresy, numery, aparaturę, czynniki lub kombinację czynników, które mają być wykorzystane do identyfikacji komunikacji (300). W tym zakresie w kodeksie postępowania w zakresie przechwytywania komunikacji określono, że w przypadku nakazu ukierunkowanego przechwytywania i nakazu ukierunkowanego badania „w nakazie należy określić (lub opisać) czynniki lub kombinację czynników, które mają być wykorzystane do identyfikacji komunikacji. Jeżeli komunikacja ma być identyfikowana poprzez (przykładowo) odniesienie do numeru telefonu, numer ten należy określić poprzez podanie go w całości. Jeżeli jednak do identyfikacji komunikacji mają być użyte bardzo złożone lub stale zmieniające się selektory internetowe, selektory te należy opisać w możliwie najszerszym zakresie” (301). |
| --- | --- |

(191)

W tym celu Sekretarz Stanu musi wziąć pod uwagę wszystkie elementy wniosku przedstawione przez organ składający wniosek, w szczególności te związane z osobami, których ma dotyczyć przechwycenie, oraz ze znaczeniem środka dla dochodzenia. Elementy te wyszczególniono w kodeksie postępowania w zakresie przechwytywania komunikacji i należy je opisać z określonym stopniem szczegółowości (297). Ponadto w art. 17 IPA 2016 wymaga się, aby w każdym nakazie wydanym na podstawie jej rozdziału 2 wskazano lub opisano konkretną osobę lub grupę osób, organizację lub obiekt, których ma dotyczyć przechwycenie („cel”). W przypadku nakazu ukierunkowanego przechwytywania lub nakazu ukierunkowanego badania mogą one również odnosić się do grupy osób, więcej niż jednej osoby lub organizacji, lub więcej niż jednego zespołu obiektów (zwane również „nakazem tematycznym”) (298). W takich przypadkach w nakazie należy opisać wspólny cel lub wspólną działalność grupy osób lub operację/dochodzenia oraz wymienić lub opisać jak największą liczbę tych osób/organizacji lub zespół lokali, o ile jest to wykonalne w zasadny sposób (299). Ponadto we wszystkich nakazach wydanych na podstawie części 2 IPA 2016 należy określić adresy, numery, aparaturę, czynniki lub kombinację czynników, które mają być wykorzystane do identyfikacji komunikacji (300). W tym zakresie w kodeksie postępowania w zakresie przechwytywania komunikacji określono, że w przypadku nakazu ukierunkowanego przechwytywania i nakazu ukierunkowanego badania „w nakazie należy określić (lub opisać) czynniki lub kombinację czynników, które mają być wykorzystane do identyfikacji komunikacji. Jeżeli komunikacja ma być identyfikowana poprzez (przykładowo) odniesienie do numeru telefonu, numer ten należy określić poprzez podanie go w całości. Jeżeli jednak do identyfikacji komunikacji mają być użyte bardzo złożone lub stale zmieniające się selektory internetowe, selektory te należy opisać w możliwie najszerszym zakresie” (301).

297

298

299

300

301

| (192) | Ważnym zabezpieczeniem w tym kontekście jest to, że ocena przeprowadzona przez Sekretarza Stanu w celu wydania nakazu wymaga zatwierdzenia przez niezależnego komisarza sądowego (302), który w szczególności sprawdzi, czy decyzja o wydaniu nakazu jest zgodna z zasadami niezbędności i proporcjonalności (303) (informacje o statusie i roli komisarzy sądowych – zob. motywy 251–256 poniżej). W IPA 2016 doprecyzowano również, że przeprowadzając taką kontrolę, komisarz sądowy musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (304). Gwarantuje to, że w każdym przypadku i przed uzyskaniem dostępu do danych niezależny organ systematycznie kontroluje zgodność z zasadą niezbędności i proporcjonalności. |
| --- | --- |

(192)

Ważnym zabezpieczeniem w tym kontekście jest to, że ocena przeprowadzona przez Sekretarza Stanu w celu wydania nakazu wymaga zatwierdzenia przez niezależnego komisarza sądowego (302), który w szczególności sprawdzi, czy decyzja o wydaniu nakazu jest zgodna z zasadami niezbędności i proporcjonalności (303) (informacje o statusie i roli komisarzy sądowych – zob. motywy 251–256 poniżej). W IPA 2016 doprecyzowano również, że przeprowadzając taką kontrolę, komisarz sądowy musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (304). Gwarantuje to, że w każdym przypadku i przed uzyskaniem dostępu do danych niezależny organ systematycznie kontroluje zgodność z zasadą niezbędności i proporcjonalności.

302

303

304

| (193) | W IPA 2016 przewidziano nieliczne konkretne i wąsko sformułowane wyjątki dotyczące przeprowadzania ukierunkowanego przechwytywania bez nakazu. Ograniczone przypadki są szczegółowo określone w prawie (305) i – z wyjątkiem przypadków opartych na zgodzie nadawcy lub odbiorcy – są prowadzone przez podmioty (prywatne lub publiczne) inne niż krajowe agencje bezpieczeństwa. Ponadto tego rodzaju przechwytywanie odbywa się w celach innych niż gromadzenie informacji wywiadowczych (306), a w przypadku niektórych z nich bardzo mało prawdopodobne jest, aby gromadzenie danych mogło odbywać się w ramach scenariusza przekazywania danych (np. w przypadku przechwytywania dokonywanego w szpitalu psychiatrycznym lub w więzieniu). Biorąc pod uwagę charakter organu, do którego mają zastosowanie te szczególne przypadki (innego niż krajowe agencje bezpieczeństwa), zastosowanie będą miały wszystkie zabezpieczenia przewidziane w części 2 DPA 2018 i w RODO UK, w tym nadzór Komisarza ds. Informacji i dostępne mechanizmy dochodzenia roszczeń. Ponadto oprócz zabezpieczeń przewidzianych w DPA 2018 w niektórych przypadkach IPA 2016 przewiduje również nadzór ex post Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (307). |
| --- | --- |

(193)

W IPA 2016 przewidziano nieliczne konkretne i wąsko sformułowane wyjątki dotyczące przeprowadzania ukierunkowanego przechwytywania bez nakazu. Ograniczone przypadki są szczegółowo określone w prawie (305) i – z wyjątkiem przypadków opartych na zgodzie nadawcy lub odbiorcy – są prowadzone przez podmioty (prywatne lub publiczne) inne niż krajowe agencje bezpieczeństwa. Ponadto tego rodzaju przechwytywanie odbywa się w celach innych niż gromadzenie informacji wywiadowczych (306), a w przypadku niektórych z nich bardzo mało prawdopodobne jest, aby gromadzenie danych mogło odbywać się w ramach scenariusza przekazywania danych (np. w przypadku przechwytywania dokonywanego w szpitalu psychiatrycznym lub w więzieniu). Biorąc pod uwagę charakter organu, do którego mają zastosowanie te szczególne przypadki (innego niż krajowe agencje bezpieczeństwa), zastosowanie będą miały wszystkie zabezpieczenia przewidziane w części 2 DPA 2018 i w RODO UK, w tym nadzór Komisarza ds. Informacji i dostępne mechanizmy dochodzenia roszczeń. Ponadto oprócz zabezpieczeń przewidzianych w DPA 2018 w niektórych przypadkach IPA 2016 przewiduje również nadzór ex post Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (307).

305

306

ex post

307

| (194) | W sytuacji przechwytywania mają zastosowanie dodatkowe ograniczenia i zabezpieczenia związane ze szczególnym statusem osoby lub osób, których dotyczy przechwytywanie (308). Przykładowo przechwytywanie materiałów objętych prawniczą tajemnicą zawodową jest dozwolone wyłącznie w wyjątkowych i uzasadnionych okolicznościach; osoba wydająca nakaz musi uwzględnić interes publiczny w zachowaniu poufności materiałów objętych prawniczą tajemnicą zawodową oraz to, że istnieją szczególne wymogi dotyczące postępowania z takimi materiałami, ich zatrzymywania i ujawniania (309). |
| --- | --- |

(194)

W sytuacji przechwytywania mają zastosowanie dodatkowe ograniczenia i zabezpieczenia związane ze szczególnym statusem osoby lub osób, których dotyczy przechwytywanie (308). Przykładowo przechwytywanie materiałów objętych prawniczą tajemnicą zawodową jest dozwolone wyłącznie w wyjątkowych i uzasadnionych okolicznościach; osoba wydająca nakaz musi uwzględnić interes publiczny w zachowaniu poufności materiałów objętych prawniczą tajemnicą zawodową oraz to, że istnieją szczególne wymogi dotyczące postępowania z takimi materiałami, ich zatrzymywania i ujawniania (309).

308

309

| (195) | Ponadto IPA 2016 przewiduje szczególne zabezpieczenia związane z bezpieczeństwem, zatrzymywaniem i ujawnianiem, które Sekretarz Stanu powinien wziąć pod uwagę przed wydaniem ukierunkowanego nakazu (310). W szczególności w art. 53 ust. 5 IPA 2016 wymaga się, aby każdą kopię wszelkich materiałów zebranych na podstawie nakazu przechowywano w bezpieczny sposób i niszczono, gdy tylko nie ma już istotnych podstaw do jej zatrzymywania, natomiast w art. 53 ust. 2 IPA 2016 wymaga się, aby liczbę osób, którym ujawnia się materiał, oraz zakres, w jakim wszelkie materiały są ujawniane, udostępniane lub kopiowane, ograniczono do minimum niezbędnego do realizacji celów ustawowych. |
| --- | --- |

(195)

Ponadto IPA 2016 przewiduje szczególne zabezpieczenia związane z bezpieczeństwem, zatrzymywaniem i ujawnianiem, które Sekretarz Stanu powinien wziąć pod uwagę przed wydaniem ukierunkowanego nakazu (310). W szczególności w art. 53 ust. 5 IPA 2016 wymaga się, aby każdą kopię wszelkich materiałów zebranych na podstawie nakazu przechowywano w bezpieczny sposób i niszczono, gdy tylko nie ma już istotnych podstaw do jej zatrzymywania, natomiast w art. 53 ust. 2 IPA 2016 wymaga się, aby liczbę osób, którym ujawnia się materiał, oraz zakres, w jakim wszelkie materiały są ujawniane, udostępniane lub kopiowane, ograniczono do minimum niezbędnego do realizacji celów ustawowych.

310

| (196) | Ponadto gdy materiał przechwycony na podstawie nakazu ukierunkowanego przechwytywania albo na podstawie nakazu w ramach wzajemnej pomocy ma zostać przekazany do państwa trzeciego („ujawnienia za granicą”), IPA 2016 przewiduje, że Sekretarz Stanu musi zapewnić, aby istniały odpowiednie ustalenia w celu zapewnienia istnienia podobnych zabezpieczeń dotyczących bezpieczeństwa, zatrzymywania i ujawniania w danym państwie trzecim (311). Ponadto art. 109 ust. 2 DPA 2018 stanowi, że służby wywiadowcze mogą przekazywać dane osobowe poza terytorium Zjednoczonego Królestwa jedynie wówczas, gdy przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (312). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów. |
| --- | --- |

(196)

Ponadto gdy materiał przechwycony na podstawie nakazu ukierunkowanego przechwytywania albo na podstawie nakazu w ramach wzajemnej pomocy ma zostać przekazany do państwa trzeciego („ujawnienia za granicą”), IPA 2016 przewiduje, że Sekretarz Stanu musi zapewnić, aby istniały odpowiednie ustalenia w celu zapewnienia istnienia podobnych zabezpieczeń dotyczących bezpieczeństwa, zatrzymywania i ujawniania w danym państwie trzecim (311). Ponadto art. 109 ust. 2 DPA 2018 stanowi, że służby wywiadowcze mogą przekazywać dane osobowe poza terytorium Zjednoczonego Królestwa jedynie wówczas, gdy przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (312). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów.

311

312

3.3.1.1.2.   Ukierunkowane pozyskiwanie i zatrzymywanie danych pochodzących z łączności

| (197) | W IPA 2016 zezwolono Sekretarzowi Stanu na wymaganie od operatorów telekomunikacyjnych zatrzymywania danych pochodzących z łączności do celów ukierunkowanego dostępu przez szereg organów publicznych, w tym organy ścigania i agencje wywiadowcze. W części 4 IPA 2016 przewidziano zatrzymywanie danych pochodzących z łączności, natomiast w części 3 przewidziano ukierunkowane pozyskiwanie danych pochodzących z łączności. W części 3 i części 4 IPA 2016 określono również szczegółowe ograniczenia w korzystaniu z tych uprawnień oraz przewidziano określone zabezpieczenia. |
| --- | --- |

(197)

W IPA 2016 zezwolono Sekretarzowi Stanu na wymaganie od operatorów telekomunikacyjnych zatrzymywania danych pochodzących z łączności do celów ukierunkowanego dostępu przez szereg organów publicznych, w tym organy ścigania i agencje wywiadowcze. W części 4 IPA 2016 przewidziano zatrzymywanie danych pochodzących z łączności, natomiast w części 3 przewidziano ukierunkowane pozyskiwanie danych pochodzących z łączności. W części 3 i części 4 IPA 2016 określono również szczegółowe ograniczenia w korzystaniu z tych uprawnień oraz przewidziano określone zabezpieczenia.

| (198) | Termin „dane pochodzące z łączności” obejmuje odpowiedzi na pytania, kto, kiedy, gdzie i jak przekazał wiadomość, korzystając ze środków łączności, ale nie obejmuje treści tej wiadomości, tj. tego, co powiedziano lub napisano. W odróżnieniu od przechwytywania, pozyskiwanie i zatrzymywanie danych pochodzących z łączności nie ma na celu uzyskania treści wiadomości, ale pozyskanie informacji np. o abonencie usługi telefonicznej lub o szczegółowym rachunku. Mogą one dotyczyć czasu i okresu trwania komunikacji, numeru lub adresu e-mail nadawcy i odbiorcy, a czasami lokalizacji urządzeń, z których dokonano połączenia (313). |
| --- | --- |

(198)

Termin „dane pochodzące z łączności” obejmuje odpowiedzi na pytania, kto, kiedy, gdzie i jak przekazał wiadomość, korzystając ze środków łączności, ale nie obejmuje treści tej wiadomości, tj. tego, co powiedziano lub napisano. W odróżnieniu od przechwytywania, pozyskiwanie i zatrzymywanie danych pochodzących z łączności nie ma na celu uzyskania treści wiadomości, ale pozyskanie informacji np. o abonencie usługi telefonicznej lub o szczegółowym rachunku. Mogą one dotyczyć czasu i okresu trwania komunikacji, numeru lub adresu e-mail nadawcy i odbiorcy, a czasami lokalizacji urządzeń, z których dokonano połączenia (313).

313

| (199) | Należy zauważyć, że zatrzymywanie i pozyskiwanie danych pochodzących z łączności zazwyczaj nie będzie dotyczyć danych osobowych osób z UE, przekazywanych na podstawie niniejszej decyzji do Zjednoczonego Królestwa. Obowiązek zatrzymania lub ujawnienia danych pochodzących z łączności zgodnie z częściami 3 i 4 IPA 2016 obejmuje dane, które operatorzy telekomunikacyjni w Zjednoczonym Królestwie gromadzą bezpośrednio od użytkowników usługi telekomunikacyjnej (314). Ten rodzaj przetwarzania „widoczny dla klienta” zazwyczaj nie wiąże się z przekazywaniem na podstawie niniejszej decyzji, tj. przekazywaniem od administratora lub podmiotu przetwarzającego w UE do administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie. |
| --- | --- |

(199)

Należy zauważyć, że zatrzymywanie i pozyskiwanie danych pochodzących z łączności zazwyczaj nie będzie dotyczyć danych osobowych osób z UE, przekazywanych na podstawie niniejszej decyzji do Zjednoczonego Królestwa. Obowiązek zatrzymania lub ujawnienia danych pochodzących z łączności zgodnie z częściami 3 i 4 IPA 2016 obejmuje dane, które operatorzy telekomunikacyjni w Zjednoczonym Królestwie gromadzą bezpośrednio od użytkowników usługi telekomunikacyjnej (314). Ten rodzaj przetwarzania „widoczny dla klienta” zazwyczaj nie wiąże się z przekazywaniem na podstawie niniejszej decyzji, tj. przekazywaniem od administratora lub podmiotu przetwarzającego w UE do administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie.

314

| (200) | Niemniej dla pełnego obrazu sytuacji w poniższych motywach opisano warunki i zabezpieczenia regulujące te systemy pozyskiwania i zatrzymywania danych. |
| --- | --- |

(200)

Niemniej dla pełnego obrazu sytuacji w poniższych motywach opisano warunki i zabezpieczenia regulujące te systemy pozyskiwania i zatrzymywania danych.

| (201) | Jako założenie należy zauważyć, że zatrzymywanie i ukierunkowane pozyskiwanie danych pochodzących z łączności przysługuje zarówno krajowym agencjom bezpieczeństwa, jak i niektórym organom ścigania (315). Warunki wymagające zatrzymywania lub pozyskiwania danych pochodzących z łączności mogą różnić się w zależności od podstawy złożenia wniosku o zastosowanie środka, a mianowicie bezpieczeństwa narodowego lub celu związanego z egzekwowaniem prawa. |
| --- | --- |

(201)

Jako założenie należy zauważyć, że zatrzymywanie i ukierunkowane pozyskiwanie danych pochodzących z łączności przysługuje zarówno krajowym agencjom bezpieczeństwa, jak i niektórym organom ścigania (315). Warunki wymagające zatrzymywania lub pozyskiwania danych pochodzących z łączności mogą różnić się w zależności od podstawy złożenia wniosku o zastosowanie środka, a mianowicie bezpieczeństwa narodowego lub celu związanego z egzekwowaniem prawa.

315

| (202) | W szczególności, chociaż w nowym systemie wprowadzono ogólny wymóg uprzedniego uzyskania zezwolenia niezależnego organu, mający zastosowanie we wszystkich przypadkach zatrzymywania lub pozyskiwania danych pochodzących z łączności (do celów egzekwowania prawa lub do celów związanych z bezpieczeństwem narodowym), w następstwie wyroku Europejskiego Trybunału Sprawiedliwości w sprawie Tele2/Watson (316) wprowadzono szczególne zabezpieczenia w przypadku wystąpienia o zastosowanie środka do celów ochrony porządku publicznego. W szczególności w przypadku gdy wniosek o zatrzymywanie lub pozyskiwanie danych pochodzących z łączności jest wymagany do celów egzekwowania prawa, zawsze wymagane jest uprzednie zezwolenie Komisarza ds. Uprawnień Dochodzeniowo-Śledczych. Nie zawsze ma to miejsce w przypadku wniosku o zastosowanie środka ze względów bezpieczeństwa narodowego, ponieważ, jak opisano poniżej, w niektórych przypadkach taki rodzaj środków może zostać zatwierdzony przez inną osobę zatwierdzającą. Ponadto w nowym systemie próg, w przypadku którego można zezwolić na zatrzymywanie i pozyskiwanie danych pochodzących z łączności, podniesiono do poziomu „poważnych przestępstw” (317). |
| --- | --- |

(202)

W szczególności, chociaż w nowym systemie wprowadzono ogólny wymóg uprzedniego uzyskania zezwolenia niezależnego organu, mający zastosowanie we wszystkich przypadkach zatrzymywania lub pozyskiwania danych pochodzących z łączności (do celów egzekwowania prawa lub do celów związanych z bezpieczeństwem narodowym), w następstwie wyroku Europejskiego Trybunału Sprawiedliwości w sprawie Tele2/Watson (316) wprowadzono szczególne zabezpieczenia w przypadku wystąpienia o zastosowanie środka do celów ochrony porządku publicznego. W szczególności w przypadku gdy wniosek o zatrzymywanie lub pozyskiwanie danych pochodzących z łączności jest wymagany do celów egzekwowania prawa, zawsze wymagane jest uprzednie zezwolenie Komisarza ds. Uprawnień Dochodzeniowo-Śledczych. Nie zawsze ma to miejsce w przypadku wniosku o zastosowanie środka ze względów bezpieczeństwa narodowego, ponieważ, jak opisano poniżej, w niektórych przypadkach taki rodzaj środków może zostać zatwierdzony przez inną osobę zatwierdzającą. Ponadto w nowym systemie próg, w przypadku którego można zezwolić na zatrzymywanie i pozyskiwanie danych pochodzących z łączności, podniesiono do poziomu „poważnych przestępstw” (317).

316

317

(i)   Zezwolenie na pozyskiwanie danych pochodzących z łączności

Zezwolenie na pozyskiwanie danych pochodzących z łączności

| (203) | Zgodnie z częścią 3 IPA 2016 właściwe organy publiczne są upoważnione do pozyskiwania danych pochodzących z łączności od operatora telekomunikacyjnego lub dowolnej osoby zdolnej do pozyskania i ujawnienia takich danych. Zezwolenie nie może obejmować przechwytywanie treści komunikacji (318) i traci moc po upływie jednego miesiąca (319) z możliwością przedłużenia pod warunkiem uzyskania dodatkowego zezwolenia (320). Pozyskanie danych pochodzących z łączności wymaga zezwolenia Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Commissioner) (321) (więcej informacji o jego statusie i uprawnieniach w motywach 250–251 poniżej). Dotyczy to wszystkich przypadków, w których o uzyskanie danych pochodzących z łączności wnioskuje właściwy organ ścigania Art. 61 IPA 2016 stanowi jednak, że gdy dane pozyskuje się w interesie bezpieczeństwa narodowego lub dobrobytu gospodarczego Zjednoczonego Królestwa, o ile są one istotne dla bezpieczeństwa narodowego, lub gdy wniosek złożył członek agencji wywiadowczej na podstawie art. 61 ust. 7 lit. b) (322), zezwolenie na pozyskanie może wydać (323) Komisarz ds. Uprawnień Dochodzeniowo-Śledczych lub wyznaczony urzędnik wyższego szczebla (324). Wyznaczony urzędnik nie może mieć związku z danym postępowaniem przygotowawczym ani z daną operacją i musi posiadać praktyczną wiedzę na temat zasad i przepisów w obszarze praw człowieka, w szczególności na temat zasad niezbędności i proporcjonalności (325). Decyzja podjęta przez wyznaczonego urzędnika podlega nadzorowi ex post prowadzonemu przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (zob. bardziej szczegółowe informacje na temat funkcji nadzorczych ex post Komisarza ds. Uprawnień Dochodzeniowo-Śledczych w motywie 254 poniżej). |
| --- | --- |

(203)

Zgodnie z częścią 3 IPA 2016 właściwe organy publiczne są upoważnione do pozyskiwania danych pochodzących z łączności od operatora telekomunikacyjnego lub dowolnej osoby zdolnej do pozyskania i ujawnienia takich danych. Zezwolenie nie może obejmować przechwytywanie treści komunikacji (318) i traci moc po upływie jednego miesiąca (319) z możliwością przedłużenia pod warunkiem uzyskania dodatkowego zezwolenia (320). Pozyskanie danych pochodzących z łączności wymaga zezwolenia Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Commissioner) (321) (więcej informacji o jego statusie i uprawnieniach w motywach 250–251 poniżej). Dotyczy to wszystkich przypadków, w których o uzyskanie danych pochodzących z łączności wnioskuje właściwy organ ścigania Art. 61 IPA 2016 stanowi jednak, że gdy dane pozyskuje się w interesie bezpieczeństwa narodowego lub dobrobytu gospodarczego Zjednoczonego Królestwa, o ile są one istotne dla bezpieczeństwa narodowego, lub gdy wniosek złożył członek agencji wywiadowczej na podstawie art. 61 ust. 7 lit. b) (322), zezwolenie na pozyskanie może wydać (323) Komisarz ds. Uprawnień Dochodzeniowo-Śledczych lub wyznaczony urzędnik wyższego szczebla (324). Wyznaczony urzędnik nie może mieć związku z danym postępowaniem przygotowawczym ani z daną operacją i musi posiadać praktyczną wiedzę na temat zasad i przepisów w obszarze praw człowieka, w szczególności na temat zasad niezbędności i proporcjonalności (325). Decyzja podjęta przez wyznaczonego urzędnika podlega nadzorowi ex post prowadzonemu przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (zob. bardziej szczegółowe informacje na temat funkcji nadzorczych ex post Komisarza ds. Uprawnień Dochodzeniowo-Śledczych w motywie 254 poniżej).

318

319

320

321

322

323

324

325

ex post

ex post

| (204) | Zezwolenie na uzyskanie danych pochodzących z łączności wydaje się na podstawie oceny niezbędności i proporcjonalności środka. W szczególności niezbędność środka ocenia się w świetle przesłanek wymienionych w ustawodawstwie (326). Mając na uwadze ukierunkowany charakter tego środka, musi on być niezbędny również w przypadku konkretnego postępowania przygotowawczego lub konkretnej operacji (327). Dalsze wymogi dotyczące oceny niezbędności środka określono w kodeksie postępowania w zakresie danych pochodzących z łączności (328). W szczególności w kodeksie określono, że w celu uzasadnienia takiego żądania we wniosku złożonym przez organ wnioskujący należy wskazać następujące trzy minimalne wymagane elementy: (i) zdarzenie będące przedmiotem postępowania przygotowawczego, takie jak przestępstwo lub zlokalizowanie szczególnie narażonej osoby zaginionej; (ii) osobę, której żądane dane dotyczą – taką osobą może być podejrzany, świadek lub osoba zaginiona; należy przy tym określić, w jaki sposób taka osoba jest związana z danym zdarzeniem; (iii) żądane dane pochodzące z łączności, takie jak numer telefonu lub adres IP; należy przy tym określić, w jaki sposób takie dane wiążą się z daną osobą lub z danym zdarzeniem (329). |
| --- | --- |

(204)

Zezwolenie na uzyskanie danych pochodzących z łączności wydaje się na podstawie oceny niezbędności i proporcjonalności środka. W szczególności niezbędność środka ocenia się w świetle przesłanek wymienionych w ustawodawstwie (326). Mając na uwadze ukierunkowany charakter tego środka, musi on być niezbędny również w przypadku konkretnego postępowania przygotowawczego lub konkretnej operacji (327). Dalsze wymogi dotyczące oceny niezbędności środka określono w kodeksie postępowania w zakresie danych pochodzących z łączności (328). W szczególności w kodeksie określono, że w celu uzasadnienia takiego żądania we wniosku złożonym przez organ wnioskujący należy wskazać następujące trzy minimalne wymagane elementy: (i) zdarzenie będące przedmiotem postępowania przygotowawczego, takie jak przestępstwo lub zlokalizowanie szczególnie narażonej osoby zaginionej; (ii) osobę, której żądane dane dotyczą – taką osobą może być podejrzany, świadek lub osoba zaginiona; należy przy tym określić, w jaki sposób taka osoba jest związana z danym zdarzeniem; (iii) żądane dane pochodzące z łączności, takie jak numer telefonu lub adres IP; należy przy tym określić, w jaki sposób takie dane wiążą się z daną osobą lub z danym zdarzeniem (329).

326

327

328

329

| (205) | Ponadto pozyskiwanie danych pochodzących z łączności musi być proporcjonalne do celu, któremu służy (330). W kodeksie postępowania w zakresie danych pochodzących z łączności wyjaśniono, że w ramach takiej oceny osoba zatwierdzająca powinna wyważyć, czy „stopień ingerencji w prawa i wolności danej osoby fizycznej jest proporcjonalny do wynikającej z tej interwencji korzyści dla postępowania przygotowawczego lub operacji prowadzonych przez odpowiedni organ publiczny w interesie publicznym”, a ponadto w kodeksie wyjaśniono, że biorąc pod uwagę wszystkie okoliczności danej sprawy „ingerencja w prawa i wolności danej osoby fizycznej nadal może być nieuzasadniona ze względu na nadmierny negatywny wpływ na prawa innej osoby fizycznej lub grupy osób fizycznych”. Ponadto na potrzeby szczegółowej oceny proporcjonalności tego środka w kodeksie wymieniono szereg elementów, które należy uwzględnić we wniosku przedstawianym przez organ wnioskujący (331). Co więcej, szczególną uwagę należy zwracać na rodzaj pozyskiwanych danych pochodzących z łączności („dane o podmiotach” lub „dane o zdarzeniach” (332)), a w pierwszej kolejności należy stosować mniej inwazyjną kategorię danych (333). Kodeks postępowania w zakresie danych pochodzących z łączności zawiera również konkretne wytyczne dotyczące wydawania zezwoleń w przypadku danych pochodzących z łączności dotyczących osób wykonujących określone zawody (w tym lekarzy, prawników, dziennikarzy, parlamentarzystów lub duchownych) (334), w odniesieniu do których zastosowanie mają dodatkowe zabezpieczenia (335). |
| --- | --- |

(205)

Ponadto pozyskiwanie danych pochodzących z łączności musi być proporcjonalne do celu, któremu służy (330). W kodeksie postępowania w zakresie danych pochodzących z łączności wyjaśniono, że w ramach takiej oceny osoba zatwierdzająca powinna wyważyć, czy „stopień ingerencji w prawa i wolności danej osoby fizycznej jest proporcjonalny do wynikającej z tej interwencji korzyści dla postępowania przygotowawczego lub operacji prowadzonych przez odpowiedni organ publiczny w interesie publicznym”, a ponadto w kodeksie wyjaśniono, że biorąc pod uwagę wszystkie okoliczności danej sprawy „ingerencja w prawa i wolności danej osoby fizycznej nadal może być nieuzasadniona ze względu na nadmierny negatywny wpływ na prawa innej osoby fizycznej lub grupy osób fizycznych”. Ponadto na potrzeby szczegółowej oceny proporcjonalności tego środka w kodeksie wymieniono szereg elementów, które należy uwzględnić we wniosku przedstawianym przez organ wnioskujący (331). Co więcej, szczególną uwagę należy zwracać na rodzaj pozyskiwanych danych pochodzących z łączności („dane o podmiotach” lub „dane o zdarzeniach” (332)), a w pierwszej kolejności należy stosować mniej inwazyjną kategorię danych (333). Kodeks postępowania w zakresie danych pochodzących z łączności zawiera również konkretne wytyczne dotyczące wydawania zezwoleń w przypadku danych pochodzących z łączności dotyczących osób wykonujących określone zawody (w tym lekarzy, prawników, dziennikarzy, parlamentarzystów lub duchownych) (334), w odniesieniu do których zastosowanie mają dodatkowe zabezpieczenia (335).

330

331

332

333

334

335

(ii)   Nakaz zatrzymywania danych pochodzących z łączności

Nakaz zatrzymywania danych pochodzących z łączności

| (206) | Część 4 IPA 2016 zawiera przepisy dotyczące zatrzymywania danych pochodzących z łączności, w szczególności kryteria, które muszą być spełnione, aby Sekretarz Stanu mógł wydać nakaz zatrzymywania danych (336). Zabezpieczenia wprowadzone w IPA są takie same niezależnie od tego, czy dane zatrzymuje się do celów związanych ze ściganiem przestępstwa, czy w interesie bezpieczeństwa narodowego. |
| --- | --- |

(206)

Część 4 IPA 2016 zawiera przepisy dotyczące zatrzymywania danych pochodzących z łączności, w szczególności kryteria, które muszą być spełnione, aby Sekretarz Stanu mógł wydać nakaz zatrzymywania danych (336). Zabezpieczenia wprowadzone w IPA są takie same niezależnie od tego, czy dane zatrzymuje się do celów związanych ze ściganiem przestępstwa, czy w interesie bezpieczeństwa narodowego.

336

| (207) | Takie nakazy zatrzymywania danych wydaje się w celu zagwarantowania, aby operatorzy telekomunikacyjni zatrzymywali – nie dłużej niż przez 12 miesięcy – odpowiednie dane pochodzące z łączności, które w przeciwnym razie zostałyby usunięte w chwili, gdy nie są już potrzebne do celów prowadzonej działalności gospodarczej (337). Zatrzymywane dane należy udostępniać przez żądany okres na wypadek, gdyby na późniejszym etapie okazało się, że organ publiczny będzie musiał pozyskać takie dane na podstawie zezwolenia na ukierunkowane pozyskanie danych pochodzących z łączności, przewidzianego w części 3 IPA 2016 i omówionego w motywach 203–205. |
| --- | --- |

(207)

Takie nakazy zatrzymywania danych wydaje się w celu zagwarantowania, aby operatorzy telekomunikacyjni zatrzymywali – nie dłużej niż przez 12 miesięcy – odpowiednie dane pochodzące z łączności, które w przeciwnym razie zostałyby usunięte w chwili, gdy nie są już potrzebne do celów prowadzonej działalności gospodarczej (337). Zatrzymywane dane należy udostępniać przez żądany okres na wypadek, gdyby na późniejszym etapie okazało się, że organ publiczny będzie musiał pozyskać takie dane na podstawie zezwolenia na ukierunkowane pozyskanie danych pochodzących z łączności, przewidzianego w części 3 IPA 2016 i omówionego w motywach 203–205.

337

| (208) | Wykonanie uprawnienia do nakazania zatrzymania określonych danych podlega szeregowi ograniczeń i zabezpieczeń. Sekretarz Stanu może wydać operatorowi lub operatorom nakaz zatrzymywania danych (338) wyłącznie wówczas, gdy uważa, że wymóg zatrzymywania danych jest niezbędny w jednym z ustawowych celów (339) oraz jest proporcjonalny do celu, któremu służy (340). Jak wyjaśniono w tekście samej IPA 2016 (341), przed wydaniem nakazu zatrzymywania danych Sekretarz Stanu musi rozważyć: prawdopodobne korzyści wynikające z takiego nakazu (342); opis danych usług telekomunikacyjnych; kwestię, czy należy ograniczyć zatrzymywane dane poprzez odniesienie do lokalizacji lub opisów osób, na których rzecz świadczone są dane usługi telekomunikacyjne (343); prawdopodobną liczbę użytkowników (jeżeli jest znana) każdej usługi telekomunikacyjnej, do której odnosi się dany nakaz (344); kwestię, czy nakaz jest wykonalny z technicznego punktu widzenia; prawdopodobny koszt wykonania nakazu oraz wszelki inny wpływ nakazu na operatora telekomunikacyjnego (lub opis operatorów), którego dotyczy nakaz (345). Zgodnie z dalszymi przepisami zawartymi w rozdziale 17 kodeksu postępowania w zakresie danych pochodzących z łączności we wszystkich nakazach zatrzymywania danych należy określić każdy rodzaj zatrzymywanych danych oraz wyjaśnić, dlatego zatrzymywanie danego rodzaju danych jest niezbędne. |
| --- | --- |

(208)

Wykonanie uprawnienia do nakazania zatrzymania określonych danych podlega szeregowi ograniczeń i zabezpieczeń. Sekretarz Stanu może wydać operatorowi lub operatorom nakaz zatrzymywania danych (338) wyłącznie wówczas, gdy uważa, że wymóg zatrzymywania danych jest niezbędny w jednym z ustawowych celów (339) oraz jest proporcjonalny do celu, któremu służy (340). Jak wyjaśniono w tekście samej IPA 2016 (341), przed wydaniem nakazu zatrzymywania danych Sekretarz Stanu musi rozważyć: prawdopodobne korzyści wynikające z takiego nakazu (342); opis danych usług telekomunikacyjnych; kwestię, czy należy ograniczyć zatrzymywane dane poprzez odniesienie do lokalizacji lub opisów osób, na których rzecz świadczone są dane usługi telekomunikacyjne (343); prawdopodobną liczbę użytkowników (jeżeli jest znana) każdej usługi telekomunikacyjnej, do której odnosi się dany nakaz (344); kwestię, czy nakaz jest wykonalny z technicznego punktu widzenia; prawdopodobny koszt wykonania nakazu oraz wszelki inny wpływ nakazu na operatora telekomunikacyjnego (lub opis operatorów), którego dotyczy nakaz (345). Zgodnie z dalszymi przepisami zawartymi w rozdziale 17 kodeksu postępowania w zakresie danych pochodzących z łączności we wszystkich nakazach zatrzymywania danych należy określić każdy rodzaj zatrzymywanych danych oraz wyjaśnić, dlatego zatrzymywanie danego rodzaju danych jest niezbędne.

338

339

340

341

342

343

344

345

| (209) | We wszystkich przypadkach (zarówno do celów bezpieczeństwa narodowego, jak i do celów egzekwowania prawa) decyzja Sekretarza Stanu o wydaniu nakazu zatrzymania musi zostać zatwierdzona w ramach tzw. procedury dwustopniowej autoryzacji nakazów przez niezależnego komisarza sądowego, który musi w szczególności sprawdzić, czy powiadomienie o zatrzymaniu odpowiednich danych pochodzących z łączności jest konieczne i proporcjonalne do określonego celu ustawowego lub celów ustawowych (346). |
| --- | --- |

(209)

We wszystkich przypadkach (zarówno do celów bezpieczeństwa narodowego, jak i do celów egzekwowania prawa) decyzja Sekretarza Stanu o wydaniu nakazu zatrzymania musi zostać zatwierdzona w ramach tzw. procedury dwustopniowej autoryzacji nakazów przez niezależnego komisarza sądowego, który musi w szczególności sprawdzić, czy powiadomienie o zatrzymaniu odpowiednich danych pochodzących z łączności jest konieczne i proporcjonalne do określonego celu ustawowego lub celów ustawowych (346).

346

3.3.1.1.3.   Ingerencja w urządzenia elektroniczne

| (210) | Ingerencja w urządzenia elektroniczne oznacza szereg technik stosowanych w celu uzyskania różnego rodzaju danych z urządzeń (347), w tym z komputerów, tabletów i smartfonów, a także kabli, przewodów i urządzeń pamięciowych (348). Ingerencja w urządzenia elektroniczne umożliwia uzyskanie zarówno treści komunikacji, jak i danych o urządzeniach (349). |
| --- | --- |

(210)

Ingerencja w urządzenia elektroniczne oznacza szereg technik stosowanych w celu uzyskania różnego rodzaju danych z urządzeń (347), w tym z komputerów, tabletów i smartfonów, a także kabli, przewodów i urządzeń pamięciowych (348). Ingerencja w urządzenia elektroniczne umożliwia uzyskanie zarówno treści komunikacji, jak i danych o urządzeniach (349).

347

348

349

| (211) | Zgodnie z art. 13 ust. 1 IPA 2016, aby służby wywiadowcze mogły ingerować w urządzenia elektroniczne, muszą one uzyskać zezwolenie w postaci nakazu wydanego w procedurze dwustopniowej autoryzacji nakazów ustanowionej w tejże ustawie, a także musi występować „związek z Wyspami Brytyjskimi” (350). Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa – w sytuacjach, w których dane przekazuje się z Unii Europejskiej do Zjednoczonego Królestwa w zakresie stosowania niniejszej decyzji, zawsze będzie występował „związek z Wyspami Brytyjskimi”, a zatem każda ingerencja w urządzenia elektroniczne obejmująca takie dane będzie podlegać wymogowi wydania obowiązkowego nakazu określonemu w art. 13 ust. 1 IPA 2016 (351). |
| --- | --- |

(211)

Zgodnie z art. 13 ust. 1 IPA 2016, aby służby wywiadowcze mogły ingerować w urządzenia elektroniczne, muszą one uzyskać zezwolenie w postaci nakazu wydanego w procedurze dwustopniowej autoryzacji nakazów ustanowionej w tejże ustawie, a także musi występować „związek z Wyspami Brytyjskimi” (350). Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa – w sytuacjach, w których dane przekazuje się z Unii Europejskiej do Zjednoczonego Królestwa w zakresie stosowania niniejszej decyzji, zawsze będzie występował „związek z Wyspami Brytyjskimi”, a zatem każda ingerencja w urządzenia elektroniczne obejmująca takie dane będzie podlegać wymogowi wydania obowiązkowego nakazu określonemu w art. 13 ust. 1 IPA 2016 (351).

350

351

| (212) | Przepisy dotyczące nakazów ukierunkowanej ingerencji w urządzenia elektroniczne określono w części 5 IPA 2016. Podobnie jak ukierunkowane przechwytywanie, ukierunkowana ingerencja w urządzenia elektroniczne musi dotyczyć określonego „celu”, który należy wskazać w nakazie (352). Wymagane informacje identyfikujące „cel” zależą od przedmiotu sprawy i rodzaju urządzeń podlegających ingerencji. W szczególności w art. 115 ust. 3 IPA określono elementy, które należy uwzględnić w nakazie (np. imię i nazwisko osoby lub nazwę organizacji, opis lokalizacji), w zależności na przykład od tego, czy ingerencja dotyczy urządzenia, które należy do konkretnej osoby, organizacji lub grupy osób, jest w jej posiadaniu lub jest przez nią wykorzystywane, lub też znajduje się w określonej lokalizacji itp. (353) Przesłanki wydania nakazów ukierunkowanej ingerencji w urządzenia elektroniczne zależą od organu publicznego, który kieruje wniosek o wydanie takiego nakazu (354). |
| --- | --- |

(212)

Przepisy dotyczące nakazów ukierunkowanej ingerencji w urządzenia elektroniczne określono w części 5 IPA 2016. Podobnie jak ukierunkowane przechwytywanie, ukierunkowana ingerencja w urządzenia elektroniczne musi dotyczyć określonego „celu”, który należy wskazać w nakazie (352). Wymagane informacje identyfikujące „cel” zależą od przedmiotu sprawy i rodzaju urządzeń podlegających ingerencji. W szczególności w art. 115 ust. 3 IPA określono elementy, które należy uwzględnić w nakazie (np. imię i nazwisko osoby lub nazwę organizacji, opis lokalizacji), w zależności na przykład od tego, czy ingerencja dotyczy urządzenia, które należy do konkretnej osoby, organizacji lub grupy osób, jest w jej posiadaniu lub jest przez nią wykorzystywane, lub też znajduje się w określonej lokalizacji itp. (353) Przesłanki wydania nakazów ukierunkowanej ingerencji w urządzenia elektroniczne zależą od organu publicznego, który kieruje wniosek o wydanie takiego nakazu (354).

352

353

354

| (213) | Podobnie jak w przypadku ukierunkowanego przechwytywania organ wydający nakaz musi rozważyć kwestię, czy taki środek jest niezbędny i proporcjonalny do skutku, który ma zostać osiągnięty (355). Ponadto taki organ powinien również rozważyć, czy istnieją zabezpieczenia dotyczące ochrony, zatrzymywania i ujawniania danych, a także „ujawnienia za granicą” (356) (zob. motyw 196). |
| --- | --- |

(213)

Podobnie jak w przypadku ukierunkowanego przechwytywania organ wydający nakaz musi rozważyć kwestię, czy taki środek jest niezbędny i proporcjonalny do skutku, który ma zostać osiągnięty (355). Ponadto taki organ powinien również rozważyć, czy istnieją zabezpieczenia dotyczące ochrony, zatrzymywania i ujawniania danych, a także „ujawnienia za granicą” (356) (zob. motyw 196).

355

356

| (214) | Nakaz musi zatwierdzić komisarz sądowy, z wyjątkiem pilnych przypadków (357). W pilnych przypadkach komisarz sądowy musi zostać poinformowany o wydaniu nakazu i musi zatwierdzić taki nakaz w terminie trzech dni roboczych. Jeżeli komisarz sądowy odmówi zatwierdzenia nakazu, nakaz traci moc i nie może zostać przedłużony (358). Ponadto komisarz sądowy jest uprawniony do żądania usunięcia wszelkich danych uzyskanych na podstawie nakazu (359). Fakt, że nakaz został wydany w trybie pilnym, nie ma wpływu na nadzór ex post (zob. motywy 244–255) ani na możliwości dochodzenia roszczeń przez osoby fizyczne (zob. motywy 260–270). Osoby fizyczne mogą w zwykłym trybie złożyć skargę do Komisarza ds. Informacji lub wnieść skargę dotyczącą niewłaściwego postępowania do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych. We wszystkich przypadkach kryterium stosowanym przez komisarza sądowego przy decyzji o zatwierdzeniu nakazu jest kryterium niezbędności i proporcjonalności stosowane w przypadku analizy wniosków o ukierunkowane przechwytywanie (360) (zob. motyw 192 powyżej). |
| --- | --- |

(214)

Nakaz musi zatwierdzić komisarz sądowy, z wyjątkiem pilnych przypadków (357). W pilnych przypadkach komisarz sądowy musi zostać poinformowany o wydaniu nakazu i musi zatwierdzić taki nakaz w terminie trzech dni roboczych. Jeżeli komisarz sądowy odmówi zatwierdzenia nakazu, nakaz traci moc i nie może zostać przedłużony (358). Ponadto komisarz sądowy jest uprawniony do żądania usunięcia wszelkich danych uzyskanych na podstawie nakazu (359). Fakt, że nakaz został wydany w trybie pilnym, nie ma wpływu na nadzór ex post (zob. motywy 244–255) ani na możliwości dochodzenia roszczeń przez osoby fizyczne (zob. motywy 260–270). Osoby fizyczne mogą w zwykłym trybie złożyć skargę do Komisarza ds. Informacji lub wnieść skargę dotyczącą niewłaściwego postępowania do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych. We wszystkich przypadkach kryterium stosowanym przez komisarza sądowego przy decyzji o zatwierdzeniu nakazu jest kryterium niezbędności i proporcjonalności stosowane w przypadku analizy wniosków o ukierunkowane przechwytywanie (360) (zob. motyw 192 powyżej).

357

358

359

ex post

360

| (215) | Ponadto szczególne zabezpieczenia stosowane wobec ukierunkowanego przechwytywania mają zastosowanie również w przypadku ingerencji w urządzenia elektroniczne, jeżeli chodzi o okres obowiązywania, przedłużanie i zmianę nakazu, a także w przypadku przechwytywania komunikacji parlamentarzystów, elementów objętych prawniczą tajemnicą zawodową oraz materiałów dziennikarskich (zob. więcej informacji w motywie 193). |
| --- | --- |

(215)

Ponadto szczególne zabezpieczenia stosowane wobec ukierunkowanego przechwytywania mają zastosowanie również w przypadku ingerencji w urządzenia elektroniczne, jeżeli chodzi o okres obowiązywania, przedłużanie i zmianę nakazu, a także w przypadku przechwytywania komunikacji parlamentarzystów, elementów objętych prawniczą tajemnicą zawodową oraz materiałów dziennikarskich (zob. więcej informacji w motywie 193).

3.3.1.1.4.   Wykonywanie uprawnień do masowego pozyskiwania danych

| (216) | Uprawnienia do masowego pozyskiwania danych są uregulowane w części 6 IPA 2016. Ponadto kodeksy postępowania zawierają więcej szczegółowych informacji na temat wykonywania uprawnień do masowego pozyskiwania danych. Chociaż w prawie Zjednoczonego Królestwa nie określono definicji terminu „uprawnienia do masowego pozyskiwania danych”, w kontekście IPA 2016 uprawnienia te opisano jako gromadzenie i zatrzymywanie dużych ilości danych pozyskanych przez rząd różnymi środkami (tj. uprawnienia do masowego przechwytywania, masowego pozyskiwania danych, masowej ingerencji w urządzenia elektroniczne i tworzenia masowych zbiorów danych osobowych), do których to danych później organy mają dostęp. Opis ten wyjaśniono, wskazując, czym uprawnienia do masowego pozyskiwania danych nie są: uprawnienia te nie są równoważne z „masową inwigilacją”, która nie podlega ograniczeniom ani zabezpieczeniom. Wręcz przeciwnie, jak wyjaśniono poniżej, uprawnienia te podlegają ograniczeniom i zabezpieczeniom mającym na celu zapewnienie, aby nie udzielano powszechnego lub nieuzasadnionego dostępu do danych (361). W szczególności uprawnienia do masowego pozyskiwania danych można wykonywać wyłącznie w przypadku ustalenia związku między środkiem technicznym, który krajowa agencja wywiadowcza planuje zastosować, a celem operacyjnym, w odniesieniu do którego wystąpiono o zastosowania takiego środka. |
| --- | --- |

(216)

Uprawnienia do masowego pozyskiwania danych są uregulowane w części 6 IPA 2016. Ponadto kodeksy postępowania zawierają więcej szczegółowych informacji na temat wykonywania uprawnień do masowego pozyskiwania danych. Chociaż w prawie Zjednoczonego Królestwa nie określono definicji terminu „uprawnienia do masowego pozyskiwania danych”, w kontekście IPA 2016 uprawnienia te opisano jako gromadzenie i zatrzymywanie dużych ilości danych pozyskanych przez rząd różnymi środkami (tj. uprawnienia do masowego przechwytywania, masowego pozyskiwania danych, masowej ingerencji w urządzenia elektroniczne i tworzenia masowych zbiorów danych osobowych), do których to danych później organy mają dostęp. Opis ten wyjaśniono, wskazując, czym uprawnienia do masowego pozyskiwania danych nie są: uprawnienia te nie są równoważne z „masową inwigilacją”, która nie podlega ograniczeniom ani zabezpieczeniom. Wręcz przeciwnie, jak wyjaśniono poniżej, uprawnienia te podlegają ograniczeniom i zabezpieczeniom mającym na celu zapewnienie, aby nie udzielano powszechnego lub nieuzasadnionego dostępu do danych (361). W szczególności uprawnienia do masowego pozyskiwania danych można wykonywać wyłącznie w przypadku ustalenia związku między środkiem technicznym, który krajowa agencja wywiadowcza planuje zastosować, a celem operacyjnym, w odniesieniu do którego wystąpiono o zastosowania takiego środka.

361

| (217) | Ponadto uprawnienia do masowego pozyskiwania danych przysługują wyłącznie agencjom wywiadowczym i zawsze muszą stanowić przedmiot nakazu wydanego przez Sekretarza Stanu i zatwierdzonego przez komisarza sądowego. Dokonując wyboru środka gromadzenia danych wywiadowczych, należy rozważyć kwestię, czy dany cel można osiągnąć za pomocą „mniej inwazyjnych środków” (362). Takie podejście wynika z ram legislacyjnych, u których podstaw leży zasada proporcjonalności i w których tym samym przewiduje się pierwszeństwo gromadzenia ukierunkowanego nad masowym. |
| --- | --- |

(217)

Ponadto uprawnienia do masowego pozyskiwania danych przysługują wyłącznie agencjom wywiadowczym i zawsze muszą stanowić przedmiot nakazu wydanego przez Sekretarza Stanu i zatwierdzonego przez komisarza sądowego. Dokonując wyboru środka gromadzenia danych wywiadowczych, należy rozważyć kwestię, czy dany cel można osiągnąć za pomocą „mniej inwazyjnych środków” (362). Takie podejście wynika z ram legislacyjnych, u których podstaw leży zasada proporcjonalności i w których tym samym przewiduje się pierwszeństwo gromadzenia ukierunkowanego nad masowym.

362

3.3.1.1.4.1.   Masowe przechwytywanie i masowa ingerencja w urządzenia elektroniczne

| (218) | System masowego przechwytywania przewidziano w części 6 rozdział 1 IPA 2016, natomiast w tej samej części w rozdziale 3 uregulowano kwestię masowej ingerencji w urządzenia elektroniczne. Systemy te są zasadniczo takie same, w związku z czym warunki i dodatkowe zabezpieczenia stosowane wobec takich nakazów analizuje się łącznie. |
| --- | --- |

(218)

System masowego przechwytywania przewidziano w części 6 rozdział 1 IPA 2016, natomiast w tej samej części w rozdziale 3 uregulowano kwestię masowej ingerencji w urządzenia elektroniczne. Systemy te są zasadniczo takie same, w związku z czym warunki i dodatkowe zabezpieczenia stosowane wobec takich nakazów analizuje się łącznie.

(i)   Warunki i kryteria wydania nakazu

Warunki i kryteria wydania nakazu

| (219) | Zakres stosowania nakazu masowego przechwytywania komunikacji ogranicza się do przechwytywania w trakcie jej przekazywania lub odbierania przez osoby fizyczne znajdujące się poza terytorium Wysp Brytyjskich (363), tj. „komunikacji zagranicznej” (364), a także do innych istotnych danych i późniejszego wyboru do celów analizy przechwyconego materiału (365). Adresat nakazu masowej ingerencji w urządzenia elektroniczne (366) jest uprawniony do ingerencji w dowolne urządzenie do celów pozyskania komunikacji zagranicznej (w tym wszelkich komunikatów słownych, muzycznych, dźwiękowych, obrazów lub wszelkich danych) oraz do pozyskania danych o urządzeniach (dane, które umożliwiają lub ułatwiają funkcjonowania usług pocztowych, systemu telekomunikacyjnego, usług telekomunikacyjnych) lub wszystkich innych informacji (367). |
| --- | --- |

(219)

Zakres stosowania nakazu masowego przechwytywania komunikacji ogranicza się do przechwytywania w trakcie jej przekazywania lub odbierania przez osoby fizyczne znajdujące się poza terytorium Wysp Brytyjskich (363), tj. „komunikacji zagranicznej” (364), a także do innych istotnych danych i późniejszego wyboru do celów analizy przechwyconego materiału (365). Adresat nakazu masowej ingerencji w urządzenia elektroniczne (366) jest uprawniony do ingerencji w dowolne urządzenie do celów pozyskania komunikacji zagranicznej (w tym wszelkich komunikatów słownych, muzycznych, dźwiękowych, obrazów lub wszelkich danych) oraz do pozyskania danych o urządzeniach (dane, które umożliwiają lub ułatwiają funkcjonowania usług pocztowych, systemu telekomunikacyjnego, usług telekomunikacyjnych) lub wszystkich innych informacji (367).

363

364

365

366

367

| (220) | Sekretarz Stanu może wydać nakaz masowego pozyskania danych wyłącznie na wniosek szefa służby wywiadowczej (368). Nakaz zatwierdzający masowe przechwytywanie lub masową ingerencję w urządzenia elektroniczne może być wydawany wyłącznie w sytuacjach, gdy jest to niezbędne dla bezpieczeństwa narodowego i do celów zapobieżenia poważnemu przestępstwu lub jego wykrycia, lub ze względu na interesy dobrobytu gospodarczego Zjednoczonego Królestwa istotne dla interesów bezpieczeństwa narodowego (369). Ponadto art. 142 ust. 7 IPA 2016 stanowi, że w nakazie masowego przechwytywania należy podać bardziej szczegółowe informacje, nieograniczające się wyłącznie do stwierdzenia, że służy on „interesom bezpieczeństwa narodowego”, „interesom dobrobytu gospodarczego Zjednoczonego Królestwa” i „zapobieżeniu poważnemu przestępstwu i jego zwalczeniu”, i należy ustalić związek między środkiem, którego dotyczy wniosek, a celem lub celami operacyjnymi, które należy wskazać w nakazie. |
| --- | --- |

(220)

Sekretarz Stanu może wydać nakaz masowego pozyskania danych wyłącznie na wniosek szefa służby wywiadowczej (368). Nakaz zatwierdzający masowe przechwytywanie lub masową ingerencję w urządzenia elektroniczne może być wydawany wyłącznie w sytuacjach, gdy jest to niezbędne dla bezpieczeństwa narodowego i do celów zapobieżenia poważnemu przestępstwu lub jego wykrycia, lub ze względu na interesy dobrobytu gospodarczego Zjednoczonego Królestwa istotne dla interesów bezpieczeństwa narodowego (369). Ponadto art. 142 ust. 7 IPA 2016 stanowi, że w nakazie masowego przechwytywania należy podać bardziej szczegółowe informacje, nieograniczające się wyłącznie do stwierdzenia, że służy on „interesom bezpieczeństwa narodowego”, „interesom dobrobytu gospodarczego Zjednoczonego Królestwa” i „zapobieżeniu poważnemu przestępstwu i jego zwalczeniu”, i należy ustalić związek między środkiem, którego dotyczy wniosek, a celem lub celami operacyjnymi, które należy wskazać w nakazie.

368

369

| (221) | Cel operacyjny wybiera się w drodze wielopoziomowego procesu. W art. 142 ust. 4 wskazano, że cele operacyjne wskazane w nakazie muszą być tożsame z celami, które w wykazie prowadzonym przez szefów służb wywiadowczych zostały przez nich określone jako cele operacyjne, na potrzeby których przechwycone treści lub dane wtórne uzyskane na podstawie nakazów masowego przechwytywania mogą zostać wybrane do zbadania. Wykaz celów operacyjnych musi zostać zatwierdzony przez Sekretarza Stanu. Sekretarz Stanu może dokonać takiego zatwierdzenia wyłącznie wówczas, gdy ma pewność, że w opisie celu operacyjnego podano więcej szczegółów nieograniczających się do wskazania ogólnych podstaw do zatwierdzenia nakazu (którymi są: bezpieczeństwo narodowe lub bezpieczeństwo narodowe i dobrobyt gospodarczy lub zapobieżenie poważnemu przestępstwu) (370). Na koniec każdego odpowiedniego trzymiesięcznego okresu Sekretarz Stanu musi przekazać egzemplarz wykazu celów operacyjnych parlamentarnej Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa. Ponadto premier musi dokonać przeglądu wykazu celów operacyjnych przynajmniej raz w roku (371). Jak odnotował Wysoki Trybunał, „[n]ie należy traktować tych zabezpieczeń jako mało ważne, gdyż łącznie tworzą one złożony zestaw trybów odpowiedzialności obejmujących parlament i członków rządu na najwyższych szczeblach” (372). |
| --- | --- |

(221)

Cel operacyjny wybiera się w drodze wielopoziomowego procesu. W art. 142 ust. 4 wskazano, że cele operacyjne wskazane w nakazie muszą być tożsame z celami, które w wykazie prowadzonym przez szefów służb wywiadowczych zostały przez nich określone jako cele operacyjne, na potrzeby których przechwycone treści lub dane wtórne uzyskane na podstawie nakazów masowego przechwytywania mogą zostać wybrane do zbadania. Wykaz celów operacyjnych musi zostać zatwierdzony przez Sekretarza Stanu. Sekretarz Stanu może dokonać takiego zatwierdzenia wyłącznie wówczas, gdy ma pewność, że w opisie celu operacyjnego podano więcej szczegółów nieograniczających się do wskazania ogólnych podstaw do zatwierdzenia nakazu (którymi są: bezpieczeństwo narodowe lub bezpieczeństwo narodowe i dobrobyt gospodarczy lub zapobieżenie poważnemu przestępstwu) (370). Na koniec każdego odpowiedniego trzymiesięcznego okresu Sekretarz Stanu musi przekazać egzemplarz wykazu celów operacyjnych parlamentarnej Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa. Ponadto premier musi dokonać przeglądu wykazu celów operacyjnych przynajmniej raz w roku (371). Jak odnotował Wysoki Trybunał, „[n]ie należy traktować tych zabezpieczeń jako mało ważne, gdyż łącznie tworzą one złożony zestaw trybów odpowiedzialności obejmujących parlament i członków rządu na najwyższych szczeblach” (372).

370

371

372

| (222) | W ramach takich celów operacyjnych ogranicza się również wybór przechwyconego materiału, który ma zostać zbadany. To, które spośród wszelkich materiałów zgromadzonych na podstawie nakazu masowego pozyskania danych zostaną wybrane do zbadania, musi być uzasadnione celami operacyjnymi. Jak wyjaśniły władze Zjednoczonego Królestwa, oznacza to, że praktyczne ustalenia dotyczące badania muszą zostać ocenione przez Sekretarza Stanu już na etapie wydania nakazu, przy czym należy zapewnić poziom szczegółowości wystarczający do spełnienia obowiązków ustawowych określonych w art. 152 i 193 IPA 2016 (373). Szczegółowe informacje udzielone Sekretarzowi Stanu w odniesieniu do tych ustaleń muszą obejmować na przykład (w stosownych przypadkach) informacje na temat stopnia, w jakim ustalenia dotyczące filtrowania mogą się różnić w czasie obowiązywania nakazu (374). Aby uzyskać więcej informacji na temat tego procesu i zabezpieczeń stosowanych na etapie filtrowania i badania, zob. motyw 229 poniżej. |
| --- | --- |

(222)

W ramach takich celów operacyjnych ogranicza się również wybór przechwyconego materiału, który ma zostać zbadany. To, które spośród wszelkich materiałów zgromadzonych na podstawie nakazu masowego pozyskania danych zostaną wybrane do zbadania, musi być uzasadnione celami operacyjnymi. Jak wyjaśniły władze Zjednoczonego Królestwa, oznacza to, że praktyczne ustalenia dotyczące badania muszą zostać ocenione przez Sekretarza Stanu już na etapie wydania nakazu, przy czym należy zapewnić poziom szczegółowości wystarczający do spełnienia obowiązków ustawowych określonych w art. 152 i 193 IPA 2016 (373). Szczegółowe informacje udzielone Sekretarzowi Stanu w odniesieniu do tych ustaleń muszą obejmować na przykład (w stosownych przypadkach) informacje na temat stopnia, w jakim ustalenia dotyczące filtrowania mogą się różnić w czasie obowiązywania nakazu (374). Aby uzyskać więcej informacji na temat tego procesu i zabezpieczeń stosowanych na etapie filtrowania i badania, zob. motyw 229 poniżej.

373

374

| (223) | Na wykonanie uprawnień do masowego pozyskiwania danych można zezwolić wyłącznie wówczas, gdy jest to proporcjonalne do celu, któremu służy (375). Jak określono w kodeksie postępowania w zakresie przechwytywania, każda ocena proporcjonalności musi obejmować „wyważenie stopnia ingerencji w prywatność (i innych względów określonych w art. 2 ust. 2) w stosunku do potrzeby prowadzenia działań pod względem dochodzeniowym, operacyjnym lub w zakresie zdolności. Czynności objęte zezwoleniem powinny dawać realistyczną perspektywę uzyskania oczekiwanej korzyści i nie powinny być nieproporcjonalne lub arbitralne” (376). Jak już stwierdzono, w praktyce oznacza to, że analiza proporcjonalności opiera się na wyważeniu skutku, który ma być osiągnięty („cele operacyjne”), dostępnych wariantów technicznych (np. ukierunkowane lub masowe przechwytywanie, ingerencja w urządzenia elektroniczne, pozyskiwanie danych pochodzących z łączności), przy czym preferencyjnie należy traktować środki najmniej inwazyjne (zob. motywy 181 i 182 powyżej). Jeżeli dany cel można osiągnąć za pomocą więcej niż jednego środka, należy wybrać środek mniej inwazyjny. |
| --- | --- |

(223)

Na wykonanie uprawnień do masowego pozyskiwania danych można zezwolić wyłącznie wówczas, gdy jest to proporcjonalne do celu, któremu służy (375). Jak określono w kodeksie postępowania w zakresie przechwytywania, każda ocena proporcjonalności musi obejmować „wyważenie stopnia ingerencji w prywatność (i innych względów określonych w art. 2 ust. 2) w stosunku do potrzeby prowadzenia działań pod względem dochodzeniowym, operacyjnym lub w zakresie zdolności. Czynności objęte zezwoleniem powinny dawać realistyczną perspektywę uzyskania oczekiwanej korzyści i nie powinny być nieproporcjonalne lub arbitralne” (376). Jak już stwierdzono, w praktyce oznacza to, że analiza proporcjonalności opiera się na wyważeniu skutku, który ma być osiągnięty („cele operacyjne”), dostępnych wariantów technicznych (np. ukierunkowane lub masowe przechwytywanie, ingerencja w urządzenia elektroniczne, pozyskiwanie danych pochodzących z łączności), przy czym preferencyjnie należy traktować środki najmniej inwazyjne (zob. motywy 181 i 182 powyżej). Jeżeli dany cel można osiągnąć za pomocą więcej niż jednego środka, należy wybrać środek mniej inwazyjny.

375

376

| (224) | W kontekście oceny proporcjonalności środka wskazanego we wniosku dodatkowym zabezpieczeniem jest fakt, że Sekretarz Stanu musi otrzymać istotne informacje potrzebne mu do właściwego przeprowadzenia oceny. W szczególności kodeks postępowania w zakresie przechwytywania komunikacji i kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne zawierają wymóg, aby we wniosku składanym przez odpowiedni organ przedstawić kontekst wniosku, opis przechwytywanej komunikacji oraz operatorów telekomunikacyjnych, którzy będą musieli udzielić pomocy, opis zatwierdzonych czynności, cele operacyjne i wyjaśnienie powodów, dla których dane działanie jest niezbędne i proporcjonalne (377). |
| --- | --- |

(224)

W kontekście oceny proporcjonalności środka wskazanego we wniosku dodatkowym zabezpieczeniem jest fakt, że Sekretarz Stanu musi otrzymać istotne informacje potrzebne mu do właściwego przeprowadzenia oceny. W szczególności kodeks postępowania w zakresie przechwytywania komunikacji i kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne zawierają wymóg, aby we wniosku składanym przez odpowiedni organ przedstawić kontekst wniosku, opis przechwytywanej komunikacji oraz operatorów telekomunikacyjnych, którzy będą musieli udzielić pomocy, opis zatwierdzonych czynności, cele operacyjne i wyjaśnienie powodów, dla których dane działanie jest niezbędne i proporcjonalne (377).

377

| (225) | Istotny jest wreszcie fakt, że decyzję Sekretarza Stanu o wydaniu nakazu musi zatwierdzić niezależny komisarz sądowy, który poddaje ocenę niezbędności i proporcjonalności proponowanego środka własnej ocenie, kierując się tymi samymi zasadami, które zastosowałby sąd w toku kontroli sądowej (378). Ściślej mówiąc, komisarz sądowy dokona przeglądu wniosków Sekretarza Stanu w kwestii, czy nakaz jest niezbędny oraz czy działania są proporcjonalne w świetle zasad określonych w art. 2 ust. 2 IPA 2016 (ogólne obowiązki w związku z ochroną prywatności). Komisarz sądowy dokona przeglądu wniosków Sekretarza Stanu pod kątem tego, czy dla każdego z celów operacyjnych określonych w nakazie wybór określonego materiału jest lub może być niezbędny. Jeżeli komisarz sądowy odmówi zatwierdzenia decyzji o wydaniu nakazu, Sekretarz Stanu może: (i) przyjąć taką decyzję i tym samym zrezygnować z wydania nakazu; albo (ii) przekazać sprawę do rozstrzygnięcia przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (chyba że pierwotną decyzję wydał Komisarz ds. Uprawnień Dochodzeniowo-Śledczych) (379). |
| --- | --- |

(225)

Istotny jest wreszcie fakt, że decyzję Sekretarza Stanu o wydaniu nakazu musi zatwierdzić niezależny komisarz sądowy, który poddaje ocenę niezbędności i proporcjonalności proponowanego środka własnej ocenie, kierując się tymi samymi zasadami, które zastosowałby sąd w toku kontroli sądowej (378). Ściślej mówiąc, komisarz sądowy dokona przeglądu wniosków Sekretarza Stanu w kwestii, czy nakaz jest niezbędny oraz czy działania są proporcjonalne w świetle zasad określonych w art. 2 ust. 2 IPA 2016 (ogólne obowiązki w związku z ochroną prywatności). Komisarz sądowy dokona przeglądu wniosków Sekretarza Stanu pod kątem tego, czy dla każdego z celów operacyjnych określonych w nakazie wybór określonego materiału jest lub może być niezbędny. Jeżeli komisarz sądowy odmówi zatwierdzenia decyzji o wydaniu nakazu, Sekretarz Stanu może: (i) przyjąć taką decyzję i tym samym zrezygnować z wydania nakazu; albo (ii) przekazać sprawę do rozstrzygnięcia przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (chyba że pierwotną decyzję wydał Komisarz ds. Uprawnień Dochodzeniowo-Śledczych) (379).

378

379

(ii)   Dodatkowe zabezpieczenia

Dodatkowe zabezpieczenia

| (226) | W IPA 2016 określono dalsze ograniczenia dotyczące okresu obowiązywania, przedłużania i zmiany nakazów masowego pozyskania danych. Okres obowiązywania nakazu nie może przekraczać sześciu miesięcy, a każda decyzja o jego przedłużeniu lub zmianie (z wyjątkiem nieznacznych zmian) również podlega obowiązkowi zatwierdzenia przez komisarza sądowego (380). W kodeksie postępowania w zakresie przechwytywania komunikacji i kodeksie postępowania w zakresie ingerencji w urządzenia elektroniczne stwierdzono, że zmianę celów operacyjnych określonych w nakazie uznaje się za istotną zmianę nakazu (381). |
| --- | --- |

(226)

W IPA 2016 określono dalsze ograniczenia dotyczące okresu obowiązywania, przedłużania i zmiany nakazów masowego pozyskania danych. Okres obowiązywania nakazu nie może przekraczać sześciu miesięcy, a każda decyzja o jego przedłużeniu lub zmianie (z wyjątkiem nieznacznych zmian) również podlega obowiązkowi zatwierdzenia przez komisarza sądowego (380). W kodeksie postępowania w zakresie przechwytywania komunikacji i kodeksie postępowania w zakresie ingerencji w urządzenia elektroniczne stwierdzono, że zmianę celów operacyjnych określonych w nakazie uznaje się za istotną zmianę nakazu (381).

380

381

| (227) | Podobnie jak w przypadku zasad dotyczących ukierunkowanego przechwytywania, w części 6 IPA 2016 określono, że Sekretarz Stanu musi zapewnić, aby obowiązywały ustalenia zapewniające zabezpieczenia w zakresie zatrzymywania i ujawniania materiałów uzyskanych na podstawie nakazu (382), a także w odniesieniu do ujawniania za granicą (383). W szczególności w art. 150 ust. 5 i art. 191 ust. 5 IPA 2016 wymaga się, aby każdą kopię wszelkich materiałów zebranych na podstawie nakazu przechowywano w bezpieczny sposób i niszczono, gdy tylko nie ma już istotnych podstaw do jej zatrzymywania, natomiast w art. 150 ust. 2 i art. 191 ust. 2 wymaga się, aby liczba osób, którym ujawnia się materiał, oraz zakres, w jakim dany materiał jest ujawniany, udostępniany lub kopiowany, były ograniczone do minimum niezbędnego do realizacji celów ustawowych (384). |
| --- | --- |

(227)

Podobnie jak w przypadku zasad dotyczących ukierunkowanego przechwytywania, w części 6 IPA 2016 określono, że Sekretarz Stanu musi zapewnić, aby obowiązywały ustalenia zapewniające zabezpieczenia w zakresie zatrzymywania i ujawniania materiałów uzyskanych na podstawie nakazu (382), a także w odniesieniu do ujawniania za granicą (383). W szczególności w art. 150 ust. 5 i art. 191 ust. 5 IPA 2016 wymaga się, aby każdą kopię wszelkich materiałów zebranych na podstawie nakazu przechowywano w bezpieczny sposób i niszczono, gdy tylko nie ma już istotnych podstaw do jej zatrzymywania, natomiast w art. 150 ust. 2 i art. 191 ust. 2 wymaga się, aby liczba osób, którym ujawnia się materiał, oraz zakres, w jakim dany materiał jest ujawniany, udostępniany lub kopiowany, były ograniczone do minimum niezbędnego do realizacji celów ustawowych (384).

382

383

384

| (228) | Ponadto gdy materiał, który przechwycono w ramach masowego przechwytywania albo masowej ingerencji w urządzenia elektroniczne, ma zostać przekazany do państwa trzeciego („ujawnienia za granicą”), w IPA 2016 przewiduje się, że Sekretarz Stanu musi zapewnić, aby istniały odpowiednie ustalenia w celu zapewnienia istnienia podobnych zabezpieczeń dotyczących bezpieczeństwa, zatrzymywania i ujawniania w danym państwie trzecim (385). Ponadto w art. 109 DPA 2018 określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych przez służby wywiadowcze do państw trzecich lub organizacji międzynarodowych. Zgodnie z tym przepisem dane nie mogą być przekazywane do państwa ani terytorium poza Zjednoczonym Królestwem ani do organizacji międzynarodowej, chyba że przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (386). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów. |
| --- | --- |

(228)

Ponadto gdy materiał, który przechwycono w ramach masowego przechwytywania albo masowej ingerencji w urządzenia elektroniczne, ma zostać przekazany do państwa trzeciego („ujawnienia za granicą”), w IPA 2016 przewiduje się, że Sekretarz Stanu musi zapewnić, aby istniały odpowiednie ustalenia w celu zapewnienia istnienia podobnych zabezpieczeń dotyczących bezpieczeństwa, zatrzymywania i ujawniania w danym państwie trzecim (385). Ponadto w art. 109 DPA 2018 określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych przez służby wywiadowcze do państw trzecich lub organizacji międzynarodowych. Zgodnie z tym przepisem dane nie mogą być przekazywane do państwa ani terytorium poza Zjednoczonym Królestwem ani do organizacji międzynarodowej, chyba że przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (386). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów.

385

386

| (229) | Po zatwierdzeniu nakazu i masowym zgromadzeniu danych dokonuje się wyboru danych do zbadania. Etap wyboru i badania podlega dalszej analizie proporcjonalności prowadzonej przez analityka, który definiuje kryteria wyboru na podstawie celów operacyjnych wskazanych w nakazie (i ewentualnych przyjętych ustaleń dotyczących filtrowania). Jak określono w art. 152 i 193 IPA, wydając nakaz, Sekretarz Stanu musi zapewnić obowiązywanie ustaleń gwarantujących, aby wyboru materiałów dokonywano wyłącznie w odniesieniu do określonych celów operacyjnych oraz aby wybrane materiały były niezbędne i proporcjonalne we wszystkich okolicznościach. W tym kontekście władze Zjednoczonego Królestwa wyjaśniły, że materiały podlegające masowemu przechwytywaniu wybiera się przede wszystkim za pomocą automatycznego filtrowania służącego odrzuceniu danych, co do których nie jest prawdopodobne, aby były one istotne dla bezpieczeństwa narodowego. Dobór filtrów może ulegać zmianie (wraz ze zmianą wzorców, rodzajów i protokołów ruchu internetowego) w zależności od technologii i kontekstu operacyjnego. Na tym etapie dane można wybrać do zbadania wyłącznie wówczas, gdy są one odpowiednie do celów operacyjnych wskazanych w nakazie (387). Zabezpieczenia przewidziane w IPA 2016 w odniesieniu do badania zebranych materiałów mają zastosowanie do wszelkiego rodzaju danych (zarówno przechwyconych treści, jak i danych wtórnych) (388). W art. 152 i 193 IPA 2016 przewidziano również ogólny zakaz wyboru do zbadania materiałów odnoszących się do rozmów, w przypadku których nadawcami lub zamierzonymi odbiorcami są osoby fizyczne znajdujące się na terytorium Wysp Brytyjskich. Jeżeli organy zamierzają zbadać takie materiały, składają wniosek o nakaz ukierunkowanego zbadania na podstawie części 2 i 4 IPA 2016 wydawany przez Sekretarza Stanu i zatwierdzany przez komisarza sądowego (389). Osoba, która celowo wybiera do zbadania przechwycone treści niezgodnie z wymogami określonymi w przepisach (390), dopuszcza się czynu zabronionego (391). |
| --- | --- |

(229)

Po zatwierdzeniu nakazu i masowym zgromadzeniu danych dokonuje się wyboru danych do zbadania. Etap wyboru i badania podlega dalszej analizie proporcjonalności prowadzonej przez analityka, który definiuje kryteria wyboru na podstawie celów operacyjnych wskazanych w nakazie (i ewentualnych przyjętych ustaleń dotyczących filtrowania). Jak określono w art. 152 i 193 IPA, wydając nakaz, Sekretarz Stanu musi zapewnić obowiązywanie ustaleń gwarantujących, aby wyboru materiałów dokonywano wyłącznie w odniesieniu do określonych celów operacyjnych oraz aby wybrane materiały były niezbędne i proporcjonalne we wszystkich okolicznościach. W tym kontekście władze Zjednoczonego Królestwa wyjaśniły, że materiały podlegające masowemu przechwytywaniu wybiera się przede wszystkim za pomocą automatycznego filtrowania służącego odrzuceniu danych, co do których nie jest prawdopodobne, aby były one istotne dla bezpieczeństwa narodowego. Dobór filtrów może ulegać zmianie (wraz ze zmianą wzorców, rodzajów i protokołów ruchu internetowego) w zależności od technologii i kontekstu operacyjnego. Na tym etapie dane można wybrać do zbadania wyłącznie wówczas, gdy są one odpowiednie do celów operacyjnych wskazanych w nakazie (387). Zabezpieczenia przewidziane w IPA 2016 w odniesieniu do badania zebranych materiałów mają zastosowanie do wszelkiego rodzaju danych (zarówno przechwyconych treści, jak i danych wtórnych) (388). W art. 152 i 193 IPA 2016 przewidziano również ogólny zakaz wyboru do zbadania materiałów odnoszących się do rozmów, w przypadku których nadawcami lub zamierzonymi odbiorcami są osoby fizyczne znajdujące się na terytorium Wysp Brytyjskich. Jeżeli organy zamierzają zbadać takie materiały, składają wniosek o nakaz ukierunkowanego zbadania na podstawie części 2 i 4 IPA 2016 wydawany przez Sekretarza Stanu i zatwierdzany przez komisarza sądowego (389). Osoba, która celowo wybiera do zbadania przechwycone treści niezgodnie z wymogami określonymi w przepisach (390), dopuszcza się czynu zabronionego (391).

387

388

389

390

391

| (230) | Przeprowadzona przez analityka ocena wybranych materiałów podlega nadzorowi ex post sprawowanemu przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, który ocenia zgodność z konkretnymi zabezpieczeniami określonymi w IPA 2016 w odniesieniu do etapu badania (392) (zob. również motyw 229). Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi kontrolować (w tym w drodze audytu, inspekcji i badania) wykonanie przez organy publiczne uprawnień dochodzeniowo-śledczych wymienionych w IPA 2016 (393). W tym kontekście w kodeksie postępowania w zakresie przechwytywania i kodeksie postępowania w zakresie ingerencji w urządzenia elektroniczne wyjaśniono, że dana agencja musi prowadzić dokumentację do celów badania i audytów na późniejszym etapie, a w takiej dokumentacji należy wskazać powody, dla których udostępnienie danych materiałów upoważnionym osobom jest niezbędne i proporcjonalne, oraz mające zastosowanie cele operacyjne (394). Na przykład w sprawozdaniu rocznym z 2018 r. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (395) ustaliło, że udokumentowane przez analityków powody uzasadniające zbadanie określonych materiałów gromadzonych masowo spełniały wymaganą normę proporcjonalności, gdyż przedstawiono wystarczająco szczegółowe uzasadnienie „zapytań” w stosunku do wyznaczonego celu (396). W swoim sprawozdaniu z 2019 r. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych wyraźnie zaznaczyło w odniesieniu do uprawnień do masowego pozyskiwania danych swój zamiar kontynuowania kontroli przechwyceń masowych, w tym szczegółową analizę selektorów i kryteriów wyszukiwania (397). Biuro będzie również nadal uważnie analizować, indywidualnie dla każdego przypadku, wybór środków nadzoru (ukierunkowanych i masowych) zarówno w ramach rozpatrywania wniosków o wydanie nakazu w procedurze dwustopniowej autoryzacji, jak i w ramach kontroli (398). To dalsze monitorowanie zostanie należycie uwzględnione w kontekście monitorowania przez Komisję niniejszej decyzji, o którym mowa w motywach 281–284. |
| --- | --- |

(230)

Przeprowadzona przez analityka ocena wybranych materiałów podlega nadzorowi ex post sprawowanemu przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, który ocenia zgodność z konkretnymi zabezpieczeniami określonymi w IPA 2016 w odniesieniu do etapu badania (392) (zob. również motyw 229). Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi kontrolować (w tym w drodze audytu, inspekcji i badania) wykonanie przez organy publiczne uprawnień dochodzeniowo-śledczych wymienionych w IPA 2016 (393). W tym kontekście w kodeksie postępowania w zakresie przechwytywania i kodeksie postępowania w zakresie ingerencji w urządzenia elektroniczne wyjaśniono, że dana agencja musi prowadzić dokumentację do celów badania i audytów na późniejszym etapie, a w takiej dokumentacji należy wskazać powody, dla których udostępnienie danych materiałów upoważnionym osobom jest niezbędne i proporcjonalne, oraz mające zastosowanie cele operacyjne (394). Na przykład w sprawozdaniu rocznym z 2018 r. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (395) ustaliło, że udokumentowane przez analityków powody uzasadniające zbadanie określonych materiałów gromadzonych masowo spełniały wymaganą normę proporcjonalności, gdyż przedstawiono wystarczająco szczegółowe uzasadnienie „zapytań” w stosunku do wyznaczonego celu (396). W swoim sprawozdaniu z 2019 r. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych wyraźnie zaznaczyło w odniesieniu do uprawnień do masowego pozyskiwania danych swój zamiar kontynuowania kontroli przechwyceń masowych, w tym szczegółową analizę selektorów i kryteriów wyszukiwania (397). Biuro będzie również nadal uważnie analizować, indywidualnie dla każdego przypadku, wybór środków nadzoru (ukierunkowanych i masowych) zarówno w ramach rozpatrywania wniosków o wydanie nakazu w procedurze dwustopniowej autoryzacji, jak i w ramach kontroli (398). To dalsze monitorowanie zostanie należycie uwzględnione w kontekście monitorowania przez Komisję niniejszej decyzji, o którym mowa w motywach 281–284.

ex post

392

393

394

395

396

397

398

3.3.1.1.4.2.   Masowe pozyskiwanie danych pochodzących z łączności

| (231) | W części 6 rozdział 2 IPA 2016 uregulowano nakazy masowego pozyskania danych, które to nakazy upoważniają adresata do żądania od operatora telekomunikacyjnego ujawnienia lub uzyskania wszelkich danych pochodzących z łączności będących w posiadaniu operatora. Nakazy te upoważniają również organ wnioskujący do wyboru danych do dalszego etapu badania. Podobnie jak w przypadku ukierunkowanego zatrzymywania i pozyskiwania danych pochodzących z łączności (zob. motyw 199), również masowe pozyskiwanie danych pochodzących z łączności nie dotyczy zazwyczaj danych osobowych osób z UE, które to dane są przekazywane na podstawie niniejszej decyzji do Zjednoczonego Królestwa. Obowiązek ujawnienia danych pochodzących z łączności zgodnie z częścią 6 rozdział 2 IPA 2016 obejmuje dane, które są zbierane przez operatorów telekomunikacyjnych w Zjednoczonym Królestwie bezpośrednio od użytkowników usługi telekomunikacyjnej (399). Ten rodzaj przetwarzania „widoczny dla klienta” zazwyczaj nie wiąże się z przekazywaniem na podstawie niniejszej decyzji, tj. przekazywaniem od administratora lub podmiotu przetwarzającego w UE do administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie. |
| --- | --- |

(231)

W części 6 rozdział 2 IPA 2016 uregulowano nakazy masowego pozyskania danych, które to nakazy upoważniają adresata do żądania od operatora telekomunikacyjnego ujawnienia lub uzyskania wszelkich danych pochodzących z łączności będących w posiadaniu operatora. Nakazy te upoważniają również organ wnioskujący do wyboru danych do dalszego etapu badania. Podobnie jak w przypadku ukierunkowanego zatrzymywania i pozyskiwania danych pochodzących z łączności (zob. motyw 199), również masowe pozyskiwanie danych pochodzących z łączności nie dotyczy zazwyczaj danych osobowych osób z UE, które to dane są przekazywane na podstawie niniejszej decyzji do Zjednoczonego Królestwa. Obowiązek ujawnienia danych pochodzących z łączności zgodnie z częścią 6 rozdział 2 IPA 2016 obejmuje dane, które są zbierane przez operatorów telekomunikacyjnych w Zjednoczonym Królestwie bezpośrednio od użytkowników usługi telekomunikacyjnej (399). Ten rodzaj przetwarzania „widoczny dla klienta” zazwyczaj nie wiąże się z przekazywaniem na podstawie niniejszej decyzji, tj. przekazywaniem od administratora lub podmiotu przetwarzającego w UE do administratora lub podmiotu przetwarzającego w Zjednoczonym Królestwie.

399

| (232) | Niemniej dla pełnego obrazu sytuacji poniżej opisano warunki i zabezpieczenia regulujące pozyskiwanie masowych danych pochodzących z łączności. |
| --- | --- |

(232)

Niemniej dla pełnego obrazu sytuacji poniżej opisano warunki i zabezpieczenia regulujące pozyskiwanie masowych danych pochodzących z łączności.

| (233) | IPA 2016 zastępuje przepisy dotyczące pozyskiwania masowych danych pochodzących z łączności, które były przedmiotem wyroku TSUE w sprawie Privacy International. Przepisy będące przedmiotem tej sprawy zostały uchylone, a nowy system przewiduje szczególne warunki i zabezpieczenia, na podstawie których można zatwierdzić taki środek. |
| --- | --- |

(233)

IPA 2016 zastępuje przepisy dotyczące pozyskiwania masowych danych pochodzących z łączności, które były przedmiotem wyroku TSUE w sprawie Privacy International. Przepisy będące przedmiotem tej sprawy zostały uchylone, a nowy system przewiduje szczególne warunki i zabezpieczenia, na podstawie których można zatwierdzić taki środek.

| (234) | W szczególności, inaczej niż w poprzednim systemie, w ramach którego Sekretarz Stanu miał pełną swobodę uznania w zatwierdzaniu środka (400), IPA 2016 wymaga, aby Sekretarz Stanu wydał nakaz wyłącznie wtedy, gdy środek jest niezbędny i proporcjonalny. W praktyce oznacza to, że powinien istnieć związek między dostępem do danych a realizowanym celem (401). W szczególności Sekretarz Stanu musi ocenić istnienie związku między środkiem, którego dotyczy wniosek, a celem lub celami operacyjnymi wskazanymi w nakazie (zob. motyw 219) w odniesieniu do oceny proporcjonalności; właściwy kodeks postępowania stanowi, że: „Sekretarz Stanu musi wziąć pod uwagę to, czy cel, który ma zostać osiągnięty za pomocą nakazu, można osiągnąć za pomocą innych, mniej inwazyjnych środków (art. 2 ust. 2 lit. a) ustawy). Przykładem może być uzyskanie wymaganych informacji przy użyciu mniej inwazyjnych środków takich jak ukierunkowane pozyskiwanie danych pochodzących z łączności” (402). |
| --- | --- |

(234)

W szczególności, inaczej niż w poprzednim systemie, w ramach którego Sekretarz Stanu miał pełną swobodę uznania w zatwierdzaniu środka (400), IPA 2016 wymaga, aby Sekretarz Stanu wydał nakaz wyłącznie wtedy, gdy środek jest niezbędny i proporcjonalny. W praktyce oznacza to, że powinien istnieć związek między dostępem do danych a realizowanym celem (401). W szczególności Sekretarz Stanu musi ocenić istnienie związku między środkiem, którego dotyczy wniosek, a celem lub celami operacyjnymi wskazanymi w nakazie (zob. motyw 219) w odniesieniu do oceny proporcjonalności; właściwy kodeks postępowania stanowi, że: „Sekretarz Stanu musi wziąć pod uwagę to, czy cel, który ma zostać osiągnięty za pomocą nakazu, można osiągnąć za pomocą innych, mniej inwazyjnych środków (art. 2 ust. 2 lit. a) ustawy). Przykładem może być uzyskanie wymaganych informacji przy użyciu mniej inwazyjnych środków takich jak ukierunkowane pozyskiwanie danych pochodzących z łączności” (402).

400

401

402

| (235) | W celu przeprowadzenia takiej oceny Sekretarz Stanu opiera się na informacjach, które szefowie agencji wywiadowczych (403) zobowiązani są przedstawić w swoim wniosku, np. dotyczących powodów, dla których dany środek jest uważany za niezbędny ze względu na jedną z przesłanek ustawowych, oraz powodów, dla których zamierzonego celu nie można w racjonalny sposób osiągnąć za pomocą innych, mniej inwazyjnych środków (404). Ponadto cele operacyjne ograniczają zakres, w jakim dane uzyskane na podstawie nakazu można wybrać do zbadania (405). Jak określono we właściwym kodeksie postępowania, cele operacyjne muszą zawierać opis jasnego wymogu oraz wystarczającą liczbę informacji szczegółowych, aby upewnić Sekretarza Stanu, że uzyskane dane mogą zostać wybrane do zbadania wyłącznie ze szczególnych powodów (406). W praktyce przed wydaniem zezwolenia na wydanie nakazu Sekretarz Stanu będzie musiał upewnić się, że dokonano szczegółowych ustaleń w celu zagwarantowania, że do zbadania wybrane zostaną wyłącznie te materiały, które uznano za niezbędne do badania pod kątem celu operacyjnego i celu ustawowego, oraz że będą one proporcjonalne i niezbędne we wszystkich okolicznościach. Ten szczególny wymóg, odzwierciedlony w art. 158 i 172 (407) IPA 2016, dotyczący uprzedniej oceny niezbędności i proporcjonalności kryteriów stosowanych do celów wyboru, stanowi kolejną istotną nowość systemu wprowadzonego w IPA 2016 w porównaniu z systemem obowiązującym poprzednio. |
| --- | --- |

(235)

W celu przeprowadzenia takiej oceny Sekretarz Stanu opiera się na informacjach, które szefowie agencji wywiadowczych (403) zobowiązani są przedstawić w swoim wniosku, np. dotyczących powodów, dla których dany środek jest uważany za niezbędny ze względu na jedną z przesłanek ustawowych, oraz powodów, dla których zamierzonego celu nie można w racjonalny sposób osiągnąć za pomocą innych, mniej inwazyjnych środków (404). Ponadto cele operacyjne ograniczają zakres, w jakim dane uzyskane na podstawie nakazu można wybrać do zbadania (405). Jak określono we właściwym kodeksie postępowania, cele operacyjne muszą zawierać opis jasnego wymogu oraz wystarczającą liczbę informacji szczegółowych, aby upewnić Sekretarza Stanu, że uzyskane dane mogą zostać wybrane do zbadania wyłącznie ze szczególnych powodów (406). W praktyce przed wydaniem zezwolenia na wydanie nakazu Sekretarz Stanu będzie musiał upewnić się, że dokonano szczegółowych ustaleń w celu zagwarantowania, że do zbadania wybrane zostaną wyłącznie te materiały, które uznano za niezbędne do badania pod kątem celu operacyjnego i celu ustawowego, oraz że będą one proporcjonalne i niezbędne we wszystkich okolicznościach. Ten szczególny wymóg, odzwierciedlony w art. 158 i 172 (407) IPA 2016, dotyczący uprzedniej oceny niezbędności i proporcjonalności kryteriów stosowanych do celów wyboru, stanowi kolejną istotną nowość systemu wprowadzonego w IPA 2016 w porównaniu z systemem obowiązującym poprzednio.

403

404

405

406

407

| (236) | W IPA 2016 nałożono również na Sekretarza Stanu obowiązek zapewnienia, aby przed wydaniem nakazu masowego pozyskiwania danych pochodzących z łączności zostały wprowadzone określone ograniczenia w zakresie bezpieczeństwa, zatrzymywania i ujawniania zgromadzonych danych osobowych (408). W przypadku ujawnienia za granicą zabezpieczenia opisane w motywie 227, dotyczące masowego przechwytywania i masowej ingerencji w urządzenia elektroniczne, mają zastosowanie również w tym kontekście (409). Dalsze ograniczenia określono w przepisach dotyczących okresu obowiązywania (410), przedłużania (411) i zmiany nakazów masowego pozyskania danych (412). |
| --- | --- |

(236)

W IPA 2016 nałożono również na Sekretarza Stanu obowiązek zapewnienia, aby przed wydaniem nakazu masowego pozyskiwania danych pochodzących z łączności zostały wprowadzone określone ograniczenia w zakresie bezpieczeństwa, zatrzymywania i ujawniania zgromadzonych danych osobowych (408). W przypadku ujawnienia za granicą zabezpieczenia opisane w motywie 227, dotyczące masowego przechwytywania i masowej ingerencji w urządzenia elektroniczne, mają zastosowanie również w tym kontekście (409). Dalsze ograniczenia określono w przepisach dotyczących okresu obowiązywania (410), przedłużania (411) i zmiany nakazów masowego pozyskania danych (412).

408

409

410

411

412

| (237) | Co istotne, podobnie jak w przypadku pozostałych uprawnień do masowego pozyskiwania danych, przed wydaniem nakazu Sekretarz Stanu musi uzyskać zatwierdzenie przez komisarza sądowego (413). Jest to jedna z kluczowych cech systemu wprowadzonego na mocy IPA 2016. |
| --- | --- |

(237)

Co istotne, podobnie jak w przypadku pozostałych uprawnień do masowego pozyskiwania danych, przed wydaniem nakazu Sekretarz Stanu musi uzyskać zatwierdzenie przez komisarza sądowego (413). Jest to jedna z kluczowych cech systemu wprowadzonego na mocy IPA 2016.

413

| (238) | Komisarz ds. Uprawnień Dochodzeniowo-Śledczych przeprowadza nadzór ex post procedury badania materiałów (danych pochodzących z łączności) uzyskanych masowo (zob. motyw 254 poniżej). W tym zakresie w IPA 2016 wprowadzono wymóg, aby przed wyborem danych do zbadania analityk wywiadu przeprowadzający badanie odnotował powód, dla którego proponowane badanie jest niezbędne i proporcjonalne dla określonego celu operacyjnego (414). W sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych z 2019 r. w odniesieniu do praktyki GCHQ i MI5 stwierdzono, że: „kluczowa rola masowych danych pochodzących z łączności dla szerokiego zakresu działań prowadzonych w GCHQ została dobrze wyartykułowana w skontrolowanych przez nas sprawach. Po przeanalizowaniu charakteru danych, o które wystąpiono, oraz wskazanych wymogów wywiadowczych na podstawie dokumentacji upewniliśmy się, że podejście GCHQ i MI5 było niezbędne i proporcjonalne (415). Odnotowane uzasadnienia MI5 były na dobrym poziomie i spełniały zasady niezbędności i proporcjonalności” (416). |
| --- | --- |

(238)

Komisarz ds. Uprawnień Dochodzeniowo-Śledczych przeprowadza nadzór ex post procedury badania materiałów (danych pochodzących z łączności) uzyskanych masowo (zob. motyw 254 poniżej). W tym zakresie w IPA 2016 wprowadzono wymóg, aby przed wyborem danych do zbadania analityk wywiadu przeprowadzający badanie odnotował powód, dla którego proponowane badanie jest niezbędne i proporcjonalne dla określonego celu operacyjnego (414). W sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych z 2019 r. w odniesieniu do praktyki GCHQ i MI5 stwierdzono, że: „kluczowa rola masowych danych pochodzących z łączności dla szerokiego zakresu działań prowadzonych w GCHQ została dobrze wyartykułowana w skontrolowanych przez nas sprawach. Po przeanalizowaniu charakteru danych, o które wystąpiono, oraz wskazanych wymogów wywiadowczych na podstawie dokumentacji upewniliśmy się, że podejście GCHQ i MI5 było niezbędne i proporcjonalne (415). Odnotowane uzasadnienia MI5 były na dobrym poziomie i spełniały zasady niezbędności i proporcjonalności” (416).

ex post

414

415

416

3.3.1.1.4.3.   Zatrzymywanie i badanie masowych zbiorów danych osobowych

| (239) | Nakazy dotyczące masowych zbiorów danych osobowych (417) upoważniają agencje wywiadowcze do zatrzymywania i badania zbiorów danych, które zawierają dane osobowe dotyczące większej liczby osób fizycznych. Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa analiza takich zbiorów danych może być dla wspólnoty wywiadowczej Zjednoczonego Królestwa (UKIC) „jedynym sposobem na osiągnięcie postępów w dochodzeniach i identyfikację terrorystów na podstawie bardzo ograniczonych danych wywiadowczych lub w przypadku gdy komunikacja między nimi została celowo ukryta” (418). Istnieją dwa rodzaje nakazów: grupowe nakazy dotyczące masowych zbiorów danych osobowych (class BPD warrants) (419), które dotyczą określonej kategorii zbiorów danych, tj. zbiorów danych, które są podobne pod względem zawartości i proponowanego wykorzystania oraz wiążą się z podobnymi zagadnieniami dotyczącymi na przykład stopnia naruszenia prywatności i wrażliwości oraz proporcjonalności wykorzystania danych, co pozwala Sekretarzowi Stanu rozważyć niezbędność i proporcjonalność jednoczesnego pozyskania wszystkich danych w ramach danej kategorii. Na przykład grupowy nakaz dotyczący masowych zbiorów danych osobowych może obejmować zbiory danych o podróży, które odnoszą się do podobnych tras (420). Indywidualne nakazy dotyczące masowych zbiorów danych osobowych (specific BPD warrants) (421) dotyczą natomiast jednego określonego zbioru danych, takiego jak zbiór danych obejmujący nowy lub nietypowy rodzaj informacji, który nie wchodzi w zakres istniejącego grupowego nakazu dotyczącego masowych zbiorów danych osobowych, albo zbioru danych, który dotyczy określonych rodzajów danych osobowych (422) i w związku z tym wymaga dodatkowych zabezpieczeń (423). Przepisy IPA 2016 dotyczące masowych zbiorów danych osobowych pozwalają na badanie i zatrzymywanie takich zbiorów danych wyłącznie w przypadku, gdy jest to niezbędne i proporcjonalne (424), oraz zgodnie z ogólnymi zobowiązaniami dotyczącymi prywatności (425). |
| --- | --- |

(239)

Nakazy dotyczące masowych zbiorów danych osobowych (417) upoważniają agencje wywiadowcze do zatrzymywania i badania zbiorów danych, które zawierają dane osobowe dotyczące większej liczby osób fizycznych. Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa analiza takich zbiorów danych może być dla wspólnoty wywiadowczej Zjednoczonego Królestwa (UKIC) „jedynym sposobem na osiągnięcie postępów w dochodzeniach i identyfikację terrorystów na podstawie bardzo ograniczonych danych wywiadowczych lub w przypadku gdy komunikacja między nimi została celowo ukryta” (418). Istnieją dwa rodzaje nakazów: grupowe nakazy dotyczące masowych zbiorów danych osobowych (class BPD warrants) (419), które dotyczą określonej kategorii zbiorów danych, tj. zbiorów danych, które są podobne pod względem zawartości i proponowanego wykorzystania oraz wiążą się z podobnymi zagadnieniami dotyczącymi na przykład stopnia naruszenia prywatności i wrażliwości oraz proporcjonalności wykorzystania danych, co pozwala Sekretarzowi Stanu rozważyć niezbędność i proporcjonalność jednoczesnego pozyskania wszystkich danych w ramach danej kategorii. Na przykład grupowy nakaz dotyczący masowych zbiorów danych osobowych może obejmować zbiory danych o podróży, które odnoszą się do podobnych tras (420). Indywidualne nakazy dotyczące masowych zbiorów danych osobowych (specific BPD warrants) (421) dotyczą natomiast jednego określonego zbioru danych, takiego jak zbiór danych obejmujący nowy lub nietypowy rodzaj informacji, który nie wchodzi w zakres istniejącego grupowego nakazu dotyczącego masowych zbiorów danych osobowych, albo zbioru danych, który dotyczy określonych rodzajów danych osobowych (422) i w związku z tym wymaga dodatkowych zabezpieczeń (423). Przepisy IPA 2016 dotyczące masowych zbiorów danych osobowych pozwalają na badanie i zatrzymywanie takich zbiorów danych wyłącznie w przypadku, gdy jest to niezbędne i proporcjonalne (424), oraz zgodnie z ogólnymi zobowiązaniami dotyczącymi prywatności (425).

417

418

class BPD warrants

419

420

specific BPD warrants

421

422

423

424

425

| (240) | Uprawnienia do wydawania nakazu dotyczącego masowego zbioru danych osobowych podlegają procedurze dwustopniowej autoryzacji: ocenę niezbędności i proporcjonalności środka przeprowadza najpierw Sekretarz Stanu, a następnie komisarz sądowy (426). Sekretarz Stanu jest zobowiązany rozważyć charakter i zakres rodzaju nakazu i kategorię danych, których dotyczy wniosek, oraz liczbę poszczególnych masowych zbiorów danych osobowych, które mogą zostać objęte danym rodzajem nakazu (427). Ponadto jak określono w kodeksie postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, należy prowadzić szczegółową dokumentację, która podlega kontroli Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (428). Zatrzymywanie i badanie masowych zbiorów danych osobowych wykraczające poza zakres określony w IPA 2016 jest przestępstwem (429). |
| --- | --- |

(240)

Uprawnienia do wydawania nakazu dotyczącego masowego zbioru danych osobowych podlegają procedurze dwustopniowej autoryzacji: ocenę niezbędności i proporcjonalności środka przeprowadza najpierw Sekretarz Stanu, a następnie komisarz sądowy (426). Sekretarz Stanu jest zobowiązany rozważyć charakter i zakres rodzaju nakazu i kategorię danych, których dotyczy wniosek, oraz liczbę poszczególnych masowych zbiorów danych osobowych, które mogą zostać objęte danym rodzajem nakazu (427). Ponadto jak określono w kodeksie postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, należy prowadzić szczegółową dokumentację, która podlega kontroli Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (428). Zatrzymywanie i badanie masowych zbiorów danych osobowych wykraczające poza zakres określony w IPA 2016 jest przestępstwem (429).

426

427

428

429

3.3.2.   Dalsze wykorzystywanie zebranych informacji

Dalsze wykorzystywanie zebranych informacji

| (241) | Danych osobowych przetwarzanych na podstawie części 4 DPA 2018 nie można przetwarzać w sposób niezgodny z celem, dla którego zostały zebrane (430). DPA 2018 stanowi, że administrator może przetwarzać dane w celu innym niż ten, dla którego dane zostały zebrane, jeżeli jest on zgodny z celem pierwotnym i pod warunkiem że administrator jest upoważniony przez prawo do przetwarzania danych, a przetwarzanie jest niezbędne i proporcjonalne (431). Ponadto ustawa o Służbie Bezpieczeństwa z 1989 r. oraz ustawa o służbach wywiadowczych z 1994 r. stanowią, że szefowie agencji wywiadowczych mają obowiązek dopilnować, aby nie uzyskano ani nie ujawniono żadnych informacji, z wyjątkiem tych, które są niezbędne do właściwego wykonywania funkcji agencji lub do pozostałych ograniczonych i szczególnych celów wymienionych we właściwych przepisach (432). |
| --- | --- |

(241)

Danych osobowych przetwarzanych na podstawie części 4 DPA 2018 nie można przetwarzać w sposób niezgodny z celem, dla którego zostały zebrane (430). DPA 2018 stanowi, że administrator może przetwarzać dane w celu innym niż ten, dla którego dane zostały zebrane, jeżeli jest on zgodny z celem pierwotnym i pod warunkiem że administrator jest upoważniony przez prawo do przetwarzania danych, a przetwarzanie jest niezbędne i proporcjonalne (431). Ponadto ustawa o Służbie Bezpieczeństwa z 1989 r. oraz ustawa o służbach wywiadowczych z 1994 r. stanowią, że szefowie agencji wywiadowczych mają obowiązek dopilnować, aby nie uzyskano ani nie ujawniono żadnych informacji, z wyjątkiem tych, które są niezbędne do właściwego wykonywania funkcji agencji lub do pozostałych ograniczonych i szczególnych celów wymienionych we właściwych przepisach (432).

430

431

432

| (242) | Ponadto w art. 109 DPA 2018 określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych przez służby wywiadowcze do państw trzecich lub organizacji międzynarodowych. Zgodnie z tym przepisem dane osobowe nie mogą być przekazywane do państwa ani terytorium poza Zjednoczonym Królestwem ani do organizacji międzynarodowej, chyba że przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (433). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów. |
| --- | --- |

(242)

Ponadto w art. 109 DPA 2018 określono szczegółowe wymogi dotyczące międzynarodowego przekazywania danych osobowych przez służby wywiadowcze do państw trzecich lub organizacji międzynarodowych. Zgodnie z tym przepisem dane osobowe nie mogą być przekazywane do państwa ani terytorium poza Zjednoczonym Królestwem ani do organizacji międzynarodowej, chyba że przekazanie jest niezbędne i proporcjonalne do celów wykonywania ustawowych funkcji administratora lub do innych celów przewidzianych w art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r. lub art. 2 ust. 2 lit. a) i art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r. (433). Co ważne, wymogi te mają również zastosowanie w przypadkach, w których powołano się na wyłączenie ze względów bezpieczeństwa narodowego zgodnie z art. 110 DPA 2018, ponieważ w art. 110 DPA 2018 nie wymieniono art. 109 DPA 2018 jako jednego z przepisów, od których można odstąpić, jeżeli do celów ochrony bezpieczeństwa narodowego wymagane jest wyłączenie niektórych przepisów.

433

| (243) | Ponadto, jak podkreślił Komisarz ds. Informacji w swoich wytycznych dotyczących przetwarzania danych przez służby wywiadowcze, oprócz zabezpieczeń przewidzianych w części 4 DPA 2018 agencja wywiadowcza, udostępniając dane organowi wywiadowczemu państwa trzeciego, podlega również zabezpieczeniom przewidzianym w innych mających do niej zastosowanie środkach ustawodawczych w celu zapewnienia, aby dane osobowe były pozyskiwane, udostępniane i przetwarzane zgodnie z prawem i w sposób odpowiedzialny (434). Przykładowo w IPA 2016 określono dalsze zabezpieczenia w odniesieniu do przekazywania do państwa trzeciego materiałów zebranych w drodze ukierunkowanego przechwytywania (435), ukierunkowanej ingerencji w urządzenia elektroniczne (436), masowego przechwytywania (437), masowego pozyskiwania danych pochodzących z łączności (438) oraz masowej ingerencji w urządzenia elektroniczne (439) (tzw. „ujawnienia za granicą”). W szczególności organ wydający nakaz musi zapewnić, aby obowiązywały ustalenia mające na celu zagwarantowanie, że państwo trzecie otrzymujące dane ogranicza liczbę osób, które zapoznają się z materiałami, zakres ujawnienia oraz liczbę kopii wszelkich materiałów do minimum niezbędnego do osiągnięcia dozwolonych celów określonych w IPA 2016 (440). |
| --- | --- |

(243)

Ponadto, jak podkreślił Komisarz ds. Informacji w swoich wytycznych dotyczących przetwarzania danych przez służby wywiadowcze, oprócz zabezpieczeń przewidzianych w części 4 DPA 2018 agencja wywiadowcza, udostępniając dane organowi wywiadowczemu państwa trzeciego, podlega również zabezpieczeniom przewidzianym w innych mających do niej zastosowanie środkach ustawodawczych w celu zapewnienia, aby dane osobowe były pozyskiwane, udostępniane i przetwarzane zgodnie z prawem i w sposób odpowiedzialny (434). Przykładowo w IPA 2016 określono dalsze zabezpieczenia w odniesieniu do przekazywania do państwa trzeciego materiałów zebranych w drodze ukierunkowanego przechwytywania (435), ukierunkowanej ingerencji w urządzenia elektroniczne (436), masowego przechwytywania (437), masowego pozyskiwania danych pochodzących z łączności (438) oraz masowej ingerencji w urządzenia elektroniczne (439) (tzw. „ujawnienia za granicą”). W szczególności organ wydający nakaz musi zapewnić, aby obowiązywały ustalenia mające na celu zagwarantowanie, że państwo trzecie otrzymujące dane ogranicza liczbę osób, które zapoznają się z materiałami, zakres ujawnienia oraz liczbę kopii wszelkich materiałów do minimum niezbędnego do osiągnięcia dozwolonych celów określonych w IPA 2016 (440).

434

435

436

437

438

439

440

3.3.3.   Nadzór

Nadzór

| (244) | Dostęp rządowy do celów bezpieczeństwa narodowego nadzoruje szereg różnych organów. Komisarz ds. Informacji nadzoruje przetwarzanie danych osobowych w świetle DPA 2018 (więcej informacji na temat niezależności, roli związanej z powołaniem i uprawnień Komisarza znajduje się w motywach od 85 do 98), natomiast niezależny i sądowy nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych na mocy IPA 2016 sprawuje Komisarz ds. Uprawnień Dochodzeniowo-Śledczych. Komisarz ds. Uprawnień Dochodzeniowo-Śledczych nadzoruje korzystanie z uprawnień dochodzeniowo-śledczych wynikających z IPA 2016 zarówno przez organy ścigania, jak i przez organy bezpieczeństwa narodowego. Nadzór polityczny jest gwarantowany przez parlamentarną Komisję ds. Służb Wywiadowczych (Intelligence Service Committee of the Parliament). |
| --- | --- |

(244)

Dostęp rządowy do celów bezpieczeństwa narodowego nadzoruje szereg różnych organów. Komisarz ds. Informacji nadzoruje przetwarzanie danych osobowych w świetle DPA 2018 (więcej informacji na temat niezależności, roli związanej z powołaniem i uprawnień Komisarza znajduje się w motywach od 85 do 98), natomiast niezależny i sądowy nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych na mocy IPA 2016 sprawuje Komisarz ds. Uprawnień Dochodzeniowo-Śledczych. Komisarz ds. Uprawnień Dochodzeniowo-Śledczych nadzoruje korzystanie z uprawnień dochodzeniowo-śledczych wynikających z IPA 2016 zarówno przez organy ścigania, jak i przez organy bezpieczeństwa narodowego. Nadzór polityczny jest gwarantowany przez parlamentarną Komisję ds. Służb Wywiadowczych (Intelligence Service Committee of the Parliament).

3.3.3.1.   Nadzór na podstawie części 4 ustawy o ochronie danych

Nadzór na podstawie części 4 ustawy o ochronie danych

| (245) | Przetwarzanie danych osobowych prowadzone przez służby wywiadowcze na podstawie części 4 DPA 2018, nadzoruje Komisarz ds. Informacji (441). |
| --- | --- |

(245)

Przetwarzanie danych osobowych prowadzone przez służby wywiadowcze na podstawie części 4 DPA 2018, nadzoruje Komisarz ds. Informacji (441).

441

| (246) | Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych przez służby wywiadowcze na podstawie części 4 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują m.in.: monitorowanie i egzekwowanie części 4 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postepowań. |
| --- | --- |

(246)

Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych przez służby wywiadowcze na podstawie części 4 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują m.in.: monitorowanie i egzekwowanie części 4 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postepowań.

| (247) | Komisarz, podobnie jak określono w części 3 DPA 2018, jest uprawniony do powiadamiania administratorów o domniemanym naruszeniu oraz do wydawania ostrzeżeń, że przetwarzanie może naruszać przepisy, a także udziela upomnień, gdy naruszenie zostanie potwierdzone. Może również wydawać zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji za naruszenie określonych przepisów ustawy (442). W odróżnieniu jednak od uprawnień określonych w innych częściach DPA 2018 Komisarz nie może wydać zawiadomienia oceniającego organowi bezpieczeństwa narodowego (443). |
| --- | --- |

(247)

Komisarz, podobnie jak określono w części 3 DPA 2018, jest uprawniony do powiadamiania administratorów o domniemanym naruszeniu oraz do wydawania ostrzeżeń, że przetwarzanie może naruszać przepisy, a także udziela upomnień, gdy naruszenie zostanie potwierdzone. Może również wydawać zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji za naruszenie określonych przepisów ustawy (442). W odróżnieniu jednak od uprawnień określonych w innych częściach DPA 2018 Komisarz nie może wydać zawiadomienia oceniającego organowi bezpieczeństwa narodowego (443).

442

443

| (248) | Ponadto w art. 110 DPA 2018 przewidziano wyjątek dotyczący korzystania przez Komisarza z niektórych uprawnień, gdy jest to wymagane do celów ochrony bezpieczeństwa narodowego. Wyjątek ten obejmuje uprawnienie Komisarza do wydawania (wszelkiego rodzaju) zawiadomień na podstawie ustawy o ochronie danych (zawiadomień informacyjnych, oceniających, egzekucyjnych i w sprawie sankcji), uprawnienie do przeprowadzania inspekcji zgodnie z zobowiązaniami międzynarodowymi, uprawnienia do wstępu i inspekcji oraz przepisy dotyczące przestępstw (444). Jak wyjaśniono w motywie 126, wyjątki te mają zastosowanie tylko wtedy, gdy jest to niezbędne i proporcjonalne, oraz po przeprowadzeniu oceny każdego przypadku z osobna. |
| --- | --- |

(248)

Ponadto w art. 110 DPA 2018 przewidziano wyjątek dotyczący korzystania przez Komisarza z niektórych uprawnień, gdy jest to wymagane do celów ochrony bezpieczeństwa narodowego. Wyjątek ten obejmuje uprawnienie Komisarza do wydawania (wszelkiego rodzaju) zawiadomień na podstawie ustawy o ochronie danych (zawiadomień informacyjnych, oceniających, egzekucyjnych i w sprawie sankcji), uprawnienie do przeprowadzania inspekcji zgodnie z zobowiązaniami międzynarodowymi, uprawnienia do wstępu i inspekcji oraz przepisy dotyczące przestępstw (444). Jak wyjaśniono w motywie 126, wyjątki te mają zastosowanie tylko wtedy, gdy jest to niezbędne i proporcjonalne, oraz po przeprowadzeniu oceny każdego przypadku z osobna.

444

| (249) | Komisarz ds. Informacji i służby wywiadowcze Zjednoczonego Królestwa podpisały protokół ustaleń (445), który ustanawia ramy współpracy w wielu kwestiach, w tym w zakresie powiadamiania o naruszeniu ochrony danych i rozpatrywania skarg osób, których dane dotyczą. W szczególności protokół ten stanowi, że po otrzymaniu skargi Komisarz ds. Informacji oceni prawidłowość zastosowania jakiegokolwiek wyłączenia dotyczącego bezpieczeństwa narodowego. Odpowiednia agencja wywiadowcza jest zobowiązana udzielić odpowiedzi na zapytania kierowane przez Komisarza ds. Informacji w kontekście rozpatrywania skarg indywidualnych w terminie 20 dni roboczych, korzystając z odpowiednich bezpiecznych kanałów, jeżeli zapytania dotyczą informacji niejawnych. Od kwietnia 2018 r. do chwili obecnej Komisarz ds. Informacji otrzymał od osób fizycznych 21 skarg, które dotyczyły służb wywiadowczych. Każda skarga została oceniona, a o rezultacie poinformowano osobę, której dane dotyczą (446). |
| --- | --- |

(249)

Komisarz ds. Informacji i służby wywiadowcze Zjednoczonego Królestwa podpisały protokół ustaleń (445), który ustanawia ramy współpracy w wielu kwestiach, w tym w zakresie powiadamiania o naruszeniu ochrony danych i rozpatrywania skarg osób, których dane dotyczą. W szczególności protokół ten stanowi, że po otrzymaniu skargi Komisarz ds. Informacji oceni prawidłowość zastosowania jakiegokolwiek wyłączenia dotyczącego bezpieczeństwa narodowego. Odpowiednia agencja wywiadowcza jest zobowiązana udzielić odpowiedzi na zapytania kierowane przez Komisarza ds. Informacji w kontekście rozpatrywania skarg indywidualnych w terminie 20 dni roboczych, korzystając z odpowiednich bezpiecznych kanałów, jeżeli zapytania dotyczą informacji niejawnych. Od kwietnia 2018 r. do chwili obecnej Komisarz ds. Informacji otrzymał od osób fizycznych 21 skarg, które dotyczyły służb wywiadowczych. Każda skarga została oceniona, a o rezultacie poinformowano osobę, której dane dotyczą (446).

445

446

3.3.3.2.   Nadzór nad wykonywaniem uprawnień dochodzeniowo-śledczych na mocy IPA 2016

Nadzór nad wykonywaniem uprawnień dochodzeniowo-śledczych na mocy IPA 2016

| (250) | Zgodnie z częścią 8 IPA 2016 nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych sprawuje Komisarz ds. Uprawnień Dochodzeniowo-Śledczych (IPC). Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych pomagają inni komisarze sądowi, których wspólnie określa się mianem komisarzy sądowych (447). W IPA 2016 określono gwarancje chroniące niezależność komisarzy sądowych. Od komisarzy sądowych wymaga się, aby zajmowali (obecnie lub w przeszłości) wysokie stanowiska sędziowskie (np. członkostwo w sądach najwyższego szczebla) (448) i, jak każdy pracownik wymiaru sprawiedliwości, korzystają oni ze statusu instytucji niezależnej od rządu (449). Zgodnie z art. 227 IPA 2016 to premier wyznacza Komisarza ds. Uprawnień Dochodzeniowo-Śledczych i tylu komisarzy sądowych, ilu uzna za niezbędne. Wszyscy komisarze, niezależnie od tego, czy są obecnymi, czy byłymi sędziami, mogą być mianowani wyłącznie na podstawie wspólnego zalecenia trzech głównych sędziów Anglii i Walii, Szkocji oraz Irlandii Północnej, a także Lorda Kanclerza (450). Sekretarz Stanu musi zapewnić Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych personel, pomieszczenia, wyposażenie oraz inne urządzenia i usługi (451). Kadencja komisarzy trwa trzy lata i mogą oni być mianowani ponownie (452). W ramach dodatkowego zabezpieczenia ich niezależności komisarze sądowi mogą zostać usunięci ze stanowiska wyłącznie w ściśle określonych okolicznościach nakładających wysoki próg: albo przez premiera w szczególnych okolicznościach wymienionych w sposób wyczerpujący w art. 228 ust. 5 IPA 2016 (takich jak upadłość lub kara pozbawienia wolności), albo jeśli uchwała zatwierdzająca usunięcie została przyjęta przez obie izby parlamentu (453). |
| --- | --- |

(250)

Zgodnie z częścią 8 IPA 2016 nadzór nad korzystaniem z uprawnień dochodzeniowo-śledczych sprawuje Komisarz ds. Uprawnień Dochodzeniowo-Śledczych (IPC). Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych pomagają inni komisarze sądowi, których wspólnie określa się mianem komisarzy sądowych (447). W IPA 2016 określono gwarancje chroniące niezależność komisarzy sądowych. Od komisarzy sądowych wymaga się, aby zajmowali (obecnie lub w przeszłości) wysokie stanowiska sędziowskie (np. członkostwo w sądach najwyższego szczebla) (448) i, jak każdy pracownik wymiaru sprawiedliwości, korzystają oni ze statusu instytucji niezależnej od rządu (449). Zgodnie z art. 227 IPA 2016 to premier wyznacza Komisarza ds. Uprawnień Dochodzeniowo-Śledczych i tylu komisarzy sądowych, ilu uzna za niezbędne. Wszyscy komisarze, niezależnie od tego, czy są obecnymi, czy byłymi sędziami, mogą być mianowani wyłącznie na podstawie wspólnego zalecenia trzech głównych sędziów Anglii i Walii, Szkocji oraz Irlandii Północnej, a także Lorda Kanclerza (450). Sekretarz Stanu musi zapewnić Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych personel, pomieszczenia, wyposażenie oraz inne urządzenia i usługi (451). Kadencja komisarzy trwa trzy lata i mogą oni być mianowani ponownie (452). W ramach dodatkowego zabezpieczenia ich niezależności komisarze sądowi mogą zostać usunięci ze stanowiska wyłącznie w ściśle określonych okolicznościach nakładających wysoki próg: albo przez premiera w szczególnych okolicznościach wymienionych w sposób wyczerpujący w art. 228 ust. 5 IPA 2016 (takich jak upadłość lub kara pozbawienia wolności), albo jeśli uchwała zatwierdzająca usunięcie została przyjęta przez obie izby parlamentu (453).

447

448

449

450

451

452

453

| (251) | Komisarza ds. Uprawnień Dochodzeniowo-Śledczych i komisarzy sądowych wspiera w pełnieniu ich funkcji Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych. Personel Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych składa się z zespołu inspektorów, wewnętrznych ekspertów prawnych i technicznych oraz panelu doradczego ds. technologii, zapewniającego fachowe doradztwo. Podobnie jak w przypadku poszczególnych komisarzy sądowych, niezależność Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych jest chroniona. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych jest „organem niezależnym” Home Office, tj. otrzymuje fundusze od Home Office, ale wykonuje swoje funkcje niezależnie (454). |
| --- | --- |

(251)

Komisarza ds. Uprawnień Dochodzeniowo-Śledczych i komisarzy sądowych wspiera w pełnieniu ich funkcji Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych. Personel Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych składa się z zespołu inspektorów, wewnętrznych ekspertów prawnych i technicznych oraz panelu doradczego ds. technologii, zapewniającego fachowe doradztwo. Podobnie jak w przypadku poszczególnych komisarzy sądowych, niezależność Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych jest chroniona. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych jest „organem niezależnym” Home Office, tj. otrzymuje fundusze od Home Office, ale wykonuje swoje funkcje niezależnie (454).

454

| (252) | Główne funkcje komisarzy sądowych określono w art. 229 IPA 2016 (455). W szczególności komisarze sądowi mają szerokie uprawnienia w zakresie uprzedniej zgody, co stanowi część zabezpieczeń wprowadzonych do ram prawnych Zjednoczonego Królestwa wraz z IPA 2016. Komisarze sądowi muszą zatwierdzać nakazy w odniesieniu do ukierunkowanego przechwytywania, ingerencji w urządzenia elektroniczne, masowego zbioru danych osobowych, masowego pozyskiwania danych pochodzących z łączności, a także nakazy zatrzymywania danych pochodzących z łączności (456). Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi również zawsze wstępnie zatwierdzać pozyskiwanie danych pochodzących z łączności do celów ścigania przestępstw (457). Jeżeli komisarz odmówi zatwierdzenia nakazu, Sekretarz Stanu może odwołać się do Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, którego decyzja jest ostateczna. |
| --- | --- |

(252)

Główne funkcje komisarzy sądowych określono w art. 229 IPA 2016 (455). W szczególności komisarze sądowi mają szerokie uprawnienia w zakresie uprzedniej zgody, co stanowi część zabezpieczeń wprowadzonych do ram prawnych Zjednoczonego Królestwa wraz z IPA 2016. Komisarze sądowi muszą zatwierdzać nakazy w odniesieniu do ukierunkowanego przechwytywania, ingerencji w urządzenia elektroniczne, masowego zbioru danych osobowych, masowego pozyskiwania danych pochodzących z łączności, a także nakazy zatrzymywania danych pochodzących z łączności (456). Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi również zawsze wstępnie zatwierdzać pozyskiwanie danych pochodzących z łączności do celów ścigania przestępstw (457). Jeżeli komisarz odmówi zatwierdzenia nakazu, Sekretarz Stanu może odwołać się do Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, którego decyzja jest ostateczna.

455

456

457

| (253) | Specjalny sprawozdawca ONZ ds. prawa do prywatności z dużym zadowoleniem przyjął powołanie komisarzy sądowych w ramach IPA 2016, ponieważ „wszystkie bardziej wrażliwe lub inwazyjne wnioski o prowadzenie nadzoru muszą być zatwierdzone zarówno przez ministra rządu, jak i przez Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych”. W szczególności podkreślił, że „ten element kontroli sądowej [poprzez rolę Komisarza ds. Uprawnień Dochodzeniowo-Śledczych], przy wsparciu lepiej wyposażonego zespołu doświadczonych inspektorów i ekspertów ds. technologii, jest jednym z najważniejszych nowych zabezpieczeń wprowadzonych przez IPA” w miejsce wcześniejszego rozdrobnionego systemu organów nadzoru i jako uzupełnienie kompetencji Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa Parlamentu i Trybunału ds. Uprawnień Dochodzeniowo-Śledczych (458). |
| --- | --- |

(253)

Specjalny sprawozdawca ONZ ds. prawa do prywatności z dużym zadowoleniem przyjął powołanie komisarzy sądowych w ramach IPA 2016, ponieważ „wszystkie bardziej wrażliwe lub inwazyjne wnioski o prowadzenie nadzoru muszą być zatwierdzone zarówno przez ministra rządu, jak i przez Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych”. W szczególności podkreślił, że „ten element kontroli sądowej [poprzez rolę Komisarza ds. Uprawnień Dochodzeniowo-Śledczych], przy wsparciu lepiej wyposażonego zespołu doświadczonych inspektorów i ekspertów ds. technologii, jest jednym z najważniejszych nowych zabezpieczeń wprowadzonych przez IPA” w miejsce wcześniejszego rozdrobnionego systemu organów nadzoru i jako uzupełnienie kompetencji Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa Parlamentu i Trybunału ds. Uprawnień Dochodzeniowo-Śledczych (458).

458

| (254) | Ponadto Komisarz ds. Uprawnień Dochodzeniowo-Śledczych ma uprawnienia do prowadzenia nadzoru ex post (459), w tym w drodze audytu, kontroli i dochodzeń, nad wykonywaniem uprawnień dochodzeniowo-śledczych na mocy IPA 2016 oraz niektórych innych uprawnień i funkcji przewidzianych w odpowiednich przepisach (460). Wyniki takiego nadzoru ex post są zawarte w sprawozdaniu, które Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi przygotowywać corocznie i przedstawiać premierowi (461) oraz które musi być publikowane i przedkładane Parlamentowi (462). Sprawozdanie zawiera odpowiednie dane statystyczne i informacje na temat korzystania z uprawnień dochodzeniowo-śledczych przez agencje wywiadowcze i organy ścigania, a także na temat stosowania zabezpieczeń w odniesieniu do elementów objętych prawniczą tajemnicą zawodową, poufnych materiałów dziennikarskich i źródeł informacji dziennikarskich, informacji na temat podjętych ustaleń i celów operacyjnych wykorzystywanych w kontekście nakazów masowego pozyskania danych. Ponadto w sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych określono, w jakim obszarze organom publicznym przekazano zalecenia i jak się do nich odniesiono (463). |
| --- | --- |

(254)

Ponadto Komisarz ds. Uprawnień Dochodzeniowo-Śledczych ma uprawnienia do prowadzenia nadzoru ex post (459), w tym w drodze audytu, kontroli i dochodzeń, nad wykonywaniem uprawnień dochodzeniowo-śledczych na mocy IPA 2016 oraz niektórych innych uprawnień i funkcji przewidzianych w odpowiednich przepisach (460). Wyniki takiego nadzoru ex post są zawarte w sprawozdaniu, które Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi przygotowywać corocznie i przedstawiać premierowi (461) oraz które musi być publikowane i przedkładane Parlamentowi (462). Sprawozdanie zawiera odpowiednie dane statystyczne i informacje na temat korzystania z uprawnień dochodzeniowo-śledczych przez agencje wywiadowcze i organy ścigania, a także na temat stosowania zabezpieczeń w odniesieniu do elementów objętych prawniczą tajemnicą zawodową, poufnych materiałów dziennikarskich i źródeł informacji dziennikarskich, informacji na temat podjętych ustaleń i celów operacyjnych wykorzystywanych w kontekście nakazów masowego pozyskania danych. Ponadto w sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych określono, w jakim obszarze organom publicznym przekazano zalecenia i jak się do nich odniesiono (463).

ex post

459

460

ex post

461

462

463

| (255) | Zgodnie z art. 231 IPA 2016, jeżeli Komisarz ds. Uprawnień Dochodzeniowo-Śledczych dowie się o jakimkolwiek istotnym błędzie popełnionym przez organy publiczne przy korzystaniu z ich uprawnień dochodzeniowo-śledczych, musi poinformować daną osobę, jeżeli uzna, że błąd jest poważny i że poinformowanie tej osoby leży w interesie publicznym (464). W szczególności w art. 231 IPA 2016 określono, że informując osobę o błędzie, Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi przekazać informacje o prawie danej osoby do wystąpienia z wnioskiem do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych, a także przekazać szczegóły, które Komisarz uzna za niezbędne do korzystania z tych praw, a za ujawnieniem przemawia interes publiczny (465). |
| --- | --- |

(255)

Zgodnie z art. 231 IPA 2016, jeżeli Komisarz ds. Uprawnień Dochodzeniowo-Śledczych dowie się o jakimkolwiek istotnym błędzie popełnionym przez organy publiczne przy korzystaniu z ich uprawnień dochodzeniowo-śledczych, musi poinformować daną osobę, jeżeli uzna, że błąd jest poważny i że poinformowanie tej osoby leży w interesie publicznym (464). W szczególności w art. 231 IPA 2016 określono, że informując osobę o błędzie, Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi przekazać informacje o prawie danej osoby do wystąpienia z wnioskiem do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych, a także przekazać szczegóły, które Komisarz uzna za niezbędne do korzystania z tych praw, a za ujawnieniem przemawia interes publiczny (465).

464

465

3.3.3.3.   Nadzór parlamentarny nad służbami wywiadowczymi

Nadzór parlamentarny nad służbami wywiadowczymi

| (256) | Podstawą ustawową regulującą nadzór parlamentarny sprawowany przez Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa jest ustawa o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. (466). Na mocy tej ustawy powołano Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa, która stanowi jedną z komisji parlamentu Zjednoczonego Królestwa. W 2013 r. zwiększono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa i obecnie obejmuje on również nadzór nad działaniami operacyjnymi podejmowanymi przez służby bezpieczeństwa. Zgodnie z art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa powierzono zadanie sprawowania nadzoru nad wydatkami agencji bezpieczeństwa narodowego, ich administracją, realizowaną przez nie polityką oraz podejmowanymi przez nie działaniami operacyjnymi. Zgodnie z ustawą o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może prowadzić postępowania w kwestiach operacyjnych, jeżeli nie dotyczą one operacji będących w toku (467). W protokole ustaleń uzgodnionym między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa (468) wyszczególniono elementy, które należy wziąć pod uwagę przy ustalaniu, czy dana czynność jest częścią operacji będącej w toku, czy też nie (469). Premier może również zwrócić się do Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa o zbadanie operacji będących w toku; komisja może ponadto dokonać przeglądu informacji przekazanych dobrowolnie przez agencje. |
| --- | --- |

(256)

Podstawą ustawową regulującą nadzór parlamentarny sprawowany przez Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa jest ustawa o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. (466). Na mocy tej ustawy powołano Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa, która stanowi jedną z komisji parlamentu Zjednoczonego Królestwa. W 2013 r. zwiększono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa i obecnie obejmuje on również nadzór nad działaniami operacyjnymi podejmowanymi przez służby bezpieczeństwa. Zgodnie z art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa powierzono zadanie sprawowania nadzoru nad wydatkami agencji bezpieczeństwa narodowego, ich administracją, realizowaną przez nie polityką oraz podejmowanymi przez nie działaniami operacyjnymi. Zgodnie z ustawą o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może prowadzić postępowania w kwestiach operacyjnych, jeżeli nie dotyczą one operacji będących w toku (467). W protokole ustaleń uzgodnionym między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa (468) wyszczególniono elementy, które należy wziąć pod uwagę przy ustalaniu, czy dana czynność jest częścią operacji będącej w toku, czy też nie (469). Premier może również zwrócić się do Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa o zbadanie operacji będących w toku; komisja może ponadto dokonać przeglądu informacji przekazanych dobrowolnie przez agencje.

466

467

468

469

| (257) | Zgodnie z załącznikiem 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może wystąpić do kierownika każdej z trzech służb wywiadowczych o ujawnienie wszelkich informacji. Agencja jest zobowiązana udostępnić żądane informacje, chyba że Sekretarz Stanu się temu sprzeciwi (470). Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa w praktyce przypadki odmowy udostępnienia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa żądanych przez nią informacji zdarzają się niezwykle rzadko (471). |
| --- | --- |

(257)

Zgodnie z załącznikiem 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może wystąpić do kierownika każdej z trzech służb wywiadowczych o ujawnienie wszelkich informacji. Agencja jest zobowiązana udostępnić żądane informacje, chyba że Sekretarz Stanu się temu sprzeciwi (470). Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa w praktyce przypadki odmowy udostępnienia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa żądanych przez nią informacji zdarzają się niezwykle rzadko (471).

470

471

| (258) | W skład Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa wchodzą członkowie izb parlamentu powołani przez premiera po zasięgnięciu opinii lidera opozycji (472). Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest zobowiązana przedstawić parlamentowi sprawozdanie roczne ze swojej działalności, a w stosownych przypadkach również inne sprawozdania (473). Ponadto Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest uprawniona do otrzymywania co trzy miesiące wykazu celów operacyjnych, który wykorzystuje się do badania materiałów otrzymywanych masowo (474). Premier udostępnia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa kopie dokumentów dotyczących postępowań, inspekcji lub audytów prowadzonych przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, jeżeli przedmiot sprawozdań jest istotny dla ustawowych kompetencji Komisji (475). Ponadto Komisja może zwrócić się do Komisarza ds. Uprawnień Dochodzeniowo-Śledczych o przeprowadzenie postępowania, a Komisarz musi poinformować Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa o decyzji dotyczącej przeprowadzenia takiego postępowania (476). |
| --- | --- |

(258)

W skład Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa wchodzą członkowie izb parlamentu powołani przez premiera po zasięgnięciu opinii lidera opozycji (472). Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest zobowiązana przedstawić parlamentowi sprawozdanie roczne ze swojej działalności, a w stosownych przypadkach również inne sprawozdania (473). Ponadto Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest uprawniona do otrzymywania co trzy miesiące wykazu celów operacyjnych, który wykorzystuje się do badania materiałów otrzymywanych masowo (474). Premier udostępnia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa kopie dokumentów dotyczących postępowań, inspekcji lub audytów prowadzonych przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, jeżeli przedmiot sprawozdań jest istotny dla ustawowych kompetencji Komisji (475). Ponadto Komisja może zwrócić się do Komisarza ds. Uprawnień Dochodzeniowo-Śledczych o przeprowadzenie postępowania, a Komisarz musi poinformować Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa o decyzji dotyczącej przeprowadzenia takiego postępowania (476).

472

473

474

475

476

| (259) | Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa przedstawiła również swoje uwagi na temat projektu IPA 2016, co zaowocowało szeregiem poprawek, które zostały obecnie odzwierciedlone w IPA 2016 (477). W szczególności Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa zaleciła wzmocnienie ochrony prywatności poprzez wprowadzenie zestawu środków ochrony prywatności mających zastosowanie do pełnego zakresu uprawnień dochodzeniowo-śledczych (478). Komisja zaproponowała również zmiany w zakresie proponowanych możliwości dotyczących ingerencji w urządzenia elektroniczne, masowego zbioru danych osobowych i danych pochodzących z łączności oraz zwróciła się o wprowadzenie innych szczegółowych zmian w celu wzmocnienia ograniczeń i zabezpieczeń w zakresie korzystania z uprawnień dochodzeniowo-śledczych (479). |
| --- | --- |

(259)

Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa przedstawiła również swoje uwagi na temat projektu IPA 2016, co zaowocowało szeregiem poprawek, które zostały obecnie odzwierciedlone w IPA 2016 (477). W szczególności Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa zaleciła wzmocnienie ochrony prywatności poprzez wprowadzenie zestawu środków ochrony prywatności mających zastosowanie do pełnego zakresu uprawnień dochodzeniowo-śledczych (478). Komisja zaproponowała również zmiany w zakresie proponowanych możliwości dotyczących ingerencji w urządzenia elektroniczne, masowego zbioru danych osobowych i danych pochodzących z łączności oraz zwróciła się o wprowadzenie innych szczegółowych zmian w celu wzmocnienia ograniczeń i zabezpieczeń w zakresie korzystania z uprawnień dochodzeniowo-śledczych (479).

477

478

479

3.3.4.   Środki zaskarżenia

Środki zaskarżenia

| (260) | W dziedzinie dostępu rządu do danych w celach bezpieczeństwa narodowego, osobom, których dane dotyczą, powinna przysługiwać możliwość skorzystania przed niezawisłym i bezstronnym sądem ze środków prawnych w celu uzyskania dostępu do dotyczących ich danych osobowych lub sprostowania lub usunięcia takich danych (480). Taki organ sądowy musi w szczególności posiadać uprawnienia do przyjmowania wiążących decyzji w sprawie służby wywiadowczej (481). W Zjednoczonym Królestwie, jak wyjaśniono w motywach 261–271, szereg sądowych środków zaskarżenia zapewnia osobom, których dane dotyczą, możliwość ubiegania się o takie środki ochrony prawnej i skorzystania z nich. |
| --- | --- |

(260)

W dziedzinie dostępu rządu do danych w celach bezpieczeństwa narodowego, osobom, których dane dotyczą, powinna przysługiwać możliwość skorzystania przed niezawisłym i bezstronnym sądem ze środków prawnych w celu uzyskania dostępu do dotyczących ich danych osobowych lub sprostowania lub usunięcia takich danych (480). Taki organ sądowy musi w szczególności posiadać uprawnienia do przyjmowania wiążących decyzji w sprawie służby wywiadowczej (481). W Zjednoczonym Królestwie, jak wyjaśniono w motywach 261–271, szereg sądowych środków zaskarżenia zapewnia osobom, których dane dotyczą, możliwość ubiegania się o takie środki ochrony prawnej i skorzystania z nich.

480

481

3.3.4.1.   Mechanizmy zaskarżenia dostępne w ramach części 4 ustawy o ochronie danych

Mechanizmy zaskarżenia dostępne w ramach części 4 ustawy o ochronie danych

| (261) | Zgodnie z art. 165 DPA 2018 osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 4 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą. Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający oraz wezwania ich do podjęcia koniecznych działań. Ponadto zgodnie z częścią 4 DPA 2018 osoby fizyczne są uprawnione do wystąpienia do Wysokiego Trybunału (lub do Court of Session w Szkocji) o wydanie nakazu zobowiązującego administratora do zapewnienia poszanowania prawa dostępu do danych (482), prawa do wyrażenia sprzeciwu wobec przetwarzania danych (483) lub prawa do sprostowania danych bądź ich usunięcia (484). |
| --- | --- |

(261)

Zgodnie z art. 165 DPA 2018 osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 4 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą. Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający oraz wezwania ich do podjęcia koniecznych działań. Ponadto zgodnie z częścią 4 DPA 2018 osoby fizyczne są uprawnione do wystąpienia do Wysokiego Trybunału (lub do Court of Session w Szkocji) o wydanie nakazu zobowiązującego administratora do zapewnienia poszanowania prawa dostępu do danych (482), prawa do wyrażenia sprzeciwu wobec przetwarzania danych (483) lub prawa do sprostowania danych bądź ich usunięcia (484).

482

483

484

| (262) | Osoby fizyczne mogą również dochodzić odszkodowania z tytułu szkód, jakich doznały wskutek niespełnienia przez administratora lub podmiot przetwarzający wymogu ustanowionego w części 4 DPA 2018 (485). Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie (486). |
| --- | --- |

(262)

Osoby fizyczne mogą również dochodzić odszkodowania z tytułu szkód, jakich doznały wskutek niespełnienia przez administratora lub podmiot przetwarzający wymogu ustanowionego w części 4 DPA 2018 (485). Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie (486).

485

486

3.3.4.2.   Mechanizmy zaskarżenia dostępne na mocy IPA 2016

Mechanizmy zaskarżenia dostępne na mocy IPA 2016

| (263) | Osobom fizycznym przysługują środki zaskarżenia z tytułu naruszenia IPA 2016 przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal). |
| --- | --- |

(263)

Osobom fizycznym przysługują środki zaskarżenia z tytułu naruszenia IPA 2016 przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal).

| (264) | Trybunał ds. Uprawnień Dochodzeniowo-Śledczych został ustanowiony na mocy RIPA 2000 i jest niezależny od władzy wykonawczej (487). Zgodnie z art. 65 RIPA 2000 Jej Królewska Mość powołuje członków tego Trybunału na pięcioletnią kadencję. Jej Królewska Mość może odwołać członka tego Trybunału na podstawie oświadczenia (488) obydwu izb parlamentu (489). |
| --- | --- |

(264)

Trybunał ds. Uprawnień Dochodzeniowo-Śledczych został ustanowiony na mocy RIPA 2000 i jest niezależny od władzy wykonawczej (487). Zgodnie z art. 65 RIPA 2000 Jej Królewska Mość powołuje członków tego Trybunału na pięcioletnią kadencję. Jej Królewska Mość może odwołać członka tego Trybunału na podstawie oświadczenia (488) obydwu izb parlamentu (489).

487

488

489

| (265) | Zgodnie z art. 65 RIPA 2000 Trybunał jest właściwym organem sądowym dla wszelkich skarg wnoszonych przez osoby poszkodowane w toku postępowania prowadzonego na podstawie IPA 2016 lub RIPA 2000 bądź jakiegokolwiek postępowania służb wywiadowczych (490). |
| --- | --- |

(265)

Zgodnie z art. 65 RIPA 2000 Trybunał jest właściwym organem sądowym dla wszelkich skarg wnoszonych przez osoby poszkodowane w toku postępowania prowadzonego na podstawie IPA 2016 lub RIPA 2000 bądź jakiegokolwiek postępowania służb wywiadowczych (490).

490

| (266) | Aby wszcząć postępowanie przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych („wymóg w zakresie legitymacji procesowej”), zgodnie z art. 65 RIPA 2000 osoba fizyczna musi żywić przekonanie (491), że służba wywiadowcza podjęła określone działania w odniesieniu do niej, jakiegokolwiek składnika jej majątku, jakichkolwiek wysyłanych przez nią lub adresowanych do niej wiadomości lub wiadomości, które miały zostać jej przesłane, lub w odniesieniu do korzystania przez nią z jakichkolwiek usług pocztowych, usług telekomunikacyjnych lub systemu telekomunikacyjnego” (492). Ponadto skarżący musi być przekonany, że działania te były podejmowane w „okolicznościach budzących wątpliwości” (493) lub „przez służby wywiadowcze lub w ich imieniu” (494). Ponieważ do owego „przekonania” stosuje się dość szeroką wykładnię (495), wniesienie sprawy do Trybunału podlega łagodnym wymogom w zakresie legitymacji procesowej. |
| --- | --- |

(266)

Aby wszcząć postępowanie przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych („wymóg w zakresie legitymacji procesowej”), zgodnie z art. 65 RIPA 2000 osoba fizyczna musi żywić przekonanie (491), że służba wywiadowcza podjęła określone działania w odniesieniu do niej, jakiegokolwiek składnika jej majątku, jakichkolwiek wysyłanych przez nią lub adresowanych do niej wiadomości lub wiadomości, które miały zostać jej przesłane, lub w odniesieniu do korzystania przez nią z jakichkolwiek usług pocztowych, usług telekomunikacyjnych lub systemu telekomunikacyjnego” (492). Ponadto skarżący musi być przekonany, że działania te były podejmowane w „okolicznościach budzących wątpliwości” (493) lub „przez służby wywiadowcze lub w ich imieniu” (494). Ponieważ do owego „przekonania” stosuje się dość szeroką wykładnię (495), wniesienie sprawy do Trybunału podlega łagodnym wymogom w zakresie legitymacji procesowej.

491

492

493

494

495

| (267) | W przypadku gdy Trybunał ds. Uprawnień Dochodzeniowo-Śledczych rozpatruje wniesioną do niego skargę, jego obowiązkiem jest zbadanie, czy osoby, wobec których w skardze sformułowano jakikolwiek zarzut, dopuściły się naruszeń w stosunku do skarżącego, jak również zbadanie organu, który rzekomo dopuścił się naruszeń, oraz kwestii, czy miało miejsce zarzucane działanie (496). We wszelkich tego rodzaju postępowaniach przy wydawaniu orzeczeń Trybunał musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (497). Ponadto adresaci nakazów lub zawiadomień na podstawie IPA 2016, a także każda inna osoba pełniąca urząd podlegający zwierzchnictwu władzy królewskiej, zatrudniona przez siły policyjne lub Komisarza ds. Dochodzeń Policyjnych i Kontroli mają obowiązek ujawnić lub dostarczyć temu Trybunałowi wszelkie dokumenty i informacje, jakich Trybunał zażąda na potrzeby wykonywania prawa orzekania (498). |
| --- | --- |

(267)

W przypadku gdy Trybunał ds. Uprawnień Dochodzeniowo-Śledczych rozpatruje wniesioną do niego skargę, jego obowiązkiem jest zbadanie, czy osoby, wobec których w skardze sformułowano jakikolwiek zarzut, dopuściły się naruszeń w stosunku do skarżącego, jak również zbadanie organu, który rzekomo dopuścił się naruszeń, oraz kwestii, czy miało miejsce zarzucane działanie (496). We wszelkich tego rodzaju postępowaniach przy wydawaniu orzeczeń Trybunał musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (497). Ponadto adresaci nakazów lub zawiadomień na podstawie IPA 2016, a także każda inna osoba pełniąca urząd podlegający zwierzchnictwu władzy królewskiej, zatrudniona przez siły policyjne lub Komisarza ds. Dochodzeń Policyjnych i Kontroli mają obowiązek ujawnić lub dostarczyć temu Trybunałowi wszelkie dokumenty i informacje, jakich Trybunał zażąda na potrzeby wykonywania prawa orzekania (498).

496

497

498

| (268) | Trybunał ds. Uprawnień Dochodzeniowo-Śledczych musi powiadomić skarżącego o tym, czy wydał orzeczenie na jego korzyść, czy nie (499). Zgodnie z art. 67 ust. 6 i 7 RIPA 2000 Trybunał jest uprawniony do wydawania nakazów tymczasowych oraz zasądzania odszkodowania lub zastosowania innego nakazu, jaki uzna za stosowny. Może to obejmować nakaz unieważnienia lub anulowania nakazu lub zezwolenia oraz nakaz zniszczenia wszelkich zapisów informacji uzyskanych w ramach wykonywania uprawnień przyznanych na podstawie nakazu, zezwolenia lub zawiadomienia lub w inny sposób przechowywanych przez organ publiczny w odniesieniu do jakiejkolwiek osoby (500). Zgodnie z art. 67A RIPA 2000 orzeczenie Trybunału można zaskarżyć pod warunkiem uzyskania zgody Trybunału lub właściwego sądu apelacyjnego. |
| --- | --- |

(268)

Trybunał ds. Uprawnień Dochodzeniowo-Śledczych musi powiadomić skarżącego o tym, czy wydał orzeczenie na jego korzyść, czy nie (499). Zgodnie z art. 67 ust. 6 i 7 RIPA 2000 Trybunał jest uprawniony do wydawania nakazów tymczasowych oraz zasądzania odszkodowania lub zastosowania innego nakazu, jaki uzna za stosowny. Może to obejmować nakaz unieważnienia lub anulowania nakazu lub zezwolenia oraz nakaz zniszczenia wszelkich zapisów informacji uzyskanych w ramach wykonywania uprawnień przyznanych na podstawie nakazu, zezwolenia lub zawiadomienia lub w inny sposób przechowywanych przez organ publiczny w odniesieniu do jakiejkolwiek osoby (500). Zgodnie z art. 67A RIPA 2000 orzeczenie Trybunału można zaskarżyć pod warunkiem uzyskania zgody Trybunału lub właściwego sądu apelacyjnego.

499

500

| (269) | Warto wreszcie zauważyć, że rolę Trybunału ds. Uprawnień Dochodzeniowo-Śledczych omawiano kilkakrotnie w kontekście czynności prawnych przed Europejskim Trybunałem Praw Człowieka, zwłaszcza w sprawie Kennedy przeciwko Zjednoczonemu Królestwu (501), a ostatnio w sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (502), w przypadku której Trybunał uznał, że „Trybunał ds. Uprawnień Dochodzeniowo-Śledczych zaoferował solidne sądowe środki zaskarżenia każdemu, kto podejrzewał, że jego komunikacja była przechwytywana przez służby wywiadowcze” (503). |
| --- | --- |

(269)

Warto wreszcie zauważyć, że rolę Trybunału ds. Uprawnień Dochodzeniowo-Śledczych omawiano kilkakrotnie w kontekście czynności prawnych przed Europejskim Trybunałem Praw Człowieka, zwłaszcza w sprawie Kennedy przeciwko Zjednoczonemu Królestwu (501), a ostatnio w sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (502), w przypadku której Trybunał uznał, że „Trybunał ds. Uprawnień Dochodzeniowo-Śledczych zaoferował solidne sądowe środki zaskarżenia każdemu, kto podejrzewał, że jego komunikacja była przechwytywana przez służby wywiadowcze” (503).

501

502

503

3.3.4.3.   Inne dostępne mechanizmy dochodzenia roszczeń

Inne dostępne mechanizmy dochodzenia roszczeń

| (270) | Jak wyjaśniono w motywach 109–111, środki zaskarżenia przewidziane w ustawie o prawach człowieka z 1998 r. i środki umożliwiające zaskarżenie przed Europejski Trybunał Praw Człowieka (504) są również dostępne w obszarze bezpieczeństwa narodowego. W art. 65 ust. 2 RIPA 2000 przyznano Trybunałowi ds. Uprawnień Dochodzeniowo-Śledczych właściwość wyłączną w zakresie wszystkich roszczeń wynikających z ustawy o prawach człowieka w odniesieniu do agencji wywiadowczych (505). Jak zauważył Wysoki Trybunał, oznacza to, że „kwestia, czy doszło do naruszenia ustawy o prawach człowieka w zakresie okoliczności faktycznych konkretnej sprawy, może być zasadniczo podniesiona i rozstrzygnięta przez niezależny sąd, który może mieć dostęp do wszystkich istotnych materiałów, w tym materiałów niejawnych. [...] W tym kontekście należy również pamiętać, że orzeczenia samego Trybunału mogą obecnie stać się przedmiotem odwołania do odpowiedniego sądu apelacyjnego (w Anglii i Walii byłby to Sąd Apelacyjny) oraz że Sąd Najwyższy orzekł niedawno, że Trybunał może co do zasady podlegać kontroli sądowej: zob. Korona (Privacy International) przeciwko Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506). |
| --- | --- |

(270)

Jak wyjaśniono w motywach 109–111, środki zaskarżenia przewidziane w ustawie o prawach człowieka z 1998 r. i środki umożliwiające zaskarżenie przed Europejski Trybunał Praw Człowieka (504) są również dostępne w obszarze bezpieczeństwa narodowego. W art. 65 ust. 2 RIPA 2000 przyznano Trybunałowi ds. Uprawnień Dochodzeniowo-Śledczych właściwość wyłączną w zakresie wszystkich roszczeń wynikających z ustawy o prawach człowieka w odniesieniu do agencji wywiadowczych (505). Jak zauważył Wysoki Trybunał, oznacza to, że „kwestia, czy doszło do naruszenia ustawy o prawach człowieka w zakresie okoliczności faktycznych konkretnej sprawy, może być zasadniczo podniesiona i rozstrzygnięta przez niezależny sąd, który może mieć dostęp do wszystkich istotnych materiałów, w tym materiałów niejawnych. [...] W tym kontekście należy również pamiętać, że orzeczenia samego Trybunału mogą obecnie stać się przedmiotem odwołania do odpowiedniego sądu apelacyjnego (w Anglii i Walii byłby to Sąd Apelacyjny) oraz że Sąd Najwyższy orzekł niedawno, że Trybunał może co do zasady podlegać kontroli sądowej: zob. Korona (Privacy International) przeciwko Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506).

504

505

506

| (271) | Z powyższego wynika, że gdy organy ścigania lub organy bezpieczeństwa narodowego Zjednoczonego Królestwa uzyskują dostęp do danych osobowych objętych zakresem niniejszej decyzji, dostęp taki jest regulowany przepisami określającymi warunki, na jakich dostęp ten może mieć miejsce, i zapewniają ograniczenie dostępu do danych i ich dalszego wykorzystywania do tego, co jest niezbędne i proporcjonalne do celu związanego ze ściganiem przestępstw lub bezpieczeństwem narodowym. Ponadto dostęp taki w większości przypadków wymaga uprzedniego zezwolenia organu sądowego, poprzez zatwierdzenie nakazu lub nakazu wydania dowodów, a w każdym przypadku podlega niezależnemu nadzorowi. Po uzyskaniu przez organy publiczne dostępu do danych, ich przetwarzanie, w tym dalsze udostępnianie i dalsze przekazywanie, podlega szczególnym zabezpieczeniom służącym ochronie danych na podstawie części 3 DPA 2018, odzwierciedlającym zabezpieczenia przewidziane w dyrektywie (UE) 2016/680, w przypadku przetwarzania przez organy ścigania, oraz części 4 DPA 2018 w przypadku przetwarzania przez agencje wywiadowcze. Ponadto osoby, których dane dotyczą, korzystają w tym obszarze ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym prawa do uzyskania dostępu do swoich danych, ich sprostowania lub usunięcia. |
| --- | --- |

(271)

Z powyższego wynika, że gdy organy ścigania lub organy bezpieczeństwa narodowego Zjednoczonego Królestwa uzyskują dostęp do danych osobowych objętych zakresem niniejszej decyzji, dostęp taki jest regulowany przepisami określającymi warunki, na jakich dostęp ten może mieć miejsce, i zapewniają ograniczenie dostępu do danych i ich dalszego wykorzystywania do tego, co jest niezbędne i proporcjonalne do celu związanego ze ściganiem przestępstw lub bezpieczeństwem narodowym. Ponadto dostęp taki w większości przypadków wymaga uprzedniego zezwolenia organu sądowego, poprzez zatwierdzenie nakazu lub nakazu wydania dowodów, a w każdym przypadku podlega niezależnemu nadzorowi. Po uzyskaniu przez organy publiczne dostępu do danych, ich przetwarzanie, w tym dalsze udostępnianie i dalsze przekazywanie, podlega szczególnym zabezpieczeniom służącym ochronie danych na podstawie części 3 DPA 2018, odzwierciedlającym zabezpieczenia przewidziane w dyrektywie (UE) 2016/680, w przypadku przetwarzania przez organy ścigania, oraz części 4 DPA 2018 w przypadku przetwarzania przez agencje wywiadowcze. Ponadto osoby, których dane dotyczą, korzystają w tym obszarze ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym prawa do uzyskania dostępu do swoich danych, ich sprostowania lub usunięcia.

| (272) | Biorąc pod uwagę znaczenie takich warunków, ograniczeń i zabezpieczeń dla celów niniejszej decyzji, Komisja będzie ściśle monitorować stosowanie i interpretację przepisów Zjednoczonego Królestwa regulujących dostęp rządu do danych. Będzie to obejmować odpowiednie kwestie w zakresie prawodawstwa, i regulacji i orzecznictwa, a także działania Komisarza ds. Informacji i innych organów nadzoru w tej dziedzinie. Szczególna uwaga zostanie również poświęcona wykonaniu przez Zjednoczone Królestwo odpowiednich wyroków Europejskiego Trybunału Praw Człowieka, w tym środków określonych w planach działania i sprawozdaniach z działań przedłożonych Komitetowi Ministrów w kontekście nadzoru nad przestrzeganiem orzeczeń Trybunału. |
| --- | --- |

(272)

Biorąc pod uwagę znaczenie takich warunków, ograniczeń i zabezpieczeń dla celów niniejszej decyzji, Komisja będzie ściśle monitorować stosowanie i interpretację przepisów Zjednoczonego Królestwa regulujących dostęp rządu do danych. Będzie to obejmować odpowiednie kwestie w zakresie prawodawstwa, i regulacji i orzecznictwa, a także działania Komisarza ds. Informacji i innych organów nadzoru w tej dziedzinie. Szczególna uwaga zostanie również poświęcona wykonaniu przez Zjednoczone Królestwo odpowiednich wyroków Europejskiego Trybunału Praw Człowieka, w tym środków określonych w planach działania i sprawozdaniach z działań przedłożonych Komitetowi Ministrów w kontekście nadzoru nad przestrzeganiem orzeczeń Trybunału.

4.   WNIOSEK

WNIOSEK

| (273) | Komisja uważa, że RODO UK i DPA 2018 zapewniają stopień ochrony danych osobowych przekazywanych z Unii Europejskiej, który zasadniczo odpowiada stopniowi ochrony zagwarantowanemu w rozporządzeniu (UE) 2016/679. |
| --- | --- |

(273)

Komisja uważa, że RODO UK i DPA 2018 zapewniają stopień ochrony danych osobowych przekazywanych z Unii Europejskiej, który zasadniczo odpowiada stopniowi ochrony zagwarantowanemu w rozporządzeniu (UE) 2016/679.

| (274) | Ponadto Komisja stwierdza, że mechanizmy nadzoru i możliwości dochodzenia roszczeń przewidziane w prawie Zjednoczonego Królestwa – rozumiane jako całość – zapewniają możliwość identyfikowania przypadków naruszenia przepisów i w praktyce nakładania za te naruszania kar oraz oferują osobom, których dane dotyczą, możliwość skorzystania ze środków ochrony prawnej w celu uzyskania dostępu do dotyczących ich danych osobowych, a także – ostatecznie – sprostowania lub usunięcia takich danych. |
| --- | --- |

(274)

Ponadto Komisja stwierdza, że mechanizmy nadzoru i możliwości dochodzenia roszczeń przewidziane w prawie Zjednoczonego Królestwa – rozumiane jako całość – zapewniają możliwość identyfikowania przypadków naruszenia przepisów i w praktyce nakładania za te naruszania kar oraz oferują osobom, których dane dotyczą, możliwość skorzystania ze środków ochrony prawnej w celu uzyskania dostępu do dotyczących ich danych osobowych, a także – ostatecznie – sprostowania lub usunięcia takich danych.

| (275) | Wreszcie na podstawie dostępnych informacji na temat porządku prawnego Zjednoczonego Królestwa Komisja uważa, że wszelkie ingerencje w prawa podstawowe osób fizycznych, których dane osobowe są przekazywane z Unii Europejskiej do Zjednoczonego Królestwa, jakich dopuszczają się organy publiczne Zjednoczonego Królestwa do celów zgodnych z interesem publicznym, w szczególności do celów ścigania przestępstw i bezpieczeństwa narodowego, będą ograniczać się do tego, co jest ściśle niezbędne do osiągnięcia danego uzasadnionego celu, oraz że istnieje skuteczna ochrona prawna przed takimi ingerencjami. |
| --- | --- |

(275)

Wreszcie na podstawie dostępnych informacji na temat porządku prawnego Zjednoczonego Królestwa Komisja uważa, że wszelkie ingerencje w prawa podstawowe osób fizycznych, których dane osobowe są przekazywane z Unii Europejskiej do Zjednoczonego Królestwa, jakich dopuszczają się organy publiczne Zjednoczonego Królestwa do celów zgodnych z interesem publicznym, w szczególności do celów ścigania przestępstw i bezpieczeństwa narodowego, będą ograniczać się do tego, co jest ściśle niezbędne do osiągnięcia danego uzasadnionego celu, oraz że istnieje skuteczna ochrona prawna przed takimi ingerencjami.

| (276) | W świetle ustaleń niniejszej decyzji należy zatem uznać, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony w rozumieniu art. 45 rozporządzenia (UE) 2016/679, interpretowanego w świetle Karty praw podstawowych Unii Europejskiej. |
| --- | --- |

(276)

W świetle ustaleń niniejszej decyzji należy zatem uznać, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony w rozumieniu art. 45 rozporządzenia (UE) 2016/679, interpretowanego w świetle Karty praw podstawowych Unii Europejskiej.

| (277) | Wniosek ten opiera się zarówno na odpowiednim systemie krajowym Zjednoczonego Królestwa, jak i na jego zobowiązaniach międzynarodowych, w szczególności na przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka. Nieprzerwane przestrzeganie takich zobowiązań międzynarodowych stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja. |
| --- | --- |

(277)

Wniosek ten opiera się zarówno na odpowiednim systemie krajowym Zjednoczonego Królestwa, jak i na jego zobowiązaniach międzynarodowych, w szczególności na przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka. Nieprzerwane przestrzeganie takich zobowiązań międzynarodowych stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja.

5.   SKUTKI NINIEJSZEJ DECYZJI I DZIAŁANIA ORGANÓW OCHRONY DANYCH

SKUTKI NINIEJSZEJ DECYZJI I DZIAŁANIA ORGANÓW OCHRONY DANYCH

| (278) | Państwa członkowskie i ich organy mają obowiązek stosować środki niezbędne do zapewnienia zgodności z aktami instytucji unijnych, ponieważ domniemywa się, że akty te są zgodne z prawem, a zatem wywołują skutki prawne do chwili ich wygaśnięcia, uchylenia, stwierdzenia ich nieważności w postępowaniu o stwierdzenie nieważności lub orzeczenia o ich nieważności w następstwie odesłania prejudycjalnego lub zarzutu niezgodności z prawem. |
| --- | --- |

(278)

Państwa członkowskie i ich organy mają obowiązek stosować środki niezbędne do zapewnienia zgodności z aktami instytucji unijnych, ponieważ domniemywa się, że akty te są zgodne z prawem, a zatem wywołują skutki prawne do chwili ich wygaśnięcia, uchylenia, stwierdzenia ich nieważności w postępowaniu o stwierdzenie nieważności lub orzeczenia o ich nieważności w następstwie odesłania prejudycjalnego lub zarzutu niezgodności z prawem.

| (279) | Decyzja stwierdzająca odpowiedni stopień ochrony danych osobowych przyjęta przez Komisję na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 jest zatem wiążąca dla wszystkich organów państw członkowskich, do których jest skierowana, w tym ich niezależnych organów nadzorczych. W szczególności w okresie stosowania niniejszej decyzji przekazywanie danych przez administratora lub podmiot przetwarzający w Unii Europejskiej administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia. |
| --- | --- |

(279)

Decyzja stwierdzająca odpowiedni stopień ochrony danych osobowych przyjęta przez Komisję na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 jest zatem wiążąca dla wszystkich organów państw członkowskich, do których jest skierowana, w tym ich niezależnych organów nadzorczych. W szczególności w okresie stosowania niniejszej decyzji przekazywanie danych przez administratora lub podmiot przetwarzający w Unii Europejskiej administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia.

| (280) | Należy przypomnieć, że zgodnie z art. 58 ust. 5 rozporządzenia (UE) 2016/679 i jak wyjaśnił Trybunał Sprawiedliwości w wyroku w sprawie Schrems I (507), jeżeli krajowy organ ochrony danych kwestionuje, w tym na podstawie skargi, zgodność wydanej przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony z przysługującymi osobie fizycznej prawami podstawowymi do prywatności i ochrony danych, należy zapewnić w prawie krajowym drogę prawną umożliwiającą tej osobie podniesienie tych zarzutów przed sądem krajowym, który może być zobowiązany do wystąpienia z odesłaniem prejudycjalnym do Trybunału Sprawiedliwości (508). |
| --- | --- |

(280)

Należy przypomnieć, że zgodnie z art. 58 ust. 5 rozporządzenia (UE) 2016/679 i jak wyjaśnił Trybunał Sprawiedliwości w wyroku w sprawie Schrems I (507), jeżeli krajowy organ ochrony danych kwestionuje, w tym na podstawie skargi, zgodność wydanej przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony z przysługującymi osobie fizycznej prawami podstawowymi do prywatności i ochrony danych, należy zapewnić w prawie krajowym drogę prawną umożliwiającą tej osobie podniesienie tych zarzutów przed sądem krajowym, który może być zobowiązany do wystąpienia z odesłaniem prejudycjalnym do Trybunału Sprawiedliwości (508).

507

508

6.   MONITOROWANIE, ZAWIESZENIE, UCHYLENIE LUB ZMIANA NINIEJSZEJ DECYZJI

MONITOROWANIE, ZAWIESZENIE, UCHYLENIE LUB ZMIANA NINIEJSZEJ DECYZJI

| (281) | Zgodnie z art. 45 ust. 4 rozporządzenia (UE) 2016/679 Komisja jest zobowiązana na bieżąco monitorować odpowiednie zmiany w Zjednoczonym Królestwie po przyjęciu niniejszej decyzji, aby ocenić, czy nadal zapewnia ono zasadniczo odpowiadający stopień ochrony. Takie monitorowanie jest szczególnie ważne w tym przypadku, ponieważ nowy system ochrony danych Zjednoczonego Królestwa, którym będzie ono zarządzać, stosować go i egzekwować jego stosowanie, nie będzie już podlegać prawu Unii; może również ulegać zmianom. W związku z tym szczególna uwaga zostanie zwrócona na stosowanie w praktyce przepisów Zjednoczonego Królestwa dotyczących przekazywania danych osobowych do państw trzecich oraz na wpływ, jaki może to mieć na stopień ochrony zapewnianej danym przekazywanym na mocy niniejszej decyzji; na skuteczność korzystania z indywidualnych praw, w tym wszelkie istotne zmiany w prawie i praktyce dotyczących wyjątków lub ograniczeń takich praw (w szczególności wyjątku dotyczącego utrzymania skutecznej kontroli imigracyjnej) oraz przestrzegania ograniczeń i zabezpieczeń w odniesieniu do dostępu rządowego. W ramach monitorowania Komisja uwzględni m.in. zmiany w orzecznictwie i nadzór ze strony Komisarza ds. Informacji i innych niezależnych organów. |
| --- | --- |

(281)

Zgodnie z art. 45 ust. 4 rozporządzenia (UE) 2016/679 Komisja jest zobowiązana na bieżąco monitorować odpowiednie zmiany w Zjednoczonym Królestwie po przyjęciu niniejszej decyzji, aby ocenić, czy nadal zapewnia ono zasadniczo odpowiadający stopień ochrony. Takie monitorowanie jest szczególnie ważne w tym przypadku, ponieważ nowy system ochrony danych Zjednoczonego Królestwa, którym będzie ono zarządzać, stosować go i egzekwować jego stosowanie, nie będzie już podlegać prawu Unii; może również ulegać zmianom. W związku z tym szczególna uwaga zostanie zwrócona na stosowanie w praktyce przepisów Zjednoczonego Królestwa dotyczących przekazywania danych osobowych do państw trzecich oraz na wpływ, jaki może to mieć na stopień ochrony zapewnianej danym przekazywanym na mocy niniejszej decyzji; na skuteczność korzystania z indywidualnych praw, w tym wszelkie istotne zmiany w prawie i praktyce dotyczących wyjątków lub ograniczeń takich praw (w szczególności wyjątku dotyczącego utrzymania skutecznej kontroli imigracyjnej) oraz przestrzegania ograniczeń i zabezpieczeń w odniesieniu do dostępu rządowego. W ramach monitorowania Komisja uwzględni m.in. zmiany w orzecznictwie i nadzór ze strony Komisarza ds. Informacji i innych niezależnych organów.

| (282) | Aby ułatwić to monitorowanie, władze Zjednoczonego Królestwa powinny niezwłocznie informować Komisję o wszelkich istotnych zmianach w porządku prawnym Zjednoczonego Królestwa, które mają wpływ na ramy prawne będące przedmiotem niniejszej decyzji, a także o wszelkich zmianach praktyk związanych z przetwarzaniem danych osobowych poddanych ocenie w niniejszej decyzji, zarówno w odniesieniu do przetwarzania danych osobowych przez administratorów i podmioty przetwarzające na mocy RODO UK, jak i ograniczeń i zabezpieczeń dotyczących dostępu do danych przez organy publiczne. Powinno to obejmować zmiany dotyczące elementów, o których mowa w motywie 281. |
| --- | --- |

(282)

Aby ułatwić to monitorowanie, władze Zjednoczonego Królestwa powinny niezwłocznie informować Komisję o wszelkich istotnych zmianach w porządku prawnym Zjednoczonego Królestwa, które mają wpływ na ramy prawne będące przedmiotem niniejszej decyzji, a także o wszelkich zmianach praktyk związanych z przetwarzaniem danych osobowych poddanych ocenie w niniejszej decyzji, zarówno w odniesieniu do przetwarzania danych osobowych przez administratorów i podmioty przetwarzające na mocy RODO UK, jak i ograniczeń i zabezpieczeń dotyczących dostępu do danych przez organy publiczne. Powinno to obejmować zmiany dotyczące elementów, o których mowa w motywie 281.

| (283) | Ponadto, aby Komisja mogła skutecznie realizować funkcję monitorowania, państwa członkowskie powinny informować ją o wszelkich istotnych działaniach podejmowanych przez organy ochrony danych państw członkowskich, zwłaszcza w odniesieniu do zapytań lub skarg osób z UE, których dane dotyczą, dotyczących przekazywania danych osobowych z Unii administratorom i podmiotom przetwarzającym w Zjednoczonym Królestwie. Komisja powinna być również informowana o wszelkich sygnałach świadczących o tym, że działania organów publicznych Zjednoczonego Królestwa odpowiedzialnych za zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych, lub za bezpieczeństwo narodowe, w tym wszelkich organów nadzoru, nie gwarantują wymaganego stopnia ochrony. |
| --- | --- |

(283)

Ponadto, aby Komisja mogła skutecznie realizować funkcję monitorowania, państwa członkowskie powinny informować ją o wszelkich istotnych działaniach podejmowanych przez organy ochrony danych państw członkowskich, zwłaszcza w odniesieniu do zapytań lub skarg osób z UE, których dane dotyczą, dotyczących przekazywania danych osobowych z Unii administratorom i podmiotom przetwarzającym w Zjednoczonym Królestwie. Komisja powinna być również informowana o wszelkich sygnałach świadczących o tym, że działania organów publicznych Zjednoczonego Królestwa odpowiedzialnych za zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych, lub za bezpieczeństwo narodowe, w tym wszelkich organów nadzoru, nie gwarantują wymaganego stopnia ochrony.

| (284) | W przypadku gdy z dostępnych informacji, w szczególności informacji uzyskanych w wyniku monitorowania niniejszej decyzji lub przedstawionych przez władze Zjednoczonego Królestwa lub państw członkowskich, wynika, że stopień ochrony zapewniany przez Zjednoczone Królestwo może nie być już odpowiedni, Komisja powinna powiadomić o tym właściwe organy Zjednoczonego Królestwa i zwrócić się o zastosowanie właściwych środków w określonym terminie, który nie może przekraczać trzech miesięcy. W razie potrzeby okres ten może zostać przedłużony o określony czas, biorąc pod uwagę charakter danej kwestii i środki, które należy zastosować. Procedura taka byłaby uruchamiana m.in. w przypadkach, w których dalsze przekazywanie danych, w tym na podstawie nowych rozporządzeń stwierdzających odpowiedni stopień ochrony przyjętych przez sekretarza stanu lub umów międzynarodowych zawartych przez Zjednoczone Królestwo, nie odbywałoby się już w ramach gwarancji zapewniających ciągłość ochrony w rozumieniu art. 44 rozporządzenia (UE) 2016/679. |
| --- | --- |

(284)

W przypadku gdy z dostępnych informacji, w szczególności informacji uzyskanych w wyniku monitorowania niniejszej decyzji lub przedstawionych przez władze Zjednoczonego Królestwa lub państw członkowskich, wynika, że stopień ochrony zapewniany przez Zjednoczone Królestwo może nie być już odpowiedni, Komisja powinna powiadomić o tym właściwe organy Zjednoczonego Królestwa i zwrócić się o zastosowanie właściwych środków w określonym terminie, który nie może przekraczać trzech miesięcy. W razie potrzeby okres ten może zostać przedłużony o określony czas, biorąc pod uwagę charakter danej kwestii i środki, które należy zastosować. Procedura taka byłaby uruchamiana m.in. w przypadkach, w których dalsze przekazywanie danych, w tym na podstawie nowych rozporządzeń stwierdzających odpowiedni stopień ochrony przyjętych przez sekretarza stanu lub umów międzynarodowych zawartych przez Zjednoczone Królestwo, nie odbywałoby się już w ramach gwarancji zapewniających ciągłość ochrony w rozumieniu art. 44 rozporządzenia (UE) 2016/679.

| (285) | Jeśli po upływie tego określonego terminu właściwe organy Zjednoczonego Królestwa nie zastosują tych środków lub w inny zadowalający sposób nie wykażą, że niniejsza decyzja jest nadal oparta na odpowiednim stopniu ochrony, Komisja rozpocznie procedurę, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679, w celu częściowego lub całkowitego zawieszenia lub uchylenia niniejszej decyzji. |
| --- | --- |

(285)

Jeśli po upływie tego określonego terminu właściwe organy Zjednoczonego Królestwa nie zastosują tych środków lub w inny zadowalający sposób nie wykażą, że niniejsza decyzja jest nadal oparta na odpowiednim stopniu ochrony, Komisja rozpocznie procedurę, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679, w celu częściowego lub całkowitego zawieszenia lub uchylenia niniejszej decyzji.

| (286) | Ewentualnie Komisja rozpocznie tę procedurę w celu zmiany decyzji, zwłaszcza uzależniając przekazywanie danych od spełnienia dodatkowych warunków lub ograniczając zakres stwierdzenia odpowiedniego stopnia ochrony wyłącznie do przekazywania danych, co do których zapewniono ciągłość odpowiedniego stopnia ochrony. |
| --- | --- |

(286)

Ewentualnie Komisja rozpocznie tę procedurę w celu zmiany decyzji, zwłaszcza uzależniając przekazywanie danych od spełnienia dodatkowych warunków lub ograniczając zakres stwierdzenia odpowiedniego stopnia ochrony wyłącznie do przekazywania danych, co do których zapewniono ciągłość odpowiedniego stopnia ochrony.

| (287) | W należycie uzasadnionych, szczególnie pilnych przypadkach Komisja skorzysta z możliwości przyjęcia zgodnie z procedurą, o której mowa w art. 93 ust. 3 rozporządzenia (UE) 2016/679, mających natychmiastowe zastosowanie aktów wykonawczych zawieszających, uchylających lub zmieniających decyzję. |
| --- | --- |

(287)

W należycie uzasadnionych, szczególnie pilnych przypadkach Komisja skorzysta z możliwości przyjęcia zgodnie z procedurą, o której mowa w art. 93 ust. 3 rozporządzenia (UE) 2016/679, mających natychmiastowe zastosowanie aktów wykonawczych zawieszających, uchylających lub zmieniających decyzję.

7.   OKRES OBOWIĄZYWANIA I PRZEDŁUŻENIE OBOWIĄZYWANIA NINIEJSZEJ DECYZJI

OKRES OBOWIĄZYWANIA I PRZEDŁUŻENIE OBOWIĄZYWANIA NINIEJSZEJ DECYZJI

| (288) | Komisja musi wziąć pod uwagę, że wraz z zakończeniem okresu przejściowego przewidzianego w umowie o wystąpieniu oraz z chwilą, gdy przestanie obowiązywać przepis przejściowy określony w art. 782 umowy o handlu i współpracy między Zjednoczonym Królestwem a UE, Zjednoczone Królestwo będzie zarządzać nowym systemem ochrony danych w porównaniu z systemem, który obowiązywał, gdy Zjednoczone Królestwo było związane prawem Unii, a także stosować go i egzekwować jego stosowanie. Może to w szczególności obejmować poprawki lub zmiany w ramach ochrony danych poddanych ocenie w niniejszej decyzji, jak również inne istotne zmiany. |
| --- | --- |

(288)

Komisja musi wziąć pod uwagę, że wraz z zakończeniem okresu przejściowego przewidzianego w umowie o wystąpieniu oraz z chwilą, gdy przestanie obowiązywać przepis przejściowy określony w art. 782 umowy o handlu i współpracy między Zjednoczonym Królestwem a UE, Zjednoczone Królestwo będzie zarządzać nowym systemem ochrony danych w porównaniu z systemem, który obowiązywał, gdy Zjednoczone Królestwo było związane prawem Unii, a także stosować go i egzekwować jego stosowanie. Może to w szczególności obejmować poprawki lub zmiany w ramach ochrony danych poddanych ocenie w niniejszej decyzji, jak również inne istotne zmiany.

| (289) | W związku z tym należy zapewnić, aby niniejsza decyzja była stosowana przez okres czterech lat od chwili jej wejścia w życie. |
| --- | --- |

(289)

W związku z tym należy zapewnić, aby niniejsza decyzja była stosowana przez okres czterech lat od chwili jej wejścia w życie.

| (290) | W przypadku gdy w szczególności z informacji uzyskanych w wyniku monitorowania niniejszej decyzji będzie wynikało, że ustalenia dotyczące odpowiedniego stopnia ochrony zapewnianego w Zjednoczonym Królestwie są nadal uzasadnione pod względem faktycznym i prawnym, Komisja powinna, najpóźniej sześć miesięcy przed zakończeniem okresu stosowania niniejszej decyzji, wszcząć procedurę zmiany niniejszej decyzji poprzez przedłużenie jej zakresu czasowego, co do zasady, na dodatkowy okres czterech lat. Każdy taki akt wykonawczy zmieniający niniejszą decyzję należy przyjąć zgodnie z procedurą, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679. |
| --- | --- |

(290)

W przypadku gdy w szczególności z informacji uzyskanych w wyniku monitorowania niniejszej decyzji będzie wynikało, że ustalenia dotyczące odpowiedniego stopnia ochrony zapewnianego w Zjednoczonym Królestwie są nadal uzasadnione pod względem faktycznym i prawnym, Komisja powinna, najpóźniej sześć miesięcy przed zakończeniem okresu stosowania niniejszej decyzji, wszcząć procedurę zmiany niniejszej decyzji poprzez przedłużenie jej zakresu czasowego, co do zasady, na dodatkowy okres czterech lat. Każdy taki akt wykonawczy zmieniający niniejszą decyzję należy przyjąć zgodnie z procedurą, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679.

8.   UWAGI KOŃCOWE

UWAGI KOŃCOWE

| (291) | Europejska Rada Ochrony Danych opublikowała swoją opinię (509), która została uwzględniona podczas przygotowywania niniejszej decyzji. |
| --- | --- |

(291)

Europejska Rada Ochrony Danych opublikowała swoją opinię (509), która została uwzględniona podczas przygotowywania niniejszej decyzji.

509

| (292) | Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na mocy art. 93 rozporządzenia (UE) 2016/679, |
| --- | --- |

(292)

Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na mocy art. 93 rozporządzenia (UE) 2016/679,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

1.   Do celów art. 45 rozporządzenia (UE) 2016/679 Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych w ramach zakresu stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do Zjednoczonego Królestwa.

2.   Niniejsza decyzja nie dotyczy danych osobowych przekazywanych do celów kontroli imigracji w Zjednoczonym Królestwie ani danych, które z innego względu wchodzą w zakres wyłączenia niektórych praw osób, których dane dotyczą, do celów utrzymania skutecznej kontroli imigracyjnej zgodnie z pkt 4 ppkt 1 załącznika 2 do DPA 2018.

Artykuł 2

W każdym przypadku, gdy właściwe organy nadzorcze w państwach członkowskich, w celu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych, wykonują swoje uprawnienia na podstawie art. 58 rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania danych wchodzącego w zakres stosowania określony w art. 1, dane państwo członkowskie niezwłocznie informuje o tym fakcie Komisję.

Artykuł 3

1.   Komisja stale monitoruje stosowanie ram prawnych, na których opiera się niniejsza decyzja, w tym warunków, na jakich odbywa się dalsze przekazywanie danych, wykonywanie praw indywidualnych oraz uzyskiwanie przez organy publiczne Zjednoczonego Królestwa dostępu do danych przekazywanych na podstawie niniejszej decyzji, w celu ustalenia, czy Zjednoczone Królestwo nadal zapewnia odpowiedni stopień ochrony w rozumieniu art. 1.

2.   Państwa członkowskie oraz Komisja informują się nawzajem o przypadkach, w których Komisarz ds. Informacji lub jakikolwiek inny właściwy organ Zjednoczonego Królestwa nie zapewnili zgodności z ramami prawnymi, na których opiera się niniejsza decyzja.

3.   Państwa członkowskie i Komisja informują się nawzajem o wszelkich sygnałach wskazujących, że ingerencje organów publicznych Zjednoczonego Królestwa w prawo osób fizycznych do ochrony ich danych osobowych wykraczają poza to, co jest ściśle niezbędne, lub że nie zapewniono skutecznej ochrony prawnej przed takimi ingerencjami.

4.   Jeśli Komisja posiada dowody na to, że odpowiedni stopień ochrony nie jest już zapewniony, Komisja powiadamia o tym właściwe organy Zjednoczonego Królestwa i może zawiesić, uchylić albo zmienić niniejszą decyzję.

5.   Komisja może zawiesić, uchylić albo zmienić niniejszą decyzję, jeżeli brak współpracy ze strony rządu Zjednoczonego Królestwa nie pozwala Komisji stwierdzić, czy istnieją przesłanki do podważenia ustalenia zawartego w art. 1 ust. 1.

Artykuł 4

Niniejsza decyzja traci moc z dniem 27 czerwca 2025 r., chyba że okres jej stosowania zostanie przedłużony zgodnie z procedurą, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679.

Artykuł 5

Niniejsza decyzja skierowana jest do państw członkowskich.

Sporządzono w Brukseli dnia 28 czerwca 2021 r.

W imieniu Komisji

Didier REYNDERS

Członek Komisji

---

(1)  
  Dz.U. L 119 z 4.5.2016, s. 1.

1

(2)  Zob. motyw 101 rozporządzenia (UE) 2016/679.

2

(3)  Zob. niedawna sprawa C-311/18, Facebook Ireland i Schrems („Schrems II”), ECLI:EU:C:2020:559.

3

(4)  Europejska Rada Ochrony Danych, Odpowiedni stopień ochrony przekazywanych danych osobowych, WP 254 rev.01, dokument dostępny pod adresem: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108

4

(5)  Sprawa C-362/14, Schrems („Schrems I”), ECLI:EU:C:2015:650, pkt 73.

5

(6)  Schrems I, pkt 74.

6

(7)  Zob. komunikat Komisji do Parlamentu Europejskiego i Rady, Wymiana i ochrona danych osobowych w zglobalizowanym świecie, COM(2017) 7 z dnia 10 stycznia 2017 r., pkt 3.1, s. 8, dostępny pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:52017DC0007&from=EN.

7

(8)  Sąd Apelacyjny (Wydział Cywilny), Open Rights Group przeciwko Secretary of State for the Home Department i Secretary of State for the Digital, Culture, Media and Sport, [2021] EWCA Civ 800, pkt 53–56. Sąd Apelacyjny uchylił orzeczenie Wysokiego Trybunału, który wcześniej ocenił wyłączenie w świetle rozporządzenia (UE) 2016/679 (w szczególności jego art. 23) i Karty praw podstawowych Unii Europejskiej i uznał je za zgodne z prawem (Open Rights Group i in., Korona (powodowie) przeciwko Secretary of State for the Home Department i in. [2019] EWHC 2562).

8

(9)  Pod warunkiem spełnienia określonych warunków przekazanie danych do celów kontroli imigracyjnej Zjednoczonego Królestwa może odbywać się na podstawie mechanizmów przekazywania przewidzianych w art. 46–49 rozporządzenia (UE) 2016/679.

9

(10)  Zasady konwencji nr 108 zostały pierwotnie wdrożone do prawa Zjednoczonego Królestwa w drodze ustawy o ochronie danych z 1984 r., którą zastąpiono DPA 1998, a następnie DPA 2018 (w związku z RODO UK). W 2018 r. Zjednoczone Królestwo podpisało również Protokół zmieniający Konwencję o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (znany jako konwencja nr 108+) i obecnie pracuje nad ratyfikacją tej konwencji.

10

(11)  Art. 6 i 8 EKPC (zob. również załącznik 1 do ustawy o prawach człowieka z 1998 r.).

11

(12)  Art. 6 ustawy o prawach człowieka z 1998 r.

12

(13)  Art. 3 ustawy o prawach człowieka z 1998 r.

13

(14)  Umowa o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej, 2019/C 384 I/01, XT/21054/2019/INIT (Dz.U. C 384I z 12.11.2019, s. 1), dostępna pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN.

14

(15)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89), dostępna pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32016L0680&from=EN.

15

(16)  Ustawa o ochronie danych z 2018 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

16

(17)  Ustawa o wystąpieniu z Unii Europejskiej z 2018 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2018/16/contents.

17

(18)  Celem i skutkiem Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. jest to, aby wszystkie bezpośrednio stosowane przepisy Unii, które zostały wprowadzone do prawa Zjednoczonego Królestwa na koniec okresu przejściowego, były częścią prawa Zjednoczonego Królestwa z takim samym skutkiem, jaki wywoływały w prawie Unii bezpośrednio przed końcem okresu przejściowego – zob. art. 3 Ustawy o wystąpieniu z Unii Europejskiej z 2018 r.

18

(19)  W Notach wyjaśniających do Ustawy o wystąpieniu z Unii Europejskiej z 2018 r. określono, że: „W przypadku przekształcenia przepisów na mocy tego artykułu samo brzmienie przepisów stanie się częścią ustawodawstwa krajowego. Będzie ono obejmować pełen tekst każdego aktu UE (w tym motywy)”. (Noty wyjaśniające do Ustawy o wystąpieniu z Unii Europejskiej z 2018 r., pkt 83, dostępne pod adresem: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf). Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa, ponieważ motywy nie mają statusu wiążących przepisów prawnych, nie było konieczności ich zmiany w taki sam sposób, w jaki artykuły rozporządzenia (UE) 2016/679 zmieniono rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej.

19

(20)  Art. 6 Ustawy o wystąpieniu z Unii Europejskiej z 2018 r.

20

(21)  Rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzające zmiany w związku z wyjściem z UE z 2019 r., dostępne pod adresem: https://www.legislation.gov.uk/uksi/2019/419/contents/made, zmienione rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej z 2020 r., dostępnym pod adresem: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

21

(22)  Wspomniane zmiany RODO UK i DPA 2018 mają głównie charakter techniczny, jak np. usunięcie odniesień do „państw członkowskich” lub dostosowanie terminologii, np. zastąpienie odniesień do rozporządzenia (UE) 2016/679 odniesieniami do RODO UK. W niektórych przypadkach zmiany były wymagane w celu odzwierciedlenia czysto krajowego kontekstu przepisów, na przykład w odniesieniu do tego, kto przyjmuje „rozporządzenie stwierdzające odpowiedni stopień ochrony” na potrzeby ram prawnych dotyczących ochrony danych w Zjednoczonym Królestwie (zob. art. 17A DPA 2018), tj. Sekretarz Stanu zamiast Komisji Europejskiej.

22

(23)  Ogólne rozporządzenie o ochronie danych (General Data Protection Regulation), wersja z uwzględnieniem zmian (tzw. Keeling Schedule), dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

23

General Data Protection Regulation

(24)  Ustawa o ochronie danych z 2018 r. (Data Protection Act 2018), wersja z uwzględnieniem zmian (tzw. Keeling Schedule), dostępna pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

24

Data Protection Act 2018

(25)  Uprawnienia takie są zawarte m.in. w art. 16 (uprawnienie do przewidywania – w szczególnych, ściśle określonych sytuacjach – dalszych wyłączeń od przepisów szczegółowych RODO UK), art. 17A (uprawnienie do przyjmowania rozporządzeń stwierdzających odpowiedni stopień ochrony), art. 212 i 213 (uprawnienie do rozpoczynania procesu legislacyjnego i wprowadzania przepisów przejściowych) oraz art. 211 (uprawnienie do wprowadzania zmian nieznacznych i następczych) DPA 2018.

25

(26)  Art. 2 ust. 1 i 5 RODO UK.

26

(27)  Art. 4 ust. 1 i 2 RODO UK.

27

(28)  Ręczne nieusystematyzowane przetwarzanie danych osobowych zdefiniowano w art. 2 ust. 5 lit. b) jako przetwarzanie danych osobowych, które nie jest zautomatyzowanym ani usystematyzowanym przetwarzaniem danych osobowych.

28

(29)  Art. 2 ust. 1A RODO UK stanowi, że rozporządzenie to ma zastosowanie również do ręcznego, nieusystematyzowanego przetwarzania danych osobowych przechowywanych przez organ publiczny, o którym mowa w ustawie o swobodnym dostępie do informacji. Odniesienie do organów publicznych, o których mowa w ustawie o swobodnym dostępie do informacji, oznacza wszelkie organy publiczne zdefiniowane w ustawie o swobodnym dostępie do informacji z 2000 r. lub wszelkie szkockie organy publiczne zdefiniowane w ustawie o swobodnym dostępie do informacji w Szkocji z 2002 r. (asp 13). Art. 21 ust. 5 DPA 2018.

29

(30)  Art. 2 ust. 2 lit. a) RODO UK.

30

(31)  Działania w obszarze bezpieczeństwa narodowego są objęte zakresem RODO UK wyłącznie w stopniu, w jakim nie są prowadzone przez właściwy organ do celów ścigania przestępstw, w którym to przypadku zastosowanie ma część 3 DPA 2018, lub przez służbę wywiadowczą lub w jej imieniu, której działania są wyłączone z zakresu RODO UK i podlegają części 4 DPA 2018 zgodnie z art. 2 ust. 2 lit. c) RODO UK. Na przykład siły policyjne mogą przeprowadzać kontrole bezpieczeństwa wobec pracownika, aby upewnić się, że można mu powierzyć dostęp do materiałów związanych z bezpieczeństwem narodowym. Mimo że policja jest właściwym organem do celów ścigania przestępstw, przedmiotowe przetwarzanie nie służy celom ścigania przestępstw i zastosowanie miałoby RODO UK. Zob. Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Ramy dotyczące ochrony danych związanych z bezpieczeństwem narodowym i uprawnień dochodzeniowo-śledczych, s. 8, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf.

31

(32)  Art. 2 ust. 1 lit. a) i b) RODO UK.

32

(33)  Art. 2 ust. 2 lit. b) i c) RODO UK.

33

(34)  Ten sam zakres terytorialny ma zastosowanie do przetwarzania danych osobowych na podstawie części 2 DPA 2018, która uzupełnia RODO UK (art. 207 ust. 1A).

34

(35)  Oznacza to w szczególności, że DPA 2018, a tym samym niniejsza decyzja nie ma zastosowania do terytoriów zależnych Korony Brytyjskiej (Jersey, Guernsey i Wyspy Man) ani innych terytoriów zamorskich Zjednoczonego Królestwa, takich jak Falklandy i terytorium Gibraltaru.

35

(36)  Art. 4 ust. 1, 2, 5, 7 i 8 RODO UK.

36

(37)  
  „Dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.

37

(38)  
  „Dane dotyczące zdrowia” oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia.

38

(39)  
  „Dane genetyczne” oznaczają dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej.

39

(40)  Zgodnie z art. 6 ust. 1 RODO UK przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim: a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

40

(41)  Pkt 38–40 załącznika 1 do DPA 2018.

41

(42)  W art. 13 ust. 1 lit. f) i art. 14 ust. 1 lit. f) odniesienia do decyzji Komisji stwierdzających odpowiedni stopień ochrony zastąpiono odniesieniami do równoważnego aktu Zjednoczonego Królestwa, tj. rozporządzeń stwierdzających odpowiedni stopień ochrony na podstawie DPA 2018. Ponadto w art. 14 ust. 5 lit. c)–d) odniesienia do prawa Unii lub prawa państwa członkowskiego zastąpiono odniesieniem do prawa krajowego (jako przykłady takiego przepisu krajowego, który może wchodzić w zakres stosowania art. 14 ust. 5 lit. c), Zjednoczone Królestwo wymieniło art. 7 ustawy o sprzedawcach złomu z 2013 r., w którym określono przepisy dotyczące rejestru pozwoleń na obrót złomem, lub część 35 ustawy o spółkach z 2006 r., w której to części określono przepisy dotyczące urzędnika rejestru spółek. Podobnie przykładem przepisu krajowego, który może wchodzić w zakres stosowania art. 14 ust. 5 lit. d), mogą być przepisy określające zasady tajemnicy zawodowej, zobowiązania odzwierciedlone w umowach o pracę lub wynikający z common law obowiązek zachowania poufności (np. dane osobowe przetwarzane przez pracowników służby zdrowia, działy zasobów ludzkich, pracowników socjalnych itp.).

42

common law

(43)  W art. 17 ust. 1 lit. e) i art. 17 ust. 3 lit. b) odniesienia do prawa UE lub państwa członkowskiego zastąpiono odniesieniem do prawa krajowego (jako przykłady takiego prawa krajowego na podstawie art. 17 ust. 1 lit. e) Zjednoczone Królestwo wymieniło rozporządzenie w sprawie informacji o edukacji i uczniach w Anglii z 2006 r., w którym ustanowiono wymóg usunięcia nazwisk uczniów z rejestrów szkolnych po opuszczeniu przez nich szkoły, lub art. 34F ustawy medycznej z 1983 r., w którym określono zasady usuwania nazwisk z rejestru lekarzy ogólnych i rejestru lekarzy specjalistów.

43

(44)  Projekt kodeksu postępowania jest dostępny pod następującym adresem: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf.

44

(45)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja E: Ograniczenia, s. 1, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

(46)  Open Rights Group i in., Korona (powodowie) przeciwko Secretary of State for the Home Department i in. [2019] EWHC 2562 (Admin), pkt 40 i 41.

46

(47)  Guriev przeciwko Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), pkt 43. W tej kwestii zob. również Lin przeciwko Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), pkt 80.

47

(48)  Pkt 2 załącznika 2 do DPA 2018.

48

(49)  Pkt 19 załącznika 2 do DPA 2018.

49

(50)  Pkt 20 załącznika 2 do DPA 2018.

50

(51)  Pkt 21 załącznika 2 do DPA 2018.

51

(52)  Na przykład ograniczenia prawa do powiadomienia o naruszeniu ochrony danych są dopuszczalne wyłącznie w odniesieniu do przestępczości i podatków (pkt 2 załącznika 2 do DPA 2018), przywileju parlamentarnego (pkt 13 załącznika 2 do DPA 2018) oraz przetwarzania do celów dziennikarskich, akademickich, artystycznych i literackich (art. 26 załącznika 2 do DPA 2018).

52

(53)  Pkt 2 załącznika 2 do DPA 2018.

53

(54)  Korona (Lord) przeciwko Secretary of State for the Home Department [2003] EWHC 2073 (Admin), pkt 100 oraz Guriev przeciwko Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), pkt 43.

54

(55)  Open Rights Group i in., Korona (powodowie) przeciwko Secretary of State for the Home Department i in., pkt 31.

55

(56)  Zgodnie z informacjami dostarczonymi przez władze Zjednoczonego Królestwa, jeżeli przetwarzanie odbywa się w kontekście bezpieczeństwa narodowego, administratorzy będą zazwyczaj stosować wzmocnione zabezpieczenia i środki bezpieczeństwa w odniesieniu do przetwarzania, odzwierciedlające wrażliwy charakter przetwarzania. To, które zabezpieczenia są odpowiednie, będzie zależało od ryzyka związanego z przetwarzaniem. Mogą one obejmować ograniczenia dostępu do danych, tak aby miały do nich dostęp wyłącznie osoby upoważnione posiadające odpowiednie poświadczenie bezpieczeństwa, ścisłe ograniczenia w zakresie udostępniania danych oraz wysoki standard bezpieczeństwa stosowany w procedurach dotyczących przechowywania danych i postępowania z danymi.

56

(57)  Zob. również Guriev przeciwko Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), pkt 45; Lin przeciwko Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), pkt 80.

57

(58)  Zob. wytyczne Komisarza ds. Informacji na temat wyjątku dotyczącego bezpieczeństwa narodowego i obrony, dostępne pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/.

58

(59)  Zgodnie z przykładem przedstawionym przez władze Zjednoczonego Królestwa, jeżeli osoba podejrzana o terroryzm, w sprawie której MI5 prowadzi dochodzenie, złożyłaby do Home Office wniosek o udzielenie dostępu (np. z uwagi na fakt, że jest zaangażowana w spór z Home Office dotyczący kwestii imigracyjnych), niezbędne byłoby zapewnienie ochrony przed ujawnieniem tej osobie, jakichkolwiek danych, które MI5 ewentualnie udostępniło wcześniej Home Office w związku z trwającymi dochodzeniami, co mogłoby narazić na szwank wrażliwe źródła, metody lub techniki lub prowadzić do zwiększenia zagrożenia stwarzanego przez daną osobę. W takich okolicznościach prawdopodobnie zostałby osiągnięty próg wymagany do zastosowania wyłączenia określonego w art. 26 i wyłączenie od ujawniania informacji byłoby konieczne w celu ochrony bezpieczeństwa narodowego. Jeżeli jednak Home Office posiadałoby również dane osobowe dotyczące wspomnianej osoby, które nie były związane z dochodzeniem MI5 i które to informacje mogłyby zostać przekazane bez ryzyka naruszenia bezpieczeństwa narodowego, wówczas wyłączenie dotyczące bezpieczeństwa narodowego nie miałoby zastosowania przy rozważaniu ujawnienia informacji tej osobie. Komisarz ds. Informacji opracowuje obecnie wytyczne dotyczące sposobu, w jaki administratorzy powinni podchodzić do stosowania wyłączenia przewidzianego w art. 26. Oczekuje się, że wytyczne zostaną opublikowane do końca marca 2021 r.

59

(60)  Trybunał ds. Ochrony Danych ustanowiono w celu rozpatrywania odwołań w sprawach dotyczących ochrony danych osobowych na mocy ustawy o ochronie danych z 1984 r. W 2010 r. Trybunał ds. Ochrony Danych stał się częścią Izby ds. Regulatorów Trybunału Pierwszej Instancji (General Regulatory Chamber of the First Tier Tribunal) w ramach reformy struktury systemu sądowego Zjednoczonego Królestwa.

60

(61)  Zob. Baker przeciwko Secretary of State for the Home Department [2001] UKIT NSA2 („Baker przeciwko Secretary of State”).

61

(62)  Zob. art. 85 RODO UK i część 5 pkt 26 ppkt 9 załącznika 2 do DPA 2018.

62

(63)  Zgodnie z częścią 5 pkt 26 ppkt 2 załącznika 2 do DPA 2018 wyłączenie ma zastosowanie do przetwarzania danych osobowych dokonywanego w szczególnych celach (dziennikarskich, akademickich, artystycznych i literackich), jeżeli przetwarzanie odbywa się w celu opublikowania przez osobę materiału dziennikarskiego, akademickiego, artystycznego lub literackiego, a administrator jest zasadnie przekonany, że publikacja tego materiału będzie leżała w interesie publicznym. Ustalając, czy publikacja leżałaby w interesie publicznym, administrator musi wziąć pod uwagę szczególne znaczenie interesu publicznego w zakresie wolności wypowiedzi i informacji. Ponadto administrator musi uwzględnić kodeksy postępowania lub wytyczne mające zastosowanie do danej publikacji (wytyczne redakcyjne BBC [BBC Editorial Guidelines], kodeks nadawania Ofcom [Ofcom Broadcasting Code] oraz kodeks postępowania redaktorów [Editors’ Code of Practice]). Ponadto, aby wyłączenie miało zastosowanie, administrator musi mieć zasadne przekonanie, że zachowanie zgodności z odpowiednim przepisem byłoby niezgodne ze szczególnymi celami (pkt 26 ppkt 3 załącznika 2 do DPA 2018).

63

(64)  W wyroku w sprawie NT1 przeciwko Google [2018] EWHC 799 (QB), pkt 102 odniesiono się do dyskusji na temat tego, czy administrator danych był zasadnie przekonany, że publikacja leży w interesie publicznym, a zachowanie zgodności z odpowiednimi przepisami jest niezgodne ze szczególnymi celami. Trybunał stwierdził, że art. 32 ust. 1 lit. b) i c) ustawy o ochronie danych z 1998 r. zawiera element subiektywny i obiektywny: administrator danych musi wykazać, że był przekonany, iż publikacja leży w interesie publicznym, oraz że przekonanie to było obiektywnie zasadne; musi on dojść do subiektywnego przekonania, że zgodność z przepisami, w odniesieniu do których zamierza skorzystać z wyłączenia, byłaby sprzeczna z odnośnymi szczególnymi celami.

64

(65)  Przykład sposobu zastosowania kryterium „zasadnego przekonania” przedstawiono w decyzji Komisarza ds. Informacji o nałożeniu grzywny na True Visions Productions, którą podjęto na podstawie ustawy o ochronie danych z 1998 r. Komisarz ds. Informacji przyjął, że administrator mediów miał subiektywne przekonanie, że zgodność z pierwszą zasadą ochrony danych (rzetelność i zgodność z prawem) była sprzeczna z celami dziennikarskimi. Komisarz ds. Informacji nie uznał jednak tego przekonania za obiektywnie zasadne. Decyzja Komisarza ds. Informacji jest dostępna pod adresem: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf.

65

(66)  Zgodnie z wytycznymi organizacje muszą być w stanie wyjaśnić, dlaczego przestrzeganie odpowiedniego przepisu ustawy o ochronie danych z 1998 r. jest niezgodne z celami dziennikarskimi. W szczególności administratorzy muszą zrównoważyć szkodliwy wpływ, jaki przestrzeganie przepisów miałoby na dziennikarstwo, ze szkodliwym wpływem, jaki nieprzestrzeganie przepisów miałoby na prawa osoby, której dane dotyczą. Jeżeli dziennikarz jest w stanie racjonalnie osiągnąć swoje cele redakcyjne w sposób zgodny ze standardowymi przepisami ustawy o ochronie danych, ma obowiązek tak postąpić. Organizacje muszą być w stanie uzasadnić zastosowanie ograniczenia w odniesieniu do każdego przepisu, którego nie przestrzegają. „Ochrona danych i dziennikarstwo: wytyczne dla mediów”, dostępne pod adresem: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf.

66

(67)  Przykłady interesu publicznego obejmują ujawnienie lub wykrycie przestępstwa, ochronę zdrowia lub bezpieczeństwa publicznego, ujawnienie wprowadzających w błąd oświadczeń składanych przez osoby fizyczne lub organizacje lub ujawnienie niekompetencji mającej wpływ na społeczeństwo. Zob. wytyczne OFCOM dostępne pod adresem: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf i wytyczne redakcyjne BBC dostępne pod adresem: https://www.bbc.com/editorialguidelines/guidelines/privacy.

67

(68)  Zob. art. 89 RODO UK oraz część 6 pkt 27 ppkt 2 i pkt 28 ppkt 2 załącznika 2 do DPA 2018.

68

(69)  Odbywa się to z zastrzeżeniem wymogu, aby dane osobowe były przetwarzane zgodnie z art. 89 ust. 1 RODO UK uzupełnionego art. 19 DPA 2018.

69

(70)  Zob. motywy 281–287.

70

(71)  Z wyjątkiem art. 48 rozporządzenia (UE) 2016/679, którego Zjednoczone Królestwo postanowiło nie włączać do RODO UK. W tym względzie należy przede wszystkim przypomnieć, że standard, który należy uznać za zapewniający odpowiedni poziom ochrony, to standard „zasadniczej równoważności”, a nie identyczności, jak wyjaśnił Trybunał Sprawiedliwości Unii Europejskiej (Schrems I, pkt 73–74) i jak uznała EROD (Odpowiedni stopień ochrony przekazywanych danych osobowych, s. 3). W związku z tym, jak wyjaśniła Europejska Rada Ochrony Danych w swoich wytycznych dotyczących odpowiedniego stopnia ochrony przekazywanych danych osobowych, „celem nie jest odzwierciedlenie punkt po punkcie prawodawstwa europejskiego, ale ustanowienie zasadniczych, tj. podstawowych, wymogów tego prawodawstwa”. W związku z tym należy zauważyć, że chociaż porządek prawny Zjednoczonego Królestwa formalnie nie zawiera przepisu identycznego z art. 48, taki sam skutek gwarantują inne przepisy i zasady: w odpowiedzi na wniosek o przekazanie danych osobowych, złożony przez sąd lub organ administracyjny państwa trzeciego, dane osobowe mogą zostać przekazane do tego państwa trzeciego jedynie wówczas, gdy istnieje umowa międzynarodowa, na podstawie której orzeczenie lub decyzja administracyjna tego państwa trzeciego są uznawane lub wykonywane w Zjednoczonym Królestwie, bądź gdy przekazanie danych opiera się na jednym z mechanizmów przekazania określonych w rozdziale V RODO UK. Ściślej rzecz ujmując, aby wykonać orzeczenie zagraniczne, sądy w Zjednoczonym Królestwie muszą być w stanie wskazać zasadę prawa precedensowego (common law) lub ustawę, które pozwalają na jego wykonalność. Niemniej jednak ani prawo precedensowe (zob. Adams i in. przeciwko Cape Industries Plc., [1990] 2 W.L.R. 657), ani ustawy nie przewidują wykonywania orzeczeń zagranicznych wymagających przekazania danych w przypadku braku obowiązującej umowy międzynarodowej. W związku z tym wnioski o przekazanie danych są na mocy prawa Zjednoczonego Królestwa bezskuteczne w sytuacji braku takiej umowy międzynarodowej. Ponadto każde przekazanie danych osobowych do państw trzecich – w tym na wniosek zagranicznego sądu lub organu administracyjnego – nadal podlega ograniczeniom określonym w rozdziale V RODO UK, które są identyczne z odpowiednimi przepisami rozporządzenia (UE) 2016/679, i w związku z tym musi opierać się na jednej z podstaw przekazania określonych w rozdziale V, zgodnie ze szczególnymi warunkami, którym takie przekazanie podlega na mocy tego rozdziału.

71

common law

(72)  Władze Zjednoczonego Królestwa wyjaśniły, że opis państwa lub organizacji międzynarodowej odnosi się do sytuacji, w której konieczne byłoby dokonanie szczegółowego i częściowego określenia odpowiedniości ochrony przy konkretnych ograniczeniach (np. rozporządzeniu stwierdzającym odpowiedni stopień ochrony wyłącznie w odniesieniu do określonych rodzajów przekazywania danych).

72

(73)  Zob. protokół ustaleń między Sekretarzem Stanu Departamentu Cyfryzacji, Kultury, Mediów i Sportu a Biurem Komisarza ds. Informacji w sprawie roli Komisarza ds. Informacji w zakresie nowej oceny adekwatności w Zjednoczonym Królestwie, dostępny pod adresem: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

73

(74)  W przypadku przyjęcia takiego wniosku w drodze głosowania, rozporządzenia ostatecznie przestaną wywoływać jakikolwiek dalszy skutek prawny.

74

(75)  W RODO UK pozostawiono w mocy reguły określone w art. 47 rozporządzenia (UE) 2016/679, wprowadzając wyłącznie zmiany służące dostosowaniu przepisów do kontekstu krajowego, np. poprzez zastąpienie odniesień do właściwego organu nadzorczego odniesieniami do Komisarza ds. Informacji, usunięcie odniesienia do mechanizmu spójności, o którym mowa w ust. 1, oraz usunięcie całego ust. 3.

75

(76)  Zgodnie z art. 49 RODO UK przekazanie danych jest możliwe, jeżeli spełniono jeden z poniższych warunków: a) osoba, której dane dotyczą, poinformowana o ewentualnym ryzyku, z którym – ze względu na brak decyzji stwierdzającej odpowiedni stopień ochrony oraz na brak odpowiednich zabezpieczeń – może się dla niej wiązać proponowane przekazanie, wyraźnie wyraziła na nie zgodę; b) przekazanie jest niezbędne do wykonania umowy między osobą, której dane dotyczą, a administratorem lub do wprowadzenia w życie środków przedumownych podejmowanych na żądanie osoby, której dane dotyczą; c) przekazanie jest niezbędne do zawarcia lub wykonania umowy zawartej w interesie osoby, których dane dotyczą, między administratorem a inną osobą fizyczną lub prawną; d) przekazanie jest niezbędne ze względu na ważne względy interesu publicznego; e) przekazanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń; f) przekazanie jest niezbędne do ochrony żywotnych interesów osoby, których dane dotyczą, lub innych osób, jeżeli osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; lub g) przekazanie następuje z rejestru, który zgodnie z prawem krajowym ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes – ale wyłącznie w zakresie, w jakim w danym przypadku spełnione zostały warunki takiego dostępu określone w prawie krajowym. Ponadto, jeżeli nie ma zastosowania żaden z wymienionych wyżej warunków, przekazanie może nastąpić wyłącznie, gdy przekazanie nie jest powtarzalne, dotyczy tylko ograniczonej liczby osób, których dane dotyczą, jest niezbędne ze względu na ważne prawnie uzasadnione interesy realizowane przez administratora, wobec których charakteru nadrzędnego nie mają interesy ani prawa i wolności osoby, której dane dotyczą, a administrator ocenił wszystkie okoliczności przekazania danych i na podstawie tej oceny zapewnił odpowiednie zabezpieczenia w zakresie ochrony danych osobowych.

76

(77)  W motywie 111 RODO UK stwierdza się, że przekazywanie danych w związku z umową lub roszczeniami może nastąpić tylko wtedy, gdy ma charakter sporadyczny.

77

(78)  Wytyczne Komisarza ds. Informacji dotyczące międzynarodowego przekazywania danych, dostępne pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7.

78

(79)  Przez maksymalny okres sześciu miesięcy kończący się najpóźniej 30 czerwca 2021 r. stosowanie tych nowych ram należy interpretować w świetle art. 782 umowy o handlu i współpracy między Unią Europejską i Europejską Wspólnotą Energii Atomowej, z jednej strony, a Zjednoczonym Królestwem Wielkiej Brytanii i Irlandii Północnej, z drugiej strony (L 444/14 z 31.12.2020) („umowa o handlu i współpracy między Unią Europejską a Zjednoczonym Królestwem”), dostępnej pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:22020A1231(01)&from=PL.

79

(80)  W stosownych przypadkach odniesienia te zastępuje się odniesieniami do władz Zjednoczonego Królestwa. Na przykład zgodnie z art. 17 DPA 2018 Komisarz ds. Informacji lub krajowa jednostka akredytująca Zjednoczonego Królestwa może udzielić akredytacji osobie spełniającej wymogi określone w art. 43 RODO UK do celów monitorowania zgodności z certyfikacją.

80

(81)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2019–2020, dostępne pod adresem: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf.

81

(82)  Relacje między tymi dwoma podmiotami reguluje umowa o zarządzanie. W szczególności kluczowe obowiązki Departamentu Cyfryzacji, Kultury, Mediów i Sportu jako departamentu finansującego obejmują: zapewnienie Komisarzowi ds. Informacji odpowiedniego finansowania i odpowiednich zasobów; reprezentowanie interesów Komisarza ds. Informacji przed parlamentem i innymi departamentami rządowymi; zapewnienie solidnych krajowych ram ochrony danych oraz zapewnienie wytycznych i wsparcia na rzecz Biura Komisarza ds. Informacji w zakresie kwestii korporacyjnych, taki jak kwestie dotyczące nieruchomości, najmu i zamówień publicznych (umowa o zarządzanie na lata 2018–2021, dostępna pod adresem: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

82

(83)  Kodeks zarządzania w zakresie nominacji publicznych, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf.

83

(84)  Drugie sprawozdanie z sesji Komisji Kultury, Mediów i Sportu 2015–2016 w Izbie Gmin, dostępne pod adresem: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

84

(85)  
  „Oświadczenie” oznacza wniosek składany w parlamencie, służący zapoznaniu monarchy z opiniami parlamentu na dany temat.

85

(86)  Punkt 3 ppkt 3 załącznika 12 do DPA 2018.

86

(87)  Art. 137 DPA 2018, zob. motyw 17.

87

(88)  Art. 137 i 138 DPA 2018 zawiera szereg zabezpieczeń służących zapewnieniu ustalenia opłat na odpowiednim poziomie. W szczególności w art. 137 ust. 4 wymieniono kwestie, jakie Sekretarz Stanu musi uwzględnić przy tworzeniu przepisów określających kwotę, którą muszą zapłacić różne organizacje. Po drugie, art. 138 ust. 1 i art. 182 DPA 2018 zawierają również wymóg prawny, aby Sekretarz Stanu przed wprowadzeniem przepisów zasięgnął opinii Komisarza ds. Informacji i innych przedstawicieli osób, których przepisy te mogą dotyczyć. Ponadto zgodnie z art. 138 ust. 2 DPA 2018 Komisarz ds. Informacji jest zobowiązany do prowadzenia stałego przeglądu funkcjonowania rozporządzenia w sprawie opłat i może przedstawić Sekretarzowi Stanu propozycje zmian, które należy wprowadzić do rozporządzenia. Z wyjątkiem przypadków gdy przepisy są tworzone w celu uwzględnienia wzrostu wskaźnika cen towarów i usług konsumpcyjnych (w którym to przypadku podlegają one procedurze milczącej zgody [negative resolution procedure]), przepisy podlegają ponadto procedurze wyraźnej zgody (affirmative resolution procedure), a ich przyjęcie jest możliwe po zatwierdzeniu ich uchwałą każdej izby parlamentu.

88

negative resolution procedure

affirmative resolution procedure

(89)  W umowie o zarządzanie wyjaśniono, że „Sekretarz Stanu może dokonywać płatności na rzecz Komisarza ds. Informacji ze środków zapewnianych przez Parlament na mocy pkt 9 załącznika 12 do DPA 2018. Po konsultacji z Komisarzem ds. Informacji Departament Cyfryzacji, Kultury, Mediów i Sportu wypłaci Komisarzowi ds. Informacji odpowiednią kwotę (subwencję) na pokrycie kosztów administracyjnych Komisarza ds. Informacji i kosztów związanych z pełnieniem funkcji Komisarza ds. Informacji w odniesieniu do szeregu konkretnych funkcji, w tym swobodnego dostępu do informacji” (umowa o zarządzanie na lata 2018–2021, pkt 1.12, zob. przypis 82).

89

(90)  Zob. art. 134 DPA 2018.

90

(91)  Art. 142 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 143 DPA 2018).

91

(92)  Art. 146 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 147 DPA 2018).

92

(93)  Art. 149–151 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 152 DPA 2018).

93

(94)  Art. 155 DPA 2018 i art. 83 RODO UK.

94

(95)  Wynika to z art. 155 ust. 1 DPA 2018 w związku z art. 149 ust. 2 i 5 DPA 2018 oraz z art. 156 ust. 4 DPA 2018, który ogranicza wydawanie zawiadomień w sprawie sankcji wyłącznie w odniesieniu do komisarzy majątku Korony i administratorów dworu królewskiego na podstawie art. 209 ust. 4 DPA 2018.

95

(96)  Polityka działań regulacyjnych, dostępna pod adresem: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

96

(97)  W tym charakter i wagę naruszenia (przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody), umyślny lub nieumyślny charakter naruszenia, wszelkie działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przed osoby, których dane dotyczą, stopień odpowiedzialności administratora lub podmiotu przetwarzającego (z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich), wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; stopień współpracy z Komisarzem ds. Informacji, kategorie danych osobowych, których dotyczyło naruszenie, wszelkie inne czynniki obciążające lub łagodzące mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

97

(98)  Według informacji przekazanych przez władze Zjednoczonego Królestwa, w okresie objętym rocznym sprawozdaniem Komisarza ds. Informacji za lata 2019–2020 w ok. 25 % spraw nie stwierdzono naruszenia; w ok. 29 % spraw zwrócono się do osoby, której dane dotyczą, o zgłoszenie problemu w pierwszej kolejności administratorowi danych, i wstrzymanie się z dalszymi działaniami do czasu uzyskania odpowiedzi administratora albo o dalszy dialog z administratorem danych; w ok. 17 % spraw nie stwierdzono żadnego naruszenia, ale udzielono porady administratorowi danych; w ok. 25 % spraw Komisarz ds. Informacji stwierdził naruszenie i udzielił porady administratorowi danych albo zobowiązał go do podjęcia określonych działań; w ok. 3 % spraw ustalono, że skarga nie jest objęta zakresem stosowania rozporządzenia (UE) 2016/679, a ok. 1 % spraw przekazano innemu organowi ochrony danych w ramach Europejskiej Rady Ochrony Danych.

98

(99)  Komisarz ds. Informacji może wszczynać takie postępowania na podstawie informacji otrzymanych z różnych źródeł, w tym ze zgłoszeń dotyczących naruszenia ochrony danych osobowych, wniosków o wydanie opinii od innych organów publicznych Zjednoczonego Królestwa lub zagranicznych organów ochrony danych oraz ze skarg od osób fizycznych lub organizacji społeczeństwa obywatelskiego.

99

(100)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2019–2020 (zob. przypis 81).

100

(101)  Zgodnie z poprzednim sprawozdaniem rocznym obejmującym okres 2018–2019, w okresie sprawozdawczym Komisarz ds. Informacji wydał 22 zawiadomienia w sprawie sankcji na podstawie DPA 1998; nałożone grzywny wyniosły łącznie 3 010 610 GBP, w tym dwie grzywny w wysokości 500 000 GBP (maksymalna dozwolona kwota na mocy DPA 1998). W 2018 r. w następstwie doniesień dotyczących Cambridge Analytica Komisarz ds. Informacji przeprowadził w szczególności postępowanie w sprawie wykorzystania analizy danych do celów politycznych. W wyniku postępowania sporządzono sprawozdanie dotyczące polityki, zestaw zaleceń, nałożono karę w wysokości 500 000 GBP na Facebook oraz wydano zawiadomienie egzekucyjne skierowane do Aggregate IQ, kanadyjskiego brokera informacji, w którym nakazano przedsiębiorstwu usunięcie posiadanych przez nie danych osobowych dotyczących obywateli i mieszkańców Zjednoczonego Królestwa (zob. sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2018–2019, dostępne pod adresem: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf).

101

(102)  Podsumowanie podjętych działań w zakresie egzekwowania przepisów znajduje się na stronie internetowej Komisarza ds. Informacji pod adresem: https://ico.org.uk/action-weve-taken/enforcement/.

102

(103)  Art. 170 DPA 2018.

103

(104)  Art. 171 DPA 2018.

104

(105)  Art. 119 DPA 2018.

105

(106)  Art. 144 i 148 DPA 2018.

106

(107)  Art. 117 DPA 2018.

107

(108)  Panel jest odpowiedzialny za zapewnienie wytycznych i szkoleń dla wymiaru sprawiedliwości. Rozpatruje on również skargi wniesione przez osoby, których dane dotyczą, dotyczące przetwarzania danych osobowych przez sądy, trybunały i osoby fizyczne w ramach sprawowania przez nie wymiaru sprawiedliwości. Celem panelu jest zapewnienie środków umożliwiających rozpatrzenie wszelkich skarg. Jeżeli skarżący nie jest zadowolony z decyzji podjętej przez panel i dostarcza dodatkowy materiał dowodowy, panel może ponownie rozważyć swoją decyzję. Chociaż sam panel nie nakłada sankcji finansowych, jeżeli uzna, że doszło do wystarczająco poważnego naruszenia przepisów DPA 2018, może skierować sprawę do Biura ds. Badania Funkcjonowania Wymiaru Sprawiedliwości (Judicial Conduct Investigation Office, JCIO), które rozpatrzy skargę. Jeżeli skarga zostanie podtrzymana, lord kanclerz (Lord Chancellor) i Lord Chief Justice (lub sędzia wyższego szczebla upoważniony do działania w jego imieniu) decydują o tym, jakie działania należy podjąć wobec osoby sprawującej urząd. Działania te mogą obejmować, według stopnia powagi: formalną opinię, formalne ostrzeżenie i upomnienie, a w ostateczności usunięcie ze stanowiska. Jeżeli dana osoba jest niezadowolona ze sposobu rozpatrzenia skargi przez JCIO, może złożyć dalszą skargę do Rzecznika Praw Obywatelskich ds. mianowań sądowych i postępowania sądowego (Judicial Appointments and Conduct Ombudsman) (zob. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Rzecznik Praw Obywatelskich jest uprawniony do zwrócenia się do JCIO o ponowne rozpatrzenie skargi i może zaproponować wypłatę odszkodowania na rzecz skarżącego, jeżeli uważa, że poniósł on szkodę w wyniku niewłaściwego administrowania.

108

(109)  Oświadczenie o ochronie prywatności wydane przez Lord Chief Justice i Senior President of Tribunals jest dostępne pod adresem: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.

109

(110)  Oświadczenie o ochronie prywatności wydane przez Lord Chief Justice Irlandii Północnej jest dostępne pod adresem: https://judiciaryni.uk/data-privacy.

110

(111)  Oświadczenie o ochronie prywatności szkockich sądów i trybunałów jest dostępne pod adresem: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.

111

(112)  Sędzia sprawujący nadzór nad ochroną danych osobowych udziela wskazówek kadrom wymiaru sprawiedliwości i bada naruszenia lub skargi dotyczące przetwarzania danych osobowych przez sądy lub osoby fizyczne w ramach sprawowania przez nie wymiaru sprawiedliwości.

112

(113)  W przypadku uznania, że skarga lub naruszenie są poważne, przekazuje się je urzędnikowi ds. skarg sądowych w celu przeprowadzenia dalszego dochodzenia zgodnie z kodeksem postępowania w sprawie skarg opublikowanym przez Lord Chief Justice Irlandii Północnej. Skutkiem takiej skargi może być: zaniechanie dalszych działań, porada, szkolenie lub opieka mentorska, nieformalne ostrzeżenie, formalne ostrzeżenie, ostatnie ostrzeżenie, ograniczenie praktyki lub skierowanie sprawy do ustawowego trybunału. Kodeks postępowania w sprawie skarg opublikowany przez Lord Chief Justice Irlandii Północnej jest dostępny pod adresem: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

113

(114)  Każda uzasadniona skarga jest badana przez sędziego sprawującego nadzór nad ochroną danych osobowych i kierowana do Lord President, który ma prawo udzielić porady, formalnego ostrzeżenia lub nagany, jeśli uzna to za konieczne (równoważne zasady obowiązują członków trybunałów i są dostępne pod adresem: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

114

(115)  Art. 77 RODO UK.

115

(116)  Art. 166 DPA 2018 odnosi się w szczególności do następujących sytuacji: a) gdy Komisarz nie podejmie odpowiednich kroków w celu udzielenia odpowiedzi na skargę; b) gdy Komisarz nie przekaże skarżącemu informacji o postępach w rozpatrywaniu skargi lub o skutkach rozpatrzenia skargi w terminie trzech miesięcy od chwili otrzymania skargi przez Komisarza; lub c) jeżeli, w przypadku niezakończenia rozpatrywania skargi w tym okresie, Komisarz nie poinformuje o tym skarżącego w okresie kolejnych trzech miesięcy.

116

(117)  Art. 78 ust. 2 RODO UK i art. 166 DPA 2018.

117

(118)  Art. 78 ust. 1 RODO UK i art. 162 DPA 2018.

118

(119)  Art. 7 ust. 1 ustawy o prawach człowieka z 1998 r. Zgodnie z art. 7 ust. 7 osoba jest ofiarą działania niezgodnego z prawem tylko wówczas, gdy byłaby ofiarą w rozumieniu art. 34 Konwencji o ochronie praw człowieka i podstawowych wolności, gdyby w związku z tym działaniem wszczęto postępowanie przed Europejskim Trybunałem Praw Człowieka.

119

(120)  Art. 8 ust. 1 ustawy o prawach człowieka z 1998 r.

120

(121)  Zob. Schrems II, pkt 174–175 i przywołane tam orzecznictwo. W odniesieniu do dostępu organów publicznych państw członkowskich zob. również sprawa C-623/17 Privacy International, ECLI:EU:C:2020:790, pkt 65 oraz sprawy połączone C-511/18, C-512/18 i C-520/18 La Quadrature du Net i in., ECLI:EU:C:2020:791, pkt 175.

121

(122)  Zob. Schrems II, pkt 176 i 181, oraz przywołane tam orzecznictwo. W odniesieniu do dostępu organów publicznych państw członkowskich zob. również Privacy International, pkt 68, oraz La Quadrature du Net i in., pkt 132.

122

(123)  Zob. Schrems II, pkt 176. W odniesieniu do dostępu organów publicznych państw członkowskich zob. również Privacy International, pkt 68, oraz La Quadrature du Net i in., pkt 132.

123

(124)  Zob. Schrems II, pkt 179.

124

(125)  Zob. Schrems II, pkt 181–182.

125

(126)  Zob. Schrems I, pkt 95, i Schrems II, pkt 194. W tym zakresie TSUE podkreślił w szczególności, że poszanowanie art. 47 Karty praw podstawowych, gwarantującego prawo do skutecznego środka prawnego przed niezawisłym i bezstronnym sądem, „przyczynia się do wypracowania wymaganego w Unii stopnia ochrony i [jego] poszanowanie Komisja musi stwierdzić, zanim wyda na podstawie art. 45 ust. 1 rozporządzenia (UE) 2016/679 decyzję stwierdzającą odpowiedni stopień ochrony” (Schrems II, pkt 186).

126

(127)  Art. 6 ustawy o prawach człowieka z 1998 r.

127

(128)  Europejski Trybunał Praw Człowieka, Klass i in./Niemcy, skarga nr 5029/71, pkt 17–51.

128

(129)  Europejski Trybunał Praw Człowieka, Kennedy/Zjednoczone Królestwo, skarga nr 26839/05, („Kennedy”), pkt 167 i 190.

129

(130)  Więcej informacji na temat Konwencji o ochronie praw człowieka i podstawowych wolności i wprowadzenia jej do prawa Zjednoczonego Królestwa ustawą o prawach człowieka z 1998 r., jak również na temat konwencji nr 108, można znaleźć w motywie 9.

130

(131)  Podobnie, zgodnie z art. 11 konwencji nr 108+, ograniczenia niektórych szczególnych praw i obowiązków wynikających z konwencji do celów bezpieczeństwa narodowego lub zapobiegania przestępczości, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych i wykonywania kar są dopuszczalne wyłącznie wtedy, gdy takie ograniczenie jest przewidziane prawem, nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym. Czynności przetwarzania do celów bezpieczeństwa narodowego i obrony muszą również podlegać niezależnemu i skutecznemu przeglądowi i nadzorowi na mocy ustawodawstwa krajowego danej strony konwencji.

131

(132)  Art. 31 DPA 2018.

132

(133)  Właściwe organy wymienione w załączniku 7 obejmują nie tylko siły policyjne, ale również wszystkie ministerialne departamenty rządowe Zjednoczonego Królestwa, a także inne organy pełniące funkcje dochodzeniowo-śledcze (np. Commissioner for Her Majesty’s Revenue and Customs (organ podatkowy i celny Zjednoczonego Królestwa), National Crime Agency (Krajową Agencję ds. Zwalczania Przestępczości), Welsh Revenue Authority (walijski organ skarbowy), Competition and Markets Authority (urząd ds. konkurencji i rynków) lub Her Majesty’s Land Register (rejestr gruntów Zjednoczonego Królestwa), organy prokuratorskie, inne organy wymiaru sprawiedliwości w sprawach karnych i inne podmioty uprawnione lub organizacje, które prowadzą działania związane ze ściganiem przestępstw (m.in. wymienieni w załączniku 7 DPA 2018 dyrektorzy prokuratury, Dyrektor Urzędu Prokuratury Irlandii Północnej lub Komisarz ds. Informacji).

133

(134)  Art. 30 ust. 2 DPA 2018.

134

(135)  Art. 35 DPA 2018.

135

(136)  Art. 36 DPA 2018.

136

(137)  Art. 37 DPA 2018.

137

(138)  Art. 38 DPA 2018.

138

(139)  Art. 39 DPA 2018.

139

(140)  Art. 40 DPA 2018.

140

(141)  Art. 44 DPA 2018.

141

(142)  Art. 45 DPA 2018.

142

(143)  Art. 46 i 47 DPA 2018.

143

(144)  Art. 49 i 50 DPA 2018.

144

(145)  Art. 56–65 DPA 2018.

145

(146)  Art. 66 DPA 2018.

146

(147)  Art. 67–68 DPA 2018.

147

(148)  Art. 69-71 DPA 2018.

148

(149)  Art. 67–68 DPA 2018.

149

(150)  Część 3 rozdział 5 DPA 2018.

150

(151)  Zgodnie z art. 86 ust. 6 DPA 2018, aby stwierdzić rzetelność i przejrzystość przetwarzania, należy uwzględnić metodę wykorzystaną do uzyskania tych danych. W tym sensie wymóg rzetelności i przejrzystości jest spełniony, jeśli dane uzyskano od osoby, która jest zgodnie z prawem upoważniona lub zobowiązana do ich dostarczenia.

151

(152)  Zgodnie z art. 87 DPA 2018 cele przetwarzania muszą być konkretne, wyraźne i prawnie uzasadnione. Danych nie można przetwarzać w sposób niezgodny z celami, dla których zostały zebrane. Zgodnie z art. 87 ust. 3 DPA 2018 dalsze zgodne z celami przetwarzanie danych osobowych może być dozwolone tylko wtedy, gdy administrator jest prawnie upoważniony do przetwarzania danych w tym celu, a przetwarzanie jest niezbędne i proporcjonalne do tego innego celu. Przetwarzanie należy uznać za zgodne z celami, jeśli polega ono na przetwarzaniu do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych i podlega odpowiednim zabezpieczeniom (art. 87 ust. 4 DPA 2018).

152

(153)  Dane osobowe muszą być adekwatne, stosowne i ograniczone do celów, dla których są przetwarzane (art. 88 DPA 2018).

153

(154)  Dane osobowe muszą być prawidłowe i aktualne (art. 89 DPA 2018).

154

(155)  Danych osobowych nie wolno przechowywać dłużej niż jest to niezbędne (art. 90 DPA 2018).

155

(156)  Szósta zasada ochrony danych polega na tym, że dane osobowe muszą być przetwarzane w sposób obejmujący zastosowanie odpowiednich środków bezpieczeństwa w celu zabezpieczenia przed ryzykiem wynikającym z przetwarzania danych osobowych. Ryzyko to obejmuje m.in. przypadkowy lub nieuprawniony dostęp do danych osobowych lub ich zniszczenie, utratę, wykorzystanie, modyfikację lub ujawnienie (art. 91 DPA 2018). W art. 107 wymaga się również, aby: 1) każdy administrator wdrożył odpowiednie środki bezpieczeństwa adekwatne do ryzyka wynikającego z przetwarzania danych osobowych oraz aby 2) w przypadku zautomatyzowanego przetwarzania każdy administrator i każdy podmiot przetwarzający wdrożyli środki zapobiegawcze lub zaradcze na podstawie oceny ryzyka.

156

(157)  Art. 86 ust. 2 lit. b) i załącznik 10 do DPA 2018.

157

(158)  Część 4 rozdział 3 DPA 2018, mianowicie prawa: do dostępu, sprostowania i usunięcia, do wniesienia sprzeciwu wobec przetwarzania i niepodlegania zautomatyzowanemu podejmowaniu decyzji, do interwencji w zautomatyzowane podejmowanie decyzji oraz do uzyskania informacji o podejmowaniu decyzji w taki sposób. Administrator musi ponadto udzielić osobie, której dane dotyczą, informacji na temat przetwarzania jej danych osobowych. Jak wyjaśniono w wytycznych Komisarza ds. Informacji dotyczących przetwarzania danych przez służby wywiadowcze, osoby fizyczne mogą wykonywać wszystkie swoje prawa (w tym dotyczące złożenia wniosku o sprostowanie) poprzez złożenie skargi do Komisarza ds. Informacji lub wniesienie sprawy do sądu (zob. wytyczne Komisarza ds. Informacji dotyczące przetwarzania danych przez służby wywiadowcze, dostępne pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  Art. 103 DPA 2018.

159

(160)  Art. 109 DPA 2018. Przekazywanie danych osobowych do organizacji międzynarodowych lub państw poza terytorium Zjednoczonego Królestwa jest możliwe, jeśli przekazanie jest środkiem niezbędnym i proporcjonalnym stosowanym do celów wykonywania przez administratora funkcji ustawowych lub do innych celów przewidzianych w określonych artykułach ustawy o Służbie Bezpieczeństwa z 1989 r. i ustawy o służbach wywiadowczych z 1994 r.

160

(161)  Wytyczne Komisarza ds. Informacji, zob. przypis 158.

161

Art. 30 DPA 2018 i załącznik 7 do DPA 2018.

(162)  W art. 110 ust. 2 DPA 2018 wymieniono przepisy, w przypadku których dopuszcza się wyłączenie stosowania. Obejmują one zasady ochrony danych (z wyjątkiem zasady zgodności z prawem), prawa osób, których dane dotyczą, obowiązek informowania Komisarza ds. Informacji o naruszeniu ochrony danych, uprawnienia Komisarza ds. Informacji do przeprowadzania kontroli zgodnie z zobowiązaniami międzynarodowymi, określone uprawnienia Komisarza ds. Informacji do egzekwowania przestrzegania przepisów, przepisy, zgodnie z którymi niektóre naruszenia ochrony danych stanowią czyn zabroniony, oraz przepisy dotyczące szczególnych celów przetwarzania, takich jak przetwarzanie do celów dziennikarskich, akademickich czy artystycznych.

162

(163)  Zob. Baker przeciwko Secretary of State, zob. przypis 61.

163

(164)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Ramy dotyczące ochrony danych związanych z bezpieczeństwem narodowym i uprawnień dochodzeniowo-śledczych, s. 15–16 (zob. przypis 31). Zob. również sprawa Baker przeciwko Secretary of State (zob. przypis 61), w której sąd unieważnił poświadczenie bezpieczeństwa narodowego wydane przez Home Secretary (ministra spraw wewnętrznych) i potwierdzające zastosowanie wyjątku dotyczącego bezpieczeństwa narodowego, stwierdzając, że nie ma powodów do określenia ogólnego wyjątku od obowiązku odpowiadania na wnioski o udzielenie dostępu oraz że dopuszczenie takiego wyjątku we wszystkich okolicznościach bez analizy poszczególnych przypadków wykracza poza to, co jest niezbędne i proporcjonalne do ochrony bezpieczeństwa narodowego.

164

(165)  Zob. protokół ustaleń między Komisarzem ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa (UKIC), zgodnie z którym „po otrzymaniu przez Komisarza ds. Informacji skargi od osoby, której dane dotyczą, Komisarz upewnia się, że sprawę rozstrzygnięto prawidłowo i, w stosownych przypadkach, że wszelkie wyłączenia zastosowano w odpowiedni sposób”. Protokół ustaleń między Biurem Komisarza ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa, pkt 16, dostępny pod adresem: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf.

165

(166)  W DPA 2018 uchylono możliwość wydawania poświadczenia na podstawie art. 28 ust. 2 ustawy o ochronie danych z 1998 r. Możliwość wydawania „starych poświadczeń” nadal istnieje jednak w zakresie związanym z ewentualnym zaskarżeniem dotyczącym przeszłości na mocy ustawy z 1998 r. (zob. pkt 17 części 5 załącznika 20 do DPA 2018). Ta możliwość wydaje się jednak mieć zastosowanie jedynie w rzadkich przypadkach, np. gdy osoba, której dane dotyczą, kwestionuje korzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego w odniesieniu do przetwarzania danych przez organ publiczny na mocy ustawy z 1998 r. Należy zauważyć, że w takich przypadkach art. 28 ustawy o ochronie danych z 1998 r. będzie miał zastosowanie w całości, włączając w to możliwość zaskarżenia poświadczenia przed sądem przez osobę, której dane dotyczą.

166

(167)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. Zgodnie z wyjaśnieniem przedstawionym przez władze Zjednoczonego Królestwa, chociaż poświadczenie stanowi jednoznaczny dowód na to, że wyłączenie ma zastosowanie do danych lub przetwarzania określonych w poświadczeniu, nie zwalnia ono administratora z obowiązku zbadania, czy w danym przypadku istnieje potrzeba korzystania z przedmiotowego wyłączenia.

167

(168)  Zgodnie z sekcją 130 DPA 2018 Komisarz ds. Informacji może podjąć decyzję o niepublikowaniu całości lub części tekstu poświadczenia, jeżeli byłoby to sprzeczne z interesem bezpieczeństwa narodowego lub interesem publicznym bądź mogłoby zagrozić bezpieczeństwu jakiejkolwiek osoby. W takich przypadkach Komisarz ds. Informacji publikuje jednak informację o wydaniu poświadczenia.

168

(169)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 15, zob. przypis 167.

169

(170)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 5, zob. przypis 167.

170

(171)  Zob. przypis 164.

171

(172)  Zgodnie z art. 102 DPA 2018 administrator musi być w stanie wykazać, że zastosował się do przepisów tej ustawy. Oznacza to, że służba wywiadowcza musiałaby wykazać Komisarzowi ds. Informacji, że korzystając z wyłączenia, uwzględniła szczególne okoliczności sprawy. Komisarz ds. Informacji publikuje również rejestr poświadczeń bezpieczeństwa narodowego, dostępny pod adresem: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

172

(173)  Wyższy Trybunał jest sądem właściwym do rozpoznawania odwołań od orzeczeń sądów administracyjnych niższej instancji i ma właściwość szczególną w odniesieniu do bezpośrednich odwołań od decyzji określonych organów rządowych.

173

(174)  Art. 111 ust. 3 DPA 2018.

174

(175)  Art. 111 ust. 5 DPA 2018.

175

(176)  W sprawie Baker przeciwko Secretary of State (zob. przypis 61) Trybunał ds. Ochrony Danych unieważnił poświadczenie bezpieczeństwa narodowego wydane przez Home Secretary (ministra spraw wewnętrznych), stwierdzając, że nie ma powodów do określenia ogólnego wyjątku od obowiązku odpowiadania na wnioski o udzielenie dostępu oraz że dopuszczenie takiego wyjątku we wszystkich okolicznościach bez analizy poszczególnych przypadków wykracza poza to, co jest niezbędne i proporcjonalne do ochrony bezpieczeństwa narodowego.

176

(177)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 25, zob. przypis 167.

177

(178)  Obejmuje to: (i) zasady ochrony danych określone w części 4 z wyjątkiem wymogu zgodności przetwarzania z prawem zawartego w pierwszej zasadzie oraz z wyjątkiem faktu, że przetwarzanie musi spełniać jeden z odpowiednich warunków określonych w załącznikach 9 i 10; (ii) prawa osób, których dane dotyczą, oraz (iii) obowiązki związane ze zgłaszaniem naruszeń Komisarzowi ds. Informacji.

178

(179)  Część 4 DPA 2018 zawiera ramy prawne, które mają zastosowanie do wszystkich rodzajów przetwarzania danych osobowych przez agencje wywiadowcze (a nie tylko do wykonywania ich zadań związanych z bezpieczeństwem narodowym). W związku z tym część 4 ma zastosowanie również wówczas, gdy agencje wywiadowcze przetwarzają dane np. do celów zarządzania zasobami ludzkimi, w kontekście sporów sądowych lub w kontekście zamówień publicznych. Ograniczenia wymienione w załączniku 11 mają w założeniu mieć zastosowanie głównie we wspomnianych innych kontekstach. Przykładowo w kontekście sporów z pracownikiem można powołać się na ograniczenie do celów „postępowania sądowego”; w kontekście zamówień publicznych można powołać się na ograniczenie do celów „negocjacji” itp. Jest to odzwierciedlone w wytycznych Komisarza ds. Informacji dotyczących przetwarzania danych przez służby wywiadowcze, w których jako przykład zastosowania ograniczeń na podstawie załącznika 11 podane jest negocjowanie ugody między agencją wywiadowczą a byłym pracownikiem, który występuje z roszczeniem związanym z zatrudnieniem (zob. przypis 161). Należy również zauważyć, że z tych samych ograniczeń mogą korzystać inne organy publiczne zgodnie z załącznikiem 2 do części 2 DPA 2018.

179

(180)  Zgodnie z ramami wyjaśniającymi Zjednoczonego Królestwa wyjątki „ze względu na klasę” są następujące: (i) informacje dotyczące nadawania tytułów i zaszczytów królewskich; (ii) prawnicza tajemnica zawodowa; (iii) poufne referencje zawodowe, szkoleniowe lub edukacyjne oraz (iv) arkusze egzaminacyjne i uzyskane oceny. Wyjątki „ze względu na szkodę” dotyczą takich kwestii jak: (i) zapobieganie przestępstwom lub ich wykrywanie; zatrzymywanie i ściganie przestępców; (ii) przywilej parlamentarny; (iii) postępowania sądowe; (iv) skuteczność bojowa Sił Zbrojnych Korony; (v) dobrobyt gospodarczy Zjednoczonego Królestwa; (vi) negocjacje z osobą, której dane dotyczą; (vii) badania naukowe lub historyczne lub cele statystyczne; (viii) archiwizacja w interesie publicznym. Zob. Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Bezpieczeństwo narodowe, s. 13, zob. przypis 31.

180

(181)  Przetwarzanie na podstawie zgody nie wydaje się istotne w kontekście odpowiedniego stopnia ochrony, ponieważ w sytuacji obejmującej przekazanie danych organ ścigania Zjednoczonego Królestwa nie pobiera danych bezpośrednio od znajdującej się w UE osoby, której dane dotyczą, na podstawie jej zgody.

181

(182)  Jeżeli chodzi o odpowiednią podstawę prawną, zob. art. 8 i nast. ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r. (PACE 1984) (w odniesieniu do Anglii i Walii), art. 10 i nast. zarządzenia w sprawie policji i dowodów w sprawach karnych dotyczącego Irlandii Północnej z 1989 r., a w przypadku Szkocji nakaz uzyskuje się na podstawie prawa precedensowego (zob. art. 46 ustawy w sprawie szkockiego wymiaru sprawiedliwości w sprawach karnych z 2016 r.) oraz art. 23B wersji skonsolidowanej szkockiego kodeksu karnego. Jeżeli chodzi o nakaz przeszukania wydany po zatrzymaniu, podstawę prawną stanowią art. 18 i nast. PACE 1984 (w odniesieniu do Anglii i Walii), art. 20 i nast. zarządzenia w sprawie policji i dowodów w sprawach karnych dotyczącego Irlandii Północnej z 1989 r., a w przypadku Szkocji nakaz uzyskuje się na podstawie prawa precedensowego (zob. art. 46 ustawy w sprawie szkockiego wymiaru sprawiedliwości w sprawach karnych z 2016 r.). Władze Zjednoczonego Królestwa wyjaśniły, że nakazy przeszukania wydaje sąd na wniosek funkcjonariusza prowadzącego postępowanie przygotowawcze. Nakazy umożliwiają funkcjonariuszowi wejście do pomieszczeń w celu poszukiwania materiałów lub osób istotnych dla prowadzonego przez niego postępowania przygotowawczego; wykonanie nakazu często wymaga wsparcia ze strony funkcjonariusza policji.

182

(183)  Jeżeli postępowanie przygotowawcze dotyczy prania pieniędzy (co obejmuje postępowania w sprawie konfiskaty i przepadku mienia w trybie postępowania cywilnego), odpowiednią podstawą prawną do wystąpienia o nakaz wydania dowodów są art. 345 i nast. ustawy o dochodach z przestępstwa z 2002 r. w przypadku Anglii, Walii i Irlandii Północnej oraz art. 380 i nast. w przypadku Szkocji. Jeżeli postępowanie przygotowawcze dotyczy spraw innych niż pranie pieniędzy, wniosek o nakaz wydania dowodów można złożyć na podstawie art. 9 i załącznika 1 do PACE 1984 w przypadku Anglii i Walii oraz art. 10 i nast. zarządzenia w sprawie policji i dowodów w sprawach karnych dotyczącego Irlandii Północnej z 1989 r. w przypadku Irlandii Północnej. W przypadku Szkocji nakaz uzyskuje się na podstawie prawa precedensowego (zob. art. 46 ustawy w sprawie szkockiego wymiaru sprawiedliwości w sprawach karnych z 2016 r.) oraz art. 23B wersji skonsolidowanej szkockiego kodeksu karnego. Władze Zjednoczonego Królestwa wyjaśniły, że nakaz wydania dowodów zobowiązuje wskazaną w nakazie osobę do wydania lub udostępnienia materiałów, które znajdują się w jej posiadaniu lub nad którymi sprawuje ona kontrolę (zob. pkt 4 załącznika 1 do PACE 1984).

183

(184)  Na przykład w art. 8 i 18 PACE 1984 przewidziano uprawnienia do zajęcia i zatrzymania każdej rzeczy wskazanej w zezwoleniu na przeszukanie.

184

(185)  Na przykład art. 8 i 18 PACE regulują, odpowiednio, uprawnienia sędziego pokoju do wydania nakazu oraz uprawnienia funkcjonariusza policji do przeszukania nieruchomości. W pierwszym przypadku (art. 8) przed wydaniem nakazu sędzia pokoju musi najpierw upewnić się, że istnieją uzasadnione podstawy, by sądzić, że: (i) popełniono przestępstwo podlegającego oskarżeniu publicznemu; (ii) w pomieszczeniach znajdują się materiały, które mogą mieć znaczną wartość (w odosobnieniu lub wraz z innymi materiałami) dla postępowania przygotowawczego w sprawie przestępstwa; (iii) materiały te mogą być istotnymi dowodami; (iv) nie składają się one z materiałów objętych prawniczą tajemnicą zawodową, materiałów wyłączonych lub materiałów objętych specjalną procedurą ani ich nie zawierają; oraz (v) wejście nie byłoby możliwe bez zastosowania nakazu. Jeżeli chodzi o drugi z wymienionych przypadków, art. 18 zezwala funkcjonariuszowi policji na przeszukanie pomieszczeń osoby, którą zatrzymano w związku z przestępstwem podlegającym oskarżeniu publicznemu, w poszukiwaniu materiałów innych niż materiały objęte prawniczą tajemnicą zawodową, jeżeli ma on uzasadnione podstawy, aby podejrzewać, że w pomieszczeniach znajdują się dowody dotyczące tego przestępstwa lub innego przestępstwa podlegającego oskarżeniu publicznemu, które jest podobne lub powiązane. Takie przeszukanie musi być ograniczone do odnalezienia wskazanych materiałów i musi zostać zatwierdzone na piśmie przez funkcjonariusza policji w stopniu co najmniej inspektora, chyba że jest niezbędne dla prowadzenia postępowania przygotowawczego w sprawie przestępstwa. W takim przypadku funkcjonariusz w stopniu co najmniej inspektora musi zostać poinformowany o przeszukaniu najszybciej, jak to możliwe po jego przeprowadzeniu. Należy udokumentować przyczyny przeszukania i charakter poszukiwanych dowodów. Ponadto w art. 15 i 16 PACE 1984 przewidziano zabezpieczenia ustawowe, których należy przestrzegać przy składaniu wniosku o nakaz przeszukania. W art. 15 określono wymogi mające zastosowanie do uzyskania nakazu przeszukania (w tym treść wniosku składanego przez funkcjonariusza policji oraz fakt, że w nakazie należy wskazać m.in. przepis prawa stanowionego, na podstawie którego wydano nakaz, oraz określić, w miarę możliwości, przedmioty i osoby, które mają być obiektem poszukiwań, oraz pomieszczenia, które mają być przeszukane). Art. 16 reguluje sposób przeprowadzenia przeszukania na podstawie nakazu (na przykład: art. 16 ust. 5 stanowi, że funkcjonariusz wykonujący nakaz przekazuje osobie zajmującej pomieszczenia kopię nakazu; art. 16 ust. 11 zawiera wymóg przechowywania nakazu przez okres 12 miesięcy po jego wykonaniu; art. 16 ust. 12 zapewnia osobie zajmującej pomieszczenia prawo wglądu do nakazu w tym okresie na jej wniosek). Artykuły te pomagają zapewnić zgodność z art. 8 EKPC (zob. np. Kent Pharmaceuticals przeciwko Director of the Serious Fraud Office [2002] EWHC 3023 (QB) pkt [30], Lord Woolf CJ). Nieprzestrzeganie tych zabezpieczeń może skutkować uznaniem przeszukania za niezgodne z prawem (np. Korona (Brook) przeciwko Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; Korona (Superior Import/Export Ltd) przeciwko Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; oraz Korona (F) przeciwko Blackfriars Crown Court [2014] EWHC 1541 (Admin)). Art. 15 i 16 PACE 1984 uzupełniono kodeksem postępowania (Code B) PACE, który reguluje wykonywanie uprawnień policyjnych do przeszukiwania pomieszczeń.

185

(186)  Na przykład przy wydawaniu nakazu wydania dowodów na podstawie ustawy o dochodach z przestępstwa z 2002 r. oprócz konieczności posiadania uzasadnionych podstaw do spełnienia warunków określonych w art. 346 ust. 2 tej ustawy powinny istnieć uzasadnione podstawy do stwierdzenia, że dana osoba jest w posiadaniu określonego w ten sposób materiału lub sprawuje nad nim kontrolę oraz że materiał ten może mieć znaczną wartość. Ponadto inny wymóg dotyczący wydania nakazu wydania dowodów przewiduje, że muszą istnieć uzasadnione podstawy, by sądzić, że wydanie lub udostępnienie materiału leży w interesie publicznym, biorąc pod uwagę: a) prawdopodobną korzyść dla postępowania przygotowawczego oraz b) określone we wniosku okoliczności posiadania lub kontrolowania danych materiałów przez osobę, co do której domniemywa się, że posiada lub kontroluje te materiały. Podobnie, sąd rozpatrujący wniosek o wydanie nakazu wydania dowodów na podstawie załącznika 1 do PACE 1984 musi upewnić się, że spełniono określone warunki. W szczególności w załączniku 1 do PACE określono dwie odrębne alternatywne grupy warunków, z których jedna musi zostać spełniona, aby sędzia mógł wydać nakaz wydania dowodów. Zgodnie z pierwszą grupą warunków sędzia musi mieć uzasadnione podstawy, by sądzić, że (i) popełniono przestępstwo podlegającego oskarżeniu publicznemu; (ii) materiały poszukiwane w pomieszczeniach składają się z materiałów objętych specjalną procedurą, ale nie materiałów wyłączonych, lub zawierają takie materiały; (iii) mogą mieć znaczną wartość – w odosobnieniu lub wraz z innymi materiałami – dla postępowania przygotowawczego; (iv) oraz mogą być istotnymi dowodami; (v) próbowano zdobyć materiały innym sposobami lub nie podjęto takich prób, ponieważ nie miały szans zakończyć się powodzeniem; oraz (vi) po rozważeniu korzyści dla postępowania przygotowawczego oraz okoliczności dotyczące posiadania materiałów przez daną osobę stwierdzono, że wydanie materiałów lub uzyskanie dostępu do nich leży w interesie publicznym. Druga grupa warunków obejmuje następujące wymagania: (i) w pomieszczeniach znajdują się materiały, które składają się z materiałów objętych specjalną procedurą lub materiałów wyłączonych; (ii) nakaz przeszukania w celu zdobycia przedmiotowych materiałów zostałby wydany, gdyby nie zakaz przeszukiwania oparty na ustawodawstwie przyjętym przed PACE w odniesieniu do materiałów objętych specjalną procedurą, materiałów wyłączonych lub objętych prawniczą tajemnicą zawodową; oraz (iii) przeszukanie byłoby stosowne.

186

(187)  Kontrola sądowa to procedura prawna, w ramach której decyzje organu publicznego mogą być zaskarżone przed Wysokim Trybunałem. Sądy badają zaskarżoną decyzję i decydują, czy można twierdzić, że decyzja jest wadliwa pod względem prawnym, uwzględniając pojęcia i zasady prawa publicznego. Najważniejsze przesłanki do przeprowadzenia kontroli sądowej to: niezgodność z prawem, niezasadność, nieprawidłowość proceduralna, uzasadnione oczekiwania i prawa człowieka. Po pomyślnym zakończeniu kontroli sądowej sąd może zarządzić szereg różnych środków zaradczych; najczęstszym z nich jest orzeczenie o unieważnieniu (które uchyla lub unieważnia pierwotną decyzję – tj. decyzję o wydaniu nakazu przeszukania); w niektórych okolicznościach może to również obejmować przyznanie odszkodowania finansowego. Dodatkowe informacje na temat kontroli sądowej w Zjednoczonym Królestwie można znaleźć w publikacji rządowego departamentu prawnego „Judge Over Your Shoulder – a guide to good decision-making” [„Pod nadzorem sądów – poradnik właściwego podejmowania decyzji”], dostępnej pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf.

187

(188)  Art. 36 ust. 1 DPA 2018.

188

(189)  Art. 37 DPA 2018.

189

(190)  Art. 263 ust. 1 IPA 2016 stanowi, że „poważne przestępstwo” oznacza przestępstwo, w przypadku którego można racjonalnie oczekiwać, że osoba dorosła, która nie była wcześniej skazana, zostanie za nie skazana na karę pozbawienia wolności na okres 3 lat lub więcej lub czyn wiąże się z użyciem przemocy, powoduje znaczną korzyść finansową lub jest dokonywany przez znaczną liczbę osób. Ponadto – na potrzeby celów pozyskiwania danych pochodzących z łączności na podstawie części 4 IPA 2016 – art. 87 ust. 10B stanowi, że „poważne przestępstwo” oznacza przestępstwo, za które można wymierzyć karę pozbawienia wolności na okres 12 miesięcy lub więcej, lub przestępstwo popełnione przez osobę, która nie jest osobą fizyczną, lub które obejmuje, jako podstawowy element, wysyłanie wiadomości lub naruszenie prywatności osoby.

190

(191)  O wydanie nakazu ukierunkowanego przechwytywania mogą ubiegać się w szczególności następujące organy ścigania: Director General of the National Crime Agency (dyrektor generalny Krajowej Agencji ds. Zwalczania Przestępczości), Commissioner of Police of the Metropolis (komendant policji metropolitalnej), Chief Constable of the Police Service of Northern Ireland (szef policji Irlandii Północnej), Chief Constable of the Police Service of Scotland (szef szkockiej policji), Commissioner for Her Majesty’s Revenue and Customs (organ podatkowy i celny Zjednoczonego Królestwa), Chief of Defence Intelligence (szef agencji wywiadu wojskowego) oraz podmiot będący właściwym organem państwa lub terytorium poza Zjednoczonym Królestwem do celów unijnego instrumentu wzajemnej pomocy lub międzynarodowej umowy o wzajemnej pomocy (art. 18 ust. 1 IPA 2016).

191

(192)  Zob. art. 4 IPA 2016.

192

(193)  Zob. art. 261 ust. 5 IPA 2016 oraz kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, pkt 2.9.

193

(194)  Kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, pkt 2.2.

194

(195)  Nakaz w ramach wzajemnej pomocy upoważnia organ Zjednoczonego Królestwa do udzielenia pomocy organowi spoza terytorium Zjednoczonego Królestwa w celu przechwycenia i ujawnienia przechwyconego materiału takiemu organowi, zgodnie z międzynarodowym instrumentem wzajemnej pomocy (art. 15 ust. 4 IPA 2016).

195

(196)  Ustawa o uprawnieniach dochodzeniowo-śledczych z 2016 r. (zob.: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) zastąpiła szereg ustaw dotyczących przechwytywania komunikacji, ingerencji w urządzenia elektroniczne oraz pozyskiwania danych pochodzących z łączności, w szczególności część I RIPA 2000, w której określono poprzednie ogólne ramy legislacyjne dotyczące korzystania z uprawnień dochodzeniowo-śledczych przez organy ścigania i bezpieczeństwa narodowego.

196

(197)  Art. 138 ust. 1, art. 158 ust. 1, art. 178 ust. 1, art. 199 ust. 1 IPA 2016.

197

(198)  W części 2 rozdział 2 IPA 2016 przewidziano ograniczoną liczbę przypadków, w których przechwytywania można dokonać bez nakazu. Obejmuje to: przechwytywanie za zgodą nadawcy lub odbiorcy, przechwytywanie do celów administracyjnych lub egzekucyjnych, przechwytywanie prowadzone w określonych instytucjach (zakładach karnych, szpitalach psychiatrycznych i imigracyjnych ośrodkach detencyjnych), jak również przechwytywanie dokonywane zgodnie z odpowiednią umową międzynarodową.

198

(199)  W większości przypadków organem wydającym nakazy na podstawie IPA 2016 jest Sekretarz Stanu, natomiast szkoccy ministrowie są uprawnieni do wydawania nakazów ukierunkowanego przechwytywania, nakazu w ramach wzajemnej pomocy oraz nakazów ukierunkowanej ingerencji w urządzenia elektroniczne, gdy osoby lub pomieszczenia, których ma dotyczyć przechwytywanie, oraz urządzenia elektroniczne, które mają być przedmiotem ingerencji, znajdują się w Szkocji (zob. art. 22 i 103 IPA 2016). W przypadku ukierunkowanej ingerencji w urządzenia elektroniczne szef organu ścigania (o którym mowa w części 1 i 2 załącznika 6 do IPA 2016) może wydać nakaz na warunkach określonych w art. 106 IPA 2016.

199

(200)  Komisarze sądowi wspierają Komisarza ds. Uprawnień Dochodzeniowo-Śledczych – niezależny organ, który sprawuje funkcje nadzorcze w kwestii wykorzystania uprawnień dochodzeniowo-śledczych przez agencje wywiadowcze (więcej informacji szczegółowych przedstawiono w motywie 162 i nast.).

200

(201)  Zob. w szczególności art. 19 i 23 IPA 2016.

201

(202)  Art. 36 ust. 3 DPA 2018.

202

(203)  Art. 56 ustawy o gospodarce cyfrowej z 2017 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2017/30/section/56.

203

(204)  Art. 48 ustawy o gospodarce cyfrowej z 2017 r.

204

(205)  Art. 7 ustawy o przestępczości i sądach z 2013 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2013/22/section/7.

205

(206)  Art. 68 ustawy o poważnej przestępczości z 2007 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2007/27/contents.

206

(207)  Zatwierdzone praktyki zawodowe dotyczące udostępniania informacji, dostępne pod adresem: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.

207

(208)  Zob. np. sprawa M, Korona przeciwko Chief Constable of Sussex Police [2019] EWHC 975 (Admin), w której zwrócono się do Wysokiego Trybunału o rozstrzygnięcie w kwestii udostępniania danych między policją a partnerstwem na rzecz ograniczenia przestępczości wymierzonej w przedsiębiorstwa (Business Crime Reduction Partnership – BCRP), organizacją upoważnioną do zarządzania programami zawiadomień o wykluczeniu, zabraniającymi osobom wstępu do lokali handlowych jej członków. Trybunał zbadał udostępnianie danych, które odbywało się na podstawie umowy mającej na celu ochronę społeczeństwa i zapobieganie przestępczości, i ostatecznie stwierdził, że większość aspektów udostępniania danych była zgodna z prawem, z wyjątkiem pewnych informacji szczególnie chronionych udostępnianych między policją a BCRP. Innym przykładem jest sprawa Cooper przeciwko NCA [2019] EWCA Civ 16, w której Sąd Apelacyjny potwierdził zgodność z prawem udostępniania danych między policją a Agencją ds. Poważnej Przestępczości Zorganizowanej (Serious Organised Crime Agency, SOCA), organem ścigania będącym obecnie częścią Krajowej Agencji ds. Zwalczania Przestępczości (NCA).

208

(209)  Art. 36 ust. 4 DPA 2018.

209

(210)  Ustawa o zwalczaniu terroryzmu z 2008 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2008/28/section/19.

210

(211)  Ustawa o służbach wywiadowczych z 1994 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/1994/13/contents.

211

(212)  Ustawa o Służbie Bezpieczeństwa z 1989 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/1989/5/contents.

212

(213)  Art. 2 ust. 2 ustawy o służbach wywiadowczych z 1994 r. stanowi, że „Dyrektor służby wywiadowczej jest odpowiedzialny za skuteczne działanie tej służby i jego obowiązkiem jest zapewnienie, aby: a) wprowadzono rozwiązania służące zagwarantowaniu, aby służba wywiadowcza nie uzyskiwała żadnych informacji z wyjątkiem koniecznych do właściwego wykonywania jej funkcji oraz aby nie ujawniano żadnych informacji, o ile nie jest to niezbędne – (i) do tego celu; (ii) w interesie bezpieczeństwa narodowego; (iii) do celów zapobiegania poważnym przestępstwom lub ich wykrywania lub (iv) do celów jakichkolwiek postępowań karnych oraz b) służba wywiadowcza nie podejmowała żadnych działań na rzecz interesów jakiejkolwiek partii politycznej Zjednoczonego Królestwa”; natomiast art. 2 ust. 2 ustawy o Służbie Bezpieczeństwa z 1989 r. stanowi, że „Dyrektor generalny jest odpowiedzialny za skuteczne działanie Służby i jego obowiązkiem jest zapewnienie, aby: a) wprowadzono rozwiązania służące zagwarantowaniu, aby Służba nie uzyskiwała żadnych informacji z wyjątkiem koniecznych do właściwego wykonywania jej funkcji oraz aby nie ujawniano żadnych informacji, o ile nie jest to niezbędne do tego celu lub do celów zapobiegania poważnej przestępczości lub wykrywania jej lub do celów jakichkolwiek postępowań karnych; oraz b) Służba nie podejmowała żadnych działań na rzecz interesów jakiejkolwiek partii politycznej i c) wprowadzono rozwiązania, uzgodnione z Dyrektorem Generalnym Krajowej Agencji ds. Zwalczania Przestępczości, mające na celu koordynację działań Służby prowadzonych na podstawie art. 1 ust. 4 ustawy z działaniami sił policyjnych, Krajowej Agencji ds. Zwalczania Przestępczości i innych organów ścigania”.

213

(214)  Zob. część 3 rozdział 5 DPA 2018.

214

(215)  Art. 76 DPA 2018.

215

(216)  Art. 54 i 130 IPA 2016. Organy wydające muszą rozważyć potrzebę nałożenia szczególnych zabezpieczeń w odniesieniu do materiałów przekazywanych organom zagranicznym, aby zapewnić poddanie danych zabezpieczeniom w zakresie ich zatrzymywania, niszczenia i ujawniania podobnym do zabezpieczeń nałożonych w art. 53 i 129 IPA 2016.

216

(217)  Umowa między rządem Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej a rządem Stanów Zjednoczonych Ameryki o dostępie do danych elektronicznych w celu zwalczania poważnej przestępczości, dostępna pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf.

217

(218)  Jest to pierwsza umowa zawarta na podstawie amerykańskiej ustawy CLOUD (określającej legalne wykorzystanie danych za granicą). Ustawa CLOUD to ustawa federalna USA, którą przyjęto w dniu 23 marca 2018 r. i w której określono, w drodze zmiany ustawy z 1986 r. o przechowywanych danych przekazywanych za pomocą łączności elektronicznej, że amerykańscy dostawcy usług mają obowiązek przestrzegania amerykańskich nakazów ujawnienia danych dotyczących treści i danych niedotyczących treści niezależnie od miejsca przechowywania takich danych. Ustawa CLOUD umożliwia również zawieranie porozumień władzy wykonawczej (executive agreements) z rządami zagranicznymi, na podstawie których amerykańscy dostawcy usług mogą dostarczać dane dotyczące treści bezpośrednio do tych rządów zagranicznych (tekst ustawy CLOUD jest dostępny pod adresem: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf).

218

executive agreements

(219)  Art. 1 ust. 14 umowy.

219

(220)  Art. 5 ust. 2 umowy.

220

(221)  Art. 5 ust. 1 umowy.

221

(222)  Art. 4 ust. 5 umowy. W przypadku przechwytywania w czasie rzeczywistym obowiązuje dodatkowy i bardziej rygorystyczny standard: nakazy muszą być wydawane na czas określony, który nie może być dłuższy niż czas z racjonalnego punktu widzenia konieczny do osiągnięcia celów nakazu, i muszą być wydawane wyłącznie w przypadku, gdy tych samych informacji nie można w racjonalny sposób uzyskać za pomocą mniej inwazyjnej metody (art. 5 ust. 3 umowy).

222

(223)  Umowa między Stanami Zjednoczonymi Ameryki a Unią Europejską w sprawie ochrony informacji osobowych powiązanych z zapobieganiem przestępczości, prowadzeniem postępowań przygotowawczych, wykrywaniem i ściganiem czynów zabronionych, Dz.U. L 336 z 10.12.2016, s. 3, dostępna pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:22016A1210(01)&from=EN.

223

(224)  Art. 9 ust. 1 umowy.

224

(225)  Art. 9 ust. 1 umowy.

225

(226)  Art. 116 DPA 2018.

226

(227)  Zob. IPA 2016, a w szczególności część 8 rozdział 1.

227

(228)  Pkt 2 załącznika 13 do DPA 2018.

228

(229)  Nakazanie administratorowi i podmiotowi przetwarzającemu (a w określonych okolicznościach każdej innej osobie) dostarczenia niezbędnych informacji (art. 142 DPA 2018).

229

(230)  Umożliwienie prowadzenia postępowań przygotowawczych i audytu, na mocy którego administrator lub podmiot przetwarzający może być zobowiązany do zezwolenia Komisarzowi na wejście do określonych pomieszczeń, przeprowadzenie inspekcji lub analizy dokumentów lub sprzętu, przesłuchanie osób przetwarzających dane osobowe w imieniu administratora (art. 146 DPA 2018).

230

(231)  Umożliwiające wykonanie uprawnień naprawczych, które wymagają od administratorów/podmiotów przetwarzających podjęcia lub powstrzymania się od podjęcia określonych kroków (art. 149 DPA 2018).

231

(232)  Art. 154 DPA 2018.

232

(233)  Art. 155 DPA 2018.

233

(234)  Polityka działań regulacyjnych, zob. przypis 96.

234

(235)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2018–2019, zob. przypis 101.

235

(236)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2019–2020, zob. przypis 82.

236

(237)  Baza danych, w której zapisywano dane wywiadowcze dotyczące domniemanych członków gangów i poszkodowanych w przestępstwach związanych z gangami.

237

(238)  Zob. oświadczenie Komisarza ds. Informacji, dostępne pod adresem: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/.

238

(239)  Art. 170 DPA 2018.

239

(240)  Art. 171 DPA 2018.

240

(241)  Art. 119 ust. 6 DPA 2018.

241

(242)  W roku budżetowym obejmującym okres od dnia 1 kwietnia 2019 r. do dnia 31 marca 2020 r. dochodzenia Komisarza ds. Informacji zakończyły się czterema ostrzeżeniami i ośmioma oskarżeniami. Sprawy te wszczęto na podstawie art. 55 ustawy o ochronie danych z 1998 r., art. 77 ustawy o swobodnym dostępie do informacji z 2000 r. oraz art. 170 ustawy o ochronie danych z 2018 r. W 75 % przypadków oskarżeni przyznali się do winy, dzięki czemu nie było potrzeby prowadzenia długotrwałych procesów sądowych i ponoszenia związanych z nimi kosztów. (Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2019–2020, zob. przypis 87, s. 40).

242

(243)  Urząd Komisarza ds. Biometrii powołano na podstawie ustawy o ochronie wolności z 2012 r. (PoFA) (zob.: https://www.legislation.gov.uk/ukpga/2012/9/contents). Komisarz ds. Biometrii decyduje między innymi o tym, czy policja może zatrzymywać zapisy profili DNA i odcisków palców pozyskanych od osób aresztowanych, ale nie oskarżonych o popełnienie przestępstwa kwalifikowanego (art. 63G ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). Ponadto Komisarz ds. Biometrii ma ogólny obowiązek dokonywania przeglądu zatrzymywania i wykorzystywania DNA i odcisków palców oraz zatrzymywania danych ze względów bezpieczeństwa narodowego (art. 20 ust. 2 ustawy o ochronie wolności z 2012 r.). Komisarz ds. Biometrii jest powoływany zgodnie z kodeksem w zakresie nominacji publicznych (kodeks jest dostępny pod następującym adresem: https://www.gov.uk/government/publications/governance-code-for-public-appointments), a w warunkach jego powołania jasno wskazano, że może on zostać odwołany ze stanowiska przez Home Secretary (ministra spraw wewnętrznych) jedynie w ściśle określonych okolicznościach; obejmują one niewypełnianie obowiązków przez okres trzech miesięcy, skazanie za przestępstwo lub nieprzestrzeganie warunków powołania.

243

(244)  Urząd Komisarza ds. Kamer Nadzorujących powołano na podstawie ustawy o ochronie wolności z 2012 r. i jego rola polega na zachęcaniu do działania zgodnie z kodeksem postępowania dotyczącego kamer nadzorujących; sprawdzaniu funkcjonowania tego kodeksu oraz doradzaniu ministrom w sprawie ewentualnych zmian kodeksu. Komisarza powołuje się zgodnie z tymi samymi zasadami co komisarzy ds. biometrii i przysługują mu podobne uprawnienia, zasoby i ochrona przed odwołaniem.

244

(245)  Zob. https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/.

245

(246)  Komisje specjalne, w tym Komisja Specjalna do Spraw Wewnętrznych, podlegają regulaminowi Izby Gmin. Regulamin to uzgodnione przez Izbę Gmin zasady regulujące funkcjonowanie parlamentu. Zakres kompetencji komisji specjalnych jest szeroki, a pkt 152 ppkt 1 regulaminu stanowi, że „Komisje specjalne są powoływane w celu zbadania wydatków, administracji i polityki głównych departamentów rządowych określonych w ppkt 2 niniejszego punktu oraz związanych z nimi organów publicznych”. Dzięki temu Komisja Specjalna do Spraw Wewnętrznych może zbadać każdą politykę, za którą odpowiada Home Office, co obejmuje politykę (i związane z nią prawodawstwo) w zakresie uprawnień dochodzeniowo-śledczych. Ponadto w pkt 152 ppkt 4 regulaminu wyraźnie stwierdzono, że komisje mają różne uprawnienia, w tym możliwość wzywania osób do przedstawienia dowodów lub dokumentów w danej sprawie oraz sporządzania sprawozdań. Bieżące i poprzednie zapytania komisji są dostępne pod adresem https://committees.parliament.uk/committee/83/home-affairs-committee/

246

(247)  Uprawnienia Komisji Specjalnej do Spraw Wewnętrznych Anglii i Walii są określone w regulaminie Izby Gmin, dostępnym pod adresem: https://www.parliament.uk/business/publications/commons/standing-orders-public11/.

247

(248)  Dostępna pod adresem: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm.

248

(249)  Dostępna pod adresem: https://committees.parliament.uk/committee/83/home-affairs-committee.

249

(250)  Zasady działania szkockiej Podkomisji Sprawiedliwości ds. Działań Policyjnych są dostępne pod adresem https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx, a zasady dotyczące Komisji Sprawiedliwości Irlandii Północnej przedstawiono pod adresem: http://www.niassembly.gov.uk/assembly-business/standing-orders/].

250

(251)  Najnowsze sprawozdanie roczne Komisarza ds. Informacji zawiera zestawienie otrzymanych i zamkniętych skarg w podziale na ich charakter. Liczba otrzymanych skarg dotyczących „czynności policyjnych i rejestrów karnych” wynosi 6 % całkowitej liczby otrzymanych skarg (przy wzroście o 1 % w porównaniu z poprzednim rokiem budżetowym). Ze sprawozdania rocznego wynika również, że skargi dotyczące wniosków o dostęp od osób, których dane dotyczą, stanowią największą liczbę (46 % w stosunku do całkowitej liczby skarg, przy wzroście o 8 % w porównaniu z poprzednim rokiem budżetowym) (sprawozdanie roczne Komisarza ds. Informacji 2019–2020, s. 55; zob. przypis 88).

251

(252)  Art. 166 DPA 2018 odnosi się w szczególności do następujących sytuacji: a) gdy Komisarz nie podejmie odpowiednich kroków w celu udzielenia odpowiedzi na skargę; b) gdy Komisarz nie przekaże skarżącemu informacji o postępach w rozpatrywaniu skargi lub o skutkach rozpatrzenia skargi w terminie trzech miesięcy od chwili otrzymania skargi przez Komisarza; lub c) jeżeli, w przypadku niezakończenia rozpatrywania skargi w tym okresie, Komisarz nie poinformuje o tym skarżącego w okresie kolejnych trzech miesięcy.

252

(253)  Trybunał Pierwszej Instancji jest sądem właściwym do rozpatrywania odwołań od decyzji wydanych przez rządowe organy regulacyjne. W przypadku decyzji Komisarza ds. Informacji właściwą izbą jest „Izba ds. Regulatorów”, która jest właściwa dla całego Zjednoczonego Królestwa.

253

(254)  Art. 166 DPA 2018. Przykłady skutecznych postępowań przeciwko Komisarzowi ds. Informacji przed trybunałem obejmują sprawę, w której Komisarz potwierdził otrzymanie skargi od osoby, której dane dotyczą, ale nie wskazał, jakie działania zamierza podjąć, w związku z czym trybunał nakazał mu potwierdzenie w ciągu 21 dni kalendarzowych, czy zamierza przeprowadzić dochodzenie w sprawie skargi, a jeżeli tak, informowanie skarżącego o postępach w dochodzeniu nie rzadziej niż co 21 dni kalendarzowych (wyrok nie został jeszcze opublikowany), oraz sprawę, w której trybunał pierwszej instancji uznał, że nie jest jasne, czy odpowiedź Komisarza na skargę stanowi należyty „wynik” skargi (zob. Susan Milne przeciwko The Information Commissioner [2020], wyrok dostępny pod adresem: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf).

254

(255)  Art. 162 i 163 DPA 2018.

255

(256)  Zob. np. sprawa Brown przeciwko Commissioner of Police of the Metropolis i in. [2019] EWCA Civ 1724, w której na podstawie DPA 1998 i ustawy o prawach człowieka z 1998 r. Trybunał przyznał odszkodowanie w wysokości 9 000 GBP za bezprawne uzyskanie i wykorzystanie danych osobowych niezgodnie z przeznaczeniem, oraz sprawa Korona (z powództwa Bridges) przeciwko Chief Constable of South Wales [2020] EWCA Civ 1058, w której Sąd Apelacyjny uznał za niezgodne z prawem wdrożenie systemu rozpoznawania twarzy przez walijską policję, ponieważ naruszało to art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności i ocena skutków dla ochrony danych przeprowadzona przez administratora nie była zgodna z DPA 2018.

256

(257)  Art. 34 Konwencji o ochronie praw człowieka i podstawowych wolności stanowi, że „Trybunał może przyjmować skargi każdej osoby, organizacji pozarządowej lub grupy jednostek, która uważa, że stała się ofiarą naruszenia przez jedną z Wysokich Układających się Stron praw zawartych w Konwencji lub jej protokołach. Wysokie Układające się Strony zobowiązują się nie przeszkadzać w żaden sposób skutecznemu wykonywaniu tego prawa”.

257

(258)  MI5 podlega Home Secretary (ministrowi spraw wewnętrznych). W ustawie o Służbie Bezpieczeństwa z 1989 r. określono funkcje MI5: ochrona bezpieczeństwa narodowego (w tym ochrona przed zagrożeniami w postaci szpiegostwa, terroryzmu i sabotażu, przed działaniami agentów zagranicznych sił oraz przed działaniami mającymi na celu obalenie lub podważenie demokracji parlamentarnej środkami politycznymi, przemysłowymi lub przemocą), ochrona dobrobytu gospodarczego Zjednoczonego Królestwa przed zagrożeniami zewnętrznymi oraz wspieranie działań sił policyjnych i innych organów ścigania w zakresie zapobiegania i wykrywania poważnej przestępczości.

258

(259)  SIS podlega Foreign Secretary (ministrowi spraw zagranicznych), a jej funkcje określono w ustawie o służbach wywiadowczych z 1994 r. Jej funkcje polegają na pozyskiwaniu i dostarczaniu informacji dotyczących działań lub zamiarów osób spoza Wysp Brytyjskich oraz wykonywaniu innych zadań związanych z działaniami lub zamiarami takich osób. Funkcje te mogą być pełnione wyłącznie w interesie bezpieczeństwa narodowego, w interesie dobrobytu gospodarczego Zjednoczonego Królestwa lub w celu wspierania zapobiegania poważnym przestępstwom lub ich wykrywania.

259

(260)  GCHQ podlega Foreign Secretary (ministrowi spraw zagranicznych), a jej funkcje określono w ustawie o służbach wywiadowczych z 1994 r. Są to: a) monitorowanie, wykorzystywanie lub zakłócanie emisji elektromagnetycznych i innych oraz urządzeń wytwarzających takie emisje, pozyskiwanie i dostarczanie informacji pochodzących z takich emisji lub urządzeń oraz z zaszyfrowanych materiałów lub z nimi związanych; b) udzielanie porad i pomocy w zakresie języków, w tym terminologii stosowanej w sprawach technicznych i kryptografii, oraz w innych kwestiach związanych z ochroną informacji siłom zbrojnym, rządowi lub innym organizacjom bądź osobom, w przypadku których uznano to za stosowne. Funkcje te mogą być pełnione wyłącznie w interesie bezpieczeństwa narodowego, w interesie dobrobytu gospodarczego Zjednoczonego Królestwa w odniesieniu do działań lub zamiarów osób spoza Wysp Brytyjskich lub w celu wspierania zapobiegania poważnym przestępstwom lub ich wykrywania.

260

(261)  Inne podmioty publiczne pełniące funkcje istotne dla bezpieczeństwa narodowego to Defence Intelligence (DI – służba wywiadu wojskowego), National Security Council and Secretariat (Rada Bezpieczeństwa Narodowego i Sekretariat), Joint Intelligence Organisation (JIO – Wspólna Organizacja Wywiadowcza) oraz Joint Intelligence Committee (JIC – Wspólny Komitet Wywiadowczy). Jednak ani JIC, ani JIO nie mogą korzystać z uprawnień dochodzeniowo-śledczych na mocy IPA 2016, natomiast DI ma ograniczony zakres korzystania ze swoich uprawnień.

261

(262)  Zakaz ten dotyczy zarówno publicznych, jak i prywatnych sieci komunikacyjnych, a także publicznych usług pocztowych, jeżeli przechwytywanie odbywa się w Zjednoczonym Królestwie. Zakaz ten nie dotyczy administratora sieci prywatnej, jeżeli udzielił on wyraźnej lub dorozumianej zgody na przeprowadzenie przechwycenia (art. 3 IPA 2016).

262

(263)  W szczególnych, ograniczonych przypadkach możliwe jest zgodne z prawem przechwytywanie bez nakazu, tj. w przypadku przechwytywania za zgodą nadawcy lub odbiorcy (art. 44 IPA 2016), w przypadku ograniczonych celów administracyjnych lub egzekucyjnych (art. 45–48 ustawy o uprawnieniach dochodzeniowo-śledczych), w niektórych instytucjach specjalnych (art. 49–51 ustawy o uprawnieniach śledczych z 2016 r.) oraz zgodnie z wnioskami zagranicznymi (art. 52 IPA 2016).

263

(264)  Jeżeli chodzi na przykład o zakres takich środków, zgodnie z częścią 3 i 4 (zatrzymywanie i pozyskiwanie danych komunikacyjnych) zakres środka jest ściśle powiązany z definicją „operatorów telekomunikacyjnych”, których dane użytkowników są objęte danym środkiem. Inny przykład można podać w odniesieniu do korzystania z uprawnień do masowego pozyskiwania danych. W tym przypadku ich zakres jest ograniczony do „komunikacji wysyłanych lub otrzymywanych przez osoby fizyczne poza Wyspami Brytyjskimi”.

264

(265)  W załączniku 7 do IPA 2016 określono zakres kodeksów, tryb postępowania przy ich wydawaniu, zasady ich zmiany oraz skutki kodeksów.

265

(266)  Kodeksy postępowania na podstawie IPA 2016 są dostępne pod adresem: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice.

266

(267)  Sądy i Trybunały korzystają z kodeksów postępowania, aby ocenić zgodność z prawem postępowania władz. Zob. np.: sprawa Dias przeciwko Cleveland Police [2017] UKIPTrib15_586-CH, w której Trybunał ds. Uprawnień Dochodzeniowo-Śledczych odniósł się do określonych fragmentów kodeksu postępowania w zakresie danych pochodzących z łączności, aby zrozumieć definicję podstawy „zapobiegania przestępstwom lub ich wykrywania albo zapobiegania zakłóceniom porządku” używanej do wnoszenia o pozyskanie danych pochodzących z łączności. Kodeks włączono do uzasadnienia w celu ustalenia, czy podstawę tę zastosowano nieprawidłowo. Sąd stwierdził następnie, że zakwestionowane działania były niezgodne z prawem. Sądy dokonały również oceny poziomu zabezpieczeń dostępnych w kodeksach, zob. np. Just for Kids Law przeciwko Secretary of State for the Home Department [2019] EWHC 1772 (Admin), kiedy to Wysoki Trybunał uznał, że przepisy ustawodawcze i wykonawcze wraz z wewnętrznymi wytycznymi zapewniały wystarczające zabezpieczenia; lub sprawa Korona (National Council for Civil Liberties) przeciwko Secretary of State for the Home Department i in. [2019] EWHC 2057 (Admin), w której stwierdzono, że zarówno IPA 2016, jak i kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne zawierały wystarczające przepisy co do potrzeby szczegółowości nakazów.

267

(268)  W sprawie Big Brother Watch wielka izba Europejskiego Trybunału Praw Człowieka zauważyła, że „kodeks IC jest dokumentem publicznym zatwierdzonym przez obie izby parlamentu, opublikowanym przez rząd w internecie i w wersji drukowanej, który musi być brany pod uwagę zarówno przez osoby wykonujące obowiązki w zakresie przechwytywania, jak i przez sądy (zob. pkt 93-94 powyżej). W konsekwencji Trybunał uznał, że przepisy kodeksu mogą być brane pod uwagę przy ocenie przewidywalności RIPA (zob. ww. wyrok w sprawie Kennedy, § 157). W związku z tym Trybunał uznałby, że prawo krajowe było odpowiednio „dostępne” (zob. wyrok Europejskiego Trybunału Praw Człowieka (wielka izba), Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu, skargi nr 58170/13, 62322/14 i 24960/15 z dnia 25 maja 2021 r., pkt 366).

268

(269)  Część 2 IPA 2016.

269

(270)  Część 3 IPA 2016.

270

(271)  Część 4 IPA 2016.

271

(272)  Część 5 IPA 2016.

272

(273)  Wykaz właściwych organów ścigania, które mogą stosować ukierunkowane uprawnienia dochodzeniowe na podstawie IPA 2016 – zob. przypis 139.

273

(274)  Art. 136 IPA 2016.

274

(275)  Art. 158 IPA 2016.

275

(276)  Art. 176 IPA 2016.

276

(277)  Art. 199 IPA 2016.

277

(278)  W kodeksie postępowania w zakresie przechwytywania komunikacji (Code of Practice on Interception of Communications) określono, że inne elementy analizy proporcjonalności obejmują: „(i) zakres proponowanej ingerencji w prywatność w stosunku do skutku, który ma zostać osiągnięty; (ii) to, w jaki sposób i dlaczego metody, które mają zostać przyjęte, spowodują najmniejszą możliwą ingerencję w prywatność danej osoby i innych osób; (iii) to, czy działanie stanowi właściwe wykorzystanie ustawy oraz zasadny sposób osiągnięcia zamierzonego skutku, po rozważeniu wszystkich zasadnych alternatyw; (iv) to, jakich innych metod, w stosownych przypadkach, nie wdrożono lub jakie zastosowano, ale oceniono jako niewystarczające do osiągnięcia celów operacyjnych bez wykorzystania proponowanych uprawnień dochodzeniowo-śledczych”. Kodeks postępowania w zakresie przechwytywania komunikacji, pkt 4.16, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf.

278

(279)  Zob. kodeks postępowania w zakresie przechwytywania komunikacji, pkt 4.12 i 4.15, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf.

279

(280)  Zob. kodeks postępowania w zakresie przechwytywania komunikacji, pkt 4.16.

280

(281)  Oświadczenie specjalnego sprawozdawcy ds. prawa do prywatności na zakończenie jego misji w Zjednoczonym Królestwie Wielkiej Brytanii i Irlandii Północnej, dostępne pod adresem: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, ust. 1 lit. a).

281

(282)  Art. 15 ust. 2 IPA 2016.

282

(283)  Art. 15 ust. 4 IPA 2016.

283

(284)  Art. 15 ust. 2 IPA 2016.

284

(285)  Dane wtórne to dane towarzyszące przechwyconej komunikacji lub logicznie powiązane z nią, które można logicznie od niej oddzielić i które, w przypadku takiego oddzielenia, nie ujawniłyby niczego z treści, którą można by racjonalnie uznać za (ewentualne) znaczenie komunikacji. Niektóre przykłady danych wtórnych obejmują konfiguracje routerów lub zapór sieciowych albo okres, przez jaki router był aktywny w sieci, jeżeli dane takie są częścią przechwyconej komunikacji, towarzyszą jej lub są z nią logicznie powiązane. Więcej szczegółów można znaleźć w definicji w art. 16 IPA 2016 i kodeksie postępowania w zakresie przechwytywania komunikacji, pkt 2.19, zob. przypis 278.

285

(286)  Badanie to przeprowadza się na zasadzie wyjątku od art. 152 ust. 4 IPA 2016, która przewiduje zakaz dążenia do identyfikacji komunikacji osób fizycznych, które znajdują się na Wyspach Brytyjskich. Zob. motyw 229.

286

(287)  Szkocki minister zatwierdza nakaz, gdy dotyczy on poważnej działalności przestępczej w Szkocji (zob. art. 21 i 22 IPA 2016), natomiast Sekretarz Stanu może wyznaczyć urzędnika wyższego szczebla do wydania nakazu w ramach wzajemnej pomocy, gdy wydaje się, że przechwytywanie będzie dotyczyło osoby lub obiektu znajdujących się poza Zjednoczonym Królestwem (art. 40 IPA 2016).

287

(288)  Art. 19 i 23 IPA 2016.

288

(289)  Art. 32 IPA 2016.

289

(290)  Art. 39 IPA 2016. Osoby uprawnione mogą dokonywać ograniczonych zmian w nakazach na warunkach określonych w IPA 2016 Osoba, która wydała nakaz, może go w każdej chwili odwołać. Musi to zrobić, jeżeli nakaz nie jest już niezbędny z jakichkolwiek istotnych powodów lub postępowanie, na które zezwala nakaz, nie jest już proporcjonalne do wyznaczonego celu.

290

(291)  Art. 33 IPA 2016. Decyzję o przedłużeniu nakazu musi zatwierdzić komisarz sądowy.

291

(292)  Art. 19 IPA 2016.

292

(293)  Co się tyczy pojęcia „interesów dobrobytu gospodarczego Zjednoczonego Królestwa, o ile interesy te mają również znaczenie dla bezpieczeństwa narodowego”, wielka izba Europejskiego Trybunału Praw Człowieka w wyroku w sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (zob. przypis 268 powyżej), pkt 371, stwierdziła, że pojęcie to w wystarczającym stopniu koncentruje się na bezpieczeństwie narodowym. Chociaż ustalenie Trybunału w tej sprawie było związane z zastosowaniem tego pojęcia w RIPA 2000, to samo pojęcie zostało użyte w IPA 2016.

293

(294)  Art. 20 ust. 2 IPA 2016.

294

(295)  Art. 20 ust. 3 IPA 2016.

295

(296)  Art. 19 ust. 1 lit. b), art. 19 ust. 2 lit. b) oraz art. 19 ust. 3 lit. b) IPA 2016.

296

(297)  Wymagane informacje obejmują szczegóły dotyczące kontekstu (opis osób/organizacji/zespołu obiektów, komunikacji, której ma dotyczyć przechwycenie) oraz tego, w jaki sposób uzyskanie tych informacji będzie korzystne dla dochodzenia, jak również opis postępowania, na które ma zostać udzielone zezwolenie. W przypadku gdy nie jest możliwe opisanie osób/organizacji/obiektów, należy podać wyjaśnienie, dlaczego nie było to możliwe lub dlaczego przedstawiono wyłącznie ogólny opis (kodeks postępowania w zakresie przechwytywania komunikacji, pkt 5.32 i 5.34, zob. przypis 278).

297

(298)  Art. 17 ust. 2 IPA 2016. Zob. również kodeks postępowania w zakresie przechwytywania komunikacji, pkt 5.11 i nast., zob. przypis 278.

298

(299)  Art. 31 ust. 4 i 5 IPA 2016.

299

(300)  Art. 31 ust. 8 IPA 2016.

300

(301)  Kodeks postępowania w zakresie przechwytywania komunikacji, pkt 5.37 i 5.38, zob. przypis 278.

301

(302)  Zatwierdzenie przez komisarza sądowego nie jest wymagane, jeżeli Sekretarz Stanu uzna, że istnieje pilna potrzeba wydania nakazu (art. 19 ust. 1 ustawy o uprawnieniach dochodzeniowo-śledczych). Należy jednak w krótkim czasie poinformować komisarza sądowego, który podejmuje decyzję o zatwierdzeniu lub niezatwierdzeniu nakazu. Jeżeli tego nie zrobi, nakaz traci moc (art. 24 i 25 IPA 2016).

302

(303)  Art. 23 ust. 1 IPA 2016.

303

(304)  Art. 23 ust. 2 IPA 2016.

304

(305)  Zob. art. 44-51 IPA 2016 i art. 12 kodeksu postępowania w zakresie przechwytywania komunikacji (zob. przypis 278).

305

(306)  Dotyczy to np. sytuacji, gdy przechwytywanie jest konieczne w więzieniu lub w szpitalu psychiatrycznym (w celu sprawdzenia zachowania osadzonego lub pacjenta) lub przez operatora pocztowego lub telekomunikacyjnego, na przykład w celu wykrycia treści stanowiących nadużycie.

306

(307)  Zob. kontrprzykład w art. 229 ust. 4 IPA.

307

(308)  W art. 26–29 IPA 2016 wprowadzono ograniczenia w zakresie uzyskiwania nakazów ukierunkowanego przechwytywania i badania w odniesieniu do przechwytywania komunikacji wysyłanej przez osobę będącą członkiem parlamentu (dowolnego parlamentu Zjednoczonego Królestwa) lub przeznaczonych dla tej osoby, przechwytywania materiałów objętych prawniczą tajemnicą zawodową, przechwytywania komunikacji, co do której organ przechwytujący uważa, że będzie zawierała poufne materiały dziennikarskie, oraz gdy celem nakazu jest identyfikacja lub potwierdzenie źródła informacji dziennikarskich.

308

(309)  Art. 26 IPA 2016.

309

(310)  Art. 19 ust. 1 IPA 2016.

310

(311)  Art. 54 IPA 2016. Zabezpieczenia dotyczące ujawniania materiałów organom zagranicznym są bardziej szczegółowo określone w kodeksie postępowania: zob. w szczególności pkt 9.26 i nast. oraz 9.87 Kodeksu postępowania w zakresie przechwytywania komunikacji oraz pkt 9.33 i nast. oraz 9.41 kodeksu postępowania w zakresie ingerencji w urządzenia elektroniczne (zob. przypis 278).

311

(312)  Cele te są następujące: w przypadku Służby Bezpieczeństwa – zapobieganie poważnym przestępstwom lub ich wykrywanie lub wszelkie postępowania karne (art. 2 ust. 2 lit. a) ustawy o Służbie Bezpieczeństwa z 1989 r.), w przypadku Służby Wywiadu – interesy bezpieczeństwa narodowego, zapobieganie poważnym przestępstwom lub ich wykrywanie lub wszelkie postępowania karne (art. 2 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r.), natomiast w przypadku GCHQ – wszelkie postępowania karne (art. 4 ust. 2 lit. a) ustawy o służbach wywiadowczych z 1994 r.). Zob. również noty wyjaśniające do DPA 2018, dostępne pod adresem: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

312

(313)  Dane pochodzące z łączności zdefiniowano w art. 261 ust. 5 IPA 2016 Dane pochodzące z łączności dzielą się na „dane o zdarzeniach” (wszelkie dane umożliwiające identyfikację zdarzenia lub je opisujące, niezależnie od tego, czy odnoszą się do jego lokalizacji, w systemie telekomunikacyjnym lub za jego pomocą, w przypadku gdy zdarzenie polega na wykonywaniu przez jeden lub więcej podmiotów określonej czynności w określonym czasie) oraz „dane o podmiotach” (wszelkie dane, które a) dotyczą (i) podmiotu, (ii) związku między usługą telekomunikacyjną a podmiotem, lub (iii) związku między jakąkolwiek częścią systemu telekomunikacyjnego a podmiotem, b) składają się z danych lub zawierają dane umożliwiające identyfikację podmiotu lub go opisujące (bez względu na to, czy odnoszą się do lokalizacji podmiotu), oraz c) nie są danymi o zdarzeniach).

313

(314)  Wynika to z definicji terminu „dane pochodzące z łączności” zawartej w art. 261 ust. 5 IPA 2016, zgodnie z którą dane pochodzące z łączności są przechowywane lub uzyskiwane przez operatora telekomunikacyjnego i dotyczą użytkownika usługi telekomunikacyjnej oraz są związane ze świadczeniem tej usługi albo są elementem komunikacji, są jej częścią, towarzyszą jej lub są z nią powiązane pod względem logicznym (zob. również kodeks postępowania w zakresie danych pochodzących z łączności [Code of Practice on Communications Data], dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, pkt 2.22–2.33). Ponadto zgodnie z definicją terminu „operator telekomunikacyjny” zawartą w art. 261 ust. 10 IPA 2016 wymaga się, aby operatorem telekomunikacyjnym była osoba, która oferuje lub świadczy usługi telekomunikacyjne osobom w Zjednoczonym Królestwie lub która kontroluje lub zapewnia system telekomunikacyjny, który znajduje się (w całości lub częściowo) w Zjednoczonym Królestwie lub jest kontrolowany ze Zjednoczonego Królestwa. Definicje te jasno wskazują, że obowiązki wynikające z IPA 2016 nie mogą być nakładane na operatorów telekomunikacyjnych, których urządzenia nie znajdują się w Zjednoczonym Królestwie ani nie są kontrolowane z terytorium tego państwa i którzy nie oferują ani nie świadczą usług osobom fizycznym w Zjednoczonym Królestwie (zob. również kodeks postępowania w zakresie danych pochodzących z łączności, pkt 2.1). W przypadku abonentów z UE (czy to znajdujących się w UE, czy w Zjednoczonym Królestwie) korzystających z usług w Zjednoczonym Królestwie wszelkie informacje związane ze świadczeniem tych usług byłyby gromadzone bezpośrednio przez dostawcę usług w Zjednoczonym Królestwie, nie byłyby natomiast przekazywane z UE.

314

(315)  Odpowiednie organy wymieniono w załączniku 4 do IPA 2016 i obejmują one siły policyjne, służby wywiadowcze, niektóre ministerstwa i departamenty rządowe, Krajową Agencję ds. Zwalczania Przestępczości (NCA), Urząd Podatkowy i Celny Jej Królewskiej Mości (HMRC), Urząd ds. Konkurencji i Rynków (Competition and Markets Authority), Komisarza ds. Informacji, pogotowie ratunkowe, straż pożarną i służby ratownicze oraz organy np. w dziedzinie zdrowia i bezpieczeństwa żywności.

315

(316)  Sprawy połączone C-203/15 i C-698/15, Tele2/Watson, ECLI:EU:C:2016:970.

316

(317)  Zob. art. 61.7 lit. b) dotyczący pozyskiwania danych pochodzących z łączności oraz art. 87.10A dotyczący zatrzymywania danych pochodzących z łączności .

317

(318)  Art. 60A ust. 6 IPA 2016.

318

(319)  Okres ten ulega skróceniu do trzech dni, gdy zezwolenie wydaje się ze względu na pilny charakter sprawy (art. 65 ust. 3A IPA 2016).

319

(320)  Zgodnie z art. 65 IPA 2016 przedłużone zezwolenie obowiązuje przez okres jednego miesiąca od daty wygaśnięcia poprzedniego zezwolenia. Osoba, która udzieliła zezwolenia, może je w dowolnej chwili unieważnić, jeżeli uzna, że wymagania nie są już spełniane.

320

(321)  Art. 60A ust. 1 IPA 2016. Urząd ds. Upoważnień Dotyczących Danych Pochodzących z Łączności (Office for Communications Data Authorisations, OCDA) pełni tę funkcję w imieniu Komisarza ds. Uprawnień Dochodzeniowo-Śledczych (zob. kodeksy praktyk w zakresie danych pochodzących z łączności, pkt 5.6)

321

(322)  Wniosek na podstawie art. 61 ust. 7 lit. b) IPA 2016 składa się z uwagi na „właściwy cel związany z przestępczością”, co oznacza, zgodnie z art. 61 ust. 7A IPA 2016: „jeżeli dane pochodzące z łączności są w całości lub częściowo danymi o zdarzeniach, celem jest zapobieganie poważnym przestępstwom lub ich wykrywanie; w każdym innym przypadku celem jest zapobieganie przestępstwom lub ich wykrywanie, lub zapobieganie zakłóceniom porządku”.

322

(323)  Kodeks postępowania w zakresie danych pochodzących z łączności stanowi, że „[j]eżeli wniosek związany z bezpieczeństwem narodowym można złożyć na podstawie art. 60A albo art. 61, decyzję w sprawie najodpowiedniejszego trybu uzyskania zezwolenia w danym przypadku podejmują poszczególne organy publiczne. Organy publiczne, które chcą zastosować wariant wydania zezwolenia przez wyznaczonego urzędnika wyższego szczebla, muszą kierować się wyraźnymi wytycznymi dotyczącymi sytuacji, w których taki tryb uzyskania zezwolenia jest odpowiedni” (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 5. 19, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf ).

323

(324)  Art. 70 ust. 3 IPA 2016 zawiera definicję terminu „wyznaczony urzędnik”, przy czym w poszczególnych odpowiednich organach publicznych jest to inny urzędnik (jak określono w załączniku 4 do tej ustawy).

324

(325)  Dalsze szczegóły dotyczące niezależności wyznaczonego wyższego rangą urzędnika znajdują się w kodeksie postępowania w zakresie danych pochodzących z łączności (pkt 4.12-4.17, zob. przypis 323).

325

(326)  Przesłanki te obejmują: (i) względy bezpieczeństwa narodowego; (ii) zapobieganie przestępstwom lub ich wykrywanie, lub zapobieganie zakłóceniom porządku (w przypadku „danych o zdarzeniach” – dotyczy to wyłącznie poważnej przestępczości); (iii) interesy dobrobytu gospodarczego Zjednoczonego Królestwa w zakresie, w jakim interesy te są również istotne dla interesów bezpieczeństwa narodowego; (iv) względy bezpieczeństwa publicznego; (v) zapobieganie utracie życia lub obrażeniom ciała lub innym uszczerbkom na zdrowiu fizycznym lub psychicznym osób, lub ograniczenie wszelkich obrażeń ciała lub uszczerbków na zdrowiu fizycznym lub psychicznym osób; (vi) pomoc w postępowaniach przygotowawczych dotyczących domniemanych pomyłek sądowych lub (vii) identyfikacja osoby zmarłej lub osoby, która nie jest w stanie sama podać swojej tożsamości ze względu na konkretny stan (art. 61 ust. 7 IPA 2016).

326

(327)  Art. 60A ust. 1 lit. b) IPA 2016.

327

(328)  Kodeks postępowania w zakresie danych pochodzących z łączności, pkt 3.3 i kolejne, zob. przypis 323.

328

(329)  Kodeks postępowania w zakresie danych pochodzących z łączności, pkt 3.13, zob. przypis 323.

329

(330)  Art. 60A ust. 1 lit. c) IPA 2016.

330

(331)  Wymagane informacje muszą obejmować: (i) wskazanie, w jaki sposób uzyskanie tych danych będzie korzystne dla postępowania przygotowawczego lub operacji; (ii) wyjaśnienie znaczenia okresów określonych we wniosku, w tym wyjaśnienie, w jaki sposób okresy te są proporcjonalne do zdarzenia będącego przedmiotem postępowania przygotowawczego; (iii) wyjaśnienie, w jaki sposób poziom ingerencji jest uzasadniony w świetle korzystnego wpływu pozyskanych danych na postępowanie przygotowawcze (w takim uzasadnieniu należy rozważyć kwestię, czy ten sam cel można by osiągnąć, prowadząc postępowania przygotowawcze o mniejszym stopniu inwazyjności); (iv) omówienie praw (szczególnie prawa do prywatności i w stosownych przypadkach wolności wypowiedzi) osób fizycznych oraz wyważenie tych praw w stosunku do korzyści dla postępowania przygotowawczego; (v) informacje na temat charakteru ewentualnej ingerencji w prywatność osób trzecich oraz sposobu, w jaki okresy objęte wnioskiem wpływają na taką ewentualną ingerencję (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 3.22–3.26, zob. przypis 323).

331

(332)  Zob. przypis 313.

332

(333)  Jeżeli wniosek dotyczący danych pochodzących z łączności ma służyć pozyskaniu danych o większym stopniu inwazyjności (tj. danych o zdarzeniach), w kodeksie określono, że właściwszym rozwiązaniem jest pozyskanie w pierwszej kolejności danych o podmiotach lub pozyskanie bezpośrednio danych o zdarzeniach w ograniczonych pilnych przypadkach (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 6.10–6.14, zob. przypis 323).

333

(334)  Kodeks postępowania w zakresie danych pochodzących z łączności, pkt 8.8–8.44, zob. przypis 323.

334

(335)  Kodeks postępowania stanowi, że „osoba zatwierdzająca musi zachować szczególną ostrożność, rozpatrując takie wnioski, m.in. musi dodatkowo rozważyć kwestię, czy takie wnioski mogą wywoływać niezamierzone konsekwencje i czy służą one w najlepszy sposób interesowi publicznemu” (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 8.8). Ponadto należy zachowywać dokumentację dotycząca tego rodzaju wniosków, a wnioski należy przedstawić Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych w czasie kolejnej kontroli (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 8.10, zob. przypis 323).

335

(336)  Art. 87–89 IPA 2016.

336

(337)  Zgodnie z art. 90 IPA 2016 operator telekomunikacyjny, który otrzyma nakaz zatrzymywania danych, może zwrócić się do Sekretarza Stanu, który wydał taki nakaz, o jego kontrolę.

337

(338)  Zgodnie z sekcją 87 ust. 2 lit. a) IPA 2016 decyzja o zatrzymaniu może dotyczyć „określonego operatora bądź operatorów określonych w jakikolwiek sposób”.

338

(339)  Cele te obejmują: (i) względy bezpieczeństwa narodowego; (ii) właściwy cel związany z przestępczością (zdefiniowany w art. 87 ust. 10A IPA 2016); (iii) interesy dobrobytu gospodarczego Zjednoczonego Królestwa w zakresie, w jakim interesy te są również istotne dla interesów bezpieczeństwa narodowego; (iv) względy bezpieczeństwa publicznego; (v) zapobiegania utracie życia lub obrażeniom ciała lub innym uszczerbkom na zdrowiu fizycznym lub psychicznym osób, lub ograniczenie wszelkich obrażeń ciała lub uszczerbków na zdrowiu fizycznym lub psychicznym osób; lub (vi) pomoc w postępowaniach przygotowawczych dotyczących domniemanych pomyłek sądowych (art. 87 IPA).

339

(340)  Art. 87 IPA 2016. Ponadto zgodnie z odpowiednim kodeksem postępowania do celów oceny proporcjonalności nakazu zatrzymywania danych stosuje się kryteria przewidziane w art. 2 ust. 2 IPA 2016, w szczególności wymóg oceny kwestii, czy cel, któremu służy nakaz, można osiągnąć za pomocą mniej inwazyjnych środków. Podobnie jak w przypadku oceny proporcjonalności pozyskiwania danych pochodzących z łączności w kodeksie postępowania w zakresie danych pochodzących z łączności wyjaśniono, że taka ocena obejmuje ustalenie, czy stopień ingerencji w prawa danej osoby fizycznej do poszanowania jej życia prywatnego jest proporcjonalny do wynikającej z niej korzyści dla danego postępowania przygotowawczego (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 16.3, zob. przypis 323).

340

(341)  Zob. art. 88 IPA 2016.

341

(342)  Może chodzić o istniejące już lub przewidywane korzyści, które muszą być zgodne z ustawowymi celami umożliwiającymi zatrzymywanie danych (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 17.17, zob. przypis 323).

342

(343)  Dotyczy to ustalenia, czy pełen zasięg geograficzny nakazu zatrzymywania danych jest niezbędny i proporcjonalny, oraz czy niezbędne i proporcjonalne jest uwzględnienie lub wykluczenie konkretnych opisów osób (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 17.17, zob. przypis 323).

343

(344)  W ten sposób Sekretarzowi Stanu łatwiej jest ocenić zarówno poziom ingerencji w prywatność konsumentów, jak i prawdopodobne korzyści wynikające z zatrzymywania danych (kodeks postępowania w zakresie danych pochodzących z łączności, pkt 17.17, zob. przypis 323).

344

(345)  Art. 88 IPA 2016.

345

(346)  Art. 89 IPA 2016.

346

(347)  Zgodnie z art. 135 ust. 1 i art. 198 ust. 1 IPA 2016 „urządzenia” oznaczają urządzenia generujące fale elektromagnetyczne, fale dźwiękowe lub inne emisje oraz każdy sprzęt, który można wykorzystać w połączeniu z takimi urządzeniami.

347

(348)  Kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, pkt 2.2.

348

(349)  Dane o urządzeniach zdefiniowano w art. 100 IPA 2016 jako dane systemowe i dane, które a) są zawarte lub uwzględnione w komunikacji (niekoniecznie ze strony nadawcy) lub dowolnej innej informacji, dołączone do takiej komunikacji lub informacji, lub też w sposób logiczny z nią powiązaney; b) można logicznie oddzielić od pozostałej części komunikacji lub informacji oraz c) w przypadku takiego oddzielenia nie ujawniłyby niczego z treści, którą można by racjonalnie uznać za (ewentualne) znaczenie komunikacji lub informacji.

349

(350)  Zgodnie z art. 13 ust. 1 IPA 2016, aby spełnienie wymogu posiadania nakazu było konieczne, postępowanie służb wywiadowczych musi nosić znamiona co najmniej jednego czynu zabronionego na mocy art. 1–3A ustawy z 1990 r. o niewłaściwym użyciu komputerów, który to wymóg byłby spełniony w zdecydowanej większości przypadków; zob. kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 3.32 i 3.6–3.9). Zgodnie z art. 13 ust. 2 IPA 2016 „związek z Wyspami Brytyjskimi” zachodzi, jeżeli a) jakiekolwiek działanie miałoby miejsce na terytorium Wysp Brytyjskich (niezależnie od lokalizacji urządzeń, które stanowiłyby lub mogłyby stanowić przedmiot ingerencji), b) służby wywiadowcze uważają, że którekolwiek z urządzeń, które stanowiłyby lub mogłyby stanowić przedmiot ingerencji, znajdowałyby się lub mogłyby się znajdować na terytorium Wysp Brytyjskich w którymkolwiek momencie w czasie trwania ingerencji, lub c) celem ingerencji jest przechwycenie (i) komunikacji przesłanej przez osobę lub do osoby, która faktycznie lub zdaniem służb wywiadowczych przebywa w danym czasie na terytorium Wysp Brytyjskich, (ii) prywatnych informacji dotyczących osoby fizycznej, która faktycznie lub zdaniem służb wywiadowczych przebywa w danym czasie na terytorium Wysp Brytyjskich, lub (iii) danych o urządzeniu, które stanowią element komunikacji lub prywatnej informacji, o których mowa w ppkt (i) lub (ii), lub które są związane z taką komunikacją lub prywatną informacją.

350

(351)  Tytułem uzupełnienia należy zauważyć, że nawet w sytuacjach, w których nie zachodzi „związek z Wyspami Brytyjskimi” i tym samym ingerencja w urządzenia elektroniczne nie podlega obowiązkowemu wymogowi posiadania nakazu przewidzianemu w art. 13 ust. 1 IPA 2016, służba wywiadowcza planująca działanie, w odniesieniu do którego może uzyskać nakaz zezwalający na masową ingerencję w urządzenia elektroniczne, powinna uzyskiwać taki nakaz w ramach obowiązującej polityki (zob. kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 3.24). Nawet jeżeli nakaz zezwalający na ingerencję w urządzenia elektroniczne przewidziany w IPA 2016 nie jest prawnie wymagany ani nie jest uzyskiwany w ramach obowiązującej polityki, działania służb wywiadowczych podlegają szeregowi warunków i ograniczeń przewidzianych w art. 7 ustawy o służbach wywiadowczych z 1994 r. W szczególności takim warunkiem jest wymóg uzyskania zezwolenia Sekretarza Stanu, który musi mieć pewność, że żadne działanie nie wykracza poza to, co jest niezbędne dla odpowiedniego sprawowania funkcji służb wywiadowczych.

351

(352)  W art. 115 IPA 2016 uregulowano treść nakazu, wskazując, że musi on zawierać imię i nazwisko/nazwę lub opis osób, organizacji, miejsca lub grupy osób, które stanowią „cel”, opis charakteru postępowania przygotowawczego oraz opis czynności, do których wykorzystuje się dane urządzenie. W nakazie należy także opisać rodzaj urządzenia oraz czynności, do jakich jest uprawniona osoba, która uzyskała taki nakaz.

352

(353)  Zob. również kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 5.7, zob. przypis 348.

353

(354)  Agencje bezpieczeństwa narodowego mogą ubiegać się o wydanie nakazu ingerencji w urządzenia elektroniczne, jeżeli jest to niezbędne ze względu na bezpieczeństwo narodowe, do celów wykrycia poważnego przestępstwa lub ze względu na interesy dobrobytu gospodarczego Zjednoczonego Królestwa w zakresie, w jakim interesy te są również istotne dla interesów bezpieczeństwa narodowego (art. 102–103 IPA 2016). W zależności od agencji wniosek o wydanie nakazu ingerencji w urządzenia elektroniczne można złożyć do celów ścigania przestępstw, jeżeli jest on niezbędny do wykrycia poważnego przestępstwa lub zapobieżenia mu lub do zapobieżenia utracie życia lub obrażeniom ciała lub innemu uszczerbkowi na zdrowiu fizycznym lub psychicznym osób, lub do ograniczenia wszelkich obrażeń ciała lub uszczerbku na zdrowiu fizycznym lub psychicznym osób (zob. art. 106 ust. 1 i 3 IPA 2016).

354

(355)  Art. 102 ust. 1 lit. IPA 2016.

355

(356)  Art. 129–131 IPA 2016.

356

(357)  Art. 109 IPA 2016.

357

(358)  Art. 109 ust. 4 IPA 2016.

358

(359)  Art. 110 ust. 3 lit. b) IPA 2016. Zgodnie z pkt 5.67 kodeksu postępowania w sprawie ingerencji w urządzenia elektroniczne pilny charakter sprawy ocenia się poprzez ustalenie, czy rozsądnie wykonalne byłoby ubieganie się o zgodę komisarza sądowego na wydanie nakazu w terminie umożliwiającym zaspokojenie potrzeb operacyjnych lub dochodzeniowych. Pilne nakazy powinny zaliczać się do jednej lub obu następujących kategorii: (i) bezpośrednie zagrożenie życia lub poważna szkoda – np. jeżeli osoba została uprowadzona i ocenia się, że jej życie jest bezpośrednio zagrożone lub (ii) ograniczona czasowo możliwość gromadzenia danych wywiadowczych lub prowadzenia dochodzenia – np. do Zjednoczonego Królestwa niebawem dotrze transport narkotyków klasy A, a organy ścigania chcą uzyskać dane sprawców poważnych przestępstw w celu dokonania aresztowań. Zob. przypis 348.

359

(360)  Art. 108 IPA 2016.

360

(361)  Zgodnie ze sprawozdaniem dotyczącym uprawnień do masowego pozyskiwania danych przedstawionym przez lorda Davida Andersona, który dokonał niezależnego przeglądu przepisów dotyczących terroryzmu przed zatwierdzeniem IPA 2016, „nie może być wątpliwości, że masowe gromadzenie i zatrzymywanie danych nie stanowi tak zwanej masowej inwigilacji. Każdy system prawny godny tego miana będzie obejmował ograniczenia i zabezpieczenia mające konkretnie na celu zapewnienie, aby nie udzielano powszechnego lub nieuzasadnionego dostępu do zbiorów danych wrażliwych (...). Takie ograniczenia i zabezpieczenia bez wątpienia zapewniono w przedmiotowym projekcie ustawy”. Lord David Anderson, sprawozdanie z przeglądu uprawnień do masowego pozyskiwania danych, sierpień 2016 r., pkt 1.9 (dodano podkreślenie), dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF.

361

Każdy system prawny godny tego miana będzie obejmował ograniczenia i zabezpieczenia mające konkretnie na celu zapewnienie, aby nie udzielano powszechnego lub nieuzasadnionego dostępu do zbiorów danych wrażliwych (...).

(362)  Art. 2 ust. 2 IPA 2016. Zob. na przykład kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, pkt 4.11, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf.

362

(363)  Na „Wyspy Brytyjskie” składają się: Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej, Wyspy Normandzkie i Wyspa Man, zgodnie z definicją zawartą w załączniku 1 do ustawy interpretacyjnej z 1978 r. – dokument dostępny pod adresem https://www.legislation.gov.uk/ukpga/1978/30/schedule/1.

363

(364)  Zgodnie z art. 136 IPA 2016 „komunikacja zagraniczna” oznacza: (i) komunikację wysyłaną przez osoby fizyczne znajdujące się poza terytorium Wysp Brytyjskich lub (ii) komunikację odbieraną przez osoby fizyczne znajdujące się poza terytorium Wysp Brytyjskich. Jak potwierdziły władze Zjednoczonego Królestwa, system ten obejmuje również komunikację między dwiema osobami, z których obie znajdują się poza terytorium Wysp Brytyjskich. W sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (zob. przypis 279 powyżej), pkt 376, wielka izba Europejskiego Trybunału Praw Człowieka stwierdziła w odniesieniu do podobnego (odnoszącego się do „komunikacji zewnętrznej”) ograniczenia przekazów, które mogą być przedmiotem masowego przechwytywania na podstawie RIPA 2000, że było ono wystarczająco ograniczone i przewidywalne.

364

(365)  Art. 136 ust. 4 IPA 2016. Z wyjaśnień otrzymanych od rządu Zjednoczonego Królestwa wynika, że masowe przechwytywanie można stosować na przykład w celu identyfikacji wcześniej nieznanych zagrożeń dla bezpieczeństwa narodowego Zjednoczonego Królestwa poprzez filtrowanie i analizowanie przechwyconego materiału w celu identyfikacji komunikacji o znaczeniu wywiadowczym (ramy wyjaśniające Zjednoczonego Królestwa, sekcja H: Bezpieczeństwo narodowe, s. 27–28, zob. przypis 29). Zgodnie z wyjaśnieniami władz Zjednoczonego Królestwa takie instrumenty można wykorzystywać do ustalenia związku między znanymi osobami podejrzanymi, a także do poszukiwania śladów działalności osób fizycznych, które mogą jeszcze nie być znane, ale które mogą pojawić się w toku postępowania przygotowawczego, oraz do identyfikacji wzorców działalności, które mogą wskazywać na istnienie zagrożenia dla Zjednoczonego Królestwa.

365

(366)  Zgodnie z art. 13 ust. 1 IPA 2016, aby służby wywiadowcze mogły ingerować w urządzenia elektroniczne, muszą one uzyskać zezwolenie w postaci nakazu wydanego na podstawie IPA 2016, a także musi występować „związek z Wyspami Brytyjskimi” – zob. motyw 211.

366

(367)  Art. 176 IPA 2016. Na mocy nakazu masowej ingerencji w urządzenia elektroniczne nie można zezwolić na działania, które – o ile nie są prowadzone na podstawie zgodnego z prawem upoważnienia – stanowiłyby bezprawne przechwytywanie (nie dotyczy to komunikacji przechowywanej). Zgodnie z ramami wyjaśniającymi Zjednoczonego Królestwa pozyskane informacje mogą być niezbędne do identyfikacji osób podejrzewanych i zazwyczaj stanowiłyby odpowiednie operacje prowadzone na dużą skalę (ramy wyjaśniające Zjednoczonego Królestwa, sekcja H: Bezpieczeństwo narodowe, s. 28, zob. przypis 29).

367

(368)  Art. 138 ust. 1 i art. 178 ust. 1 IPA 2016.

368

(369)  Art. 138 ust. 2 i art. 178 ust. 2 IPA 2016.

369

(370)  Zgodnie z wyjaśnieniami przedstawionymi przez władze Zjednoczonego Królestwa przykładowo w ramach celu operacyjnego zastosowanie danego środka może ograniczać się do zagrożenia istniejącego na określonym obszarze geograficznym.

370

(371)  Art. 142 ust. 4–10 IPA 2016.

371

(372)  Wysoki Trybunał, Liberty, [2019] EWHC 2057 (Admin), pkt 167.

372

(373)  Zgodnie z wymogami art. 152 i 193 IPA 2016: a) wyboru materiału do zbadania dokonuje się wyłącznie do celów operacyjnych określonych w nakazie, b) materiał wybrany do zbadania jest niezbędny i proporcjonalny we wszystkich okolicznościach oraz c) wybierając materiał do zbadania, nie złamano zakazu wyboru materiałów i identyfikacji komunikatów przesłanych osobom fizycznym, co do których wiadomo, że w danym czasie przebywają na terytorium Wysp Brytyjskich, lub przeznaczonych dla takich osób.

373

(374)  Zob. kodeks postępowania w zakresie przechwytywania komunikacji, pkt 6.6, zob. przypis 278.

374

(375)  Art. 138 ust. 1 lit. b) i c) oraz art. 178 lit. b) i c) IPA 2016.

375

(376)  Kodeks postępowania w zakresie przechwytywania komunikacji, pkt 4.10, zob. przypis 278.

376

(377)  Kodeks postępowania w zakres przechwytywania komunikacji, pkt 6.20, zob. przypis 278, oraz kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 6.13, zob. przypis 348.

377

(378)  Art. 138 ust. 1 lit. g) i art. 178 ust. 1 lit. f) IPA 2016. Europejski Trybunał Praw Człowieka uznał w szczególności, że uprzednia zgoda niezależnego organu stanowi ważne zabezpieczenie przed nadużyciami w kontekście masowego przechwytywania. Europejski Trybunał Praw Człowieka (wielka izba), Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu, (zob. przypis 269 powyżej), pkt 351 i 352. Należy pamiętać, że wyrok ten dotyczył poprzednich ram prawnych (RIPA 2000), które nie przewidywały niektórych zabezpieczeń (w tym uprzedniej zgody niezależnego komisarza sądowego), wprowadzonych przez IPA 2016.

378

(379)  Art. 159 ust. 3 i 4 IPA 2016.

379

(380)  Art. 143–146 i 184–188 IPA 2016. W przypadku pilnej zmiany Sekretarz Stanu może dokonać takiej zmiany bez zatwierdzenia, ale musi powiadomić o niej komisarza, który z kolei musi podjąć decyzję o jej przyjęciu albo odrzuceniu (art. 147 IPA 2016). Nakaz należy unieważnić, jeżeli nie jest już niezbędny lub proporcjonalny, lub jeżeli badanie przechwyconych treści, metadanych lub innego rodzaju danych uzyskanych na podstawie danego nakazu nie jest już niezbędne do osiągnięcia celów operacyjnych określonych w tym nakazie (art. 148 i 189 IPA 2016).

380

(381)  Kodeks postępowania w zakres przechwytywania komunikacji, pkt 6.44–6.47, zob. przypis 278, oraz kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 6.48, zob. przypis 348.

381

(382)  Art. 156 IPA 2016.

382

(383)  Art. 150 i 191 IPA 2016.

383

(384)  Wielka izba Europejskiego Trybunału Praw Człowieka w wyroku w sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (zob. przypis 268 powyżej) utrzymała system dodatkowych zabezpieczeń dotyczących zatrzymywania informacji, dostępu do nich i ich ujawniania, przewidziany w RIPA 2000, zob. pkt 392–394 i 402–405. Ten sam system zabezpieczeń przewidziano w IPA 2016.

384

(385)  Art. 151 i 192 IPA 2016.

385

(386)  Więcej informacji na ten temat w przypisie 312.

386

(387)  W tym kontekście kodeks w zakresie przechwytywania komunikacji stanowi, że „[t]akie systemy przetwarzania obejmują przetwarzanie danych z połączeń lub sygnałów komunikacyjnych, które organ przechwytujący wybrał do przechwycenia. Następnie stosuje się pewien stopień filtrowania ruchu na tych połączeniach i sygnałach w celu wyboru rodzajów komunikacji, które potencjalnie są istotne do celów wywiadowczych, i odrzucenia rodzajów komunikacji, w przypadku których prawdopodobieństwo znaczenia wywiadowczego jest najmniejsze. W wyniku takiego filtrowania, które różni się w zależności od systemu przetwarzania, automatycznie odrzuca się znaczną część komunikacji na tych połączeniach i sygnałach. Następnie można prowadzić złożone operacje przeglądania danych, aby dokonać dalszej selekcji przekazów, które najprawdopodobniej mają największe znaczenie wywiadowcze w kontekście ustawowych funkcji danej agencji. Taki przekaz następnie wybiera się do zbadania pod kątem celu lub celów operacyjnych określonych w nakazie, pod warunkiem że spełnione są warunki niezbędności i proporcjonalności. Do zbadania przez upoważnione osoby można potencjalnie wybrać wyłącznie elementy, które nie zostały odrzucone w procesie filtrowania” (kodeks postępowania w zakresie przechwytywania komunikacji, pkt 6.6, zob. przypis 278).

387

(388)  Zob. art. 152 ust. 1 lit. a) i b) IPA 2016, zgodnie z którym badanie obu rodzajów danych (przechwyconych treści i danych wtórnych) musi być przeprowadzone wyłącznie w określonym celu oraz musi być konieczne i proporcjonalne we wszystkich okolicznościach.

388

(389)  Tego rodzaju nakaz nie jest wymagany, jeżeli dane dotyczące osób przebywających na terytorium Wysp Brytyjskich są „danymi wtórnymi” (zob. sekcja 152 ust. 1 lit. c) IPA 2016).

389

(390)  Art. 152 i 193 IPA 2016.

390

(391)  Art. 155 i 196 IPA 2016.

391

(392)  Art. 152 i 193 IPA 2016.

392

(393)  Art. 229 IPA 2016.

393

(394)  Kodeks postępowania w zakres przechwytywania komunikacji, pkt 6.74, zob. przypis 278, oraz kodeks postępowania w zakresie ingerencji w urządzenia elektroniczne, pkt 6.78, zob. przypis 348.

394

(395)  Na podstawie art. 238 IPA 2016 Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych ma zapewniać Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych niezbędny personel, pomieszczenia, wyposażenie oraz inne urządzenia i usługi niezbędne do pełnienia jego funkcji (zob. motyw 251).

395

(396)  W sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2018 r. wskazano, że uzasadnienia udokumentowane przez analityków GCHQ „spełniały wymaganą normę, a analitycy wystarczająco szczegółowo udokumentowali proporcjonalność ich zapytań odnoszących się do danych masowych”. Sprawozdanie roczne Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2018 r., pkt 6.22, zob. przypis 464.

396

(397)  Zob. sprawozdanie roczne Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., pkt 7.6, zob. przypis 463.

397

(398)  Zob. sprawozdanie roczne Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., pkt 10.22, zob. przypis 463.

398

(399)  Wynika to z definicji terminu „dane pochodzące z łączności” zawartej w art. 261 ust. 5 IPA 2016, zgodnie z którą dane pochodzące z łączności są przechowywane lub uzyskiwane przez operatora telekomunikacyjnego i dotyczą użytkownika usługi telekomunikacyjnej oraz są związane ze świadczeniem tej usługi albo są elementem komunikacji, są jej częścią, towarzyszą jej lub są z nią logicznie powiązane (zob. również kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf pkt 2.15–2.22). Ponadto zgodnie z definicją terminu „operator telekomunikacyjny” zawartą w art. 261 ust. 10 IPA 2016 wymaga się, aby operatorem telekomunikacyjnym była osoba, która oferuje lub świadczy usługi telekomunikacyjne osobom w Zjednoczonym Królestwie lub która kontroluje lub zapewnia system telekomunikacyjny, który znajduje się (w całości lub częściowo) w Zjednoczonym Królestwie lub jest kontrolowany ze Zjednoczonego Królestwa. Definicje te jasno wskazują, że obowiązki wynikające z IPA 2016 nie mogą być nakładane na operatorów telekomunikacyjnych, których urządzenia nie znajdują się w Zjednoczonym Królestwie ani nie są z kontrolowane z terytorium tego państwa i którzy nie oferują ani nie świadczą usług osobom fizycznym w Zjednoczonym Królestwie (zob. również kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, pkt 2.2). W przypadku abonentów z UE (czy to znajdujących się w UE, czy w Zjednoczonym Królestwie) korzystających z usług w Zjednoczonym Królestwie wszelkie informacje związane ze świadczeniem tych usług byłyby gromadzone bezpośrednio przez dostawcę usług w Zjednoczonym Królestwie, nie byłyby natomiast przekazywane z UE.

399

(400)  Art. 94 ust. 1 ustawy o łączności z 1984 r. stanowił, że Sekretarz Stanu może wydawać „wskazówki o charakterze ogólnym, które Sekretarz Stanu uważa za wymagane lub wskazane dla interesu bezpieczeństwa narodowego (...)” (zob. przypis 451).

400

(401)  Zob. Privacy International, pkt 78.

401

(402)  Zob. kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, pkt 4.11 (zob. przypis 399414).

402

(403)  O nakaz masowego pozyskania danych mogą wystąpić wyłącznie szefowie służb wywiadowczych, którymi są: (i) Dyrektor Generalny Służby Bezpieczeństwa; (ii) Dyrektor Tajnej Służby Wywiadowczej lub (iii) Dyrektor GCHQ (zob. art. 158 i 263 IPA 2016).

403

(404)  Kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, pkt 4.5 (zob. przypis 399)

404

(405)  Zgodnie z art. 161 IPA 2016 cele operacyjne wskazane w nakazie muszą być tożsame z celami, które w wykazie prowadzonym przez szefów służb wywiadowczych („wykaz celów operacyjnych”) zostały przez nich określone jako cele operacyjne, na potrzeby których dane pochodzące z łączności uzyskane na podstawie nakazów masowego pozyskania danych mogą zostać wybrane do zbadania.

405

(406)  Kodeks postępowania w zakresie masowego pozyskiwania danych pochodzących z łączności, pkt 6.6 (zob. przypis 399).

406

(407)  Art. 172 IPA 2016 wymaga wprowadzenia szczególnych zabezpieczeń na etapie filtrowania pozyskanych masowo danych pochodzących z łączności i ich wyboru do zbadania. Ponadto umyślne badanie z naruszeniem tych zabezpieczeń jest również przestępstwem (zob. art. 173 IPA 2016).

407

(408)  Art. 171 IPA 2016.

408

(409)  Art. 171 ust. 9 IPA 2016.

409

(410)  Art. 162 IPA 2016.

410

(411)  Art. 163 IPA 2016.

411

(412)  Art. 164–166 IPA 2016.

412

(413)  Art. 159 IPA 2016.

413

(414)  Sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., pkt 8.6, zob. przypis 463.

414

(415)  Sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., pkt 10.4, zob. przypis 463.

415

(416)  Sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., pkt 8.37, zob. przypis 463.

416

(417)  Art. 200 IPA 2016.

417

(418)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Bezpieczeństwo narodowe, s. 34, zob. przypis 29.

418

(419)  Art. 204 IPA 2016.

419

(420)  Kodeks postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, pkt 4.7, dostępny pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf.

420

(421)  Art. 205 IPA 2016.

421

(422)  Takie jak na przykład wrażliwe dane osobowe, zob. art. 202 IPA 2016 oraz kodeks postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, pkt 4.21 i 4.12, zob. przypis 469.

422

(423)  Wniosek o wydanie indywidualnego nakazu dotyczącego masowego zbioru danych osobowych musi być rozpatrywany indywidualnie przez Sekretarza Stanu, tj. w odniesieniu do jednego określonego zbioru danych. W art. 205 IPA wymaga się, aby we wniosku o wydanie indywidualnego nakazu dotyczącego masowego zbioru danych osobowych służba wywiadowcza udzieliła szczegółowych wyjaśnień dotyczących charakteru i zakresu przedmiotowego materiału oraz wykaz „celów operacyjnych”, dla których odpowiednia służba wywiadowcza zamierza zbadać masowy zbiór danych osobowych (w przypadku gdy służba wywiadowcza ubiega się o nakaz dotyczący zatrzymywania i badania, a nie wyłącznie zatrzymywania). Przy wydawaniu grupowego nakazu dotyczącego masowych zbiorów danych osobowych Sekretarz rozpatruje natomiast całą kategorię zbiorów danych jednocześnie.

423

(424)  Art. 204 i 205 IPA 2016.

424

(425)  Art. 2 IPA 2016.

425

(426)  Art. 204 i 205 IPA 2016.

426

(427)  Kodeks postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, pkt 5.2, zob. przypis 420.

427

(428)  Kodeks postępowania w zakresie zatrzymywania i wykorzystywania przez służby wywiadowcze masowych zbiorów danych osobowych, pkt 8.1–8.15, zob. przypis 420.

428

(429)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Bezpieczeństwo narodowe s. 34, zob. przypis 29.

429

(430)  Art. 87 ust. 1 DPA 2018.

430

(431)  Art. 87 ust. 3 DPA 2018. Chociaż administratorzy mogą być wyłączeni z tej zasady na podstawie art. 110 DPA 2018 w zakresie, w jakim jest to wymagane do ochrony bezpieczeństwa narodowego, wyłączenie takie musi być oceniane w każdym przypadku z osobna i można się na nie powoływać wyłącznie w zakresie, w jakim zastosowanie określonego przepisu miałoby negatywne konsekwencje dla bezpieczeństwa narodowego (zob. motyw 132). Certyfikaty bezpieczeństwa narodowego dla służb wywiadowczych Zjednoczonego Królestwa (dostępne pod adresem: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) nie obejmują art. 87 ust. 3 DPA 2018. Ponadto, ponieważ każde przetwarzanie danych w innym celu musi być prawnie dozwolone, służby wywiadowcze muszą mieć jasną podstawę prawną do dalszego przetwarzania.

431

(432)  Więcej informacji na ten temat w przypisie 312.

432

(433)  Zob. przypis 312.

433

(434)  Wytyczne ICO dotyczące przetwarzania danych przez służby wywiadowcze (zob. przypis 161).

434

(435)  Art. 54 IPA 2016.

435

(436)  Art. 130 IPA 2016.

436

(437)  Art. 151 IPA 2016.

437

(438)  Art. 171 ust. 9 IPA 2016.

438

(439)  Art. 192 IPA 2016.

439

(440)  Ustalenia muszą obejmować środki zapewniające, aby każda kopia wykonana z tych materiałów była przechowywana (tak długo, jak długo jest zatrzymywana) w bezpieczny sposób. Materiały uzyskane na podstawie nakazu oraz każda wykonana z nich kopia muszą zostać zniszczone, gdy tylko przestaną istnieć uzasadnione powody do ich zachowania (zob. art. 150 ust. 2 i 5 oraz art. 151 ust. 2 IPA 2016). Warto zauważyć, że podobne gwarancje przewidziane w poprzednich ramach prawnych (RIPA 2000) zostały uznane za zgodne z wymogami określonymi przez Europejski Trybunał Praw Człowieka w odniesieniu do udostępniania obcym państwom lub organizacjom międzynarodowym materiałów uzyskanych w wyniku masowego przechwytywania [Europejski Trybunał Praw Człowieka (wielka izba), Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu, (zob. przypis 279 powyżej), pkt 362 i 399].

440

(441)  Art. 116 DPA 2018.

441

(442)  Zgodnie z załącznikiem 13 ust. 2 do DPA 2018 wobec administratora lub podmiotu przetwarzającego mogą zostać wystawione zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji w związku z naruszeniem części 4 rozdział 2 DPA 2018 (zasady przetwarzania), przepisu części 4 DPA 2018 przyznającego prawa osobie, której dane dotyczą, wymogu poinformowania Komisarza o naruszeniu ochrony danych osobowych na mocy art. 108 DPA 2018 oraz zasad przekazywania danych osobowych do państw trzecich, państw nieobjętych konwencją i organizacji międzynarodowych, które to zasady ustanowiono w art. 109 DPA 2018 (więcej szczegółów na temat zawiadomień egzekucyjnych i w sprawie sankcji można znaleźć w motywie 92).

442

(443)  Zgodnie z art. 147 ust. 6 DPA 2018 Komisarz ds. Informacji nie może wydać zawiadomienia oceniającego organowi określonemu w art. 23 ust. 3 ustawy o swobodnym dostępie do informacji z 2000 r. Organem takim jest Służba Bezpieczeństwa (MI5), Tajna Służba Wywiadowcza (MI6) oraz Centrala Łączności Rządowej).

443

(444)  Zastosowanie wyjątku jest możliwe w przypadku następujących przepisów: art. 108 (informowanie Komisarza o naruszeniu ochrony danych osobowych), art. 119 (inspekcja zgodnie z zobowiązaniami międzynarodowymi); art. 142–154 i załącznik 15 (zawiadomienia wydawane przez Komisarza oraz uprawnienia do wstępu i inspekcji); oraz art. 170–173 (przestępstwa związane z danymi osobowymi). Ponadto – w odniesieniu do przetwarzania przez służby wywiadowcze – pkt 1 lit. a) i g) oraz pkt 2 w załączniku 13 (inne ogólne funkcje Komisarza).

444

(445)  Protokół ustaleń pomiędzy Biurem Komisarza ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa, zob. przypis 165.

445

(446)  W siedmiu z tych spraw Komisarz ds. Informacji doradził skarżącemu, aby zgłosił problem administratorowi danych (dotyczy to sytuacji, gdy osoba fizyczna zgłosiła problem Komisarzowi ds. Informacji, ale powinna była najpierw zgłosić go administratorowi danych), w jednej z tych spraw Komisarz ds. Informacji udzielił administratorowi danych ogólnej porady (ma to miejsce, gdy czynności administratora danych wydają się nie naruszać przepisów, ale udoskonalenie praktyk mogło pozwolić na uniknięcie zgłoszenia problemu Komisarzowi ds. Informacji), a w pozostałych 13 przypadkach nie było wymagane żadne działanie ze strony administratora danych (dzieje się tak w sytuacjach, gdy mimo że problemy zgłoszone przez osobę fizyczną podlegają ustawie o ochronie danych z 2018 r., ponieważ dotyczą przetwarzania danych osobowych, to na podstawie dostarczonych informacji nie wydaje się, aby administrator naruszył przepisy).

446

(447)  Zgodnie z art. 227 ust. 7 i 8 IPA 2016 Komisarz ds. Uprawnień Dochodzeniowo-Śledczych jest komisarzem sądowym, a wraz z pozostałymi komisarzami sądowymi jest objęty łącznym określeniem „komisarze sądowi”. Obecnie jest 15 komisarzy sądowych.

447

(448)  Zgodnie z art. 60 ust. 2 części 3 ustawy o reformie konstytucyjnej z 2005 r. wysokie stanowisko sędziowskie oznacza stanowisko sędziego w którymkolwiek z następujących sądów: (i) Sąd Najwyższy (Supreme Court); (ii) Sąd Apelacyjny w Anglii i Walii (Court of Appeal in England and Wales); (iii) Wysoki Trybunał w Anglii i Walii (High Court in England and Wales); (iv) Najwyższy Sąd Cywilny (Court of Session); (v) Sąd Apelacyjny w Irlandii Północnej (Court of Appeal in Northern Ireland); (vi) Wysoki Trybunał w Irlandii Północnej (High Court in Northern Ireland) lub stanowisko sędziego Sądu Apelacyjnego w sądzie powszechnym (Lord of Appeal in Ordinary).

448

(449)  Niezależność sądów opiera się na konwencji i jest powszechnie uznawana od czasu ustawy o następstwie tronu z 1701 r.

449

(450)  Art. 227 ust. 3 IPA 2016. Komisarze sądowi muszą być rekomendowani również przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych zgodnie z art. 227 ust. 4 lit. e) IPA 2016.

450

(451)  Art. 238 IPA 2016.

451

(452)  Art. 227 ust. 2 IPA 2016.

452

(453)  Procedura usunięcia z urzędu jest identyczna jak w przypadku innych sędziów w Zjednoczonym Królestwie (zob. np. art. 11 ust. 3 ustawy w sprawie sądów wyższej instancji z 1981 r. oraz art. 33 ustawy o reformie konstytucyjnej z 2005 r., w których wymaga się również uchwały po zatwierdzeniu przez obie izby parlamentu). Do chwili obecnej żadnego komisarza sądowego nie usunięto z urzędu.

453

(454)  Organ niezależny to organizacja lub agencja, która otrzymuje środki finansowe od rządu, ale jest w stanie działać niezależnie (definicja i więcej informacji na temat organu niezależnego znajduje się w podręczniku Kancelarii Rządu (Cabinet Office) dotyczącym klasyfikacji organów publicznych, dostępnym pod adresem): https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf i pierwsze sprawozdanie z sesji komisji specjalnej Izby Gmin ds. administracji publicznej w latach 2014–2015, dostępne pod adresem: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf).

454

(455)  Zgodnie z sekcją 229 IPA 2016 komisarz sądowy posiada szerokie uprawnienia nadzorcze, które obejmują również nadzór nad zatrzymywaniem i ujawnianiem danych gromadzonych przez agencje wywiadowcze.

455

(456)  Decyzje o tym, czy zatwierdzić decyzję Sekretarza Stanu o wydaniu nakazu, należą do samych komisarzy sądowych. Jeżeli komisarz odmówi zatwierdzenia nakazu, Sekretarz Stanu może odwołać się do Komisarza ds. Uprawnień Dochodzeniowo-Śledczych, którego decyzja jest ostateczna.

456

(457)  Zezwolenie Komisarza ds. Uprawnień Dochodzeniowo-Śledczych jest zawsze wymagane w przypadku pozyskiwania danych pochodzących z łączności do celów ścigania przestępstw (art. 60A IPA 2016). Jeżeli dane pochodzące z łączności pozyskuje się do celów bezpieczeństwa narodowego, zezwolenie może zostać wydane przez Komisarza ds. Uprawnień Dochodzeniowo-Śledczych lub, alternatywnie, przez wyznaczonego urzędnika wyższego szczebla odpowiedniego organu publicznego (zob. art. 61 i 61A IPA 2016 i motyw 203).

457

(458)  Oświadczenie specjalnego sprawozdawcy ds. prawa do prywatności na zakończenie jego misji w Zjednoczonym Królestwie Wielkiej Brytanii i Irlandii Północnej (zob. przypis 281).

458

(459)  Art. 229 IPA 2016. Uprawnienia dochodzeniowo-śledcze i informacyjne komisarza sądowego określono w art. 235 IPA 2016.

459

(460)  Obejmuje to środki nadzoru na mocy RIPA 2000, wykonywanie funkcji na mocy części 3 ustawy o policji z 1997 r. (zezwolenie na działania w odniesieniu do mienia) oraz wykonywanie przez Sekretarza Stanu funkcji na mocy art. 5–7 ustawy o służbach wywiadowczych z 1994 r. (nakazy ingerencji w radiotelegrafię, wstępu do pomieszczeń i ingerencji w mienie [art. 229 IPA 2016]).

460

(461)  Art. 230 IPA 2016. Komisarz ds. Uprawnień Dochodzeniowo-Śledczych może również z własnej inicjatywy składać premierowi sprawozdania w każdej sprawie związanej z jego funkcjami. Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi również składać sprawozdania premierowi na jego wniosek, a premier może nakazać Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych dokonanie przeglądu wszelkich funkcji służb wywiadowczych.

461

(462)  Niektóre części mogą zostać wyłączone, jeśli ich publikacja byłaby sprzeczna z bezpieczeństwem narodowym.

462

(463)  Np. w sprawozdaniu rocznym Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r. (pkt 6.38) wspomniano, że MI5 zalecono zmianę polityki zatrzymywania masowych zbiorów danych osobowych, ponieważ powinna ona była przyjąć podejście uwzględniające proporcjonalność zatrzymywania w odniesieniu do wszystkich pól w masowych zbiorach danych osobowych i w odniesieniu do każdego przechowywanego masowego zbioru danych osobowych. Pod koniec 2018 r. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych nie miało pewności, że zalecenie to zostało wykonane, a w sprawozdaniu za 2019 r. wyjaśniło, że MI5 wprowadza obecnie nowy proces w celu spełnienia tego wymogu. W sprawozdaniu rocznym za 2019 r. (pkt 8.22) wspomniano również, że GHCQ otrzymał szereg zaleceń dotyczących ewidencjonowania proporcjonalności zapytań dotyczących danych masowych. W sprawozdaniu potwierdzono, że na koniec 2018 r. w tym obszarze nastąpiła poprawa. Sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych z 2019 r., dostępne pod adresem: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Ponadto z każdej inspekcji organu publicznego przeprowadzanej przez Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych sporządza się sprawozdanie zawierające wszelkie zalecenia wynikające z tej kontroli, które przekazuje się temu organowi. Biuro Komisarza ds. Uprawnień Dochodzeniowo-Śledczych rozpoczyna następnie każdą kolejną inspekcję od przeglądu wszelkich uprzednich zaleceń; znajdują one odzwierciedlenie w nowym sprawozdaniu z inspekcji, niezależnie od tego, czy zostały zrealizowane, czy zostają utrzymane w mocy.

463

(464)  Błąd uznaje się za „poważny”, gdy Komisarz uzna, że spowodował on znaczny uszczerbek lub szkodę dla danej osoby (art. 231 ust. 2 IPA 2016). W 2018 r. zgłoszono 22 błędy, z czego osiem uznano za poważne i skutkowały one poinformowaniem osoby zainteresowanej. Zob. sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2018 r., załącznik C (zob. https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). W 2019 r. 14 błędów uznano za poważne. Zob. sprawozdanie roczne Biura Komisarza ds. Uprawnień Dochodzeniowo-Śledczych za 2019 r., załącznik C, zob. przypis 463.

464

(465)  W art. 231 IPA 2016 określono, że informując osobę o błędzie, Komisarz ds. Uprawnień Dochodzeniowo-Śledczych musi przedstawić informacje, które uzna za niezbędne do korzystania z tych praw, uwzględniając w szczególności zakres, w jakim ujawnienie szczegółów byłoby sprzeczne z interesem publicznym lub szkodliwe dla zapobiegania poważnym przestępstwom i ich wykrywania, dla dobrobytu gospodarczego Zjednoczonego Królestwa lub dalszego wykonywania funkcji którejkolwiek ze służb wywiadowczych.

465

(466)  Zgodnie z wyjaśnieniami udzielonymi przez władze Zjednoczonego Królestwa w ustawie o wymiarze sprawiedliwości i bezpieczeństwie rozszerzono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa, aby uwzględnić jej rolę w sprawowaniu nadzoru nad wspólnotą wywiadowczą, którego zakres wykracza poza trzy główne agencje, oraz aby zapewnić możliwość sprawowania nadzoru z mocą wsteczną nad działaniami operacyjnymi agencji w kwestiach mających istotne znaczenie z punktu widzenia interesu narodowego.

466

(467)  Art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r.

467

(468)  Protokół ustaleń między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa dostępny pod adresem: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf.

468

(469)  Protokół ustaleń między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa, pkt 14, zob. przypis 468.

469

(470)  Sekretarz Stanu może sprzeciwić się ujawnieniu informacji wyłącznie w dwóch przypadkach: gdy żądane informacje są szczególnie chronione i nie powinny zostać ujawnione Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa ze względów związanych z bezpieczeństwem narodowym lub są informacjami takiego rodzaju, że w przypadku gdyby Sekretarz Stanu został poproszony o ich przedstawienie przed departamentalną komisją specjalną Izby Gmin, musiałby uznać ich przedstawienie za niewłaściwe (ze względów innych niż względy związane z bezpieczeństwem narodowym) (pkt 4 ppkt 2 w załączniku 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r.).

470

(471)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Bezpieczeństwo narodowe, s. 43, zob. przypis 31.

471

(472)  Art. 1 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Ministrowie nie mogą być członkami komisji. Kadencja członków Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa odpowiada kadencji parlamentu, w trakcie której ich powołano. Członków może odwołać w drodze uchwały izba parlamentu, która ich powołała; ich kadencja wygasa również z chwilą zaprzestania pełnienia przez nich funkcji członka parlamentu lub powierzenia im funkcji ministra. Członek komisji może również samodzielnie zrezygnować z członkostwa.

472

(473)  Sprawozdania i opinie komisji są dostępne online pod adresem: https://isc.independent.gov.uk/publications/. W 2015 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa opublikowała sprawozdanie pt. „Prywatność i bezpieczeństwo: nowoczesne i przejrzyste ramy prawne” (zob.: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), w którym przeprowadziła analizę ram prawnych regulujących kwestie związane ze stosowaniem technik nadzoru przez agencje wywiadowcze i wydała szereg zaleceń, które poddano następnie ocenie i włączono do projektu ustawy o uprawnieniach dochodzeniowo-śledczych, przekształconej na późniejszym etapie w IPA 2016. Odpowiedź rządu na sprawozdanie dotyczące prywatności i bezpieczeństwa jest dostępna pod adresem: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.

473

(474)  Art. 142, 161 i 183 IPA 2016.

474

(475)  Art. 234 IPA 2016.

475

(476)  Art. 236 IPA 2016.

476

(477)  Sprawozdanie Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa Parlamentu w sprawie projektu ustawy o uprawnieniach dochodzeniowo-śledczych, dostępne pod adresem: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf.

477

(478)  Te ogólne obowiązki w odniesieniu do prywatności są obecnie określone w art. 2 ust. 2 IPA 2016, który stanowi, że organ publiczny działający na podstawie IPA 2016 musi uwzględnić, czy skutek, który ma zostać osiągnięty za pomocą nakazu, upoważnienia lub zawiadomienia, można by w zasadny sposób osiągnąć za pomocą innych środków związanych z mniejszą ingerencją w prywatność oraz czy stopień ochrony, który ma być stosowany w odniesieniu do wszelkiego pozyskiwania informacji na podstawie nakazu, upoważnienia lub zawiadomienia jest wyższy ze względu na szczególną wrażliwość tych informacji, interes publiczny w zakresie integralności i bezpieczeństwa systemów telekomunikacyjnych i usług pocztowych oraz wszelkie inne aspekty interesu publicznego w zakresie ochrony prywatności.

478

(479)  Np. na wniosek Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa skrócono z pięciu do trzech dni roboczych liczbę dni, w których może obowiązywać „pilny” nakaz, zanim komisarz sądowy będzie musiał go zatwierdzić, a Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa otrzymała uprawnienia do przekazywania spraw Komisarzowi ds. Uprawnień Dochodzeniowo-Śledczych w celu przeprowadzenia dochodzenia.

479

(480)  Schrems II, pkt 194.

480

(481)  Schrems II, pkt 197.

481

(482)  Art. 94 ust. 11 DPA 2018.

482

(483)  Art. 99 ust. 4 DPA 2018.

483

(484)  Art. 100 ust. 1 DPA 2018.

484

(485)  Art. 169 DPA 2018 zapewnia możliwość wystąpienia z roszczeniem „osobie, która doznała szkody wskutek niespełnienia wymogu ustanowionego w ustawodawstwie w dziedzinie ochrony danych”. Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa w praktyce roszczenie lub skarga przeciwko służbom wywiadowczym będą prawdopodobnie wnoszone do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych, który ma szerokie uprawnienia, może przyznać odszkodowanie, a wniesienie roszczenia nie wiąże się z żadnymi kosztami.

485

(486)  Art. 169 ust. 5 DPA 2018.

486

(487)  Zgodnie z załącznikiem 3 do RIPA 2000 członkowie muszą dysponować określonym doświadczeniem w pracy w organach wymiaru sprawiedliwości i mogą zostać powołani na kolejną kadencję.

487

(488)  
  „Oświadczenie” oznacza wniosek składany w parlamencie, służący zapoznaniu monarchy z opiniami parlamentu na dany temat.

488

(489)  Pkt 1 ppkt 5 w załączniku 3 do RIPA 2000.

489

(490)  Art. 65 ust. 5 RIPA 2000.

490

(491)  W odniesieniu do kryterium „przekonań” zob. sprawa Human Rights Watch przeciwko Secretary of State [2016] UKIPTrib15_165-CH, pkt 41. W tej sprawie Trybunał ds. Uprawnień Dochodzeniowo-Śledczych, odwołując się do orzecznictwa Europejskiego Trybunału Praw Człowieka, orzekł, że właściwym kryterium jest określenie, czy w odniesieniu do będącego przedmiotem dochodzenia przekonania, że działanie objęte art. 68 ust. 5 RIPA 2000 zostało podjęte przez którąkolwiek ze służb wywiadowczych lub w jej imieniu, istnieje jakakolwiek podstawa takiego przekonania, która umożliwiała osobie fizycznej twierdzenie, że jest ona ofiarą naruszenia spowodowanego samym istnieniem niejawnych środków lub ustawodawstwa pozwalającego na stosowanie niejawnych środków, pod warunkiem że jest ona w stanie wykazać, że ze względu na jej sytuację osobistą jest potencjalnie zagrożona zastosowaniem wobec niej takich środków.

491

(492)  Art. 65 ust. 4 lit. a) RIPA 2000.

492

(493)  Okoliczności te odnoszą się do działań organów publicznych podejmowanych na podstawie upoważnienia (np. nakazu, zezwolenia na pozyskanie komunikacji/zawiadomienia o pozyskaniu komunikacji itp.), lub do takich sytuacji, w których (niezależnie od tego, czy wydano takie upoważnienie) działanie takie nie byłoby właściwe bez tego upoważnienia lub przynajmniej bez należytego rozważenia, czy należy wystąpić o takie upoważnienie. Za działanie podejmowane w okolicznościach budzących wątpliwości uznaje się zachowanie na podstawie upoważnienia udzielonego przez komisarza sądowego (art. 65 (7ZA) RIPA 2000), natomiast innych działań podejmowanych za zgodą osoby sprawującej urząd sądowy nie uznaje się za podejmowane w okolicznościach budzących wątpliwości (art. 65 ust. 7 i 8 RIPA 2000).

493

(494)  Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa niski próg wymagany do złożenia skargi powoduje, że nierzadko w ramach prowadzonego dochodzenia Trybunał stwierdza, że w rzeczywistości organ publiczny nigdy nie prowadził dochodzenia wobec skarżącego. W najnowszym sprawozdaniu statystycznym Trybunał ds. Uprawnień Dochodzeniowo-Śledczych precyzuje, że w 2016 r. do Trybunału wpłynęło 209 skarg, z czego 52 % uznano za niepoważne lub uciążliwe, a 25 % pozostało bez rozstrzygnięcia. Władze Zjednoczonego Królestwa wyjaśniły, że oznacza to, że w odniesieniu do skarżącego nie skorzystano z żadnego niejawnego działania/upoważnienia, albo że zastosowano niejawne techniki, a Trybunał uznał, że działanie to było zgodne z prawem. Ponadto 11 % skarg odrzucono ze względu na brak właściwości do ich rozpoznania, wycofano lub uznano za nieważne, 5 % uznano za wniesione po terminie, a w przypadku 7 % wydano orzeczenie korzystne dla skarżącego. Sprawozdanie statystyczne Trybunału ds. Uprawnień Dochodzeniowo-Śledczych z 2016 r., dostępne pod adresem: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.

494

(495)  Zob. sprawa Human Rights Watch przeciwko Secretary of State [2016] UKIPTrib15_165-CH. W tej sprawie Trybunał ds. Uprawnień Dochodzeniowo-Śledczych, odwołując się do orzecznictwa Europejskiego Trybunału Praw Człowieka, orzekł, że właściwym kryterium w odniesieniu do przekonania, że działanie objęte art. 68 ust. 5 RIPA 2000 zostało podjęte przez którąkolwiek ze służb wywiadowczych lub w jej imieniu, jest określenie, czy istnieje jakakolwiek podstawa takiego przekonania, w tym fakt, że osoba fizyczna może twierdzić, że jest ofiarą naruszenia spowodowanego samym istnieniem niejawnych środków lub ustawodawstwa pozwalającego na stosowanie niejawnych środków, pod warunkiem że jest ona w stanie wykazać, że ze względu na jej sytuację osobistą jest potencjalnie zagrożona zastosowaniem wobec niej takich środków (zob. Human Rights Watch przeciwko Secretary of State, pkt 41).

495

(496)  Art. 67 ust. 3 RIPA 2000.

496

(497)  Art. 67 ust. 2 RIPA 2000.

497

(498)  Art. 68 ust. 6–7 RIPA 2000.

498

(499)  Art. 68 ust. 4 RIPA 2000.

499

(500)  Przykładem zastosowania tych uprawnień jest sprawa Liberty i in. przeciwko Security Service, SIS, GCHQ [2015] UKIP Trib 13_77-H_2. Trybunał wydał orzeczenie na korzyść dwóch skarżących, ponieważ w jednym przypadku czas zatrzymania ich komunikacji wykraczał poza wyznaczone granice, a w drugim – ponieważ nie przestrzegano procedury badania określonej w przepisach wewnętrznych GCHQ. W pierwszej sprawie Trybunał nakazał służbom wywiadowczym zniszczenie komunikacji, którą zatrzymano przez okres dłuższy niż odpowiedni termin. W drugim przypadku nie wydano nakazu zniszczenia, ponieważ nie zatrzymano komunikacji.

500

(501)  Kennedy, zob. przypis 129.

501

(502)  Europejski Trybunał Praw Człowieka, Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (zob. przypis 268), pkt 413–415.

502

(503)  Europejski Trybunał Praw Człowieka, Big Brother Watch, pkt 425.

503

(504)  Jak wynika na przykład z niedawnego wyroku Wielkiej Izby Europejskiego Trybunału Praw Człowieka w sprawie Big Brother Watch i in. przeciwko Zjednoczonemu Królestwu (zob. przypis 279 powyżej), umożliwia to sądowi międzynarodowemu skuteczną kontrolę sądową – podobną do kontroli, której podlegają państwa członkowskie UE – nad przestrzeganiem przez organy publiczne praw podstawowych przy dostępie do danych osobowych. Ponadto wykonanie wyroków Europejskiego Trybunału Praw Człowieka podlega szczególnemu nadzorowi ze strony Rady Europy.

504

(505)  W sprawie Belhaj i in. [2017] UKSC 3 ustalenie bezprawności przechwycenia materiału objętego prawniczą tajemnicą zawodową oparto bezpośrednio na art. 8 EKPC (zob. ustalenie 11).

505

(506)  Wysoki Trybunał, Liberty, [2019] EWHC 2057 (Admin), pkt 170.

506

(507)  Schrems, pkt 65.

507

(508)  Schrems, pkt 65: „W tym względzie do krajowego ustawodawcy należy ustanowienie drogi prawnej umożliwiającej krajowemu organowi nadzorczemu podniesienie zarzutów, które uważa on za zasadne, przed sądami krajowymi, po to, aby te ostatnie, jeśli podzielają wątpliwości tego organu co do ważności decyzji Komisji, wystąpiły z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w celu zbadania ważności tej decyzji”.

508

(509)  Opinia 14/2021 dotycząca projektu decyzji wykonawczej Komisji Europejskiej przyjętej na podstawie rozporządzenia (UE) 2016/679 w sprawie odpowiedniego stopnia ochrony danych osobowych w Zjednoczonym Królestwie, dostępna pod adresem: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en.

509

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/69

---

DECYZJA WYKONAWCZA KOMISJI (UE) 2021/1773

z dnia 28 czerwca 2021 r.

na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo

(notyfikowana jako dokument nr C(2021) 4801)

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (1), w szczególności jej art. 36 ust. 3,

a także mając na uwadze, co następuje:

1.   WPROWADZENIE

WPROWADZENIE

| (1) | W dyrektywie (UE) 2016/680 określono zasady przekazywania danych osobowych przez właściwe organy w Unii państwom trzecim i organizacjom międzynarodowym w stopniu, w jakim takie przekazywanie wchodzi w zakres jej stosowania. Zasady dotyczące międzynarodowego przekazywania danych przez właściwe organy określono w rozdziale V dyrektywy (UE) 2016/680, a konkretniej w art. 35–40. Przepływ danych osobowych do państw spoza Unii Europejskiej oraz z takich państw jest niezbędnym warunkiem skutecznej współpracy w zakresie ścigania przestępstw, należy jednak zagwarantować, aby takie przekazywanie danych osobowych nie obniżało stopnia ochrony zapewnianego tym danym w Unii Europejskiej (2). |
| --- | --- |

(1)

W dyrektywie (UE) 2016/680 określono zasady przekazywania danych osobowych przez właściwe organy w Unii państwom trzecim i organizacjom międzynarodowym w stopniu, w jakim takie przekazywanie wchodzi w zakres jej stosowania. Zasady dotyczące międzynarodowego przekazywania danych przez właściwe organy określono w rozdziale V dyrektywy (UE) 2016/680, a konkretniej w art. 35–40. Przepływ danych osobowych do państw spoza Unii Europejskiej oraz z takich państw jest niezbędnym warunkiem skutecznej współpracy w zakresie ścigania przestępstw, należy jednak zagwarantować, aby takie przekazywanie danych osobowych nie obniżało stopnia ochrony zapewnianego tym danym w Unii Europejskiej (2).

2

| (2) | Na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680 Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Przy spełnieniu tego warunku przekazywanie danych osobowych do państwa trzeciego może nastąpić bez konieczności uzyskania dodatkowego zezwolenia (z wyjątkiem sytuacji, w której inne państwo członkowskie, od którego dane uzyskano, musi udzielić zgody na ich przekazanie), jak przewidziano w art. 35 ust. 1 i motywie 66 dyrektywy (UE) 2016/680. |
| --- | --- |

(2)

Na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680 Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Przy spełnieniu tego warunku przekazywanie danych osobowych do państwa trzeciego może nastąpić bez konieczności uzyskania dodatkowego zezwolenia (z wyjątkiem sytuacji, w której inne państwo członkowskie, od którego dane uzyskano, musi udzielić zgody na ich przekazanie), jak przewidziano w art. 35 ust. 1 i motywie 66 dyrektywy (UE) 2016/680.

| (3) | Jak określono w art. 36 ust. 2 dyrektywy (UE) 2016/680, przy przyjmowaniu decyzji stwierdzającej odpowiedni stopień ochrony należy opierać się na wszechstronnej analizie porządku prawnego państwa trzeciego. W swojej ocenie Komisja musi ustalić, czy dane państwo trzecie daje gwarancje zapewniające stopień ochrony „zasadniczo odpowiadający” stopniowi ochrony zapewnianemu w Unii Europejskiej (motyw 67 dyrektywy (UE) 2016/680). Oceny spełnienia tego warunku dokonuje się według standardu ustanowionego w przepisach UE, w szczególności w dyrektywie (UE) 2016/680, a także w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej (3). Istotne znaczenie w tym zakresie mają również wytyczne dotyczące odpowiedniego stopnia ochrony przekazywanych danych osobowych zatwierdzone przez Europejską Radę Ochrony Danych (4). |
| --- | --- |

(3)

Jak określono w art. 36 ust. 2 dyrektywy (UE) 2016/680, przy przyjmowaniu decyzji stwierdzającej odpowiedni stopień ochrony należy opierać się na wszechstronnej analizie porządku prawnego państwa trzeciego. W swojej ocenie Komisja musi ustalić, czy dane państwo trzecie daje gwarancje zapewniające stopień ochrony „zasadniczo odpowiadający” stopniowi ochrony zapewnianemu w Unii Europejskiej (motyw 67 dyrektywy (UE) 2016/680). Oceny spełnienia tego warunku dokonuje się według standardu ustanowionego w przepisach UE, w szczególności w dyrektywie (UE) 2016/680, a także w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej (3). Istotne znaczenie w tym zakresie mają również wytyczne dotyczące odpowiedniego stopnia ochrony przekazywanych danych osobowych zatwierdzone przez Europejską Radę Ochrony Danych (4).

3

4

| (4) | Jak wyjaśnił w swoim orzecznictwie Trybunał Sprawiedliwości Unii Europejskiej, nie oznacza to konieczności stwierdzenia identycznego stopnia ochrony (5). W szczególności środki, z jakich korzysta dane państwo trzecie do zapewnienia ochrony danych osobowych, mogą różnić się od środków wprowadzonych w Unii Europejskiej, o ile w praktyce skutecznie zapewniają odpowiedni stopień ochrony (6). Odpowiedni standard ochrony nie wymaga zatem dokładnego powielenia przepisów unijnych. Przy określaniu odpowiedniości chodzi raczej o stwierdzenie, czy biorąc pod uwagę istotę prawa do prywatności oraz jego skuteczne wprowadzenie w życie, egzekwowanie i nadzór nad jego przestrzeganiem, dany zagraniczny system zapewnia jako całość wymagany stopień ochrony (7). |
| --- | --- |

(4)

Jak wyjaśnił w swoim orzecznictwie Trybunał Sprawiedliwości Unii Europejskiej, nie oznacza to konieczności stwierdzenia identycznego stopnia ochrony (5). W szczególności środki, z jakich korzysta dane państwo trzecie do zapewnienia ochrony danych osobowych, mogą różnić się od środków wprowadzonych w Unii Europejskiej, o ile w praktyce skutecznie zapewniają odpowiedni stopień ochrony (6). Odpowiedni standard ochrony nie wymaga zatem dokładnego powielenia przepisów unijnych. Przy określaniu odpowiedniości chodzi raczej o stwierdzenie, czy biorąc pod uwagę istotę prawa do prywatności oraz jego skuteczne wprowadzenie w życie, egzekwowanie i nadzór nad jego przestrzeganiem, dany zagraniczny system zapewnia jako całość wymagany stopień ochrony (7).

5

6

7

| (5) | Komisja uważnie przeanalizowała właściwe prawo i praktykę Zjednoczonego Królestwa. Na podstawie ustaleń przedstawionych poniżej Komisja stwierdza, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych przez właściwe organy Unii, zgodnie z zakresem stosowania dyrektywy (UE) 2016/680, właściwym organom w Zjednoczonym Królestwie, zgodnie z zakresem stosowania części 3 ustawy o ochronie danych z 2018 r. (DPA 2018) (8). |
| --- | --- |

(5)

Komisja uważnie przeanalizowała właściwe prawo i praktykę Zjednoczonego Królestwa. Na podstawie ustaleń przedstawionych poniżej Komisja stwierdza, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych przez właściwe organy Unii, zgodnie z zakresem stosowania dyrektywy (UE) 2016/680, właściwym organom w Zjednoczonym Królestwie, zgodnie z zakresem stosowania części 3 ustawy o ochronie danych z 2018 r. (DPA 2018) (8).

8

| (6) | Niniejsza decyzja skutkuje tym, że dane można przekazywać w ten sposób bez potrzeby uzyskania dalszego zezwolenia przez okres czterech lat, z możliwością przedłużenia obowiązywania decyzji po upływie tego terminu, bez uszczerbku dla warunków określonych w art. 35 dyrektywy (UE) 2016/680. |
| --- | --- |

(6)

Niniejsza decyzja skutkuje tym, że dane można przekazywać w ten sposób bez potrzeby uzyskania dalszego zezwolenia przez okres czterech lat, z możliwością przedłużenia obowiązywania decyzji po upływie tego terminu, bez uszczerbku dla warunków określonych w art. 35 dyrektywy (UE) 2016/680.

2.   PRZEPISY MAJĄCE ZASTOSOWANIE DO PRZETWARZANIA DANYCH OSOBOWYCH PRZEZ WŁAŚCIWE ORGANY DO CELÓW ŚCIGANIA PRZESTĘPSTW

PRZEPISY MAJĄCE ZASTOSOWANIE DO PRZETWARZANIA DANYCH OSOBOWYCH PRZEZ WŁAŚCIWE ORGANY DO CELÓW ŚCIGANIA PRZESTĘPSTW

2.1.   Ramy konstytucyjne

Ramy konstytucyjne

| (7) | Zjednoczone Królestwo jest demokracją parlamentarną. W państwie tym istnieje suwerenny parlament, który jest nadrzędny wobec wszystkich innych instytucji rządowych, władza wykonawcza wywodząca się z parlamentu i przed nim odpowiedzialna oraz niezależna władza sądownicza. Legitymacja władzy wykonawczej wywodzi się z jej zdolności do zdobycia zaufania wybranej Izby Gmin; władza wykonawcza jest odpowiedzialna przed obiema izbami parlamentu (Izbą Gmin i Izbą Lordów) odpowiadającymi za nadzorowanie rządu oraz za debatowanie nad ustawami i ich uchwalanie. Parlament Zjednoczonego Królestwa przekazał Parlamentowi Szkockiemu, Zgromadzeniu Narodowemu Walii (Senedd Cymru) oraz Zgromadzeniu Irlandii Północnej odpowiedzialność za stanowienie prawa w niektórych kwestiach krajowych w Szkocji, Walii i Irlandii Północnej. Chociaż ochrona danych jest kwestią zastrzeżoną dla parlamentu Zjednoczonego Królestwa, tj. w całym państwie obowiązują te same przepisy, inne obszary polityki istotne dla niniejszej decyzji są zdecentralizowane. Na przykład zwierzchnictwo nad systemami sądownictwa karnego, w tym nad policją (działaniami prowadzonymi przez siły policyjne), w Szkocji i Irlandii Północnej zostało powierzone odpowiednio Parlamentowi Szkockiemu i Zgromadzeniu Irlandii Północnej (9). |
| --- | --- |

(7)

Zjednoczone Królestwo jest demokracją parlamentarną. W państwie tym istnieje suwerenny parlament, który jest nadrzędny wobec wszystkich innych instytucji rządowych, władza wykonawcza wywodząca się z parlamentu i przed nim odpowiedzialna oraz niezależna władza sądownicza. Legitymacja władzy wykonawczej wywodzi się z jej zdolności do zdobycia zaufania wybranej Izby Gmin; władza wykonawcza jest odpowiedzialna przed obiema izbami parlamentu (Izbą Gmin i Izbą Lordów) odpowiadającymi za nadzorowanie rządu oraz za debatowanie nad ustawami i ich uchwalanie. Parlament Zjednoczonego Królestwa przekazał Parlamentowi Szkockiemu, Zgromadzeniu Narodowemu Walii (Senedd Cymru) oraz Zgromadzeniu Irlandii Północnej odpowiedzialność za stanowienie prawa w niektórych kwestiach krajowych w Szkocji, Walii i Irlandii Północnej. Chociaż ochrona danych jest kwestią zastrzeżoną dla parlamentu Zjednoczonego Królestwa, tj. w całym państwie obowiązują te same przepisy, inne obszary polityki istotne dla niniejszej decyzji są zdecentralizowane. Na przykład zwierzchnictwo nad systemami sądownictwa karnego, w tym nad policją (działaniami prowadzonymi przez siły policyjne), w Szkocji i Irlandii Północnej zostało powierzone odpowiednio Parlamentowi Szkockiemu i Zgromadzeniu Irlandii Północnej (9).

9

| (8) | Chociaż Zjednoczone Królestwo nie posiada skodyfikowanej konstytucji w postaci spisanej ustawy zasadniczej, jego zasady konstytucyjne kształtowały się w miarę upływu czasu i wywodzą się w szczególności z orzecznictwa i zwyczaju. Uznano wartość konstytucyjną niektórych ustaw, takich jak Wielka Karta Swobód, ustawa o prawach z 1689 r. i ustawa o prawach człowieka z 1998 r. Prawa podstawowe osób fizycznych ukształtowano, jako element konstytucji, poprzez prawo precedensowe (common law), wspomniane ustawy oraz traktaty międzynarodowe, w szczególności europejską konwencję praw człowieka (EKPC), którą Zjednoczone Królestwo ratyfikowało w 1951 r. W 1987 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) (10). |
| --- | --- |

(8)

Chociaż Zjednoczone Królestwo nie posiada skodyfikowanej konstytucji w postaci spisanej ustawy zasadniczej, jego zasady konstytucyjne kształtowały się w miarę upływu czasu i wywodzą się w szczególności z orzecznictwa i zwyczaju. Uznano wartość konstytucyjną niektórych ustaw, takich jak Wielka Karta Swobód, ustawa o prawach z 1689 r. i ustawa o prawach człowieka z 1998 r. Prawa podstawowe osób fizycznych ukształtowano, jako element konstytucji, poprzez prawo precedensowe (common law), wspomniane ustawy oraz traktaty międzynarodowe, w szczególności europejską konwencję praw człowieka (EKPC), którą Zjednoczone Królestwo ratyfikowało w 1951 r. W 1987 r. Zjednoczone Królestwo ratyfikowało również Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (konwencja nr 108) (10).

common law

10

| (9) | Ustawą o prawach człowieka z 1998 r. wprowadzono prawa zawarte w EKPC do prawa Zjednoczonego Królestwa. Ustawa zapewnia każdej osobie fizycznej podstawowe prawa i wolności przewidziane w art. 2–12 i 14 EKPC, art. 1–3 pierwszego protokołu do tej konwencji oraz art. 1 trzynastego protokołu do niej w związku z art. 16–18 EKPC. Należą do nich prawo do poszanowania życia prywatnego i rodzinnego, które z kolei obejmuje prawo do ochrony danych oraz prawo do rzetelnego procesu sądowego (11). W szczególności zgodnie z art. 8 EKPC władza publiczna może ingerować w korzystanie z prawa do prywatności wyłącznie w przypadkach przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób. |
| --- | --- |

(9)

Ustawą o prawach człowieka z 1998 r. wprowadzono prawa zawarte w EKPC do prawa Zjednoczonego Królestwa. Ustawa zapewnia każdej osobie fizycznej podstawowe prawa i wolności przewidziane w art. 2–12 i 14 EKPC, art. 1–3 pierwszego protokołu do tej konwencji oraz art. 1 trzynastego protokołu do niej w związku z art. 16–18 EKPC. Należą do nich prawo do poszanowania życia prywatnego i rodzinnego, które z kolei obejmuje prawo do ochrony danych oraz prawo do rzetelnego procesu sądowego (11). W szczególności zgodnie z art. 8 EKPC władza publiczna może ingerować w korzystanie z prawa do prywatności wyłącznie w przypadkach przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób.

11

| (10) | Zgodnie z ustawą o prawach człowieka z 1998 r. wszelkie działania władzy publicznej muszą być zgodne z prawem zagwarantowanym w EKPC (12). Ponadto akty ustawowe i wykonawcze muszą być interpretowane i stosowane w sposób zgodny z tymi prawami (13). Każdy, kto uważa, że jego prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez władzę publiczną, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r., a w ostateczności, po wyczerpaniu krajowych środków ochrony prawnej może wnieść skargę do Europejskiego Trybunału Praw Człowieka na naruszenie praw gwarantowanych w EKPC. |
| --- | --- |

(10)

Zgodnie z ustawą o prawach człowieka z 1998 r. wszelkie działania władzy publicznej muszą być zgodne z prawem zagwarantowanym w EKPC (12). Ponadto akty ustawowe i wykonawcze muszą być interpretowane i stosowane w sposób zgodny z tymi prawami (13). Każdy, kto uważa, że jego prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez władzę publiczną, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r., a w ostateczności, po wyczerpaniu krajowych środków ochrony prawnej może wnieść skargę do Europejskiego Trybunału Praw Człowieka na naruszenie praw gwarantowanych w EKPC.

12

13

2.2.   Ramy ochrony danych obowiązujące w Zjednoczonym Królestwie

Ramy ochrony danych obowiązujące w Zjednoczonym Królestwie

| (11) | Zjednoczone Królestwo wystąpiło z Unii w dniu 31 stycznia 2020 r. Na podstawie Umowy o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej (14) prawo Unii nadal miało zastosowanie w Zjednoczonym Królestwie w okresie przejściowym do dnia 31 grudnia 2020 r. Przed wystąpieniem i w okresie przejściowym ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie, regulujące przetwarzanie danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom zawarte były w odpowiednich częściach ustawy o ochronie danych z 2018 r., która transponowała dyrektywę (UE) 2016/680. |
| --- | --- |

(11)

Zjednoczone Królestwo wystąpiło z Unii w dniu 31 stycznia 2020 r. Na podstawie Umowy o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej (14) prawo Unii nadal miało zastosowanie w Zjednoczonym Królestwie w okresie przejściowym do dnia 31 grudnia 2020 r. Przed wystąpieniem i w okresie przejściowym ramy prawne dotyczące ochrony danych osobowych w Zjednoczonym Królestwie, regulujące przetwarzanie danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom zawarte były w odpowiednich częściach ustawy o ochronie danych z 2018 r., która transponowała dyrektywę (UE) 2016/680.

14

| (12) | Aby przygotować się do wystąpienia z UE, rząd Zjednoczonego Królestwa przyjął Ustawę o wystąpieniu z Unii Europejskiej z 2018 r. (15), którą wprowadzono mające bezpośrednie zastosowanie przepisy Unii do prawa Zjednoczonego Królestwa i zapewniono, aby tzw. „ustawodawstwo krajowe wywodzące się z prawa Unii” nadal miało zastosowanie po zakończeniu okresu przejściowego. Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. „ustawodawstwo krajowe wywodzące się z prawa Unii” stanowi część 3 DPA 2018 (16) transponująca dyrektywę (UE) 2016/680. Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. sądy Zjednoczonego Królestwa muszą dokonywać wykładni tego niezmienionego „ustawodawstwa krajowego wywodzącego się z prawa Unii” zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej (Trybunału Sprawiedliwości) i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego (zwanymi odpowiednio „pozostającym w mocy orzecznictwem UE” i „pozostającymi w mocy ogólnymi zasadami prawa Unii”) (17). |
| --- | --- |

(12)

Aby przygotować się do wystąpienia z UE, rząd Zjednoczonego Królestwa przyjął Ustawę o wystąpieniu z Unii Europejskiej z 2018 r. (15), którą wprowadzono mające bezpośrednie zastosowanie przepisy Unii do prawa Zjednoczonego Królestwa i zapewniono, aby tzw. „ustawodawstwo krajowe wywodzące się z prawa Unii” nadal miało zastosowanie po zakończeniu okresu przejściowego. Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. „ustawodawstwo krajowe wywodzące się z prawa Unii” stanowi część 3 DPA 2018 (16) transponująca dyrektywę (UE) 2016/680. Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. sądy Zjednoczonego Królestwa muszą dokonywać wykładni tego niezmienionego „ustawodawstwa krajowego wywodzącego się z prawa Unii” zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej (Trybunału Sprawiedliwości) i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego (zwanymi odpowiednio „pozostającym w mocy orzecznictwem UE” i „pozostającymi w mocy ogólnymi zasadami prawa Unii”) (17).

15

16

17

| (13) | Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. ministrowie Zjednoczonego Królestwa są uprawnieni do uchwalania przepisów wykonawczych, w drodze aktów zwanych statutory instruments, w celu wprowadzenia niezbędnych zmian w pozostającym w mocy prawie Unii w następstwie wystąpienia Zjednoczonego Królestwa z Unii. Uprawnienie to wykonano za pomocą rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzającego zmiany w związku z wyjściem z UE z 2019 r. (rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej) (18). Rozporządzeniem tym zmieniono ustawodawstwo Zjednoczonego Królestwa w dziedzinie ochrony danych, w tym DPA 2018, aby dostosować je do kontekstu krajowego (19). |
| --- | --- |

(13)

Zgodnie z Ustawą o wystąpieniu z Unii Europejskiej z 2018 r. ministrowie Zjednoczonego Królestwa są uprawnieni do uchwalania przepisów wykonawczych, w drodze aktów zwanych statutory instruments, w celu wprowadzenia niezbędnych zmian w pozostającym w mocy prawie Unii w następstwie wystąpienia Zjednoczonego Królestwa z Unii. Uprawnienie to wykonano za pomocą rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzającego zmiany w związku z wyjściem z UE z 2019 r. (rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej) (18). Rozporządzeniem tym zmieniono ustawodawstwo Zjednoczonego Królestwa w dziedzinie ochrony danych, w tym DPA 2018, aby dostosować je do kontekstu krajowego (19).

statutory instruments

18

19

| (14) | W rezultacie po upływie okresu przejściowego określonego w umowie o wystąpieniu normy prawne dotyczące przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, obowiązujące w Zjednoczonym Królestwie nadal będą określone w odpowiednich częściach DPA 2018, szczególnie w części 3 tej ustawy, jednak w formie zmienionej rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej. Ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa (RODO UK) nie ma zastosowania do tego rodzaju przetwarzania. |
| --- | --- |

(14)

W rezultacie po upływie okresu przejściowego określonego w umowie o wystąpieniu normy prawne dotyczące przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, obowiązujące w Zjednoczonym Królestwie nadal będą określone w odpowiednich częściach DPA 2018, szczególnie w części 3 tej ustawy, jednak w formie zmienionej rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej. Ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa (RODO UK) nie ma zastosowania do tego rodzaju przetwarzania.

| (15) | W części 3 DPA 2018 zawarto przepisy dotyczące przetwarzania danych osobowych do celów ścigania przestępstw, w tym zasady ochrony danych, podstawy prawne przetwarzania (legalność), prawa osób, których dane dotyczą, obowiązki właściwych organów pełniących rolę administratora oraz ograniczenia dotyczące dalszego przekazywania. Jednocześnie w częściach 5 i 6 DPA 2018 określono przepisy dotyczące nadzoru i egzekwowania prawa oraz środki zaskarżenia mające zastosowanie do sektora organów ścigania przestępstw. |
| --- | --- |

(15)

W części 3 DPA 2018 zawarto przepisy dotyczące przetwarzania danych osobowych do celów ścigania przestępstw, w tym zasady ochrony danych, podstawy prawne przetwarzania (legalność), prawa osób, których dane dotyczą, obowiązki właściwych organów pełniących rolę administratora oraz ograniczenia dotyczące dalszego przekazywania. Jednocześnie w częściach 5 i 6 DPA 2018 określono przepisy dotyczące nadzoru i egzekwowania prawa oraz środki zaskarżenia mające zastosowanie do sektora organów ścigania przestępstw.

| (16) | Ponadto w świetle istotnej roli sił policyjnych w sektorze organów ścigania przestępstw należy przeanalizować przepisy regulujące działania policyjne. Działania te mają charakter zdecentralizowany, jednak poszczególne akty ustawodawcze mające często podobną treść mają zastosowanie do pracy policji w a) Anglii i Walii, b) Szkocji oraz c) Irlandii Północnej (20). Co więcej, w różnych rodzajach wytycznych można znaleźć dodatkowe wyjaśnienia dotyczące właściwego wykorzystywania uprawnień policji. Trzy najważniejsze formy wytycznych dla policji to: 1) wytyczne ustawowe wydane na podstawie prawodawstwa, takie jak kodeks etyki (21) oraz kodeks postępowania dotyczący zarządzania informacjami policyjnymi (22) wydane na podstawie ustawy o policji z 1996 r. (23) lub kodeksy (24) wydane na podstawie ustawy w sprawie policji i dowodów w sprawach karnych (25), 2) zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi (26) wydane przez Kolegium Policyjne oraz 3) wytyczne operacyjne (opublikowane przez samą policję). Krajowa Rada Komendantów Policji (organ koordynujący wszystkie siły policyjne w Zjednoczonym Królestwie) publikuje wytyczne operacyjne zatwierdzone przez wszystkie siły policyjne, które to wytyczne mają w związku z tym zastosowanie w całym kraju (27). Celem tych wytycznych jest zapewnienie spójności w kontekście zarządzania informacjami (28). |
| --- | --- |

(16)

Ponadto w świetle istotnej roli sił policyjnych w sektorze organów ścigania przestępstw należy przeanalizować przepisy regulujące działania policyjne. Działania te mają charakter zdecentralizowany, jednak poszczególne akty ustawodawcze mające często podobną treść mają zastosowanie do pracy policji w a) Anglii i Walii, b) Szkocji oraz c) Irlandii Północnej (20). Co więcej, w różnych rodzajach wytycznych można znaleźć dodatkowe wyjaśnienia dotyczące właściwego wykorzystywania uprawnień policji. Trzy najważniejsze formy wytycznych dla policji to: 1) wytyczne ustawowe wydane na podstawie prawodawstwa, takie jak kodeks etyki (21) oraz kodeks postępowania dotyczący zarządzania informacjami policyjnymi (22) wydane na podstawie ustawy o policji z 1996 r. (23) lub kodeksy (24) wydane na podstawie ustawy w sprawie policji i dowodów w sprawach karnych (25), 2) zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi (26) wydane przez Kolegium Policyjne oraz 3) wytyczne operacyjne (opublikowane przez samą policję). Krajowa Rada Komendantów Policji (organ koordynujący wszystkie siły policyjne w Zjednoczonym Królestwie) publikuje wytyczne operacyjne zatwierdzone przez wszystkie siły policyjne, które to wytyczne mają w związku z tym zastosowanie w całym kraju (27). Celem tych wytycznych jest zapewnienie spójności w kontekście zarządzania informacjami (28).

20

21

22

23

24

25

26

27

28

| (17) | Korzystając z uprawnień przewidzianych w art. 39 A ustawy o policji z 1996 r., Sekretarz Stanu wydał w 2005 r. kodeks postępowania dotyczący zarządzania informacjami policyjnymi (29). Każdy kodeks postępowania wydany na podstawie ustawy o policji musi zostać zatwierdzony przez Sekretarza Stanu i zanim zostanie zaprezentowany w parlamencie podlega konsultacji Krajowej Agencji ds. Zwalczania Przestępczości. W art. 39 A ust. 7 ustawy o policji nakłada się na policję wymóg należytego poszanowania kodeksów wydanych na podstawie tej ustawy, a zatem od policji oczekuje się jego przestrzegania (30). Ponadto wytyczne nieustawowe (takie jak zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi) muszą być zawsze spójne z kodeksem postępowania dotyczącym zarządzania informacjami policyjnymi, który jest w stosunku do nich nadrzędny (31).. Chociaż może dochodzić do pewnych sytuacji operacyjnych, w których funkcjonariusze policji muszą odstąpić od stosowania tych wytycznych, w każdym przypadku nadal spoczywa na nich obowiązek przestrzegania wymogów określonych w części 3 DPA 2018 (32). |
| --- | --- |

(17)

Korzystając z uprawnień przewidzianych w art. 39 A ustawy o policji z 1996 r., Sekretarz Stanu wydał w 2005 r. kodeks postępowania dotyczący zarządzania informacjami policyjnymi (29). Każdy kodeks postępowania wydany na podstawie ustawy o policji musi zostać zatwierdzony przez Sekretarza Stanu i zanim zostanie zaprezentowany w parlamencie podlega konsultacji Krajowej Agencji ds. Zwalczania Przestępczości. W art. 39 A ust. 7 ustawy o policji nakłada się na policję wymóg należytego poszanowania kodeksów wydanych na podstawie tej ustawy, a zatem od policji oczekuje się jego przestrzegania (30). Ponadto wytyczne nieustawowe (takie jak zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi) muszą być zawsze spójne z kodeksem postępowania dotyczącym zarządzania informacjami policyjnymi, który jest w stosunku do nich nadrzędny (31).. Chociaż może dochodzić do pewnych sytuacji operacyjnych, w których funkcjonariusze policji muszą odstąpić od stosowania tych wytycznych, w każdym przypadku nadal spoczywa na nich obowiązek przestrzegania wymogów określonych w części 3 DPA 2018 (32).

29

30

31

.

32

| (18) | Dalsze wytyczne dotyczące ustawodawstwa Zjednoczonego Królestwa w dziedzinie ochrony danych na potrzeby przetwarzania w sektorze organów ścigania przestępstw przedstawia Komisarz ds. Informacji (33) (więcej informacji na temat Komisarza ds. Informacji można znaleźć w motywach 93–109). Chociaż wytyczne te nie są prawnie wiążące, to w postępowaniu sądowym sądy musiałyby wziąć pod uwagę wszelkie naruszenia tych wytycznych, ponieważ mają one znaczenie dla wykładni i przedstawiają, w jaki sposób ustawodawstwo w dziedzinie ochrony danych jest interpretowane i egzekwowane przez Komisarza w praktyce (34). |
| --- | --- |

(18)

Dalsze wytyczne dotyczące ustawodawstwa Zjednoczonego Królestwa w dziedzinie ochrony danych na potrzeby przetwarzania w sektorze organów ścigania przestępstw przedstawia Komisarz ds. Informacji (33) (więcej informacji na temat Komisarza ds. Informacji można znaleźć w motywach 93–109). Chociaż wytyczne te nie są prawnie wiążące, to w postępowaniu sądowym sądy musiałyby wziąć pod uwagę wszelkie naruszenia tych wytycznych, ponieważ mają one znaczenie dla wykładni i przedstawiają, w jaki sposób ustawodawstwo w dziedzinie ochrony danych jest interpretowane i egzekwowane przez Komisarza w praktyce (34).

33

34

| (19) | Ponadto, jak wspomniano w motywach 8–10, organy ścigania Zjednoczonego Królestwa muszą zapewnić zgodność z europejską konwencją praw człowieka i konwencją nr 108. |
| --- | --- |

(19)

Ponadto, jak wspomniano w motywach 8–10, organy ścigania Zjednoczonego Królestwa muszą zapewnić zgodność z europejską konwencją praw człowieka i konwencją nr 108.

| (20) | Pod względem struktury i głównych elementów ramy prawne Zjednoczonego Królestwa regulujące przetwarzanie danych przez organy ścigania Zjednoczonego Królestwa są zatem bardzo podobne do ram obowiązujących w UE. Jest to związane z faktem, że ramy takie opierają się nie tylko na zobowiązaniach ustanowionych w prawie krajowym, które zostało ukształtowane przez prawo Unii, ale również na zobowiązaniach zapisanych w prawie międzynarodowym, w szczególności w rezultacie przystąpienia przez Zjednoczone Królestwo do europejskiej konwencji praw człowieka i konwencji nr 108, a także poddania się jurysdykcji Europejskiego Trybunału Praw Człowieka. W związku z tym wspomniane zobowiązania wynikające z prawnie wiążących instrumentów międzynarodowych, dotyczące zwłaszcza ochrony danych osobowych, stanowią szczególnie ważny element ram prawnych będących przedmiotem oceny w niniejszej decyzji. |
| --- | --- |

(20)

Pod względem struktury i głównych elementów ramy prawne Zjednoczonego Królestwa regulujące przetwarzanie danych przez organy ścigania Zjednoczonego Królestwa są zatem bardzo podobne do ram obowiązujących w UE. Jest to związane z faktem, że ramy takie opierają się nie tylko na zobowiązaniach ustanowionych w prawie krajowym, które zostało ukształtowane przez prawo Unii, ale również na zobowiązaniach zapisanych w prawie międzynarodowym, w szczególności w rezultacie przystąpienia przez Zjednoczone Królestwo do europejskiej konwencji praw człowieka i konwencji nr 108, a także poddania się jurysdykcji Europejskiego Trybunału Praw Człowieka. W związku z tym wspomniane zobowiązania wynikające z prawnie wiążących instrumentów międzynarodowych, dotyczące zwłaszcza ochrony danych osobowych, stanowią szczególnie ważny element ram prawnych będących przedmiotem oceny w niniejszej decyzji.

2.3.   Zakres przedmiotowy i terytorialny

Zakres przedmiotowy i terytorialny

| (21) | Zakres przedmiotowy części 3 DPA 2018 jest zbieżny z zakresem dyrektywy 2016/680 określonym w jej art. 2 ust. 2. Część 3 ma zastosowanie do przetwarzania danych osobowych przez właściwy organ w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania przez właściwy organ w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. |
| --- | --- |

(21)

Zakres przedmiotowy części 3 DPA 2018 jest zbieżny z zakresem dyrektywy 2016/680 określonym w jej art. 2 ust. 2. Część 3 ma zastosowanie do przetwarzania danych osobowych przez właściwy organ w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania przez właściwy organ w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

| (22) | Ponadto, aby wchodzić w zakres części 3, administrator musi być „właściwym organem”, a przetwarzanie musi odbywać się do „celów ścigania przestępstw”. W związku z tym system ochrony danych oceniany w niniejszej decyzji ma zastosowanie do wszystkich działań związanych ze ściganiem przestępstw, podejmowanych przez te właściwe organy. |
| --- | --- |

(22)

Ponadto, aby wchodzić w zakres części 3, administrator musi być „właściwym organem”, a przetwarzanie musi odbywać się do „celów ścigania przestępstw”. W związku z tym system ochrony danych oceniany w niniejszej decyzji ma zastosowanie do wszystkich działań związanych ze ściganiem przestępstw, podejmowanych przez te właściwe organy.

| (23) | Pojęcie „właściwego organu” zdefiniowano w art. 30 DPA jako osobę wymienioną w załączniku 7 do DPA 2018, a także jako inną osobę w zakresie, w jakim pełni ona funkcje ustawowe do jakichkolwiek celów ścigania przestępstw. Właściwe organy wymienione w załączniku 7 obejmują nie tylko siły policyjne, ale również wszystkie ministerialne departamenty rządowe Zjednoczonego Królestwa, a także inne organy pełniące funkcje dochodzeniowo-śledcze [np. Commissioner for Her Majesty’s Revenue and Customs (organ podatkowy i celny Zjednoczonego Królestwa), Welsh Revenue Authority (walijski organ skarbowy), Competition and Markets Authority (urząd ds. konkurencji i rynków) lub Her Majesty’s Land Register (rejestr gruntów Zjednoczonego Królestwa) lub Krajowa Agencja ds. Zwalczania Przestępczości], organy prokuratorskie, inne organy wymiaru sprawiedliwości w sprawach karnych i inne podmioty uprawnione lub organizacje, które prowadzą działania związane ze ściganiem przestępstw (35). Część 3 DPA 2018 ma również zastosowanie do sądów i trybunałów, w przypadku gdy pełnią swoje funkcje sądowe, z wyjątkiem części dotyczącej praw osób, których dane dotyczą, i nadzoru Komisarza ds. Informacji (36). Wykaz właściwych organów przewidziany w załączniku 7 nie jest ostateczny i może być aktualizowany przez Sekretarza Stanu na mocy rozporządzenia z uwzględnieniem zmian w zakresie organizacji urzędów publicznych (37). |
| --- | --- |

(23)

Pojęcie „właściwego organu” zdefiniowano w art. 30 DPA jako osobę wymienioną w załączniku 7 do DPA 2018, a także jako inną osobę w zakresie, w jakim pełni ona funkcje ustawowe do jakichkolwiek celów ścigania przestępstw. Właściwe organy wymienione w załączniku 7 obejmują nie tylko siły policyjne, ale również wszystkie ministerialne departamenty rządowe Zjednoczonego Królestwa, a także inne organy pełniące funkcje dochodzeniowo-śledcze [np. Commissioner for Her Majesty’s Revenue and Customs (organ podatkowy i celny Zjednoczonego Królestwa), Welsh Revenue Authority (walijski organ skarbowy), Competition and Markets Authority (urząd ds. konkurencji i rynków) lub Her Majesty’s Land Register (rejestr gruntów Zjednoczonego Królestwa) lub Krajowa Agencja ds. Zwalczania Przestępczości], organy prokuratorskie, inne organy wymiaru sprawiedliwości w sprawach karnych i inne podmioty uprawnione lub organizacje, które prowadzą działania związane ze ściganiem przestępstw (35). Część 3 DPA 2018 ma również zastosowanie do sądów i trybunałów, w przypadku gdy pełnią swoje funkcje sądowe, z wyjątkiem części dotyczącej praw osób, których dane dotyczą, i nadzoru Komisarza ds. Informacji (36). Wykaz właściwych organów przewidziany w załączniku 7 nie jest ostateczny i może być aktualizowany przez Sekretarza Stanu na mocy rozporządzenia z uwzględnieniem zmian w zakresie organizacji urzędów publicznych (37).

35

36

37

| (24) | Przedmiotowe przetwarzanie musi również służyć „celom ścigania przestępstw”, które definiuje się jako zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochrona przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom (38). Przetwarzanie przez właściwy organ nie podlega przepisom części 3 DPA 2018, jeżeli nie odbywa się ono do celów ścigania przestępstw. Będzie to miało miejsce na przykład wówczas, gdy Competition and Markets Authority (urząd ds. konkurencji i rynków) będzie prowadził dochodzenia w sprawach, które nie dotyczą odpowiedzialności karnej (np. połączenia między przedsiębiorstwami). W takim przypadku zastosowanie będzie miało RODO UK wraz z częścią 2 DPA 2018, ponieważ przetwarzanie danych osobowych przez właściwe organy odbywa się do celów innych niż związane ze ściganiem przestępstw. Aby ustalić, które uregulowania dotyczące ochrony danych (część 3 czy część 2 DPA 2018) mają zastosowanie do przedmiotowego przetwarzania danych osobowych, właściwy organ, tj. administrator danych, musi rozważyć, czy „podstawowym celem” takiego przetwarzania jest jeden z celów ścigania przestępstw określonych w DPA 2018. |
| --- | --- |

(24)

Przedmiotowe przetwarzanie musi również służyć „celom ścigania przestępstw”, które definiuje się jako zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochrona przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom (38). Przetwarzanie przez właściwy organ nie podlega przepisom części 3 DPA 2018, jeżeli nie odbywa się ono do celów ścigania przestępstw. Będzie to miało miejsce na przykład wówczas, gdy Competition and Markets Authority (urząd ds. konkurencji i rynków) będzie prowadził dochodzenia w sprawach, które nie dotyczą odpowiedzialności karnej (np. połączenia między przedsiębiorstwami). W takim przypadku zastosowanie będzie miało RODO UK wraz z częścią 2 DPA 2018, ponieważ przetwarzanie danych osobowych przez właściwe organy odbywa się do celów innych niż związane ze ściganiem przestępstw. Aby ustalić, które uregulowania dotyczące ochrony danych (część 3 czy część 2 DPA 2018) mają zastosowanie do przedmiotowego przetwarzania danych osobowych, właściwy organ, tj. administrator danych, musi rozważyć, czy „podstawowym celem” takiego przetwarzania jest jeden z celów ścigania przestępstw określonych w DPA 2018.

38

| (25) | Jeżeli chodzi o zakres terytorialny części 3 DPA 2018, art. 207 ust. 2 stanowi, że DPA ma zastosowanie do przetwarzania danych osobowych w kontekście działalności osoby, której zakres działań obejmuje terytorium całego Zjednoczonego Królestwa. Dotyczy to organów publicznych terytoriów Anglii, Walii, Szkocji i Irlandii Północnej, które wchodzą w zakres przedmiotowy części 3 DPA 2018 (39). |
| --- | --- |

(25)

Jeżeli chodzi o zakres terytorialny części 3 DPA 2018, art. 207 ust. 2 stanowi, że DPA ma zastosowanie do przetwarzania danych osobowych w kontekście działalności osoby, której zakres działań obejmuje terytorium całego Zjednoczonego Królestwa. Dotyczy to organów publicznych terytoriów Anglii, Walii, Szkocji i Irlandii Północnej, które wchodzą w zakres przedmiotowy części 3 DPA 2018 (39).

39

2.3.1.   Definicja danych osobowych i przetwarzania

Definicja danych osobowych i przetwarzania

| (26) | Podstawowe pojęcia „danych osobowych” i „przetwarzania” zostały zdefiniowane w art. 3 DPA 2018 i stosuje się je w całej DPA. Definicje te są zbieżne z odpowiadającymi im definicjami określonymi w art. 3 dyrektywy 2016/680. Zgodnie z DPA 2018 dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (40). Zgodnie z art. 3 ust. 3 DPA 2018 osoba fizyczna jest możliwa do zidentyfikowania, jeżeli można ją bezpośrednio lub pośrednio zidentyfikować na podstawie informacji, w tym na podstawie imienia i nazwiska, numeru identyfikacyjnego lub jednej bądź kilku szczególnych cech określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość tej osoby. Pojęcie „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na informacjach lub zestawach informacji, takich jak: a) zbieranie, utrwalanie, organizowanie, porządkowanie lub przechowywanie; b) adaptowanie lub modyfikowanie; c) pobieranie, przeglądanie lub wykorzystywanie; d) ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie; e) dopasowywanie lub łączenie; lub f) ograniczanie, usuwanie lub niszczenie. Ponadto w ustawie zdefiniowano „przetwarzanie danych wrażliwych” jako: „a) przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne bądź światopoglądowe lub przynależność do związków zawodowych; b) przetwarzanie danych genetycznych lub danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej; c) przetwarzanie danych dotyczących zdrowia; d) przetwarzanie danych dotyczących seksualności lub orientacji seksualnej osoby fizycznej” (41). W tym zakresie art. 205 DPA 2018 zawiera definicję „danych biometrycznych” (42), „danych dotyczących zdrowia” (43) i „danych genetycznych” (44). |
| --- | --- |

(26)

Podstawowe pojęcia „danych osobowych” i „przetwarzania” zostały zdefiniowane w art. 3 DPA 2018 i stosuje się je w całej DPA. Definicje te są zbieżne z odpowiadającymi im definicjami określonymi w art. 3 dyrektywy 2016/680. Zgodnie z DPA 2018 dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (40). Zgodnie z art. 3 ust. 3 DPA 2018 osoba fizyczna jest możliwa do zidentyfikowania, jeżeli można ją bezpośrednio lub pośrednio zidentyfikować na podstawie informacji, w tym na podstawie imienia i nazwiska, numeru identyfikacyjnego lub jednej bądź kilku szczególnych cech określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość tej osoby. Pojęcie „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na informacjach lub zestawach informacji, takich jak: a) zbieranie, utrwalanie, organizowanie, porządkowanie lub przechowywanie; b) adaptowanie lub modyfikowanie; c) pobieranie, przeglądanie lub wykorzystywanie; d) ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie; e) dopasowywanie lub łączenie; lub f) ograniczanie, usuwanie lub niszczenie. Ponadto w ustawie zdefiniowano „przetwarzanie danych wrażliwych” jako: „a) przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne bądź światopoglądowe lub przynależność do związków zawodowych; b) przetwarzanie danych genetycznych lub danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej; c) przetwarzanie danych dotyczących zdrowia; d) przetwarzanie danych dotyczących seksualności lub orientacji seksualnej osoby fizycznej” (41). W tym zakresie art. 205 DPA 2018 zawiera definicję „danych biometrycznych” (42), „danych dotyczących zdrowia” (43) i „danych genetycznych” (44).

40

41

42

43

44

| (27) | W art. 32 DPA 2018 doprecyzowano definicje „administratora” i „podmiotu przetwarzającego” w kontekście przetwarzania danych osobowych do celów ścigania przestępstw, ściśle wzorując się na równorzędnych definicjach zawartych w dyrektywie 2016/680. Administratorem jest właściwy organ, który ustala cele i sposoby przetwarzania danych osobowych. Jeżeli przetwarzanie jest wymagane przez przepisy prawa, administratorem jest właściwy organ, na który prawo nakłada taki obowiązek. Podmiot przetwarzający definiuje się jako każdą osobę, która przetwarza dane osobowe w imieniu administratora (inną niż osoba będąca pracownikiem administratora). |
| --- | --- |

(27)

W art. 32 DPA 2018 doprecyzowano definicje „administratora” i „podmiotu przetwarzającego” w kontekście przetwarzania danych osobowych do celów ścigania przestępstw, ściśle wzorując się na równorzędnych definicjach zawartych w dyrektywie 2016/680. Administratorem jest właściwy organ, który ustala cele i sposoby przetwarzania danych osobowych. Jeżeli przetwarzanie jest wymagane przez przepisy prawa, administratorem jest właściwy organ, na który prawo nakłada taki obowiązek. Podmiot przetwarzający definiuje się jako każdą osobę, która przetwarza dane osobowe w imieniu administratora (inną niż osoba będąca pracownikiem administratora).

2.4.   Zabezpieczenia, prawa i obowiązki

Zabezpieczenia, prawa i obowiązki

2.4.1.   Zgodność z prawem i rzetelność przetwarzania

Zgodność z prawem i rzetelność przetwarzania

| (28) | Zgodnie z art. 35 DPA 2018 przetwarzanie danych osobowych musi być zgodne z prawem i rzetelne, podobnie jak określono w art. 4 ust. 1 lit. a) dyrektywy (UE) 2016/680. Zgodnie z art. 35 ust. 2 DPA 2018 przetwarzanie danych osobowych do jakichkolwiek celów ścigania przestępstw jest zgodne z prawem tylko wtedy, gdy opiera się na przepisach prawa oraz jeżeli osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w tym celu albo przetwarzanie jest niezbędne do wykonania zadania realizowanego w tym celu przez właściwy organ. |
| --- | --- |

(28)

Zgodnie z art. 35 DPA 2018 przetwarzanie danych osobowych musi być zgodne z prawem i rzetelne, podobnie jak określono w art. 4 ust. 1 lit. a) dyrektywy (UE) 2016/680. Zgodnie z art. 35 ust. 2 DPA 2018 przetwarzanie danych osobowych do jakichkolwiek celów ścigania przestępstw jest zgodne z prawem tylko wtedy, gdy opiera się na przepisach prawa oraz jeżeli osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w tym celu albo przetwarzanie jest niezbędne do wykonania zadania realizowanego w tym celu przez właściwy organ.

2.4.1.1.   Przetwarzanie na podstawie przepisów prawa

Przetwarzanie na podstawie przepisów prawa

| (29) | Podobnie jak określono w art. 8 dyrektywy (UE) 2016/680, aby zapewnić zgodność z prawem przetwarzania objętego częścią 3 DPA 2018, takie przetwarzanie musi „opierać się na przepisach prawa”. Przetwarzanie „zgodne z prawem” oznacza przetwarzanie dopuszczone przez ustawę, prawo precedensowe albo królewskie prerogatywy (45). |
| --- | --- |

(29)

Podobnie jak określono w art. 8 dyrektywy (UE) 2016/680, aby zapewnić zgodność z prawem przetwarzania objętego częścią 3 DPA 2018, takie przetwarzanie musi „opierać się na przepisach prawa”. Przetwarzanie „zgodne z prawem” oznacza przetwarzanie dopuszczone przez ustawę, prawo precedensowe albo królewskie prerogatywy (45).

45

| (30) | Uprawnienia właściwych organów są zasadniczo regulowane ustawami, co oznacza, że funkcje i uprawnienia tych organów są wyraźnie określone w przepisach przyjętych przez Parlament (46). W niektórych przypadkach policja, jak również inne właściwe organy wymienione w załączniku 7 do DPA 2018, mogą powoływać się na prawo precedensowe w celu przetwarzania danych (47). Prawo precedensowe powstało dzięki precedensom ustalonym w orzeczeniach sądów. Prawo precedensowe jest istotne w kontekście uprawnień policji, która z tego źródła prawa wywodzi swój podstawowy obowiązek ochrony obywateli poprzez wykrywanie przestępstw i zapobieganie im (48). Wypełniając ten obowiązek, siły policyjne opierają się jednak zarówno na prawie precedensowym, jak i na uprawnieniach ustawodawczych (49). Uprawnienia ustawowe policji mają pierwszeństwo przed wszelkimi uprawnieniami wynikającymi z prawa precedensowego (50). |
| --- | --- |

(30)

Uprawnienia właściwych organów są zasadniczo regulowane ustawami, co oznacza, że funkcje i uprawnienia tych organów są wyraźnie określone w przepisach przyjętych przez Parlament (46). W niektórych przypadkach policja, jak również inne właściwe organy wymienione w załączniku 7 do DPA 2018, mogą powoływać się na prawo precedensowe w celu przetwarzania danych (47). Prawo precedensowe powstało dzięki precedensom ustalonym w orzeczeniach sądów. Prawo precedensowe jest istotne w kontekście uprawnień policji, która z tego źródła prawa wywodzi swój podstawowy obowiązek ochrony obywateli poprzez wykrywanie przestępstw i zapobieganie im (48). Wypełniając ten obowiązek, siły policyjne opierają się jednak zarówno na prawie precedensowym, jak i na uprawnieniach ustawodawczych (49). Uprawnienia ustawowe policji mają pierwszeństwo przed wszelkimi uprawnieniami wynikającymi z prawa precedensowego (50).

46

47

48

49

50

| (31) | Sądy uznały, że zakres uprawnień i obowiązków funkcjonariuszy policji wynikających z prawa precedensowego obejmuje „wszelkie kroki, które wydają im się niezbędne do utrzymania pokoju, zapobiegania przestępczości lub ochrony mienia przed szkodami poniesionymi wskutek przestępstwa” (51). Uprawnienia wynikające z prawa precedensowego nie są pozbawione zastrzeżeń. Podlegają one licznym ograniczeniom, w tym ograniczeniom ustanowionym przez sądy (52) i prawodawstwo, w szczególności ustawę o prawach człowieka z 1998 r. i ustawę o równouprawnieniu z 2010 r (53). Ponadto w odniesieniu do właściwych organów przetwarzających dane na podstawie części 3 DPA 2018 dotyczy to wykonywania uprawnień wynikających z prawa precedensowego zgodnie z wymogami określonymi w DPA 2018 (54). Ponadto decyzja o wykonaniu jakiegokolwiek rodzaju przetwarzania danych musi uwzględniać wymogi obowiązujących wytycznych, takich jak kodeks postępowania dotyczący zarządzania informacjami policyjnymi, jak również wytyczne dotyczące jednego z państw Zjednoczonego Królestwa (55). Rząd i służby policji ds. operacyjnych wydają szereg wytycznych mających na celu zagwarantowanie, by funkcjonariusze policji wykonywali swoje uprawnienia w granicach określonych przez prawo precedensowe bądź wynikających z ustawy (56). |
| --- | --- |

(31)

Sądy uznały, że zakres uprawnień i obowiązków funkcjonariuszy policji wynikających z prawa precedensowego obejmuje „wszelkie kroki, które wydają im się niezbędne do utrzymania pokoju, zapobiegania przestępczości lub ochrony mienia przed szkodami poniesionymi wskutek przestępstwa” (51). Uprawnienia wynikające z prawa precedensowego nie są pozbawione zastrzeżeń. Podlegają one licznym ograniczeniom, w tym ograniczeniom ustanowionym przez sądy (52) i prawodawstwo, w szczególności ustawę o prawach człowieka z 1998 r. i ustawę o równouprawnieniu z 2010 r (53). Ponadto w odniesieniu do właściwych organów przetwarzających dane na podstawie części 3 DPA 2018 dotyczy to wykonywania uprawnień wynikających z prawa precedensowego zgodnie z wymogami określonymi w DPA 2018 (54). Ponadto decyzja o wykonaniu jakiegokolwiek rodzaju przetwarzania danych musi uwzględniać wymogi obowiązujących wytycznych, takich jak kodeks postępowania dotyczący zarządzania informacjami policyjnymi, jak również wytyczne dotyczące jednego z państw Zjednoczonego Królestwa (55). Rząd i służby policji ds. operacyjnych wydają szereg wytycznych mających na celu zagwarantowanie, by funkcjonariusze policji wykonywali swoje uprawnienia w granicach określonych przez prawo precedensowe bądź wynikających z ustawy (56).

51

52

53

54

55

56

| (32) | Królewskie prerogatywy stanowią kolejny składnik „prawa” i odnoszą się do niektórych uprawnień powierzonych Koronie, a realizowanych przez władzę wykonawczą, które nie są oparte na ustawach, lecz wynikają z suwerenności monarchy (57). Istnieje bardzo niewiele przykładów uprawnień prerogatywnych, które są istotne w kontekście ścigania przestępstw. Dotyczą one na przykład ram wzajemnej pomocy prawnej umożliwiających Sekretarzowi Stanu udostępnianie państwom trzecim danych do celów ścigania przestępstw, przy czym uprawnienia do tego rodzaju udostępniania danych nie zawsze są określone w ustawie (58). Królewskie prerogatywy są związane zasadami prawa precedensowego (59) i mają niższą rangę od ustawy, a zatem podlegają ograniczeniom przewidzianym w ustawie o prawach człowieka z 1998 r. i DPA 2018 (60). |
| --- | --- |

(32)

Królewskie prerogatywy stanowią kolejny składnik „prawa” i odnoszą się do niektórych uprawnień powierzonych Koronie, a realizowanych przez władzę wykonawczą, które nie są oparte na ustawach, lecz wynikają z suwerenności monarchy (57). Istnieje bardzo niewiele przykładów uprawnień prerogatywnych, które są istotne w kontekście ścigania przestępstw. Dotyczą one na przykład ram wzajemnej pomocy prawnej umożliwiających Sekretarzowi Stanu udostępnianie państwom trzecim danych do celów ścigania przestępstw, przy czym uprawnienia do tego rodzaju udostępniania danych nie zawsze są określone w ustawie (58). Królewskie prerogatywy są związane zasadami prawa precedensowego (59) i mają niższą rangę od ustawy, a zatem podlegają ograniczeniom przewidzianym w ustawie o prawach człowieka z 1998 r. i DPA 2018 (60).

57

58

59

60

| (33) | Podobnie jak określono w art. 8 dyrektywy (UE) 2016/680, przepisy Zjednoczonego Królestwa wymagają, aby w celu przestrzegania zasady zgodności z prawem właściwe organy zagwarantowały, by w przypadku gdy przetwarzanie opiera się na przepisach prawa, było ono również niezbędne do wykonania zadania realizowanego w celu ścigania przestępstw. Komisarz ds. Informacji udziela wytycznych w tym zakresie i wyjaśnia, że „musi być to ukierunkowany i proporcjonalny sposób osiągnięcia celu. Zasada zgodności z prawem nie będzie spełniona, jeżeli cel można osiągnąć w sposób zasadny za pomocą innych, mniej inwazyjnych środków. Nie wystarczy twierdzić, że przetwarzanie jest niezbędne ze względu na wybrany sposób prowadzenia działalności. Kluczowe znaczenie ma to, czy przetwarzanie jest niezbędne do osiągnięcia określonego celu” (61). |
| --- | --- |

(33)

Podobnie jak określono w art. 8 dyrektywy (UE) 2016/680, przepisy Zjednoczonego Królestwa wymagają, aby w celu przestrzegania zasady zgodności z prawem właściwe organy zagwarantowały, by w przypadku gdy przetwarzanie opiera się na przepisach prawa, było ono również niezbędne do wykonania zadania realizowanego w celu ścigania przestępstw. Komisarz ds. Informacji udziela wytycznych w tym zakresie i wyjaśnia, że „musi być to ukierunkowany i proporcjonalny sposób osiągnięcia celu. Zasada zgodności z prawem nie będzie spełniona, jeżeli cel można osiągnąć w sposób zasadny za pomocą innych, mniej inwazyjnych środków. Nie wystarczy twierdzić, że przetwarzanie jest niezbędne ze względu na wybrany sposób prowadzenia działalności. Kluczowe znaczenie ma to, czy przetwarzanie jest niezbędne do osiągnięcia określonego celu” (61).

61

2.4.1.2.   Przetwarzanie na podstawie „zgody” osoby, której dane dotyczą

Przetwarzanie na podstawie „zgody” osoby, której dane dotyczą

| (34) | Jak wspomniano w motywie 28, art. 35 ust. 2 DPA 2018 przewiduje możliwość przetwarzania danych osobowych na podstawie „zgody” osoby fizycznej. |
| --- | --- |

(34)

Jak wspomniano w motywie 28, art. 35 ust. 2 DPA 2018 przewiduje możliwość przetwarzania danych osobowych na podstawie „zgody” osoby fizycznej.

| (35) | Nie wydaje się jednak, aby zgoda stanowiła istotną podstawę prawną w odniesieniu do operacji przetwarzania wchodzących w zakres stosowania niniejszej decyzji. W rzeczywistości operacje przetwarzania objęte niniejszą decyzją zawsze będą dotyczyły danych, które zostały przekazane przez właściwy organ państwa członkowskiego właściwemu organowi Zjednoczonego Królestwa na podstawie dyrektywy (UE) 2016/680. Dlatego zazwyczaj nie będą one dotyczyły tego rodzaju bezpośredniej interakcji (zbierania) między organem publicznym a osobami, których dane dotyczą, która może opierać się na zgodzie w myśl art. 35 ust. 2 lit. a) ustawy DPA 2018. |
| --- | --- |

(35)

Nie wydaje się jednak, aby zgoda stanowiła istotną podstawę prawną w odniesieniu do operacji przetwarzania wchodzących w zakres stosowania niniejszej decyzji. W rzeczywistości operacje przetwarzania objęte niniejszą decyzją zawsze będą dotyczyły danych, które zostały przekazane przez właściwy organ państwa członkowskiego właściwemu organowi Zjednoczonego Królestwa na podstawie dyrektywy (UE) 2016/680. Dlatego zazwyczaj nie będą one dotyczyły tego rodzaju bezpośredniej interakcji (zbierania) między organem publicznym a osobami, których dane dotyczą, która może opierać się na zgodzie w myśl art. 35 ust. 2 lit. a) ustawy DPA 2018.

| (36) | Chociaż poleganie na zgodzie nie jest zatem uznawane za istotne dla oceny przeprowadzonej na mocy niniejszej decyzji, warto zauważyć – w celu uzyskania pełnego obrazu sytuacji – że w kontekście ścigania przestępstw przetwarzanie danych nigdy nie odbywa się wyłącznie na podstawie zgody, ponieważ właściwy organ musi zawsze posiadać odpowiednie uprawnienia, które umożliwiają mu przetwarzanie danych (62). Mówiąc ściślej, oznacza to – podobnie do tego, co dopuszcza dyrektywa (UE) 2016/680 (63) – że zgoda służy jako dodatkowy warunek umożliwiający przeprowadzenie niektórych ograniczonych i szczególnych operacji przetwarzania, które w inny sposób nie mogłyby zostać przeprowadzone, na przykład pobranie i przetwarzanie próbki DNA osoby fizycznej niebędącej osobą podejrzaną. W tym przypadku przetwarzanie nie będzie mogło się odbyć, jeżeli nie wyrażono zgody lub została ona cofnięta (64). |
| --- | --- |

(36)

Chociaż poleganie na zgodzie nie jest zatem uznawane za istotne dla oceny przeprowadzonej na mocy niniejszej decyzji, warto zauważyć – w celu uzyskania pełnego obrazu sytuacji – że w kontekście ścigania przestępstw przetwarzanie danych nigdy nie odbywa się wyłącznie na podstawie zgody, ponieważ właściwy organ musi zawsze posiadać odpowiednie uprawnienia, które umożliwiają mu przetwarzanie danych (62). Mówiąc ściślej, oznacza to – podobnie do tego, co dopuszcza dyrektywa (UE) 2016/680 (63) – że zgoda służy jako dodatkowy warunek umożliwiający przeprowadzenie niektórych ograniczonych i szczególnych operacji przetwarzania, które w inny sposób nie mogłyby zostać przeprowadzone, na przykład pobranie i przetwarzanie próbki DNA osoby fizycznej niebędącej osobą podejrzaną. W tym przypadku przetwarzanie nie będzie mogło się odbyć, jeżeli nie wyrażono zgody lub została ona cofnięta (64).

62

63

64

| (37) | W przypadkach wymagających uzyskania zgody osoby fizycznej zgoda ta musi być jednoznaczna i obejmować wyraźne działanie potwierdzające (65). Od sił policyjnych wymaga się posiadania oświadczenia o ochronie prywatności, zawierającego m.in. niezbędne informacje związane z prawidłowym wykorzystywaniem zgody. Ponadto niektóre jednostki policji publikują dodatkowe materiały na temat sposobu, w jaki przestrzegają przepisów w dziedzinie ochrony danych, w tym jak i kiedy wykorzystują zgodę jako podstawę prawną (66). |
| --- | --- |

(37)

W przypadkach wymagających uzyskania zgody osoby fizycznej zgoda ta musi być jednoznaczna i obejmować wyraźne działanie potwierdzające (65). Od sił policyjnych wymaga się posiadania oświadczenia o ochronie prywatności, zawierającego m.in. niezbędne informacje związane z prawidłowym wykorzystywaniem zgody. Ponadto niektóre jednostki policji publikują dodatkowe materiały na temat sposobu, w jaki przestrzegają przepisów w dziedzinie ochrony danych, w tym jak i kiedy wykorzystują zgodę jako podstawę prawną (66).

65

66

2.4.1.3.   Przetwarzanie danych wrażliwych

Przetwarzanie danych wrażliwych

| (38) | Jeżeli przetwarzane są „szczególne kategorie” danych, powinny istnieć szczególne zabezpieczenia. W tym zakresie, podobnie jak przewidziano w art. 10 dyrektywy (UE) 2016/680, część 3 DPA 2018 przewiduje silniejsze zabezpieczenia w odniesieniu do tzw. „przetwarzania danych wrażliwych” (67). |
| --- | --- |

(38)

Jeżeli przetwarzane są „szczególne kategorie” danych, powinny istnieć szczególne zabezpieczenia. W tym zakresie, podobnie jak przewidziano w art. 10 dyrektywy (UE) 2016/680, część 3 DPA 2018 przewiduje silniejsze zabezpieczenia w odniesieniu do tzw. „przetwarzania danych wrażliwych” (67).

67

| (39) | Zgodnie z art. 35 ust. 3 DPA 1998 właściwe organy mogą przetwarzać dane wrażliwe do celów ścigania przestępstw wyłącznie w dwóch przypadkach: 1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie do celów ścigania przestępstw, a w chwili dokonywania przetwarzania administrator dysponuje odpowiednim dokumentem dotyczącym polityki (68); lub 2) przetwarzanie jest absolutnie niezbędne do celów ścigania przestępstw, przetwarzanie spełnia co najmniej jeden z warunków określonych w załączniku 8 do DPA 2018, a w chwili dokonywania przetwarzania administrator dysponuje odpowiednim dokumentem dotyczącym polityki (69). |
| --- | --- |

(39)

Zgodnie z art. 35 ust. 3 DPA 1998 właściwe organy mogą przetwarzać dane wrażliwe do celów ścigania przestępstw wyłącznie w dwóch przypadkach: 1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie do celów ścigania przestępstw, a w chwili dokonywania przetwarzania administrator dysponuje odpowiednim dokumentem dotyczącym polityki (68); lub 2) przetwarzanie jest absolutnie niezbędne do celów ścigania przestępstw, przetwarzanie spełnia co najmniej jeden z warunków określonych w załączniku 8 do DPA 2018, a w chwili dokonywania przetwarzania administrator dysponuje odpowiednim dokumentem dotyczącym polityki (69).

68

69

| (40) | Jeżeli chodzi o pierwszy przypadek i jak wyjaśniono w motywie 38, poleganie na zgodzie nie jest uznawane za istotne w odniesieniu do objętego niniejszą decyzją rodzaju przekazywania danych (70). |
| --- | --- |

(40)

Jeżeli chodzi o pierwszy przypadek i jak wyjaśniono w motywie 38, poleganie na zgodzie nie jest uznawane za istotne w odniesieniu do objętego niniejszą decyzją rodzaju przekazywania danych (70).

70

| (41) | W przypadku gdy przetwarzanie danych wrażliwych nie odbywa się na podstawie zgody, przeprowadza się je z zastosowaniem jednego z warunków wymienionych w załączniku 8 do DPA 2018. Warunki te odnoszą się do przetwarzania niezbędnego do realizacji celów ustawowych; sprawowania wymiaru sprawiedliwości; ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; zabezpieczenia dzieci i osób fizycznych narażonych na ryzyko; roszczeń; czynności sądowych; zapobiegania nadużyciom finansowym; archiwizacji; w przypadku danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą. Z wyjątkiem przypadku, w którym dane zostały w sposób oczywisty upublicznione, wszystkie warunki określone w załączniku 8 podlegają kryterium „absolutnej niezbędności”. Jak wyjaśnił Komisarz ds. Informacji, „absolutna niezbędność w tym kontekście oznacza, że przetwarzanie musi odnosić się do pilnej potrzeby społecznej, której nie można wypełnić w sposób zasadny za pomocą mniej inwazyjnych środków” (71). Ponadto niektóre z wymienionych warunków podlegają dodatkowym ograniczeniom. Na przykład, aby powołać się na warunek związany z „celami ustawowymi” i „warunek zabezpieczenia” (załącznik 8 pkt 1 i 4), należy spełnić dodatkowe kryterium istotnego interesu publicznego. Ponadto, w odniesieniu do warunków dotyczących zabezpieczenia dziecka (załącznik 8 pkt 4), osoba, której dane dotyczą, musi również być w określonym wieku i uznana za narażoną na ryzyko. Co więcej, administrator może zastosować warunek przewidziany w załączniku 8 pkt 4 wyłącznie w przypadku wystąpienia szczególnych okoliczności (72). Podobne ograniczenia wprowadzono dla warunków „czynności sądowych” i „zapobiegania nadużyciom finansowym” (załącznik 8, odpowiednio pkt 7 i 8). W obu przypadkach mają one zastosowanie wyłącznie do określonych administratorów. W przypadku czynności sądowych wyłącznie sąd lub inny organ sądowy może skorzystać z takiego warunku, a w przypadku zapobiegania nadużyciom finansowym wyłącznie administratorzy będący organizacjami zwalczającymi nadużycia finansowe mogą powoływać się na ten warunek. |
| --- | --- |

(41)

W przypadku gdy przetwarzanie danych wrażliwych nie odbywa się na podstawie zgody, przeprowadza się je z zastosowaniem jednego z warunków wymienionych w załączniku 8 do DPA 2018. Warunki te odnoszą się do przetwarzania niezbędnego do realizacji celów ustawowych; sprawowania wymiaru sprawiedliwości; ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; zabezpieczenia dzieci i osób fizycznych narażonych na ryzyko; roszczeń; czynności sądowych; zapobiegania nadużyciom finansowym; archiwizacji; w przypadku danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą. Z wyjątkiem przypadku, w którym dane zostały w sposób oczywisty upublicznione, wszystkie warunki określone w załączniku 8 podlegają kryterium „absolutnej niezbędności”. Jak wyjaśnił Komisarz ds. Informacji, „absolutna niezbędność w tym kontekście oznacza, że przetwarzanie musi odnosić się do pilnej potrzeby społecznej, której nie można wypełnić w sposób zasadny za pomocą mniej inwazyjnych środków” (71). Ponadto niektóre z wymienionych warunków podlegają dodatkowym ograniczeniom. Na przykład, aby powołać się na warunek związany z „celami ustawowymi” i „warunek zabezpieczenia” (załącznik 8 pkt 1 i 4), należy spełnić dodatkowe kryterium istotnego interesu publicznego. Ponadto, w odniesieniu do warunków dotyczących zabezpieczenia dziecka (załącznik 8 pkt 4), osoba, której dane dotyczą, musi również być w określonym wieku i uznana za narażoną na ryzyko. Co więcej, administrator może zastosować warunek przewidziany w załączniku 8 pkt 4 wyłącznie w przypadku wystąpienia szczególnych okoliczności (72). Podobne ograniczenia wprowadzono dla warunków „czynności sądowych” i „zapobiegania nadużyciom finansowym” (załącznik 8, odpowiednio pkt 7 i 8). W obu przypadkach mają one zastosowanie wyłącznie do określonych administratorów. W przypadku czynności sądowych wyłącznie sąd lub inny organ sądowy może skorzystać z takiego warunku, a w przypadku zapobiegania nadużyciom finansowym wyłącznie administratorzy będący organizacjami zwalczającymi nadużycia finansowe mogą powoływać się na ten warunek.

71

72

| (42) | Oprócz tego, gdy przetwarzanie opiera się na jednym z warunków wymienionych w załączniku 8 i odbywa się odpowiednio zgodnie z art. 42 DPA 2018, musi istnieć „odpowiedni dokument dotyczący polityki” – zawierający wyjaśnienie procedur administratora w zakresie zapewniania zgodności z zasadami ochrony danych oraz polityki administratora w odniesieniu do zatrzymywania i usuwania danych osobowych – oraz mają zastosowanie obowiązki prowadzenia rozszerzonego rejestru. |
| --- | --- |

(42)

Oprócz tego, gdy przetwarzanie opiera się na jednym z warunków wymienionych w załączniku 8 i odbywa się odpowiednio zgodnie z art. 42 DPA 2018, musi istnieć „odpowiedni dokument dotyczący polityki” – zawierający wyjaśnienie procedur administratora w zakresie zapewniania zgodności z zasadami ochrony danych oraz polityki administratora w odniesieniu do zatrzymywania i usuwania danych osobowych – oraz mają zastosowanie obowiązki prowadzenia rozszerzonego rejestru.

2.4.2.   Ograniczenie celu

Ograniczenie celu

| (43) | Dane osobowe powinny być przetwarzane w określonym celu, a następnie wykorzystywane tylko w takim zakresie, w jakim nie jest to niezgodne z celem przetwarzania. Ta zasada ochrony danych zagwarantowana jest w art. 36 DPA 2018. W przepisie tym, podobnie jak w art. 4 ust. 1 lit. b) dyrektywy (UE) 2016/680, wymaga się, aby: a) cel związany ze ściganiem przestępstw, dla którego w jakimkolwiek przypadku zbiera się dane osobowe, był konkretny, wyraźny i uzasadniony oraz b) danych osobowych zebranych w ten sposób nie przetwarzano w sposób niezgodny z celem, dla którego je zebrano. |
| --- | --- |

(43)

Dane osobowe powinny być przetwarzane w określonym celu, a następnie wykorzystywane tylko w takim zakresie, w jakim nie jest to niezgodne z celem przetwarzania. Ta zasada ochrony danych zagwarantowana jest w art. 36 DPA 2018. W przepisie tym, podobnie jak w art. 4 ust. 1 lit. b) dyrektywy (UE) 2016/680, wymaga się, aby: a) cel związany ze ściganiem przestępstw, dla którego w jakimkolwiek przypadku zbiera się dane osobowe, był konkretny, wyraźny i uzasadniony oraz b) danych osobowych zebranych w ten sposób nie przetwarzano w sposób niezgodny z celem, dla którego je zebrano.

| (44) | W przypadku gdy właściwe organy przetwarzają dane do celów ścigania przestępstw, może to obejmować archiwizację, badania naukowe lub historyczne oraz cele statystyczne (73). W odniesieniu do takich przypadków w DPA 2018 wyjaśniono również, że archiwizacja (lub przetwarzanie do celów badań naukowych lub historycznych oraz do celów statystycznych) nie jest dozwolona, jeżeli przeprowadza się ją w związku z decyzjami podjętymi w stosunku do konkretnej osoby, której dane dotyczą, lub jeżeli może spowodować u niej znaczną szkodę lub cierpienie (74). |
| --- | --- |

(44)

W przypadku gdy właściwe organy przetwarzają dane do celów ścigania przestępstw, może to obejmować archiwizację, badania naukowe lub historyczne oraz cele statystyczne (73). W odniesieniu do takich przypadków w DPA 2018 wyjaśniono również, że archiwizacja (lub przetwarzanie do celów badań naukowych lub historycznych oraz do celów statystycznych) nie jest dozwolona, jeżeli przeprowadza się ją w związku z decyzjami podjętymi w stosunku do konkretnej osoby, której dane dotyczą, lub jeżeli może spowodować u niej znaczną szkodę lub cierpienie (74).

73

74

2.4.3.   Prawidłowość i minimalizacja danych

Prawidłowość i minimalizacja danych

| (45) | Dane powinny być prawidłowe i w razie potrzeby uaktualniane. Powinny być one również adekwatne, stosowne i nienadmierne w stosunku do celów, w których są przetwarzane. Przestrzeganie tych zasad, określonych w art. 4 ust. 1 lit. c), d) i e) dyrektywy (UE) 2016/680, zapewniono również w art. 37 i 38 DPA 2018. Należy podjąć wszelkie uzasadnione działania, aby zapewnić, że dane osobowe, które są nieprawidłowe (75) zostaną bezzwłocznie usunięte lub sprostowane (76), biorąc pod uwagę cel związany ze ściganiem przestępstw, dla którego są przetwarzane (77), oraz aby zapewnić, by dane osobowe, które są niedokładne, niekompletne lub już nieaktualne, nie były przekazywane ani udostępniane do żadnego z celów związanych ze ściganiem przestępstwa (78). |
| --- | --- |

(45)

Dane powinny być prawidłowe i w razie potrzeby uaktualniane. Powinny być one również adekwatne, stosowne i nienadmierne w stosunku do celów, w których są przetwarzane. Przestrzeganie tych zasad, określonych w art. 4 ust. 1 lit. c), d) i e) dyrektywy (UE) 2016/680, zapewniono również w art. 37 i 38 DPA 2018. Należy podjąć wszelkie uzasadnione działania, aby zapewnić, że dane osobowe, które są nieprawidłowe (75) zostaną bezzwłocznie usunięte lub sprostowane (76), biorąc pod uwagę cel związany ze ściganiem przestępstw, dla którego są przetwarzane (77), oraz aby zapewnić, by dane osobowe, które są niedokładne, niekompletne lub już nieaktualne, nie były przekazywane ani udostępniane do żadnego z celów związanych ze ściganiem przestępstwa (78).

75

76

77

78

| (46) | Ponadto, podobnie jak w art. 7 dyrektywy (UE) 2016/680, w ramach systemu ochrony danych Zjednoczonego Królestwa określono, że dane osobowe oparte na faktach muszą być odróżniane, tak dalece, jak to możliwe, od danych osobowych opartych na indywidualnych ocenach (79). W stosownych przypadkach i w miarę możliwości należy dokonać wyraźnego rozróżnienia między danymi osobowymi odnoszącymi się do różnych kategorii osób, których dane dotyczą, takich jak osoby podejrzane, osoby skazane za czyn zabroniony, ofiary czynu zabronionego i świadkowie (80). |
| --- | --- |

(46)

Ponadto, podobnie jak w art. 7 dyrektywy (UE) 2016/680, w ramach systemu ochrony danych Zjednoczonego Królestwa określono, że dane osobowe oparte na faktach muszą być odróżniane, tak dalece, jak to możliwe, od danych osobowych opartych na indywidualnych ocenach (79). W stosownych przypadkach i w miarę możliwości należy dokonać wyraźnego rozróżnienia między danymi osobowymi odnoszącymi się do różnych kategorii osób, których dane dotyczą, takich jak osoby podejrzane, osoby skazane za czyn zabroniony, ofiary czynu zabronionego i świadkowie (80).

79

80

2.4.4.   Ograniczenie przechowywania

Ograniczenie przechowywania

| (47) | Zgodnie z art. 5 dyrektywy (UE) 2016/680 dane powinny być co do zasady przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których przetwarza się dane osobowe. Zgodnie z art. 39 DPA 2018, podobnie jak określono w art. 5 tej dyrektywy, zabronione jest przechowywanie danych osobowych przetwarzanych dla któregokolwiek z celów związanych ze ściganiem przestępstw dłużej, niż jest to konieczne w związku z celem, dla którego się je przetwarza. System prawny Zjednoczonego Królestwa wymaga ustanowienia odpowiednich terminów dla okresowego przeglądu potrzeby dalszego przechowywania danych osobowych dla któregokolwiek z celów związanych ze ściganiem przestępstw. Dalsze zasady dotyczące praktyk związanych z zatrzymywaniem danych osobowych oraz obowiązujące terminy określono w odpowiednich przepisach i wytycznych regulujących uprawnienia i funkcjonowanie policji. Na przykład w Anglii i Walii kodeks postępowania dotyczący zarządzania informacjami policyjnymi [MoPI Code of Practice] Kolegium Policyjnego wraz z zatwierdzonymi praktykami zawodowymi dotyczącymi zarządzania informacjami policyjnymi [APP Guidance on the Management of Police Information] stanowi ramy zapewniające spójny, oparty na analizie ryzyka proces zatrzymywania, przeglądu i usuwania danych w odniesieniu do zarządzania operacyjnymi informacjami policyjnymi (81). Za pośrednictwem tych ram określono jasne oczekiwania dla wszystkich służb co do tego, jak należy tworzyć, udostępniać i wykorzystywać informacje oraz zarządzać nimi w obrębie poszczególnych sił policyjnych i innych agencji oraz pomiędzy tymi podmiotami (82). Oczekuje się, że policja będzie przestrzegać kodeksu postępowania, a zgodność z nim weryfikuje Inspektorat Policji, Straży Pożarnej i Służb Ratowniczych Jej Królewskiej Mości (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services) (83). |
| --- | --- |

(47)

Zgodnie z art. 5 dyrektywy (UE) 2016/680 dane powinny być co do zasady przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których przetwarza się dane osobowe. Zgodnie z art. 39 DPA 2018, podobnie jak określono w art. 5 tej dyrektywy, zabronione jest przechowywanie danych osobowych przetwarzanych dla któregokolwiek z celów związanych ze ściganiem przestępstw dłużej, niż jest to konieczne w związku z celem, dla którego się je przetwarza. System prawny Zjednoczonego Królestwa wymaga ustanowienia odpowiednich terminów dla okresowego przeglądu potrzeby dalszego przechowywania danych osobowych dla któregokolwiek z celów związanych ze ściganiem przestępstw. Dalsze zasady dotyczące praktyk związanych z zatrzymywaniem danych osobowych oraz obowiązujące terminy określono w odpowiednich przepisach i wytycznych regulujących uprawnienia i funkcjonowanie policji. Na przykład w Anglii i Walii kodeks postępowania dotyczący zarządzania informacjami policyjnymi [MoPI Code of Practice] Kolegium Policyjnego wraz z zatwierdzonymi praktykami zawodowymi dotyczącymi zarządzania informacjami policyjnymi [APP Guidance on the Management of Police Information] stanowi ramy zapewniające spójny, oparty na analizie ryzyka proces zatrzymywania, przeglądu i usuwania danych w odniesieniu do zarządzania operacyjnymi informacjami policyjnymi (81). Za pośrednictwem tych ram określono jasne oczekiwania dla wszystkich służb co do tego, jak należy tworzyć, udostępniać i wykorzystywać informacje oraz zarządzać nimi w obrębie poszczególnych sił policyjnych i innych agencji oraz pomiędzy tymi podmiotami (82). Oczekuje się, że policja będzie przestrzegać kodeksu postępowania, a zgodność z nim weryfikuje Inspektorat Policji, Straży Pożarnej i Służb Ratowniczych Jej Królewskiej Mości (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services) (83).

81

82

83

| (48) | Policja Irlandii Północnej (The Police Service of Northern Ireland, PSNI) nie jest prawnie zobowiązana do przestrzegania kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi. Ramy dotyczące zarządzania informacjami policyjnymi przyjęte w 2011 r. uzupełniono jednak w podręczniku PSNI (84), w którym określono zasady i procedury dotyczące sposobu stosowania kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi w Irlandii Północnej. |
| --- | --- |

(48)

Policja Irlandii Północnej (The Police Service of Northern Ireland, PSNI) nie jest prawnie zobowiązana do przestrzegania kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi. Ramy dotyczące zarządzania informacjami policyjnymi przyjęte w 2011 r. uzupełniono jednak w podręczniku PSNI (84), w którym określono zasady i procedury dotyczące sposobu stosowania kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi w Irlandii Północnej.

84

| (49) | W Szkocji siły policyjne opierają się na obowiązującej procedurze działania dotyczącej zatrzymywania rejestrów (85), która służy wsparciu polityki zarządzania rejestrami Policji Szkocji (The Police Service of Scotland) (86). W tej obowiązującej procedurze działania określono szczegółowe zasady zatrzymywania rejestrów będących w posiadaniu Policji Szkocji. |
| --- | --- |

(49)

W Szkocji siły policyjne opierają się na obowiązującej procedurze działania dotyczącej zatrzymywania rejestrów (85), która służy wsparciu polityki zarządzania rejestrami Policji Szkocji (The Police Service of Scotland) (86). W tej obowiązującej procedurze działania określono szczegółowe zasady zatrzymywania rejestrów będących w posiadaniu Policji Szkocji.

85

86

| (50) | Oprócz nadrzędnego wymogu przeglądu rejestrów, który ma zastosowanie w całym Zjednoczonym Królestwie, więcej szczegółowych informacji zawarto w przepisach lokalnych. Aby podać kilka przykładów, w odniesieniu do Anglii i Walii, ustawa w sprawie policji i dowodów w sprawach karnych, zmieniona ustawą o ochronie wolności z 2012 r. (Protection of Freedom Act), zawiera przepisy dotyczące zatrzymywania odcisków palców i profili DNA, jak również szczegółowe uregulowania dotyczące osób, które nie zostały skazane (87). Na podstawie ustawy o ochronie wolności utworzono również stanowisko Komisarza ds. zatrzymywania i wykorzystywania materiału biometrycznego (Commissioner for the Retention and Use of Biometric Material, „Komisarz ds. Biometrii”) (88). Przepisy szczegółowe dotyczące wizerunków osób zatrzymanych określono w przeglądzie dotyczącym wizerunków osób zatrzymanych [Custody Image Review] z 2017 r. (89) Jeżeli chodzi o Szkocję, w ustawie o postępowaniu karnym (Szkocja) z 1995 r. określono zasady dotyczące pozyskiwania i zatrzymywania odcisków palców i próbek biologicznych (90). Podobnie jak w przypadku Anglii i Walii, w ustawodawstwie uregulowano zatrzymywanie danych biometrycznych w różnych przypadkach (91). |
| --- | --- |

(50)

Oprócz nadrzędnego wymogu przeglądu rejestrów, który ma zastosowanie w całym Zjednoczonym Królestwie, więcej szczegółowych informacji zawarto w przepisach lokalnych. Aby podać kilka przykładów, w odniesieniu do Anglii i Walii, ustawa w sprawie policji i dowodów w sprawach karnych, zmieniona ustawą o ochronie wolności z 2012 r. (Protection of Freedom Act), zawiera przepisy dotyczące zatrzymywania odcisków palców i profili DNA, jak również szczegółowe uregulowania dotyczące osób, które nie zostały skazane (87). Na podstawie ustawy o ochronie wolności utworzono również stanowisko Komisarza ds. zatrzymywania i wykorzystywania materiału biometrycznego (Commissioner for the Retention and Use of Biometric Material, „Komisarz ds. Biometrii”) (88). Przepisy szczegółowe dotyczące wizerunków osób zatrzymanych określono w przeglądzie dotyczącym wizerunków osób zatrzymanych [Custody Image Review] z 2017 r. (89) Jeżeli chodzi o Szkocję, w ustawie o postępowaniu karnym (Szkocja) z 1995 r. określono zasady dotyczące pozyskiwania i zatrzymywania odcisków palców i próbek biologicznych (90). Podobnie jak w przypadku Anglii i Walii, w ustawodawstwie uregulowano zatrzymywanie danych biometrycznych w różnych przypadkach (91).

87

88

89

90

91

2.4.5.   Bezpieczeństwo danych

Bezpieczeństwo danych

| (51) | Dane osobowe muszą być przetwarzane w sposób zapewniający im bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu organy publiczne powinny wdrożyć odpowiednie środki techniczne lub organizacyjne, aby chronić dane osobowe przed ewentualnymi zagrożeniami. Środki te należy ocenić, biorąc pod uwagę stan wiedzy technicznej oraz koszty ich wdrożenia. |
| --- | --- |

(51)

Dane osobowe muszą być przetwarzane w sposób zapewniający im bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu organy publiczne powinny wdrożyć odpowiednie środki techniczne lub organizacyjne, aby chronić dane osobowe przed ewentualnymi zagrożeniami. Środki te należy ocenić, biorąc pod uwagę stan wiedzy technicznej oraz koszty ich wdrożenia.

| (52) | Zasady te znajdują odzwierciedlenie w art. 40 DPA 2018, zgodnie z którym, podobnie jak określono w art. 4 ust. 1 lit. f) dyrektywy (UE) 2016/680, dane osobowe przetwarzane w którymkolwiek z celów związanych ze ściganiem przestępstw muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, za pomocą odpowiednich środków technicznych lub organizacyjnych. Obejmuje to ochronę danych przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem (92). W art. 66 DPA 2018 określono ponadto, że każdy administrator i każdy podmiot przetwarzający musi wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa odpowiedni do ryzyka wynikającego z przetwarzania danych osobowych. Zgodnie z notami wyjaśniającymi administrator musi ocenić ryzyko i na podstawie tej oceny wdrożyć odpowiednie środki bezpieczeństwa, na przykład szyfrowanie lub określone poziomy poświadczenia bezpieczeństwa dla personelu przetwarzającego dane (93). W ocenie należy również uwzględnić np. charakter przetwarzanych danych oraz wszelkie inne istotne czynniki lub okoliczności, które mogą mieć wpływ na bezpieczeństwo przetwarzania. |
| --- | --- |

(52)

Zasady te znajdują odzwierciedlenie w art. 40 DPA 2018, zgodnie z którym, podobnie jak określono w art. 4 ust. 1 lit. f) dyrektywy (UE) 2016/680, dane osobowe przetwarzane w którymkolwiek z celów związanych ze ściganiem przestępstw muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, za pomocą odpowiednich środków technicznych lub organizacyjnych. Obejmuje to ochronę danych przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem (92). W art. 66 DPA 2018 określono ponadto, że każdy administrator i każdy podmiot przetwarzający musi wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa odpowiedni do ryzyka wynikającego z przetwarzania danych osobowych. Zgodnie z notami wyjaśniającymi administrator musi ocenić ryzyko i na podstawie tej oceny wdrożyć odpowiednie środki bezpieczeństwa, na przykład szyfrowanie lub określone poziomy poświadczenia bezpieczeństwa dla personelu przetwarzającego dane (93). W ocenie należy również uwzględnić np. charakter przetwarzanych danych oraz wszelkie inne istotne czynniki lub okoliczności, które mogą mieć wpływ na bezpieczeństwo przetwarzania.

92

93

| (53) | Przepisy regulujące zgodność z zasadami bezpieczeństwa danych są bardzo podobne do uregulowań zawartych w art. 29–31 dyrektywy (UE) 2016/680. W szczególności w przypadku naruszenia ochrony danych osobowych w odniesieniu do danych osobowych, za które odpowiada administrator, zgodnie z art. 67 ust. 1 DPA 2018 administrator musi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od powzięcia wiadomości o naruszeniu, zgłosić naruszenie ochrony danych osobowych Komisarzowi ds. Informacji (94). Obowiązek zgłoszenia nie ma zastosowania, gdy jest mało prawdopodobne, że naruszenie ochrony danych osobowych spowoduje ryzyko naruszenia praw i wolności osób fizycznych (95). Administrator musi udokumentować fakty związane z każdym naruszeniem ochrony danych osobowych, jego skutki i podjęte działania naprawcze w sposób umożliwiający Komisarzowi ds. Informacji sprawdzenie zgodności z DPA (96). Jeżeli podmiot przetwarzający dane stwierdzi naruszenie bezpieczeństwa, musi on bez zbędnej zwłoki zgłosić je administratorowi (97). |
| --- | --- |

(53)

Przepisy regulujące zgodność z zasadami bezpieczeństwa danych są bardzo podobne do uregulowań zawartych w art. 29–31 dyrektywy (UE) 2016/680. W szczególności w przypadku naruszenia ochrony danych osobowych w odniesieniu do danych osobowych, za które odpowiada administrator, zgodnie z art. 67 ust. 1 DPA 2018 administrator musi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od powzięcia wiadomości o naruszeniu, zgłosić naruszenie ochrony danych osobowych Komisarzowi ds. Informacji (94). Obowiązek zgłoszenia nie ma zastosowania, gdy jest mało prawdopodobne, że naruszenie ochrony danych osobowych spowoduje ryzyko naruszenia praw i wolności osób fizycznych (95). Administrator musi udokumentować fakty związane z każdym naruszeniem ochrony danych osobowych, jego skutki i podjęte działania naprawcze w sposób umożliwiający Komisarzowi ds. Informacji sprawdzenie zgodności z DPA (96). Jeżeli podmiot przetwarzający dane stwierdzi naruszenie bezpieczeństwa, musi on bez zbędnej zwłoki zgłosić je administratorowi (97).

94

95

96

97

| (54) | Zgodnie z art. 68 ust. 1 DPA 2018, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu (98). Zawiadomienie musi zawierać te same informacje co zawiadomienie skierowane do Komisarza ds. Informacji opisane w motywie 53. Obowiązek ten nie ma zastosowania, jeżeli administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony, które zastosowano do danych osobowych, których dotyczyło naruszenie. Nie ma on również zastosowania, jeżeli administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw i wolności osób, których dane dotyczą. Ponadto administrator nie jest zobowiązany do zawiadomienia osoby, której dane dotyczą, jeżeli wymagałoby to niewspółmiernie dużego wysiłku (99). W takim przypadku osobę, której dane dotyczą, należy poinformować w inny równie skuteczny sposób, np. poprzez publiczny komunikat (100). Jeżeli administrator nie poinformował osoby, której dane dotyczą, o naruszeniu, Komisarz ds. Informacji, po otrzymaniu zawiadomienia zgodnie z art. 67 DPA i po rozważeniu prawdopodobieństwa, że naruszenie spowoduje wysokie ryzyko, może zobowiązać administratora do zawiadomienia osoby, której dane dotyczą, o naruszeniu (101). |
| --- | --- |

(54)

Zgodnie z art. 68 ust. 1 DPA 2018, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu (98). Zawiadomienie musi zawierać te same informacje co zawiadomienie skierowane do Komisarza ds. Informacji opisane w motywie 53. Obowiązek ten nie ma zastosowania, jeżeli administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony, które zastosowano do danych osobowych, których dotyczyło naruszenie. Nie ma on również zastosowania, jeżeli administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw i wolności osób, których dane dotyczą. Ponadto administrator nie jest zobowiązany do zawiadomienia osoby, której dane dotyczą, jeżeli wymagałoby to niewspółmiernie dużego wysiłku (99). W takim przypadku osobę, której dane dotyczą, należy poinformować w inny równie skuteczny sposób, np. poprzez publiczny komunikat (100). Jeżeli administrator nie poinformował osoby, której dane dotyczą, o naruszeniu, Komisarz ds. Informacji, po otrzymaniu zawiadomienia zgodnie z art. 67 DPA i po rozważeniu prawdopodobieństwa, że naruszenie spowoduje wysokie ryzyko, może zobowiązać administratora do zawiadomienia osoby, której dane dotyczą, o naruszeniu (101).

98

99

100

101

2.4.6.   Przejrzystość

Przejrzystość

| (55) | Osoby, których dane dotyczą, muszą być informowane o głównych cechach przetwarzania ich danych osobowych. Ta zasada ochrony danych znajduje odzwierciedlenie w art. 44 DPA 2018, który podobnie jak art. 13 dyrektywy (UE) 2016/680 stanowi, że administrator ma ogólny obowiązek udostępniania osobom, których dane dotyczą, informacji o przetwarzaniu ich danych osobowych (poprzez ogólne udostępnienie informacji do wiadomości publicznej lub w dowolny inny sposób) (102). Informacje, których udostępnienie jest wymagane, obejmują a) tożsamość i dane kontaktowe administratora; b) dane kontaktowe inspektora ochrony danych, w razie potrzeby; c) cele, do których administrator przetwarza dane osobowe; d) informacje o prawie osoby, której dane dotyczą, do żądania od administratora dostępu do danych osobowych, sprostowania lub usunięcia danych osobowych, a także ograniczenia ich przetwarzania; oraz e) informacje o prawie do wniesienia skargi do Komisarza ds. Informacji oraz dane kontaktowe Komisarza (103). |
| --- | --- |

(55)

Osoby, których dane dotyczą, muszą być informowane o głównych cechach przetwarzania ich danych osobowych. Ta zasada ochrony danych znajduje odzwierciedlenie w art. 44 DPA 2018, który podobnie jak art. 13 dyrektywy (UE) 2016/680 stanowi, że administrator ma ogólny obowiązek udostępniania osobom, których dane dotyczą, informacji o przetwarzaniu ich danych osobowych (poprzez ogólne udostępnienie informacji do wiadomości publicznej lub w dowolny inny sposób) (102). Informacje, których udostępnienie jest wymagane, obejmują a) tożsamość i dane kontaktowe administratora; b) dane kontaktowe inspektora ochrony danych, w razie potrzeby; c) cele, do których administrator przetwarza dane osobowe; d) informacje o prawie osoby, której dane dotyczą, do żądania od administratora dostępu do danych osobowych, sprostowania lub usunięcia danych osobowych, a także ograniczenia ich przetwarzania; oraz e) informacje o prawie do wniesienia skargi do Komisarza ds. Informacji oraz dane kontaktowe Komisarza (103).

102

103

| (56) | W szczególnych przypadkach w celu umożliwienia osobie, której dane dotyczą, wykonania jej praw określonych w DPA 2018 (np. gdy przetwarzane dane osobowe zebrano bez wiedzy osoby, której dane dotyczą) administrator musi również udzielić osobie, której dane dotyczą, informacji o a) podstawie prawnej przetwarzania; b) informacji o okresie przechowywania danych osobowych lub, gdy nie jest to możliwe, kryteriach służących określeniu tego okresu; c) w stosownym przypadku informacji o kategoriach odbiorców danych osobowych (w tym odbiorców w państwach trzecich lub organizacjach międzynarodowych); d) takich dalszych informacji, jakie są niezbędne do umożliwienia osobie, której dane dotyczą, wykonania jej praw określonych w części 3 DPA 2018 (104). |
| --- | --- |

(56)

W szczególnych przypadkach w celu umożliwienia osobie, której dane dotyczą, wykonania jej praw określonych w DPA 2018 (np. gdy przetwarzane dane osobowe zebrano bez wiedzy osoby, której dane dotyczą) administrator musi również udzielić osobie, której dane dotyczą, informacji o a) podstawie prawnej przetwarzania; b) informacji o okresie przechowywania danych osobowych lub, gdy nie jest to możliwe, kryteriach służących określeniu tego okresu; c) w stosownym przypadku informacji o kategoriach odbiorców danych osobowych (w tym odbiorców w państwach trzecich lub organizacjach międzynarodowych); d) takich dalszych informacji, jakie są niezbędne do umożliwienia osobie, której dane dotyczą, wykonania jej praw określonych w części 3 DPA 2018 (104).

104

2.4.7.   Prawa indywidualne

Prawa indywidualne

| (57) | Osobom, których dane dotyczą, należy przyznać szereg możliwych do wyegzekwowania praw. W części 3 rozdział 3 DPA 2018 zapewniono osobom fizycznym prawa dostępu, sprostowania i usunięcia oraz ograniczenia (105), które są porównywalne z prawami przewidzianymi w rozdziale 3 dyrektywy (UE) 2016/680. |
| --- | --- |

(57)

Osobom, których dane dotyczą, należy przyznać szereg możliwych do wyegzekwowania praw. W części 3 rozdział 3 DPA 2018 zapewniono osobom fizycznym prawa dostępu, sprostowania i usunięcia oraz ograniczenia (105), które są porównywalne z prawami przewidzianymi w rozdziale 3 dyrektywy (UE) 2016/680.

105

| (58) | Prawo dostępu określono w art. 45 DPA 2018. Po pierwsze osoba fizyczna jest uprawniona do uzyskania od administratora potwierdzenia, czy jej dane osobowe są przetwarzane, czy nie (106). Po drugie, jeżeli dane osobowe są przetwarzane, osoba, której dane dotyczą, ma prawo dostępu do tych danych i otrzymania następujących informacji na temat przetwarzania: a) celów i podstaw prawnych przetwarzania; b) kategorii odnośnych danych; c) odbiorcy, któremu ujawniono dane; d) okresu przechowywania danych osobowych; e) prawa osoby, której dane dotyczą, do sprostowania i usunięcia danych osobowych; f) prawa do wniesienia skargi; oraz g) wszelkich informacji o pochodzeniu odnośnych danych osobowych (107). |
| --- | --- |

(58)

Prawo dostępu określono w art. 45 DPA 2018. Po pierwsze osoba fizyczna jest uprawniona do uzyskania od administratora potwierdzenia, czy jej dane osobowe są przetwarzane, czy nie (106). Po drugie, jeżeli dane osobowe są przetwarzane, osoba, której dane dotyczą, ma prawo dostępu do tych danych i otrzymania następujących informacji na temat przetwarzania: a) celów i podstaw prawnych przetwarzania; b) kategorii odnośnych danych; c) odbiorcy, któremu ujawniono dane; d) okresu przechowywania danych osobowych; e) prawa osoby, której dane dotyczą, do sprostowania i usunięcia danych osobowych; f) prawa do wniesienia skargi; oraz g) wszelkich informacji o pochodzeniu odnośnych danych osobowych (107).

106

107

| (59) | Zgodnie z art. 46 DPA 2018 osoba, której dane dotyczą, ma prawo zażądać od administratora sprostowania nieprawidłowych danych osobowych, które jej dotyczą. Administrator musi sprostować (lub, jeżeli dane są nieprawidłowe, ponieważ są niekompletne, uzupełnić) dane bez zbędnej zwłoki. Jeżeli dane osobowe muszą być przechowywane do celów dowodowych, administrator musi (zamiast sprostowania danych osobowych) ograniczyć ich przetwarzanie (108). |
| --- | --- |

(59)

Zgodnie z art. 46 DPA 2018 osoba, której dane dotyczą, ma prawo zażądać od administratora sprostowania nieprawidłowych danych osobowych, które jej dotyczą. Administrator musi sprostować (lub, jeżeli dane są nieprawidłowe, ponieważ są niekompletne, uzupełnić) dane bez zbędnej zwłoki. Jeżeli dane osobowe muszą być przechowywane do celów dowodowych, administrator musi (zamiast sprostowania danych osobowych) ograniczyć ich przetwarzanie (108).

108

| (60) | W art. 47 DPA 2018 zapewniono osobom fizycznym prawo do usunięcia danych i ograniczenia przetwarzania. Administrator musi (109) usunąć dane osobowe bez zbędnej zwłoki, jeżeli przetwarzanie danych osobowych naruszałoby którąkolwiek z zasad ochrony danych, podstawy prawne przetwarzania lub zabezpieczenia związane z archiwizacją i przetwarzaniem danych wrażliwych. Administrator musi również usunąć dane, jeżeli jest do tego prawnie zobowiązany. Jeżeli dane osobowe muszą być przechowywane do celów dowodowych, administrator musi (zamiast sprostowania danych osobowych) ograniczyć ich przetwarzanie (110). Administrator musi ograniczyć przetwarzanie danych osobowych, jeżeli osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, ale nie jest możliwe ustalenie, czy są one prawidłowe, czy nie (111). |
| --- | --- |

(60)

W art. 47 DPA 2018 zapewniono osobom fizycznym prawo do usunięcia danych i ograniczenia przetwarzania. Administrator musi (109) usunąć dane osobowe bez zbędnej zwłoki, jeżeli przetwarzanie danych osobowych naruszałoby którąkolwiek z zasad ochrony danych, podstawy prawne przetwarzania lub zabezpieczenia związane z archiwizacją i przetwarzaniem danych wrażliwych. Administrator musi również usunąć dane, jeżeli jest do tego prawnie zobowiązany. Jeżeli dane osobowe muszą być przechowywane do celów dowodowych, administrator musi (zamiast sprostowania danych osobowych) ograniczyć ich przetwarzanie (110). Administrator musi ograniczyć przetwarzanie danych osobowych, jeżeli osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, ale nie jest możliwe ustalenie, czy są one prawidłowe, czy nie (111).

109

110

111

| (61) | Jeżeli osoba, której dane dotyczą, zażąda sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania, administrator musi poinformować osobę, której dane dotyczą, na piśmie, czy uwzględniono wniosek, a jeżeli go odrzucono, poinformować osobę, której dane dotyczą, o przyczynach odmowy i dostępnych środkach zaskarżenia (prawie osoby, której dane dotyczą, do złożenia wniosku do Komisarza ds. Informacji o zbadanie, czy ograniczenie zastosowano zgodnie z prawem, prawie do wniesienia skargi do Komisarza ds. Informacji oraz prawie do wystąpienia do sądu o wydanie nakazu dostosowania się do przepisów) (112). |
| --- | --- |

(61)

Jeżeli osoba, której dane dotyczą, zażąda sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania, administrator musi poinformować osobę, której dane dotyczą, na piśmie, czy uwzględniono wniosek, a jeżeli go odrzucono, poinformować osobę, której dane dotyczą, o przyczynach odmowy i dostępnych środkach zaskarżenia (prawie osoby, której dane dotyczą, do złożenia wniosku do Komisarza ds. Informacji o zbadanie, czy ograniczenie zastosowano zgodnie z prawem, prawie do wniesienia skargi do Komisarza ds. Informacji oraz prawie do wystąpienia do sądu o wydanie nakazu dostosowania się do przepisów) (112).

112

| (62) | Jeżeli administrator danych dokonuje sprostowania danych osobowych otrzymanych od innego właściwego organu, powiadamia on ten drugi organ (113). W przypadku sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych, które ujawnił administrator, powiadamia on odbiorców, a odbiorcy podobnie dokonują sprostowania danych osobowych, usuwają je lub ograniczają ich przetwarzanie (w zakresie, w jakim zachowują za nie odpowiedzialność) (114). |
| --- | --- |

(62)

Jeżeli administrator danych dokonuje sprostowania danych osobowych otrzymanych od innego właściwego organu, powiadamia on ten drugi organ (113). W przypadku sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych, które ujawnił administrator, powiadamia on odbiorców, a odbiorcy podobnie dokonują sprostowania danych osobowych, usuwają je lub ograniczają ich przetwarzanie (w zakresie, w jakim zachowują za nie odpowiedzialność) (114).

113

114

| (63) | Ponadto osoba, której dane dotyczą, ma prawo być bez zbędnej zwłoki poinformowana przez administratora o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (115). |
| --- | --- |

(63)

Ponadto osoba, której dane dotyczą, ma prawo być bez zbędnej zwłoki poinformowana przez administratora o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (115).

115

| (64) | W związku z powyższymi prawami osoby, której dane dotyczą, podobnie jak przewidziano w art. 12 dyrektywy (UE) 2016/680, administrator ma obowiązek zapewnić, by wszelkie informacje kierowane do osoby, której dane dotyczą, były przekazywane jej w zwięzłej, zrozumiałej i łatwo dostępnej formie (116), a w miarę możliwości należy je przekazywać w takiej samej formie, w jakiej złożono wniosek (117). Administrator musi zastosować się do wniosku osoby, której dane dotyczą, bez zbędnej zwłoki, a w każdym razie co do zasady przed upływem jednego miesiąca od złożenia wniosku (118). Jeżeli administrator ma zasadne wątpliwości co do tożsamości osoby fizycznej, może on zażądać dodatkowych informacji i opóźnić rozpatrzenie wniosku do czasu ustalenia jej tożsamości. Administrator może zażądać zasadnej opłaty lub odmówić działania, jeżeli uzna żądanie za wyraźnie nieuzasadnione (119). Komisarz ds. Informacji wydał wytyczne dotyczące tego, kiedy wniosek uznaje się za wyraźnie nieuzasadniony lub wygórowany i kiedy można żądać opłaty (120). |
| --- | --- |

(64)

W związku z powyższymi prawami osoby, której dane dotyczą, podobnie jak przewidziano w art. 12 dyrektywy (UE) 2016/680, administrator ma obowiązek zapewnić, by wszelkie informacje kierowane do osoby, której dane dotyczą, były przekazywane jej w zwięzłej, zrozumiałej i łatwo dostępnej formie (116), a w miarę możliwości należy je przekazywać w takiej samej formie, w jakiej złożono wniosek (117). Administrator musi zastosować się do wniosku osoby, której dane dotyczą, bez zbędnej zwłoki, a w każdym razie co do zasady przed upływem jednego miesiąca od złożenia wniosku (118). Jeżeli administrator ma zasadne wątpliwości co do tożsamości osoby fizycznej, może on zażądać dodatkowych informacji i opóźnić rozpatrzenie wniosku do czasu ustalenia jej tożsamości. Administrator może zażądać zasadnej opłaty lub odmówić działania, jeżeli uzna żądanie za wyraźnie nieuzasadnione (119). Komisarz ds. Informacji wydał wytyczne dotyczące tego, kiedy wniosek uznaje się za wyraźnie nieuzasadniony lub wygórowany i kiedy można żądać opłaty (120).

116

117

118

119

120

| (65) | Ponadto, zgodnie z art. 53 ust. 4 DPA 2018, Sekretarz Stanu może w drodze rozporządzeń określić maksymalną wysokość opłaty. |
| --- | --- |

(65)

Ponadto, zgodnie z art. 53 ust. 4 DPA 2018, Sekretarz Stanu może w drodze rozporządzeń określić maksymalną wysokość opłaty.

2.4.7.1.   Ograniczenia praw osoby, której dane dotyczą, i obowiązki w zakresie przejrzystości

Ograniczenia praw osoby, której dane dotyczą, i obowiązki w zakresie przejrzystości

| (66) | Właściwy organ może, w określonych okolicznościach, ograniczyć niektóre prawa osoby, której dane dotyczą: prawo dostępu (121), prawo do bycia informowanym (122), prawo do wiedzy o naruszeniu ochrony danych osobowych (123) oraz prawo do informacji o powodzie odrzucenia wniosku o sprostowanie lub usunięcie (124). Podobnie jak określono w przepisach rozdziału III dyrektywy (UE) 2016/680, właściwy organ może zastosować ograniczenie wyłącznie wtedy, gdy jest ono – uwzględniając prawa podstawowe i prawnie uzasadnione interesy osoby, której dane dotyczą – niezbędne i proporcjonalne, aby: a) uniemożliwić utrudnianie czynności postępowania urzędowego lub sądowego, postępowania przygotowawczego lub procedury; b) uniemożliwić zakłócanie zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar; c) chronić bezpieczeństwo publiczne; d) chronić bezpieczeństwo narodowe; e) chronić prawa i wolności innych osób. |
| --- | --- |

(66)

Właściwy organ może, w określonych okolicznościach, ograniczyć niektóre prawa osoby, której dane dotyczą: prawo dostępu (121), prawo do bycia informowanym (122), prawo do wiedzy o naruszeniu ochrony danych osobowych (123) oraz prawo do informacji o powodzie odrzucenia wniosku o sprostowanie lub usunięcie (124). Podobnie jak określono w przepisach rozdziału III dyrektywy (UE) 2016/680, właściwy organ może zastosować ograniczenie wyłącznie wtedy, gdy jest ono – uwzględniając prawa podstawowe i prawnie uzasadnione interesy osoby, której dane dotyczą – niezbędne i proporcjonalne, aby: a) uniemożliwić utrudnianie czynności postępowania urzędowego lub sądowego, postępowania przygotowawczego lub procedury; b) uniemożliwić zakłócanie zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar; c) chronić bezpieczeństwo publiczne; d) chronić bezpieczeństwo narodowe; e) chronić prawa i wolności innych osób.

121

122

123

124

| (67) | Komisarz ds. Informacji wydał wytyczne dotyczące stosowania tych ograniczeń. Zgodnie z tymi wytycznymi administratorzy są obowiązani przeprowadzać analizę poszczególnych przypadków, aby równoważyć prawa osoby fizycznej ze szkodą, jaką mogłoby spowodować ujawnienie danych. W szczególności powinni oni uzasadniać wszelkie ograniczenia, jakie zastosowali jako niezbędne i proporcjonalne, przy czym mogą ograniczyć zakres praw osoby fizycznej wyłącznie wtedy, gdyby ich wykonanie naruszało powyższe cele (125). |
| --- | --- |

(67)

Komisarz ds. Informacji wydał wytyczne dotyczące stosowania tych ograniczeń. Zgodnie z tymi wytycznymi administratorzy są obowiązani przeprowadzać analizę poszczególnych przypadków, aby równoważyć prawa osoby fizycznej ze szkodą, jaką mogłoby spowodować ujawnienie danych. W szczególności powinni oni uzasadniać wszelkie ograniczenia, jakie zastosowali jako niezbędne i proporcjonalne, przy czym mogą ograniczyć zakres praw osoby fizycznej wyłącznie wtedy, gdyby ich wykonanie naruszało powyższe cele (125).

125

| (68) | Istnieje również szereg innych wytycznych wydanych przez właściwe organy, które zawierają szczegółowe informacje na temat wszystkich aspektów ustawodawstwa w dziedzinie ochrony danych, w tym na temat stosowania ograniczeń praw osób, których dane dotyczą (126). Na przykład, w odniesieniu do art. 45 ust. 4, w podręczniku dotyczącym ochrony danych opracowanym przez Krajową Radę Komendantów Policji stwierdzono: „[n]ależy zauważyć, że ograniczenia można stosować wyłącznie w takim zakresie, w jakim jest to konieczne, i można je stosować wyłącznie tak długo, jak jest to niezbędne. W związku z tym nie jest dozwolone powszechne stosowanie ograniczenia do wszystkich danych osobowych wnioskodawcy ani stosowanie ograniczenia w sposób stały. W tej ostatniej kwestii często zdarza się, że dane osobowe zgromadzone bez wiedzy osoby, której dane dotyczą, będącej osobą podejrzaną w postępowaniu przygotowawczym, należy początkowo chronić przed ujawnieniem jej, aby nie zaszkodzić postępowaniu przygotowawczemu w trakcie jego trwania, ale ujawnienie ich w późniejszym czasie nie będzie wiązało się ze szkodą, gdyby te dane osobowe zostały ujawnione danej osobie podczas przesłuchania. Siły policyjne muszą przyjąć procedury zapewniające stosowanie wspomnianych ograniczeń wyłącznie w wymaganym zakresie i tylko przez niezbędny okres” (127). Przedmiotowe wytyczne zawierają również przykłady sytuacji, w których prawdopodobnie każde z ograniczeń znajdzie zastosowanie (128). |
| --- | --- |

(68)

Istnieje również szereg innych wytycznych wydanych przez właściwe organy, które zawierają szczegółowe informacje na temat wszystkich aspektów ustawodawstwa w dziedzinie ochrony danych, w tym na temat stosowania ograniczeń praw osób, których dane dotyczą (126). Na przykład, w odniesieniu do art. 45 ust. 4, w podręczniku dotyczącym ochrony danych opracowanym przez Krajową Radę Komendantów Policji stwierdzono: „[n]ależy zauważyć, że ograniczenia można stosować wyłącznie w takim zakresie, w jakim jest to konieczne, i można je stosować wyłącznie tak długo, jak jest to niezbędne. W związku z tym nie jest dozwolone powszechne stosowanie ograniczenia do wszystkich danych osobowych wnioskodawcy ani stosowanie ograniczenia w sposób stały. W tej ostatniej kwestii często zdarza się, że dane osobowe zgromadzone bez wiedzy osoby, której dane dotyczą, będącej osobą podejrzaną w postępowaniu przygotowawczym, należy początkowo chronić przed ujawnieniem jej, aby nie zaszkodzić postępowaniu przygotowawczemu w trakcie jego trwania, ale ujawnienie ich w późniejszym czasie nie będzie wiązało się ze szkodą, gdyby te dane osobowe zostały ujawnione danej osobie podczas przesłuchania. Siły policyjne muszą przyjąć procedury zapewniające stosowanie wspomnianych ograniczeń wyłącznie w wymaganym zakresie i tylko przez niezbędny okres” (127). Przedmiotowe wytyczne zawierają również przykłady sytuacji, w których prawdopodobnie każde z ograniczeń znajdzie zastosowanie (128).

126

127

128

| (69) | Ponadto jeżeli chodzi o możliwość ograniczenia któregokolwiek z wymienionych powyżej praw ze względu na ochronę „bezpieczeństwa narodowego”, administrator może wnieść o podpisanie przez ministra lub Prokuratora Generalnego (lub głównego prawnika ds. Szkocji) poświadczenia potwierdzającego, że ograniczenie takich praw jest niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (129). Rząd Zjednoczonego Królestwa opublikował wytyczne dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, w których podkreślono w szczególności, że wszelkie ograniczenia praw osób, których dane dotyczą, służące ochronie bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (130) (aby uzyskać więcej szczegółowych informacji na temat poświadczeń bezpieczeństwa narodowego, zob. motywy 131–134). |
| --- | --- |

(69)

Ponadto jeżeli chodzi o możliwość ograniczenia któregokolwiek z wymienionych powyżej praw ze względu na ochronę „bezpieczeństwa narodowego”, administrator może wnieść o podpisanie przez ministra lub Prokuratora Generalnego (lub głównego prawnika ds. Szkocji) poświadczenia potwierdzającego, że ograniczenie takich praw jest niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (129). Rząd Zjednoczonego Królestwa opublikował wytyczne dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, w których podkreślono w szczególności, że wszelkie ograniczenia praw osób, których dane dotyczą, służące ochronie bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (130) (aby uzyskać więcej szczegółowych informacji na temat poświadczeń bezpieczeństwa narodowego, zob. motywy 131–134).

129

130

| (70) | Ponadto, w przypadku gdy ograniczenie prawa osoby, której dane dotyczą, ma zastosowanie, właściwy organ musi bez zbędnej zwłoki poinformować osobę, której dane dotyczą, o ograniczeniu jej praw, o przyczynach tego ograniczenia oraz o dostępnych środkach zaskarżenia, chyba że udzielenie tych informacji uniemożliwiałoby osiągnięcie celu, dla którego zastosowano ograniczenie (131). W ramach dodatkowego zabezpieczenia przed niewłaściwym wykorzystywaniem ograniczeń administrator musi odnotowywać powody ograniczenia informacji i udostępniać ich rejestr na żądanie Komisarza ds. Informacji (132). |
| --- | --- |

(70)

Ponadto, w przypadku gdy ograniczenie prawa osoby, której dane dotyczą, ma zastosowanie, właściwy organ musi bez zbędnej zwłoki poinformować osobę, której dane dotyczą, o ograniczeniu jej praw, o przyczynach tego ograniczenia oraz o dostępnych środkach zaskarżenia, chyba że udzielenie tych informacji uniemożliwiałoby osiągnięcie celu, dla którego zastosowano ograniczenie (131). W ramach dodatkowego zabezpieczenia przed niewłaściwym wykorzystywaniem ograniczeń administrator musi odnotowywać powody ograniczenia informacji i udostępniać ich rejestr na żądanie Komisarza ds. Informacji (132).

131

132

| (71) | Jeżeli administrator odmówi przekazania dodatkowych informacji zapewniających przejrzystość, udzielenia dostępu lub odrzuci wniosek o sprostowanie, usunięcie lub ograniczenie przetwarzania, osoba fizyczna może zwrócić się do Komisarza ds. Informacji o zbadanie, czy administrator zastosował ograniczenie zgodnie z prawem (133). Zainteresowana osoba może również złożyć skargę do Komisarza ds. Informacji lub wystąpić do sądu o wydanie nakazu zastosowania się przez administratora do wniosku (134). |
| --- | --- |

(71)

Jeżeli administrator odmówi przekazania dodatkowych informacji zapewniających przejrzystość, udzielenia dostępu lub odrzuci wniosek o sprostowanie, usunięcie lub ograniczenie przetwarzania, osoba fizyczna może zwrócić się do Komisarza ds. Informacji o zbadanie, czy administrator zastosował ograniczenie zgodnie z prawem (133). Zainteresowana osoba może również złożyć skargę do Komisarza ds. Informacji lub wystąpić do sądu o wydanie nakazu zastosowania się przez administratora do wniosku (134).

133

134

2.4.7.2.   Zautomatyzowane podejmowanie decyzji

Zautomatyzowane podejmowanie decyzji

| (72) | Zakres art. 49 i 50 DPA 2018 obejmuje odpowiednio prawa związane ze zautomatyzowanym podejmowaniem decyzji i zabezpieczenia, które należy stosować (135). Podobnie jak określono w art. 11 dyrektywy (UE) 2016/680, administrator może podjąć istotną decyzję opartą wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych wyłącznie wówczas, gdy jest to wymagane lub dozwolone przez prawo (136). Decyzja jest istotna, jeżeli miałaby niekorzystne skutki prawne dla osoby, której dane dotyczą, lub poważny wpływ na tę osobę (137). |
| --- | --- |

(72)

Zakres art. 49 i 50 DPA 2018 obejmuje odpowiednio prawa związane ze zautomatyzowanym podejmowaniem decyzji i zabezpieczenia, które należy stosować (135). Podobnie jak określono w art. 11 dyrektywy (UE) 2016/680, administrator może podjąć istotną decyzję opartą wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych wyłącznie wówczas, gdy jest to wymagane lub dozwolone przez prawo (136). Decyzja jest istotna, jeżeli miałaby niekorzystne skutki prawne dla osoby, której dane dotyczą, lub poważny wpływ na tę osobę (137).

135

136

137

| (73) | Jeżeli administrator jest prawnie zobowiązany lub upoważniony do podjęcia istotnej decyzji, w art. 50 DPA 2018 ustanowiono zabezpieczenia, które będą miały zastosowanie do takiej decyzji (którą określono mianem „kwalifikującej się istotnej decyzji”). Administrator musi, w możliwie najkrótszym czasie, powiadomić osobę, której dane dotyczą, o podjęciu takiej decyzji. Osoba, której dane dotyczą, może wówczas w terminie miesiąca zwrócić się do administratora o ponowne rozpatrzenie decyzji lub podjęcie nowej decyzji, która nie będzie oparta wyłącznie na zautomatyzowanym przetwarzaniu. Administrator musi rozpatrzyć wniosek i poinformować osobę, której dane dotyczą, o wyniku tego rozpatrzenia. DPA 2018 uprawnia Sekretarza Stanu do przyjęcia rozporządzeń dotyczących dodatkowych zabezpieczeń (138). Dotychczas nie przyjęto takich rozporządzeń. |
| --- | --- |

(73)

Jeżeli administrator jest prawnie zobowiązany lub upoważniony do podjęcia istotnej decyzji, w art. 50 DPA 2018 ustanowiono zabezpieczenia, które będą miały zastosowanie do takiej decyzji (którą określono mianem „kwalifikującej się istotnej decyzji”). Administrator musi, w możliwie najkrótszym czasie, powiadomić osobę, której dane dotyczą, o podjęciu takiej decyzji. Osoba, której dane dotyczą, może wówczas w terminie miesiąca zwrócić się do administratora o ponowne rozpatrzenie decyzji lub podjęcie nowej decyzji, która nie będzie oparta wyłącznie na zautomatyzowanym przetwarzaniu. Administrator musi rozpatrzyć wniosek i poinformować osobę, której dane dotyczą, o wyniku tego rozpatrzenia. DPA 2018 uprawnia Sekretarza Stanu do przyjęcia rozporządzeń dotyczących dodatkowych zabezpieczeń (138). Dotychczas nie przyjęto takich rozporządzeń.

138

2.4.8.   Dalsze przekazywanie danych

Dalsze przekazywanie danych

| (74) | Stopień ochrony zapewnianej danym osobowym przekazywanym z organu ścigania państwa członkowskiego do organu ścigania Zjednoczonego Królestwa nie może zostać obniżony wskutek dalszego przekazywania takich danych odbiorcom z państw trzecich. Takie „dalsze przekazywanie danych”, które z perspektywy organu ścigania Zjednoczonego Królestwa stanowi międzynarodowe przekazywanie danych ze Zjednoczonego Królestwa, powinno być dozwolone wyłącznie wówczas, gdy kolejny odbiorca spoza Zjednoczonego Królestwa sam podlega przepisom zapewniającym stopień ochrony zbliżony do poziomu gwarantowanego w porządku prawnym Zjednoczonego Królestwa. |
| --- | --- |

(74)

Stopień ochrony zapewnianej danym osobowym przekazywanym z organu ścigania państwa członkowskiego do organu ścigania Zjednoczonego Królestwa nie może zostać obniżony wskutek dalszego przekazywania takich danych odbiorcom z państw trzecich. Takie „dalsze przekazywanie danych”, które z perspektywy organu ścigania Zjednoczonego Królestwa stanowi międzynarodowe przekazywanie danych ze Zjednoczonego Królestwa, powinno być dozwolone wyłącznie wówczas, gdy kolejny odbiorca spoza Zjednoczonego Królestwa sam podlega przepisom zapewniającym stopień ochrony zbliżony do poziomu gwarantowanego w porządku prawnym Zjednoczonego Królestwa.

| (75) | System międzynarodowego przekazywania danych Zjednoczonego Królestwa został uregulowany w części 3 rozdział 5 DPA 2018 (139) i odzwierciedla podejście przyjęte w rozdziale V dyrektywy (UE) 2016/680. W szczególności, aby przekazać dane osobowe do państwa trzeciego, właściwy organ musi spełnić trzy warunki: a) przekazanie musi być niezbędne do celów ścigania przestępstw; b) przekazanie musi opierać się na: (i) rozporządzeniu stwierdzającym odpowiedni stopień ochrony w odniesieniu do państwa trzeciego, (ii) jeżeli nie opiera się na rozporządzeniu stwierdzającym odpowiedni stopień ochrony, na istnieniu odpowiednich zabezpieczeń, lub (iii) jeżeli nie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony ani odpowiednich zabezpieczeniach, musi opierać się na szczególnych okolicznościach; oraz c) odbiorcą przekazania musi być: (i) odpowiedni organ (tj. organ równoważny właściwemu organowi) państwa trzeciego; (ii) „odpowiednia organizacja międzynarodowa”, np. organ międzynarodowy pełniący funkcje odpowiadające dowolnemu celowi ścigania przestępstw; lub (iii) osoba inna niż odpowiedni organ, ale wyłącznie wówczas, gdy przekazanie jest absolutnie niezbędne do realizacji jednego z celów ścigania przestępstw; nie istnieją takie podstawowe prawa i wolności osoby, której dane dotyczą, które byłyby nadrzędne wobec interesu publicznego przemawiającego za przekazaniem; przekazanie danych osobowych odpowiedniemu organowi w państwie trzecim byłoby nieskuteczne lub niewłaściwe; odbiorca zostaje poinformowany o celach, w których dane mogą być przetwarzane (140). |
| --- | --- |

(75)

System międzynarodowego przekazywania danych Zjednoczonego Królestwa został uregulowany w części 3 rozdział 5 DPA 2018 (139) i odzwierciedla podejście przyjęte w rozdziale V dyrektywy (UE) 2016/680. W szczególności, aby przekazać dane osobowe do państwa trzeciego, właściwy organ musi spełnić trzy warunki: a) przekazanie musi być niezbędne do celów ścigania przestępstw; b) przekazanie musi opierać się na: (i) rozporządzeniu stwierdzającym odpowiedni stopień ochrony w odniesieniu do państwa trzeciego, (ii) jeżeli nie opiera się na rozporządzeniu stwierdzającym odpowiedni stopień ochrony, na istnieniu odpowiednich zabezpieczeń, lub (iii) jeżeli nie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony ani odpowiednich zabezpieczeniach, musi opierać się na szczególnych okolicznościach; oraz c) odbiorcą przekazania musi być: (i) odpowiedni organ (tj. organ równoważny właściwemu organowi) państwa trzeciego; (ii) „odpowiednia organizacja międzynarodowa”, np. organ międzynarodowy pełniący funkcje odpowiadające dowolnemu celowi ścigania przestępstw; lub (iii) osoba inna niż odpowiedni organ, ale wyłącznie wówczas, gdy przekazanie jest absolutnie niezbędne do realizacji jednego z celów ścigania przestępstw; nie istnieją takie podstawowe prawa i wolności osoby, której dane dotyczą, które byłyby nadrzędne wobec interesu publicznego przemawiającego za przekazaniem; przekazanie danych osobowych odpowiedniemu organowi w państwie trzecim byłoby nieskuteczne lub niewłaściwe; odbiorca zostaje poinformowany o celach, w których dane mogą być przetwarzane (140).

139

140

| (76) | Rozporządzenia stwierdzające odpowiedni stopień ochrony w odniesieniu do państwa trzeciego, terytorium lub sektora w państwie trzecim, organizacji międzynarodowej lub opisu (141) takiego państwa, terytorium, sektora lub takiej organizacji przyjmuje Sekretarz Stanu. Jeżeli chodzi o standard, który ma być zachowany, Sekretarz Stanu musi ocenić, czy takie terytorium/taki sektor/taka organizacja zapewnia odpowiedni stopień ochrony danych osobowych. W art. 74 A ust. 4 DPA 2018 określono, że w tym celu Sekretarz Stanu musi uwzględnić szereg elementów odzwierciedlających elementy wymienione w art. 36 dyrektywy (UE) 2016/680 (142). W tym względzie, od czasu zakończenia okresu przejściowego, część 3 DPA 2018 stanowi „ustawodawstwo krajowe wywodzące się z prawa Unii”, które, jak wyjaśniono, będzie podlegało wykładni przez sądy Zjednoczonego Królestwa zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości sprzed wystąpienia Zjednoczonego Królestwa z Unii i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego. Obejmuje to standard „zasadniczej odpowiedniości”, który w związku z tym będzie miał zastosowanie do ocen odpowiedniego stopnia ochrony przeprowadzanych przez władze Zjednoczonego Królestwa. |
| --- | --- |

(76)

Rozporządzenia stwierdzające odpowiedni stopień ochrony w odniesieniu do państwa trzeciego, terytorium lub sektora w państwie trzecim, organizacji międzynarodowej lub opisu (141) takiego państwa, terytorium, sektora lub takiej organizacji przyjmuje Sekretarz Stanu. Jeżeli chodzi o standard, który ma być zachowany, Sekretarz Stanu musi ocenić, czy takie terytorium/taki sektor/taka organizacja zapewnia odpowiedni stopień ochrony danych osobowych. W art. 74 A ust. 4 DPA 2018 określono, że w tym celu Sekretarz Stanu musi uwzględnić szereg elementów odzwierciedlających elementy wymienione w art. 36 dyrektywy (UE) 2016/680 (142). W tym względzie, od czasu zakończenia okresu przejściowego, część 3 DPA 2018 stanowi „ustawodawstwo krajowe wywodzące się z prawa Unii”, które, jak wyjaśniono, będzie podlegało wykładni przez sądy Zjednoczonego Królestwa zgodnie ze stosownym orzecznictwem Trybunału Sprawiedliwości sprzed wystąpienia Zjednoczonego Królestwa z Unii i ogólnymi zasadami prawa Unii obowiązującymi bezpośrednio przed zakończeniem okresu przejściowego. Obejmuje to standard „zasadniczej odpowiedniości”, który w związku z tym będzie miał zastosowanie do ocen odpowiedniego stopnia ochrony przeprowadzanych przez władze Zjednoczonego Królestwa.

141

142

| (77) | Co się tyczy procedury, rozporządzenia podlegają „ogólnym” wymogom proceduralnym określonym w art. 182 DPA 2018. W ramach wspomnianej procedury Sekretarz Stanu musi przeprowadzić konsultacje z Komisarzem ds. Informacji, gdy proponuje przyjęcie przyszłych rozporządzeń Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony (143). Po przyjęciu przez Sekretarza Stanu rozporządzenia te są przedkładane parlamentowi i podlegają procedurze „milczącej zgody (negative resolution)”, w ramach której obie izby parlamentu mogą poddać rozporządzenie kontroli i mają możliwość przyjęcia wniosku o jego unieważnienie w ciągu 40 dni (144). |
| --- | --- |

(77)

Co się tyczy procedury, rozporządzenia podlegają „ogólnym” wymogom proceduralnym określonym w art. 182 DPA 2018. W ramach wspomnianej procedury Sekretarz Stanu musi przeprowadzić konsultacje z Komisarzem ds. Informacji, gdy proponuje przyjęcie przyszłych rozporządzeń Zjednoczonego Królestwa stwierdzających odpowiedni stopień ochrony (143). Po przyjęciu przez Sekretarza Stanu rozporządzenia te są przedkładane parlamentowi i podlegają procedurze „milczącej zgody (negative resolution)”, w ramach której obie izby parlamentu mogą poddać rozporządzenie kontroli i mają możliwość przyjęcia wniosku o jego unieważnienie w ciągu 40 dni (144).

143

negative resolution

144

| (78) | Zgodnie z art. 74B ust. 1 DPA 2018 rozporządzenia stwierdzające odpowiedni stopień ochrony należy poddawać przeglądowi co najmniej raz na cztery lata, a Sekretarz Stanu musi na bieżąco monitorować zmiany zachodzące w państwach trzecich i organizacjach międzynarodowych, które mogłyby wpłynąć na decyzje w sprawie wprowadzenia rozporządzeń stwierdzających odpowiedni stopień ochrony lub w sprawie zmiany lub uchylenia takich przepisów. Jeżeli Sekretarz Stanu uzyska wiedzę, że określone państwo lub organizacja nie zapewnia już odpowiedniego stopnia ochrony danych osobowych, musi zmienić lub uchylić – w niezbędnym zakresie – rozporządzenie i rozpocząć konsultacje z danym państwem trzecim lub organizacją międzynarodową w celu rozwiązania kwestii braku odpowiedniego stopnia ochrony. |
| --- | --- |

(78)

Zgodnie z art. 74B ust. 1 DPA 2018 rozporządzenia stwierdzające odpowiedni stopień ochrony należy poddawać przeglądowi co najmniej raz na cztery lata, a Sekretarz Stanu musi na bieżąco monitorować zmiany zachodzące w państwach trzecich i organizacjach międzynarodowych, które mogłyby wpłynąć na decyzje w sprawie wprowadzenia rozporządzeń stwierdzających odpowiedni stopień ochrony lub w sprawie zmiany lub uchylenia takich przepisów. Jeżeli Sekretarz Stanu uzyska wiedzę, że określone państwo lub organizacja nie zapewnia już odpowiedniego stopnia ochrony danych osobowych, musi zmienić lub uchylić – w niezbędnym zakresie – rozporządzenie i rozpocząć konsultacje z danym państwem trzecim lub organizacją międzynarodową w celu rozwiązania kwestii braku odpowiedniego stopnia ochrony.

| (79) | Podobnie do tego, co przewidziano w art. 37 dyrektywy (UE) 2016/680, w przypadku braku rozporządzenia stwierdzającego odpowiedni stopień ochrony przekazanie danych osobowych w kontekście sektora organów ścigania przestępstw byłoby możliwe, gdyby istniały odpowiednie zabezpieczenia. Takie zabezpieczenia zapewnia się w drodze a) prawnie wiążącego aktu zawierającego odpowiednie zabezpieczenia służące ochronie danych osobowych; albo b) oceny przeprowadzonej przez administratora, który po ocenieniu wszystkich okoliczności związanych z przekazaniem stwierdził, że istnieją odpowiednie zabezpieczenia ochrony danych (145). Ponadto, w przypadku gdy przekazywanie odbywa się na podstawie odpowiednich zabezpieczeń, DPA 2018 przewiduje, że dodatkowo w stosunku do zwykłego nadzoru pełnionego przez Komisarza ds. Informacji właściwe organy muszą także przekazywać Komisarzowi ds. Informacji szczegółowe informacje na temat przekazywania (146). |
| --- | --- |

(79)

Podobnie do tego, co przewidziano w art. 37 dyrektywy (UE) 2016/680, w przypadku braku rozporządzenia stwierdzającego odpowiedni stopień ochrony przekazanie danych osobowych w kontekście sektora organów ścigania przestępstw byłoby możliwe, gdyby istniały odpowiednie zabezpieczenia. Takie zabezpieczenia zapewnia się w drodze a) prawnie wiążącego aktu zawierającego odpowiednie zabezpieczenia służące ochronie danych osobowych; albo b) oceny przeprowadzonej przez administratora, który po ocenieniu wszystkich okoliczności związanych z przekazaniem stwierdził, że istnieją odpowiednie zabezpieczenia ochrony danych (145). Ponadto, w przypadku gdy przekazywanie odbywa się na podstawie odpowiednich zabezpieczeń, DPA 2018 przewiduje, że dodatkowo w stosunku do zwykłego nadzoru pełnionego przez Komisarza ds. Informacji właściwe organy muszą także przekazywać Komisarzowi ds. Informacji szczegółowe informacje na temat przekazywania (146).

145

146

| (80) | Jeżeli przekazanie nie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony ani na odpowiednich zabezpieczeniach, może ono nastąpić wyłącznie w niektórych, określonych okolicznościach, zwanych „szczególnymi okolicznościami” (147). Dotyczy to sytuacji, w których przekazanie jest niezbędne: a) w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby; b) w celu zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą; c) dla zapobieżenia bezpośredniemu, poważnemu ryzyku naruszenia bezpieczeństwa publicznego państwa trzeciego; d) w indywidualnym przypadku do celów ścigania przestępstw; lub e) w indywidualnym przypadku do celów prawnych (np. w związku z postępowaniem sądowym lub w celu uzyskania porady prawnej) (148). Należy zauważyć, że lit. d) i e) nie mają zastosowania, jeżeli podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego przemawiającego za przekazaniem (149). Ten zbiór okoliczności odpowiada szczególnym sytuacjom i warunkom kwalifikującym się jako „wyjątki” na podstawie art. 38 dyrektywy (UE) 2016/680. |
| --- | --- |

(80)

Jeżeli przekazanie nie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony ani na odpowiednich zabezpieczeniach, może ono nastąpić wyłącznie w niektórych, określonych okolicznościach, zwanych „szczególnymi okolicznościami” (147). Dotyczy to sytuacji, w których przekazanie jest niezbędne: a) w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby; b) w celu zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą; c) dla zapobieżenia bezpośredniemu, poważnemu ryzyku naruszenia bezpieczeństwa publicznego państwa trzeciego; d) w indywidualnym przypadku do celów ścigania przestępstw; lub e) w indywidualnym przypadku do celów prawnych (np. w związku z postępowaniem sądowym lub w celu uzyskania porady prawnej) (148). Należy zauważyć, że lit. d) i e) nie mają zastosowania, jeżeli podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego przemawiającego za przekazaniem (149). Ten zbiór okoliczności odpowiada szczególnym sytuacjom i warunkom kwalifikującym się jako „wyjątki” na podstawie art. 38 dyrektywy (UE) 2016/680.

147

148

149

| (81) | W takich okolicznościach należy udokumentować datę i godzinę przekazania, uzasadnienie, nazwę i wszelkie inne stosowne informacje o odbiorcy oraz opis przekazanych danych osobowych, a dokumentację przekazać Komisarzowi ds. Informacji na jego żądanie (150). |
| --- | --- |

(81)

W takich okolicznościach należy udokumentować datę i godzinę przekazania, uzasadnienie, nazwę i wszelkie inne stosowne informacje o odbiorcy oraz opis przekazanych danych osobowych, a dokumentację przekazać Komisarzowi ds. Informacji na jego żądanie (150).

150

| (82) | Art. 78 DPA 2018 reguluje przypadki „kolejnych przekazań”, a mianowicie sytuacji, w których dane osobowe, które zostały przekazane ze Zjednoczonego Królestwa do państwa trzeciego, są następnie przekazywane do innego państwa trzeciego lub organizacji międzynarodowej. Zgodnie z art. 78 ust. 1 administrator ze Zjednoczonego Królestwa przekazujący dane musi uzależnić przekazanie danych od tego, że nie będą one dalej przekazywane do państwa trzeciego bez zgody administratora przekazującego dane. Ponadto zgodnie z art. 78 ust. 3 i podobnie do tego, co przewidziano w art. 35 ust. 1 lit. e) dyrektywy (UE) 2016/680, w przypadku gdy taka zgoda jest wymagana, zastosowanie ma szereg istotnych wymogów. W szczególności, podejmując decyzję o udzieleniu lub odmowie udzielenia zgody na przekazanie danych, właściwy organ musi upewnić się, że dalsze przekazanie jest niezbędne do celów ścigania przestępstw, i uwzględnić m.in. następujące czynniki a) powagę okoliczności, które doprowadziły do złożenia wniosku o udzielenie zgody, b) cel, w którym dane osobowe zostały pierwotnie przekazane oraz c) standardy ochrony danych osobowych obowiązujące w państwie trzecim lub organizacji międzynarodowej, do których dane osobowe miałyby zostać przekazane. |
| --- | --- |

(82)

Art. 78 DPA 2018 reguluje przypadki „kolejnych przekazań”, a mianowicie sytuacji, w których dane osobowe, które zostały przekazane ze Zjednoczonego Królestwa do państwa trzeciego, są następnie przekazywane do innego państwa trzeciego lub organizacji międzynarodowej. Zgodnie z art. 78 ust. 1 administrator ze Zjednoczonego Królestwa przekazujący dane musi uzależnić przekazanie danych od tego, że nie będą one dalej przekazywane do państwa trzeciego bez zgody administratora przekazującego dane. Ponadto zgodnie z art. 78 ust. 3 i podobnie do tego, co przewidziano w art. 35 ust. 1 lit. e) dyrektywy (UE) 2016/680, w przypadku gdy taka zgoda jest wymagana, zastosowanie ma szereg istotnych wymogów. W szczególności, podejmując decyzję o udzieleniu lub odmowie udzielenia zgody na przekazanie danych, właściwy organ musi upewnić się, że dalsze przekazanie jest niezbędne do celów ścigania przestępstw, i uwzględnić m.in. następujące czynniki a) powagę okoliczności, które doprowadziły do złożenia wniosku o udzielenie zgody, b) cel, w którym dane osobowe zostały pierwotnie przekazane oraz c) standardy ochrony danych osobowych obowiązujące w państwie trzecim lub organizacji międzynarodowej, do których dane osobowe miałyby zostać przekazane.

| (83) | Ponadto w przypadku gdy dane, które są poddawane dalszemu przekazaniu ze Zjednoczonego Królestwa, zostały pierwotnie przekazane z Unii Europejskiej, zastosowanie mają dodatkowe zabezpieczenia. |
| --- | --- |

(83)

Ponadto w przypadku gdy dane, które są poddawane dalszemu przekazaniu ze Zjednoczonego Królestwa, zostały pierwotnie przekazane z Unii Europejskiej, zastosowanie mają dodatkowe zabezpieczenia.

| (84) | Po pierwsze, art. 73 ust. 1 lit. b) DPA 2018 – podobnie jak art. 35 ust. 1 lit. c) dyrektywy (UE) 2016/680 – stanowi, że w przypadku gdy dane osobowe zostały pierwotnie przesłane lub w inny sposób udostępnione administratorowi lub innemu właściwemu organowi przez państwo członkowskie, to państwo członkowskie lub dowolna osoba z siedzibą w tym państwie członkowskim, która jest właściwym organem do celów dyrektywy (UE) 2016/680, musiała wyrazić zgodę na przekazanie zgodnie z prawem państwa członkowskiego. |
| --- | --- |

(84)

Po pierwsze, art. 73 ust. 1 lit. b) DPA 2018 – podobnie jak art. 35 ust. 1 lit. c) dyrektywy (UE) 2016/680 – stanowi, że w przypadku gdy dane osobowe zostały pierwotnie przesłane lub w inny sposób udostępnione administratorowi lub innemu właściwemu organowi przez państwo członkowskie, to państwo członkowskie lub dowolna osoba z siedzibą w tym państwie członkowskim, która jest właściwym organem do celów dyrektywy (UE) 2016/680, musiała wyrazić zgodę na przekazanie zgodnie z prawem państwa członkowskiego.

| (85) | Podobnie jednak jak określono w art. 35 ust. 2 dyrektywy (UE) 2016/680, zgoda taka nie jest wymagana, jeżeli a) odnośne przekazanie jest niezbędne do zapobieżenia bezpośredniemu, poważnemu zagrożeniu dla bezpieczeństwa publicznego w państwie członkowskim albo w państwie trzecim bądź dla ważnych interesów państwa członkowskiego i b) zgody nie da się uzyskać w odpowiednim terminie. W takim przypadku należy bezzwłocznie poinformować organ państwa członkowskiego, który byłby odpowiedzialny za podjęcie decyzji, czy wyrazić zgodę na przekazanie danych (151). |
| --- | --- |

(85)

Podobnie jednak jak określono w art. 35 ust. 2 dyrektywy (UE) 2016/680, zgoda taka nie jest wymagana, jeżeli a) odnośne przekazanie jest niezbędne do zapobieżenia bezpośredniemu, poważnemu zagrożeniu dla bezpieczeństwa publicznego w państwie członkowskim albo w państwie trzecim bądź dla ważnych interesów państwa członkowskiego i b) zgody nie da się uzyskać w odpowiednim terminie. W takim przypadku należy bezzwłocznie poinformować organ państwa członkowskiego, który byłby odpowiedzialny za podjęcie decyzji, czy wyrazić zgodę na przekazanie danych (151).

151

| (86) | Po drugie, to samo podejście ma zastosowanie w przypadku danych pierwotnie przekazanych z Unii Europejskiej do Zjednoczonego Królestwa, a następnie przekazanych przez Zjednoczone Królestwo państwu trzeciemu, które następnie przekazałoby je państwu trzeciemu. W takim przypadku zgodnie z art. 78 ust. 4, właściwy organ Zjednoczonego Królestwa nie może udzielić zgody na to ostatnie przekazanie zgodnie z art. 78 ust. 1, chyba że „państwo członkowskie [które pierwotnie przekazało przedmiotowe dane] lub dowolna osoba z siedzibą w tym państwie członkowskim, która jest właściwym organem do celów dyrektywy o ochronie danych w sprawach karnych, wyraziła zgodę na przekazanie danych zgodnie z prawem państwa członkowskiego”. Zabezpieczenia te są ważne, ponieważ umożliwiają organom państw członkowskich zapewnienie ciągłości ochrony, zgodnie z unijnymi przepisami o ochronie danych, w całym „łańcuchu przekazywania danych”. |
| --- | --- |

(86)

Po drugie, to samo podejście ma zastosowanie w przypadku danych pierwotnie przekazanych z Unii Europejskiej do Zjednoczonego Królestwa, a następnie przekazanych przez Zjednoczone Królestwo państwu trzeciemu, które następnie przekazałoby je państwu trzeciemu. W takim przypadku zgodnie z art. 78 ust. 4, właściwy organ Zjednoczonego Królestwa nie może udzielić zgody na to ostatnie przekazanie zgodnie z art. 78 ust. 1, chyba że „państwo członkowskie [które pierwotnie przekazało przedmiotowe dane] lub dowolna osoba z siedzibą w tym państwie członkowskim, która jest właściwym organem do celów dyrektywy o ochronie danych w sprawach karnych, wyraziła zgodę na przekazanie danych zgodnie z prawem państwa członkowskiego”. Zabezpieczenia te są ważne, ponieważ umożliwiają organom państw członkowskich zapewnienie ciągłości ochrony, zgodnie z unijnymi przepisami o ochronie danych, w całym „łańcuchu przekazywania danych”.

| (87) | Wspomniane nowe ramy dotyczące międzynarodowego przekazywania danych zaczęły obowiązywać po zakończeniu okresu przejściowego (152). Załącznik 21 pkt 10–12 (wprowadzone na mocy rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej) stanowią jednak, że od zakończenia okresu przejściowego określone przekazania danych osobowych będą traktowane tak, jakby opierały się na rozporządzeniach stwierdzających odpowiedni stopień ochrony. Przekazania te obejmują przekazania danych do państwa członkowskiego, państwa EFTA i państwa trzeciego objętego decyzją UE stwierdzającą odpowiedni stopień ochrony na koniec okresu przejściowego oraz do terytorium Gibraltaru. W związku z tym przekazywanie danych do tych państw może nadal odbywać się na takich samych zasadach jak przed wystąpieniem Zjednoczonego Królestwa z Unii. Po zakończeniu okresu przejściowego Sekretarz Stanu ma obowiązek przeprowadzić przegląd tych ustaleń dotyczących odpowiedniego stopnia ochrony w terminie czterech lat, tj. do końca grudnia 2024 r. Zgodnie z wyjaśnieniem przedstawionym przez władze Zjednoczonego Królestwa, mimo że Sekretarz Stanu ma obowiązek przeprowadzić taki przegląd do końca grudnia 2024 r., przepisy przejściowe nie obejmują przepisu dotyczącego „wygaśnięcia” i odpowiednie przepisy przejściowe nie przestaną automatycznie obowiązywać, jeżeli przegląd nie zostanie zakończony do końca grudnia 2024 r. |
| --- | --- |

(87)

Wspomniane nowe ramy dotyczące międzynarodowego przekazywania danych zaczęły obowiązywać po zakończeniu okresu przejściowego (152). Załącznik 21 pkt 10–12 (wprowadzone na mocy rozporządzenia w sprawie ochrony danych, prywatności i łączności elektronicznej) stanowią jednak, że od zakończenia okresu przejściowego określone przekazania danych osobowych będą traktowane tak, jakby opierały się na rozporządzeniach stwierdzających odpowiedni stopień ochrony. Przekazania te obejmują przekazania danych do państwa członkowskiego, państwa EFTA i państwa trzeciego objętego decyzją UE stwierdzającą odpowiedni stopień ochrony na koniec okresu przejściowego oraz do terytorium Gibraltaru. W związku z tym przekazywanie danych do tych państw może nadal odbywać się na takich samych zasadach jak przed wystąpieniem Zjednoczonego Królestwa z Unii. Po zakończeniu okresu przejściowego Sekretarz Stanu ma obowiązek przeprowadzić przegląd tych ustaleń dotyczących odpowiedniego stopnia ochrony w terminie czterech lat, tj. do końca grudnia 2024 r. Zgodnie z wyjaśnieniem przedstawionym przez władze Zjednoczonego Królestwa, mimo że Sekretarz Stanu ma obowiązek przeprowadzić taki przegląd do końca grudnia 2024 r., przepisy przejściowe nie obejmują przepisu dotyczącego „wygaśnięcia” i odpowiednie przepisy przejściowe nie przestaną automatycznie obowiązywać, jeżeli przegląd nie zostanie zakończony do końca grudnia 2024 r.

152

2.4.9.   Rozliczalność

Rozliczalność

| (88) | Zgodnie z zasadą rozliczalności organy publiczne przetwarzające dane są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby skutecznie przestrzegać swoich obowiązków w zakresie ochrony danych oraz być w stanie wykazać taką zgodność, zwłaszcza wobec właściwego organu nadzorczego. |
| --- | --- |

(88)

Zgodnie z zasadą rozliczalności organy publiczne przetwarzające dane są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby skutecznie przestrzegać swoich obowiązków w zakresie ochrony danych oraz być w stanie wykazać taką zgodność, zwłaszcza wobec właściwego organu nadzorczego.

| (89) | Zasada ta znajduje odzwierciedlenie w art. 56 DPA 2018, którym wprowadzono ogólny obowiązek rozliczalności administratora, tj. obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych osobowych odbywało się zgodnie z wymogami określonymi w części 3 DPA 2018 i aby administrator był w stanie to wykazać. Wdrożone środki muszą być w razie potrzeby poddawane przeglądom i uaktualniane, a jeżeli jest to proporcjonalne w stosunku do przetwarzania – obejmować odpowiednie polityki ochrony danych. |
| --- | --- |

(89)

Zasada ta znajduje odzwierciedlenie w art. 56 DPA 2018, którym wprowadzono ogólny obowiązek rozliczalności administratora, tj. obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych osobowych odbywało się zgodnie z wymogami określonymi w części 3 DPA 2018 i aby administrator był w stanie to wykazać. Wdrożone środki muszą być w razie potrzeby poddawane przeglądom i uaktualniane, a jeżeli jest to proporcjonalne w stosunku do przetwarzania – obejmować odpowiednie polityki ochrony danych.

| (90) | Zgodnie z rozdziałem IV dyrektywy (UE) 2016/680 w art. 55–71 DPA 2018 przewidziano różne mechanizmy mające zapewnić rozliczalność i umożliwić administratorom i podmiotom przetwarzającym wykazanie zgodności. W szczególności administratorzy są zobowiązani do wdrożenia środków ochrony danych w fazie projektowania i domyślnej ochrony danych, tj. do zapewnienia skutecznej realizacji zasad ochrony danych oraz prowadzenia wykazu wszystkich kategorii czynności przetwarzania, za które odpowiada administrator (w tym informacji na temat tożsamości administratora, danych kontaktowych inspektora ochrony danych, celów przetwarzania, kategorii odbiorców ujawnianych informacji oraz opisu kategorii osób, których dane dotyczą, oraz danych osobowych), a także do udostępniania tych wykazów Komisarzowi ds. Informacji na jego żądanie. Administrator i podmiot przetwarzający muszą również ewidencjonować określone operacje przetwarzania i udostępniać ewidencję Komisarzowi ds. Informacji (153). Administratorzy są również wyraźnie zobowiązani do współpracy z Komisarzem ds. Informacji przy wykonywaniu jego zadań. |
| --- | --- |

(90)

Zgodnie z rozdziałem IV dyrektywy (UE) 2016/680 w art. 55–71 DPA 2018 przewidziano różne mechanizmy mające zapewnić rozliczalność i umożliwić administratorom i podmiotom przetwarzającym wykazanie zgodności. W szczególności administratorzy są zobowiązani do wdrożenia środków ochrony danych w fazie projektowania i domyślnej ochrony danych, tj. do zapewnienia skutecznej realizacji zasad ochrony danych oraz prowadzenia wykazu wszystkich kategorii czynności przetwarzania, za które odpowiada administrator (w tym informacji na temat tożsamości administratora, danych kontaktowych inspektora ochrony danych, celów przetwarzania, kategorii odbiorców ujawnianych informacji oraz opisu kategorii osób, których dane dotyczą, oraz danych osobowych), a także do udostępniania tych wykazów Komisarzowi ds. Informacji na jego żądanie. Administrator i podmiot przetwarzający muszą również ewidencjonować określone operacje przetwarzania i udostępniać ewidencję Komisarzowi ds. Informacji (153). Administratorzy są również wyraźnie zobowiązani do współpracy z Komisarzem ds. Informacji przy wykonywaniu jego zadań.

153

| (91) | W DPA 2018 określono również dodatkowe wymogi dotyczące sytuacji, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Obejmują one obowiązek przeprowadzenia oceny skutków dla ochrony danych oraz konsultacji z Komisarzem ds. Informacji przed przetwarzaniem, jeżeli taka ocena wskaże, że przetwarzanie powodowałoby wysokie ryzyko dla praw i wolności osób fizycznych (w przypadku braku zastosowania środków w celu zminimalizowania tego ryzyka). |
| --- | --- |

(91)

W DPA 2018 określono również dodatkowe wymogi dotyczące sytuacji, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Obejmują one obowiązek przeprowadzenia oceny skutków dla ochrony danych oraz konsultacji z Komisarzem ds. Informacji przed przetwarzaniem, jeżeli taka ocena wskaże, że przetwarzanie powodowałoby wysokie ryzyko dla praw i wolności osób fizycznych (w przypadku braku zastosowania środków w celu zminimalizowania tego ryzyka).

| (92) | Administratorzy muszą ponadto wyznaczyć inspektora ochrony danych, chyba że administratorem jest sąd lub inny organ sądowy, działający w zakresie sprawowania wymiaru sprawiedliwości (154). Administrator musi zapewnić, aby inspektor ochrony danych był włączany we wszystkie sprawy dotyczące ochrony danych osobowych, posiadał niezbędne zasoby i dostęp do danych osobowych i operacji przetwarzania oraz mógł niezależnie wykonywać swoje zadania. Zadania inspektora ochrony danych określono w art. 71 DPA 2018 i obejmują one udzielanie informacji i porad, monitorowanie przestrzegania przepisów, a także współpracę z Komisarzem ds. Informacji i pełnienie funkcji punktu kontaktowego dla Komisarza ds. Informacji. Podczas wykonywania swoich zadań inspektor ochrony danych musi uwzględniać ryzyko związane z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania. |
| --- | --- |

(92)

Administratorzy muszą ponadto wyznaczyć inspektora ochrony danych, chyba że administratorem jest sąd lub inny organ sądowy, działający w zakresie sprawowania wymiaru sprawiedliwości (154). Administrator musi zapewnić, aby inspektor ochrony danych był włączany we wszystkie sprawy dotyczące ochrony danych osobowych, posiadał niezbędne zasoby i dostęp do danych osobowych i operacji przetwarzania oraz mógł niezależnie wykonywać swoje zadania. Zadania inspektora ochrony danych określono w art. 71 DPA 2018 i obejmują one udzielanie informacji i porad, monitorowanie przestrzegania przepisów, a także współpracę z Komisarzem ds. Informacji i pełnienie funkcji punktu kontaktowego dla Komisarza ds. Informacji. Podczas wykonywania swoich zadań inspektor ochrony danych musi uwzględniać ryzyko związane z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.

154

2.5.   Nadzór i egzekwowanie przepisów

Nadzór i egzekwowanie przepisów

2.5.1.   Niezależny nadzór

Niezależny nadzór

| (93) | Aby zagwarantować również w praktyce odpowiedni stopień ochrony danych, należy ustanowić niezależny organ nadzorczy, uprawniony do monitorowania i egzekwowania zgodności z przepisami o ochronie danych. W ramach wykonywanych obowiązków i realizowanych uprawnień organ ten musi być całkowicie niezależny i bezstronny. |
| --- | --- |

(93)

Aby zagwarantować również w praktyce odpowiedni stopień ochrony danych, należy ustanowić niezależny organ nadzorczy, uprawniony do monitorowania i egzekwowania zgodności z przepisami o ochronie danych. W ramach wykonywanych obowiązków i realizowanych uprawnień organ ten musi być całkowicie niezależny i bezstronny.

| (94) | W Zjednoczonym Królestwie za nadzór i egzekwowanie zgodności z przepisami RODO UK i DPA 2018 odpowiada Komisarz ds. Informacji (155). Komisarz ds. Informacji nadzoruje również przetwarzanie danych osobowych przez właściwe organy wchodzące w zakres części 3 DPA 2018 (156). Komisarz ds. Informacji jest „pojedynczą osobą prawną” – odrębnym podmiotem prawnym składającym się z jednej osoby. Komisarza ds. Informacji wspiera w pracy biuro. W dniu 31 marca 2020 r. Biuro Komisarza ds. Informacji zatrudniało 768 stałych pracowników (157). Departamentem finansującym Komisarza ds. Informacji jest Departament Cyfryzacji, Kultury, Mediów i Sportu (158). |
| --- | --- |

(94)

W Zjednoczonym Królestwie za nadzór i egzekwowanie zgodności z przepisami RODO UK i DPA 2018 odpowiada Komisarz ds. Informacji (155). Komisarz ds. Informacji nadzoruje również przetwarzanie danych osobowych przez właściwe organy wchodzące w zakres części 3 DPA 2018 (156). Komisarz ds. Informacji jest „pojedynczą osobą prawną” – odrębnym podmiotem prawnym składającym się z jednej osoby. Komisarza ds. Informacji wspiera w pracy biuro. W dniu 31 marca 2020 r. Biuro Komisarza ds. Informacji zatrudniało 768 stałych pracowników (157). Departamentem finansującym Komisarza ds. Informacji jest Departament Cyfryzacji, Kultury, Mediów i Sportu (158).

155

156

157

158

| (95) | Kwestię niezależności Komisarza wyraźnie uregulowano w art. 52 RODO UK, który odpowiada wymogom określonym w art. 52 ust. 1–3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (159). Komisarz musi działać z zachowaniem pełnej niezależności, wykonując swoje zadania i uprawnienia zgodnie z RODO UK, pozostawać wolny od bezpośrednich lub pośrednich wpływów zewnętrznych w odniesieniu do tych zadań i uprawnień oraz nie może zwracać się do nikogo o instrukcje ani ich od nikogo przyjmować. Komisarz musi również powstrzymać się od wszelkich czynności sprzecznych ze swoimi obowiązkami i w okresie sprawowania urzędu nie może podejmować żadnego zajęcia zarobkowego ani niezarobkowego sprzecznego z tymi obowiązkami. |
| --- | --- |

(95)

Kwestię niezależności Komisarza wyraźnie uregulowano w art. 52 RODO UK, który odpowiada wymogom określonym w art. 52 ust. 1–3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (159). Komisarz musi działać z zachowaniem pełnej niezależności, wykonując swoje zadania i uprawnienia zgodnie z RODO UK, pozostawać wolny od bezpośrednich lub pośrednich wpływów zewnętrznych w odniesieniu do tych zadań i uprawnień oraz nie może zwracać się do nikogo o instrukcje ani ich od nikogo przyjmować. Komisarz musi również powstrzymać się od wszelkich czynności sprzecznych ze swoimi obowiązkami i w okresie sprawowania urzędu nie może podejmować żadnego zajęcia zarobkowego ani niezarobkowego sprzecznego z tymi obowiązkami.

159

| (96) | Warunki powoływania i odwoływania Komisarza ds. Informacji określono w załączniku 12 do DPA 2018. Komisarz ds. Informacji jest powoływany przez Królową na wniosek rządu w wyniku uczciwego i otwartego konkursu. Kandydat musi posiadać odpowiednie kwalifikacje, umiejętności i kompetencje. Zgodnie z kodeksem zarządzania w zakresie nominacji publicznych (160) zespół doradczy ds. oceny sporządza wykaz ewentualnych kandydatów. Zanim Sekretarz Stanu w Departamencie Cyfryzacji, Kultury, Mediów i Sportu podejmie ostateczną decyzję, właściwa komisja specjalna parlamentu musi przeprowadzić kontrolę poprzedzającą nominację. Stanowisko komisji podaje się do wiadomości publicznej (161). |
| --- | --- |

(96)

Warunki powoływania i odwoływania Komisarza ds. Informacji określono w załączniku 12 do DPA 2018. Komisarz ds. Informacji jest powoływany przez Królową na wniosek rządu w wyniku uczciwego i otwartego konkursu. Kandydat musi posiadać odpowiednie kwalifikacje, umiejętności i kompetencje. Zgodnie z kodeksem zarządzania w zakresie nominacji publicznych (160) zespół doradczy ds. oceny sporządza wykaz ewentualnych kandydatów. Zanim Sekretarz Stanu w Departamencie Cyfryzacji, Kultury, Mediów i Sportu podejmie ostateczną decyzję, właściwa komisja specjalna parlamentu musi przeprowadzić kontrolę poprzedzającą nominację. Stanowisko komisji podaje się do wiadomości publicznej (161).

160

161

| (97) | Kadencja Komisarza ds. Informacji trwa maksymalnie siedem lat. Jej Królewska Mość może odwołać Komisarza ds. Informacji ze stanowiska na podstawie oświadczenia obu izb parlamentu (162). Wniosek o odwołanie Komisarza ds. Informacji może zostać przedstawiony jednej z izb parlamentu jedynie w wypadku, gdy minister przedstawi tej izbie sprawozdanie, w którym wyrazi przekonanie, że Komisarz ds. Informacji jest winny poważnego uchybienia lub nie spełnia już warunków wymaganych do sprawowania funkcji Komisarza (163). |
| --- | --- |

(97)

Kadencja Komisarza ds. Informacji trwa maksymalnie siedem lat. Jej Królewska Mość może odwołać Komisarza ds. Informacji ze stanowiska na podstawie oświadczenia obu izb parlamentu (162). Wniosek o odwołanie Komisarza ds. Informacji może zostać przedstawiony jednej z izb parlamentu jedynie w wypadku, gdy minister przedstawi tej izbie sprawozdanie, w którym wyrazi przekonanie, że Komisarz ds. Informacji jest winny poważnego uchybienia lub nie spełnia już warunków wymaganych do sprawowania funkcji Komisarza (163).

162

163

| (98) | Środki na finansowanie działalności Komisarza ds. Informacji pochodzą z trzech źródeł: (i) opłat za ochronę danych wnoszonych przez administratorów, które są ustalane na podstawie rozporządzeń wydanych przez Sekretarza Stanu (164) i wynoszą 85–90 % rocznego budżetu Biura (165); (ii) subwencji, które mogą być wypłacane przez rząd na rzecz Komisarza ds. Informacji i są wykorzystywane głównie do finansowania kosztów operacyjnych Komisarza ds. Informacji w odniesieniu do zadań niezwiązanych z ochroną danych (166); (iii) opłat pobieranych z tytułu świadczenia usług (167). Obecnie nie pobiera się takich opłat. |
| --- | --- |

(98)

Środki na finansowanie działalności Komisarza ds. Informacji pochodzą z trzech źródeł: (i) opłat za ochronę danych wnoszonych przez administratorów, które są ustalane na podstawie rozporządzeń wydanych przez Sekretarza Stanu (164) i wynoszą 85–90 % rocznego budżetu Biura (165); (ii) subwencji, które mogą być wypłacane przez rząd na rzecz Komisarza ds. Informacji i są wykorzystywane głównie do finansowania kosztów operacyjnych Komisarza ds. Informacji w odniesieniu do zadań niezwiązanych z ochroną danych (166); (iii) opłat pobieranych z tytułu świadczenia usług (167). Obecnie nie pobiera się takich opłat.

164

165

166

167

| (99) | Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych wchodzącego w zakres części 3 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują: monitorowanie i egzekwowanie części 3 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postępowań. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. Nadzór nad sądownictwem zapewniają jednak omówione poniżej wyspecjalizowane organy. |
| --- | --- |

(99)

Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych wchodzącego w zakres części 3 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują: monitorowanie i egzekwowanie części 3 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postępowań. Aby utrzymać niezależność sądów, Komisarz ds. Informacji nie jest uprawniony do wykonywania swoich funkcji w odniesieniu do przetwarzania danych osobowych przez osobę fizyczną sprawującą wymiar sprawiedliwości bądź sąd lub trybunał sprawujący wymiar sprawiedliwości. Nadzór nad sądownictwem zapewniają jednak omówione poniżej wyspecjalizowane organy.

2.5.1.1.   Egzekwowanie przepisów, w tym sankcje

Egzekwowanie przepisów, w tym sankcje

| (100) | Komisarz posiada ogólne uprawnienia dochodzeniowo-śledcze, uprawnienia w zakresie korekt i upoważnień oraz uprawnienia doradcze w odniesieniu do przetwarzania danych osobowych, do których zastosowanie ma część 3 DPA 2018. Komisarz posiada uprawnienia do zawiadomienia administratora lub podmiotu przetwarzającego o domniemanym naruszeniu przepisów części 3, do udzielania ostrzeżeń administratorowi lub podmiotowi przetwarzającemu, że planowane operacje przetwarzania prawdopodobnie naruszą przepisy części 3, a także do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu, jeżeli operacje przetwarzania naruszyły przepisy części 3. Ponadto Komisarz może wydawać z urzędu lub na wniosek opinie dla parlamentu, rządu lub innych instytucji i organów Zjednoczonego Królestwa, a także opinii publicznej w sprawie dowolnej kwestii związanej z ochroną danych osobowych (168). |
| --- | --- |

(100)

Komisarz posiada ogólne uprawnienia dochodzeniowo-śledcze, uprawnienia w zakresie korekt i upoważnień oraz uprawnienia doradcze w odniesieniu do przetwarzania danych osobowych, do których zastosowanie ma część 3 DPA 2018. Komisarz posiada uprawnienia do zawiadomienia administratora lub podmiotu przetwarzającego o domniemanym naruszeniu przepisów części 3, do udzielania ostrzeżeń administratorowi lub podmiotowi przetwarzającemu, że planowane operacje przetwarzania prawdopodobnie naruszą przepisy części 3, a także do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu, jeżeli operacje przetwarzania naruszyły przepisy części 3. Ponadto Komisarz może wydawać z urzędu lub na wniosek opinie dla parlamentu, rządu lub innych instytucji i organów Zjednoczonego Królestwa, a także opinii publicznej w sprawie dowolnej kwestii związanej z ochroną danych osobowych (168).

168

| (101) | Ponadto Komisarz posiada uprawnienia w zakresie:






  — | nakazania administratorowi i podmiotowi przetwarzającemu (a w określonych okolicznościach każdej innej osobie) udzielenia niezbędnych informacji poprzez wydanie zawiadomienia informacyjnego („zawiadomienie informacyjne”) (169); |
| --- | --- | --- |

(101)

Ponadto Komisarz posiada uprawnienia w zakresie:

—

nakazania administratorowi i podmiotowi przetwarzającemu (a w określonych okolicznościach każdej innej osobie) udzielenia niezbędnych informacji poprzez wydanie zawiadomienia informacyjnego („zawiadomienie informacyjne”) (169);

169

| — | prowadzenia postępowań i audytów poprzez wydanie zawiadomienia oceniającego, na mocy którego administrator lub podmiot przetwarzający może być zobowiązany do zezwolenia Komisarzowi na wejście do określonych pomieszczeń, przeprowadzenie inspekcji lub analizy dokumentów lub sprzętu, przesłuchanie osób przetwarzających dane osobowe w imieniu administratora („zawiadomienie oceniające”) (170); |
| --- | --- |

—

prowadzenia postępowań i audytów poprzez wydanie zawiadomienia oceniającego, na mocy którego administrator lub podmiot przetwarzający może być zobowiązany do zezwolenia Komisarzowi na wejście do określonych pomieszczeń, przeprowadzenie inspekcji lub analizy dokumentów lub sprzętu, przesłuchanie osób przetwarzających dane osobowe w imieniu administratora („zawiadomienie oceniające”) (170);

170

| — | uzyskania w inny sposób dostępu do dokumentów administratorów i podmiotów przetwarzających oraz dostępu do ich pomieszczeń zgodnie z art. 154 DPA 2018 („uprawnienia do wstępu i inspekcji”); |
| --- | --- |

—

uzyskania w inny sposób dostępu do dokumentów administratorów i podmiotów przetwarzających oraz dostępu do ich pomieszczeń zgodnie z art. 154 DPA 2018 („uprawnienia do wstępu i inspekcji”);

| — | wykonywania uprawnień naprawczych, w tym za pomocą ostrzeżeń i upomnień lub wydawania nakazów w postaci zawiadomienia egzekucyjnego, w ramach którego zobowiązuje się administratorów/podmioty przetwarzające do podjęcia lub powstrzymania się od podejmowania określonych kroków („zawiadomienie egzekucyjne”) (171); oraz |
| --- | --- |

—

wykonywania uprawnień naprawczych, w tym za pomocą ostrzeżeń i upomnień lub wydawania nakazów w postaci zawiadomienia egzekucyjnego, w ramach którego zobowiązuje się administratorów/podmioty przetwarzające do podjęcia lub powstrzymania się od podejmowania określonych kroków („zawiadomienie egzekucyjne”) (171); oraz

171

| — | nakładania administracyjnych kar pieniężnych w drodze zawiadomienia w sprawie sankcji („zawiadomienie w sprawie sankcji”) (172). |
| --- | --- |

—

nakładania administracyjnych kar pieniężnych w drodze zawiadomienia w sprawie sankcji („zawiadomienie w sprawie sankcji”) (172).

172

| (102) | W polityce działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których wydaje on, odpowiednio, zawiadomienie informacyjne, oceniające, egzekucyjne i zawiadomienie w sprawie sankcji (173). W ramach zawiadomienia egzekucyjnego możliwe jest nałożenie tych wymogów, które Komisarz uzna za właściwe w celu zaradzenia uchybieniu. W ramach zawiadomienia w sprawie sankcji zobowiązuje się daną osobę do wpłacenia na rzecz Komisarza ds. Informacji kwoty określonej w zawiadomieniu. Zawiadomienie w sprawie sankcji można wydać w następstwie uchybienia określonym przepisom DPA 2018 (174) lub można je wydać w odniesieniu do administratora lub podmiotu przetwarzającego, który nie zastosował się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego. |
| --- | --- |

(102)

W polityce działań regulacyjnych Komisarza ds. Informacji określono okoliczności, w których wydaje on, odpowiednio, zawiadomienie informacyjne, oceniające, egzekucyjne i zawiadomienie w sprawie sankcji (173). W ramach zawiadomienia egzekucyjnego możliwe jest nałożenie tych wymogów, które Komisarz uzna za właściwe w celu zaradzenia uchybieniu. W ramach zawiadomienia w sprawie sankcji zobowiązuje się daną osobę do wpłacenia na rzecz Komisarza ds. Informacji kwoty określonej w zawiadomieniu. Zawiadomienie w sprawie sankcji można wydać w następstwie uchybienia określonym przepisom DPA 2018 (174) lub można je wydać w odniesieniu do administratora lub podmiotu przetwarzającego, który nie zastosował się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego.

173

174

| (103) | W szczególności podczas podejmowania decyzji, czy należy wydać zawiadomienie w sprawie sankcji w odniesieniu do danego administratora lub podmiotu przetwarzającego, oraz podczas ustalania wysokości sankcji Komisarz ds. Informacji musi uwzględnić kwestie wymienione w art. 155 ust. 3 DPA 2018, w tym charakter i wagę uchybienia, umyślny lub nieumyślny charakter uchybienia, wszelkie działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przed osoby, których dane dotyczą, stopień odpowiedzialności administratora lub podmiotu przetwarzającego (z uwzględnieniem wdrożonych przez nich środków technicznych i organizacyjnych), wszelkie istotne wcześniejsze uchybienia ze strony administratora lub podmiotu przetwarzającego; kategorie danych osobowych, których dotyczyło uchybienie, oraz to, czy sankcja byłaby skuteczna, proporcjonalna i odstraszająca. |
| --- | --- |

(103)

W szczególności podczas podejmowania decyzji, czy należy wydać zawiadomienie w sprawie sankcji w odniesieniu do danego administratora lub podmiotu przetwarzającego, oraz podczas ustalania wysokości sankcji Komisarz ds. Informacji musi uwzględnić kwestie wymienione w art. 155 ust. 3 DPA 2018, w tym charakter i wagę uchybienia, umyślny lub nieumyślny charakter uchybienia, wszelkie działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przed osoby, których dane dotyczą, stopień odpowiedzialności administratora lub podmiotu przetwarzającego (z uwzględnieniem wdrożonych przez nich środków technicznych i organizacyjnych), wszelkie istotne wcześniejsze uchybienia ze strony administratora lub podmiotu przetwarzającego; kategorie danych osobowych, których dotyczyło uchybienie, oraz to, czy sankcja byłaby skuteczna, proporcjonalna i odstraszająca.

| (104) | Maksymalna kwota sankcji, jaką można nałożyć w drodze zawiadomienia w sprawie sankcji, wynosi a) 17 500 000 GBP w odniesieniu do niezastosowania się do zasad ochrony danych (art. 35, 36, 37, 38 ust. 1, 39 ust. 1 i 40 DPA 2018), obowiązków w zakresie przejrzystości i praw indywidualnych (art. 44, 45, 46, 47, 48, 49, 52 i 53 DPA 2018) oraz zasad dotyczących międzynarodowego przekazywania danych osobowych (art. 73, 75, 76, 77 i 78 DPA 2018); oraz b) 8 700 000 GBP w innych przypadkach (175). W odniesieniu do niezastosowania się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego maksymalna kwota sankcji, jaką można nałożyć w ramach zawiadomienia w sprawie sankcji, wynosi 17 500 000 GBP. |
| --- | --- |

(104)

Maksymalna kwota sankcji, jaką można nałożyć w drodze zawiadomienia w sprawie sankcji, wynosi a) 17 500 000 GBP w odniesieniu do niezastosowania się do zasad ochrony danych (art. 35, 36, 37, 38 ust. 1, 39 ust. 1 i 40 DPA 2018), obowiązków w zakresie przejrzystości i praw indywidualnych (art. 44, 45, 46, 47, 48, 49, 52 i 53 DPA 2018) oraz zasad dotyczących międzynarodowego przekazywania danych osobowych (art. 73, 75, 76, 77 i 78 DPA 2018); oraz b) 8 700 000 GBP w innych przypadkach (175). W odniesieniu do niezastosowania się do zawiadomienia informacyjnego, oceniającego lub egzekucyjnego maksymalna kwota sankcji, jaką można nałożyć w ramach zawiadomienia w sprawie sankcji, wynosi 17 500 000 GBP.

175

| (105) | Zgodnie z ostatnimi sprawozdaniami rocznymi (2018–2019 (176), 2019–2020 (177)) Komisarz ds. Informacji przeprowadził szereg postępowań w odniesieniu do przetwarzania danych osobowych przez organy ścigania. Na przykład w październiku 2019 r. Komisarz przeprowadził postępowanie i wydał opinię w sprawie wykorzystywania przez organy ścigania technologii rozpoznawania twarzy w miejscach publicznych. W postępowaniu skupiono się w szczególności na wykorzystywaniu przez policję południowej Walii i Metropolitalną Służbę Policyjną możliwości w zakresie rozpoznawania twarzy na żywo. Komisarz ds. Informacji zbadał również stosowaną przez Metropolitalną Służbę Policyjną „matrycę gangów” (178) i stwierdził szereg poważnych naruszeń przepisów o ochronie danych, które mogły podważyć zaufanie publiczne w kwestii stosowania matrycy i sposobu wykorzystywania danych. |
| --- | --- |

(105)

Zgodnie z ostatnimi sprawozdaniami rocznymi (2018–2019 (176), 2019–2020 (177)) Komisarz ds. Informacji przeprowadził szereg postępowań w odniesieniu do przetwarzania danych osobowych przez organy ścigania. Na przykład w październiku 2019 r. Komisarz przeprowadził postępowanie i wydał opinię w sprawie wykorzystywania przez organy ścigania technologii rozpoznawania twarzy w miejscach publicznych. W postępowaniu skupiono się w szczególności na wykorzystywaniu przez policję południowej Walii i Metropolitalną Służbę Policyjną możliwości w zakresie rozpoznawania twarzy na żywo. Komisarz ds. Informacji zbadał również stosowaną przez Metropolitalną Służbę Policyjną „matrycę gangów” (178) i stwierdził szereg poważnych naruszeń przepisów o ochronie danych, które mogły podważyć zaufanie publiczne w kwestii stosowania matrycy i sposobu wykorzystywania danych.

176

177

178

| (106) | W listopadzie 2018 r. Komisarz ds. Informacji wydał zawiadomienie egzekucyjne, w następstwie którego Metropolitalna Służba Policyjna podjęła kroki wymagane do zwiększenia bezpieczeństwa i rozliczalności oraz zapewnienia wykorzystywania danych w sposób proporcjonalny. |
| --- | --- |

(106)

W listopadzie 2018 r. Komisarz ds. Informacji wydał zawiadomienie egzekucyjne, w następstwie którego Metropolitalna Służba Policyjna podjęła kroki wymagane do zwiększenia bezpieczeństwa i rozliczalności oraz zapewnienia wykorzystywania danych w sposób proporcjonalny.

| (107) | Innym przykładem niedawnych działań egzekucyjnych jest grzywna w wysokości 325 000 GBP, którą Komisarz nałożył w maju 2018 r. na prokuraturę za utracenie niezaszyfrowanych płyt DVD zawierających nagrania z przesłuchań policyjnych. Komisarz ds. Informacji prowadził również postępowania dotyczące szerszych zagadnień, na przykład w pierwszej połowie 2020 r. w sprawie wydobywania danych z telefonów komórkowych do celów policyjnych oraz przetwarzania przez policję danych osób poszkodowanych. |
| --- | --- |

(107)

Innym przykładem niedawnych działań egzekucyjnych jest grzywna w wysokości 325 000 GBP, którą Komisarz nałożył w maju 2018 r. na prokuraturę za utracenie niezaszyfrowanych płyt DVD zawierających nagrania z przesłuchań policyjnych. Komisarz ds. Informacji prowadził również postępowania dotyczące szerszych zagadnień, na przykład w pierwszej połowie 2020 r. w sprawie wydobywania danych z telefonów komórkowych do celów policyjnych oraz przetwarzania przez policję danych osób poszkodowanych.

| (108) | Ponadto należy zauważyć, że poza powyższymi możliwościami egzekwowania przestrzegania przepisów przez Komisarza ds. Informacji niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo, wobec czego mogą podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład uzyskania lub ujawnienia danych osobowych bez zgody administratora oraz doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (179); deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (180); umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (181), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (182). |
| --- | --- |

(108)

Ponadto należy zauważyć, że poza powyższymi możliwościami egzekwowania przestrzegania przepisów przez Komisarza ds. Informacji niektóre naruszenia ustawodawstwa w dziedzinie ochrony danych stanowią przestępstwo, wobec czego mogą podlegać sankcjom karnym (art. 196 DPA 2018). Dotyczy to na przykład uzyskania lub ujawnienia danych osobowych bez zgody administratora oraz doprowadzenia do ujawnienia danych osobowych innej osobie bez zgody administratora (179); deanonimizacji informacji będących zanonimizowanymi danymi osobowymi bez zgody administratora odpowiedzialnego za anonimizację danych osobowych (180); umyślnego utrudniania Komisarzowi wykonywania jego uprawnień w zakresie kontroli danych osobowych zgodnie z zobowiązaniami międzynarodowymi (181), składania fałszywych oświadczeń w odpowiedzi na zawiadomienie informacyjne lub niszczenia informacji w związku z zawiadomieniem informacyjnym i oceniającym (182).

179

180

181

182

| (109) | Komisarz ds. Informacji jest również zobowiązany na podstawie art. 139 DPA 2018 do składania przed każdą z izb parlamentu ogólnego sprawozdania z wykonywania swoich funkcji wynikających z ustawy (183). |
| --- | --- |

(109)

Komisarz ds. Informacji jest również zobowiązany na podstawie art. 139 DPA 2018 do składania przed każdą z izb parlamentu ogólnego sprawozdania z wykonywania swoich funkcji wynikających z ustawy (183).

183

2.5.2.   Nadzór nad wymiarem sprawiedliwości

Nadzór nad wymiarem sprawiedliwości

| (110) | Nadzór nad przetwarzaniem danych osobowych przez sądy i wymiar sprawiedliwości ma dwojaki charakter. W przypadku gdy osoba zajmująca stanowisko sędziowskie lub sąd nie sprawują wymiaru sprawiedliwości, nadzór sprawuje Komisarz ds. Informacji. W przypadku gdy administrator sprawuje wymiar sprawiedliwości, Komisarz ds. Informacji nie może wykonywać swoich funkcji nadzorczych (184), a nadzór sprawują organy specjalne. Odzwierciedla to podejście przyjęte w art. 32 dyrektywy (UE) 2016/680. |
| --- | --- |

(110)

Nadzór nad przetwarzaniem danych osobowych przez sądy i wymiar sprawiedliwości ma dwojaki charakter. W przypadku gdy osoba zajmująca stanowisko sędziowskie lub sąd nie sprawują wymiaru sprawiedliwości, nadzór sprawuje Komisarz ds. Informacji. W przypadku gdy administrator sprawuje wymiar sprawiedliwości, Komisarz ds. Informacji nie może wykonywać swoich funkcji nadzorczych (184), a nadzór sprawują organy specjalne. Odzwierciedla to podejście przyjęte w art. 32 dyrektywy (UE) 2016/680.

184

| (111) | W szczególności w tej drugiej sytuacji w przypadku sądów Anglii i Walii oraz trybunału pierwszej instancji i wyższych trybunałów Anglii i Walii taki nadzór sprawuje panel sądowy ds. ochrony danych [Judicial Data Protection Panel] (185). Ponadto Lord Chief Justice (zwierzchnik sądownictwa Anglii i Walii) i Senior President of Tribunals (zwierzchnik trybunałów pozasądowych) wydali oświadczenie o ochronie prywatności (186), w którym określili sposób, w jaki sądy w Anglii i Walii przetwarzają dane osobowe w związku z pełnieniem funkcji sądowych. Podobne oświadczenia wydano w systemach sądownictwa Irlandii Północnej (187) i Szkocji (188). |
| --- | --- |

(111)

W szczególności w tej drugiej sytuacji w przypadku sądów Anglii i Walii oraz trybunału pierwszej instancji i wyższych trybunałów Anglii i Walii taki nadzór sprawuje panel sądowy ds. ochrony danych [Judicial Data Protection Panel] (185). Ponadto Lord Chief Justice (zwierzchnik sądownictwa Anglii i Walii) i Senior President of Tribunals (zwierzchnik trybunałów pozasądowych) wydali oświadczenie o ochronie prywatności (186), w którym określili sposób, w jaki sądy w Anglii i Walii przetwarzają dane osobowe w związku z pełnieniem funkcji sądowych. Podobne oświadczenia wydano w systemach sądownictwa Irlandii Północnej (187) i Szkocji (188).

185

186

187

188

| (112) | Ponadto w Irlandii Północnej Lord Chief Justice (zwierzchnik sądownictwa) Irlandii Północnej mianował sędziego Wysokiego Trybunału na stanowisko sędziego sprawującego nadzór nad ochroną danych osobowych (189). Wydano również wytyczne dla kadr wymiaru sprawiedliwości Irlandii Północnej dotyczące postępowania w przypadku utraty lub ewentualnej utraty danych oraz procedury rozwiązywania wszelkich kwestii z tym związanych (190). |
| --- | --- |

(112)

Ponadto w Irlandii Północnej Lord Chief Justice (zwierzchnik sądownictwa) Irlandii Północnej mianował sędziego Wysokiego Trybunału na stanowisko sędziego sprawującego nadzór nad ochroną danych osobowych (189). Wydano również wytyczne dla kadr wymiaru sprawiedliwości Irlandii Północnej dotyczące postępowania w przypadku utraty lub ewentualnej utraty danych oraz procedury rozwiązywania wszelkich kwestii z tym związanych (190).

189

190

| (113) | W Szkocji Lord President wyznaczył sędziego sprawującego nadzór nad ochroną danych osobowych, który rozpatruje wszelkie skargi dotyczące ochrony danych. Odbywa się to na zasadach rozpatrywania skarg sądowych, które odzwierciedlają zasady określone dla Anglii i Walii (191). |
| --- | --- |

(113)

W Szkocji Lord President wyznaczył sędziego sprawującego nadzór nad ochroną danych osobowych, który rozpatruje wszelkie skargi dotyczące ochrony danych. Odbywa się to na zasadach rozpatrywania skarg sądowych, które odzwierciedlają zasady określone dla Anglii i Walii (191).

191

| (114) | Natomiast jeżeli chodzi o Sąd Najwyższy, do sprawowania nadzoru nad ochroną danych wyznaczono jednego z sędziów tego sądu. |
| --- | --- |

(114)

Natomiast jeżeli chodzi o Sąd Najwyższy, do sprawowania nadzoru nad ochroną danych wyznaczono jednego z sędziów tego sądu.

2.5.3.   Środki zaskarżenia

Środki zaskarżenia

| (115) | W celu zapewnienia odpowiedniej ochrony, a zwłaszcza egzekwowania praw indywidualnych, osoba, której dane dotyczą, powinna mieć możliwość korzystania ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym dochodzenia odszkodowania. |
| --- | --- |

(115)

W celu zapewnienia odpowiedniej ochrony, a zwłaszcza egzekwowania praw indywidualnych, osoba, której dane dotyczą, powinna mieć możliwość korzystania ze skutecznych administracyjnych i sądowych środków zaskarżenia, w tym dochodzenia odszkodowania.

| (116) | Po pierwsze, osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 3 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą (192). Jak opisano w motywach 100 i 109 powyżej, Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do podjęcia lub zaniechania koniecznych kroków w przypadku nieprzestrzegania przepisów oraz do nałożenia kar. |
| --- | --- |

(116)

Po pierwsze, osoba, której dane dotyczą, ma prawo do wniesienia skargi do Komisarza ds. Informacji, jeżeli uważa, że doszło do naruszenia części 3 DPA 2018 w odniesieniu do danych osobowych, które jej dotyczą (192). Jak opisano w motywach 100 i 109 powyżej, Komisarz ds. Informacji jest uprawniony do oceny przestrzegania DPA 2018 przez administratora i podmiot przetwarzający, wezwania ich do podjęcia lub zaniechania koniecznych kroków w przypadku nieprzestrzegania przepisów oraz do nałożenia kar.

192

| (117) | Po drugie, DPA 2018 zapewnia prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji. Jeżeli Komisarz nie „czyni postępów” (193) w rozpatrywaniu skargi złożonej przez osobę, której dane dotyczą, skarżący ma dostęp do środka ochrony prawnej przed sądem, ponieważ może zwrócić się do trybunału pierwszej instancji (194) o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (195). Ponadto każda osoba, wobec której Komisarz wydał którekolwiek z powyższych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do Trybunału Pierwszej Instancji (First Tier Tribunal). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać (196). |
| --- | --- |

(117)

Po drugie, DPA 2018 zapewnia prawo do środka ochrony prawnej przeciwko Komisarzowi ds. Informacji. Jeżeli Komisarz nie „czyni postępów” (193) w rozpatrywaniu skargi złożonej przez osobę, której dane dotyczą, skarżący ma dostęp do środka ochrony prawnej przed sądem, ponieważ może zwrócić się do trybunału pierwszej instancji (194) o nakazanie Komisarzowi podjęcia odpowiednich kroków w celu udzielenia odpowiedzi na skargę lub poinformowania skarżącego o postępach w rozpatrywaniu skargi (195). Ponadto każda osoba, wobec której Komisarz wydał którekolwiek z powyższych zawiadomień (zawiadomienie informacyjne, oceniające, egzekucyjne lub w sprawie sankcji), może odwołać się do Trybunału Pierwszej Instancji (First Tier Tribunal). Jeżeli Trybunał uzna, że decyzja Komisarza ds. Informacji nie jest zgodna z prawem lub że Komisarz powinien był skorzystać z przysługującej mu swobody uznania w inny sposób, Trybunał uwzględnia odwołanie lub zastępuje zawiadomienie lub decyzję innym zawiadomieniem lub decyzją, które Komisarz mógł wydać (196).

193

194

195

196

| (118) | Po trzecie, osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu na podstawie art. 167 DPA 2018. Jeżeli po otrzymaniu wniosku osoby, której dane dotyczą, sąd stwierdzi, że doszło do naruszenia jej praw wynikających z ustawodawstwa w dziedzinie ochrony danych, sąd może nakazać administratorowi w odniesieniu do tego przetwarzania lub podmiotowi przetwarzającemu działającemu w imieniu tego administratora podjęcie kroków określonych w nakazie lub zaniechanie podejmowania kroków określonych w nakazie. Ponadto, zgodnie z art. 169 DPA 2018, każdy, kto poniósł szkodę z powodu naruszenia wymogu określonego w ustawodawstwie w dziedzinie ochrony danych (w tym w części 3 DPA 2018), innym niż RODO UK, ma prawo do odszkodowania z tytułu poniesienia tej szkody od administratora lub podmiotu przetwarzającego, chyba że administrator lub podmiot przetwarzający udowodni, że nie ponosi w żaden sposób odpowiedzialności za zdarzenie wywołujące szkodę. Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie. |
| --- | --- |

(118)

Po trzecie, osoby fizyczne mogą wnieść środki zaskarżenia przeciwko administratorom i podmiotom przetwarzającym bezpośrednio do sądu na podstawie art. 167 DPA 2018. Jeżeli po otrzymaniu wniosku osoby, której dane dotyczą, sąd stwierdzi, że doszło do naruszenia jej praw wynikających z ustawodawstwa w dziedzinie ochrony danych, sąd może nakazać administratorowi w odniesieniu do tego przetwarzania lub podmiotowi przetwarzającemu działającemu w imieniu tego administratora podjęcie kroków określonych w nakazie lub zaniechanie podejmowania kroków określonych w nakazie. Ponadto, zgodnie z art. 169 DPA 2018, każdy, kto poniósł szkodę z powodu naruszenia wymogu określonego w ustawodawstwie w dziedzinie ochrony danych (w tym w części 3 DPA 2018), innym niż RODO UK, ma prawo do odszkodowania z tytułu poniesienia tej szkody od administratora lub podmiotu przetwarzającego, chyba że administrator lub podmiot przetwarzający udowodni, że nie ponosi w żaden sposób odpowiedzialności za zdarzenie wywołujące szkodę. Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie.

| (119) | Po czwarte, jeżeli ktokolwiek uważa, że jego prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez organy publiczne, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. Administratorzy w rozumieniu części 3 DPA 2018, tj. właściwe organy, są zawsze organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r. Osoba fizyczna, która twierdzi, że organ publiczny działał (lub zamierza działać) w sposób niezgodny z prawem określonym w konwencji, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r., może wytoczyć powództwo przeciwko temu organowi przed właściwy sąd lub trybunał lub powołać się na dane prawa w dowolnym postępowaniu sądowym, jeśli jest (lub byłaby) ofiarą działania niezgodnego z prawem (197). |
| --- | --- |

(119)

Po czwarte, jeżeli ktokolwiek uważa, że jego prawa, w tym prawa do prywatności i ochrony danych, zostały naruszone przez organy publiczne, może dochodzić roszczeń przed sądami Zjednoczonego Królestwa na podstawie ustawy o prawach człowieka z 1998 r. Administratorzy w rozumieniu części 3 DPA 2018, tj. właściwe organy, są zawsze organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r. Osoba fizyczna, która twierdzi, że organ publiczny działał (lub zamierza działać) w sposób niezgodny z prawem określonym w konwencji, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r., może wytoczyć powództwo przeciwko temu organowi przed właściwy sąd lub trybunał lub powołać się na dane prawa w dowolnym postępowaniu sądowym, jeśli jest (lub byłaby) ofiarą działania niezgodnego z prawem (197).

197

| (120) | Jeśli sąd stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub inny środek prawny lub wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (198). Sąd może również orzec, że przepis ustawodawczy jest niezgodny z prawem gwarantowanym na mocy EKPC. |
| --- | --- |

(120)

Jeśli sąd stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub inny środek prawny lub wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (198). Sąd może również orzec, że przepis ustawodawczy jest niezgodny z prawem gwarantowanym na mocy EKPC.

198

| (121) | Ponadto po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszenia praw gwarantowanych na mocy EKPC. |
| --- | --- |

(121)

Ponadto po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszenia praw gwarantowanych na mocy EKPC.

2.6.   Dalsze przekazywanie

Dalsze przekazywanie

| (122) | Prawo Zjednoczonego Królestwa dopuszcza udostępnianie danych przez organ ścigania innym organom Zjednoczonego Królestwa do celów innych niż te, dla których pierwotnie je zebrano (tzw. „dalsze przekazywanie”), pod pewnymi warunkami. |
| --- | --- |

(122)

Prawo Zjednoczonego Królestwa dopuszcza udostępnianie danych przez organ ścigania innym organom Zjednoczonego Królestwa do celów innych niż te, dla których pierwotnie je zebrano (tzw. „dalsze przekazywanie”), pod pewnymi warunkami.

| (123) | Podobnie do tego, co przewidziano w art. 4 ust. 2 dyrektywy (UE) 2016/680, art. 36 ust. 3 DPA 2018 dopuszcza, aby dane osobowe zebrane przez właściwy organ do celów ścigania przestępstw były dalej przetwarzane (przez pierwotnego administratora lub innego administratora), o ile dalsze przetwarzanie odbywa się do wszelkich innych celów ścigania przestępstw, pod warunkiem że administrator jest upoważniony na mocy prawa do przetwarzania danych w tym innym celu, a przetwarzanie jest niezbędne i proporcjonalne (199). W takim przypadku wszystkie zabezpieczenia przewidziane w części 3 DPA 2018 i przeanalizowane powyżej mają zastosowanie do przetwarzania prowadzonego przez organ otrzymujący. |
| --- | --- |

(123)

Podobnie do tego, co przewidziano w art. 4 ust. 2 dyrektywy (UE) 2016/680, art. 36 ust. 3 DPA 2018 dopuszcza, aby dane osobowe zebrane przez właściwy organ do celów ścigania przestępstw były dalej przetwarzane (przez pierwotnego administratora lub innego administratora), o ile dalsze przetwarzanie odbywa się do wszelkich innych celów ścigania przestępstw, pod warunkiem że administrator jest upoważniony na mocy prawa do przetwarzania danych w tym innym celu, a przetwarzanie jest niezbędne i proporcjonalne (199). W takim przypadku wszystkie zabezpieczenia przewidziane w części 3 DPA 2018 i przeanalizowane powyżej mają zastosowanie do przetwarzania prowadzonego przez organ otrzymujący.

199

| (124) | W porządku prawnym Zjednoczonego Królestwa różne ustawy wyraźnie dopuszczają dalsze przekazywanie. W szczególności (i) ustawa o gospodarce cyfrowej z 2017 r. umożliwia udostępnianie danych między organami publicznymi do szeregu celów, na przykład w przypadku wszelkich nadużyć finansowych na szkodę sektora publicznego, które wiązałyby się ze stratą lub ryzykiem straty dla organu publicznego (200), lub w przypadku długu należnego na rzecz organu publicznego lub Korony (201); (ii) ustawa o przestępczości i sądach z 2013 r. zezwala na udostępnianie danych Krajowej Agencji ds. Zwalczania Przestępczości (202) w celu zwalczania przestępczości poważnej i zorganizowanej, prowadzenia postępowań przygotowawczych w sprawie takich przestępstw i ich ścigania; (iii) ustawa o poważnej przestępczości z 2007 r. zezwala organom publicznym na ujawnianie informacji organizacjom zwalczającym nadużycia finansowe do celów zapobiegania nadużyciom finansowym (203). |
| --- | --- |

(124)

W porządku prawnym Zjednoczonego Królestwa różne ustawy wyraźnie dopuszczają dalsze przekazywanie. W szczególności (i) ustawa o gospodarce cyfrowej z 2017 r. umożliwia udostępnianie danych między organami publicznymi do szeregu celów, na przykład w przypadku wszelkich nadużyć finansowych na szkodę sektora publicznego, które wiązałyby się ze stratą lub ryzykiem straty dla organu publicznego (200), lub w przypadku długu należnego na rzecz organu publicznego lub Korony (201); (ii) ustawa o przestępczości i sądach z 2013 r. zezwala na udostępnianie danych Krajowej Agencji ds. Zwalczania Przestępczości (202) w celu zwalczania przestępczości poważnej i zorganizowanej, prowadzenia postępowań przygotowawczych w sprawie takich przestępstw i ich ścigania; (iii) ustawa o poważnej przestępczości z 2007 r. zezwala organom publicznym na ujawnianie informacji organizacjom zwalczającym nadużycia finansowe do celów zapobiegania nadużyciom finansowym (203).

200

201

202

203

| (125) | Ustawy te wyraźnie stanowią, że udostępnianie informacji musi być zgodne z zasadami określonymi w DPA 2018. Ponadto Kolegium Policyjne wydało zatwierdzone praktyki zawodowe dotyczące udostępniania informacji (204), aby pomóc policji w wypełnianiu obowiązków w zakresie ochrony danych wynikających z RODO UK, DPA oraz ustawy o prawach człowieka z 1998 r. Zgodność udostępniania informacji z obowiązującymi ramami prawnymi w zakresie ochrony danych może oczywiście podlegać kontroli sądowej (205). |
| --- | --- |

(125)

Ustawy te wyraźnie stanowią, że udostępnianie informacji musi być zgodne z zasadami określonymi w DPA 2018. Ponadto Kolegium Policyjne wydało zatwierdzone praktyki zawodowe dotyczące udostępniania informacji (204), aby pomóc policji w wypełnianiu obowiązków w zakresie ochrony danych wynikających z RODO UK, DPA oraz ustawy o prawach człowieka z 1998 r. Zgodność udostępniania informacji z obowiązującymi ramami prawnymi w zakresie ochrony danych może oczywiście podlegać kontroli sądowej (205).

204

205

| (126) | Ponadto podobnie do tego, co wynika z art. 9 dyrektywy (UE) 2016/680, DPA 2018 stanowi, że dane osobowe zebrane w jakimkolwiek celu związanym ze ściganiem przestępstw mogą być przetwarzane w celu, który nie jest celem związanym ze ściganiem przestępstw, jeżeli to przetwarzanie jest dozwolone przez prawo (206). Ten rodzaj udostępniania danych obejmuje dwa scenariusze: 1) gdy organ ścigania przekazuje dane organowi niebędącemu organem ścigania ani agencją wywiadowczą (np. organowi ds. regulacji finansowej, organowi podatkowemu, organowi ochrony konkurencji, urzędowi ds. młodzieży itp.); 2) gdy organ ścigania przekazuje dane agencji wywiadowczej. W pierwszym scenariuszu przetwarzanie danych osobowych wchodzi w zakres RODO UK, jak również w zakres części 2 DPA 2018. Jak określono w decyzji przyjętej na mocy rozporządzenia (UE) 2016/679, zabezpieczenia przewidziane w RODO UK i części 2 DPA 2018 zapewniają stopień ochrony zasadniczo odpowiadający stopniowi zapewnionemu w Unii (207). |
| --- | --- |

(126)

Ponadto podobnie do tego, co wynika z art. 9 dyrektywy (UE) 2016/680, DPA 2018 stanowi, że dane osobowe zebrane w jakimkolwiek celu związanym ze ściganiem przestępstw mogą być przetwarzane w celu, który nie jest celem związanym ze ściganiem przestępstw, jeżeli to przetwarzanie jest dozwolone przez prawo (206). Ten rodzaj udostępniania danych obejmuje dwa scenariusze: 1) gdy organ ścigania przekazuje dane organowi niebędącemu organem ścigania ani agencją wywiadowczą (np. organowi ds. regulacji finansowej, organowi podatkowemu, organowi ochrony konkurencji, urzędowi ds. młodzieży itp.); 2) gdy organ ścigania przekazuje dane agencji wywiadowczej. W pierwszym scenariuszu przetwarzanie danych osobowych wchodzi w zakres RODO UK, jak również w zakres części 2 DPA 2018. Jak określono w decyzji przyjętej na mocy rozporządzenia (UE) 2016/679, zabezpieczenia przewidziane w RODO UK i części 2 DPA 2018 zapewniają stopień ochrony zasadniczo odpowiadający stopniowi zapewnionemu w Unii (207).

206

207

| (127) | W drugim scenariuszu, w odniesieniu do udostępniania danych zebranych przez organ ścigania agencji wywiadowczej do celów bezpieczeństwa narodowego, podstawą prawną upoważniającą do takiego udostępniania jest ustawa o zwalczaniu terroryzmu z 2008 r. (CTA 2008) (208). Zgodnie z ustawą o zwalczaniu terroryzmu z 2008 r. każdy może przekazać informacje którejkolwiek ze służb wywiadowczych na potrzeby wykonywania którejkolwiek z funkcji tej służby, w tym dotyczącej „bezpieczeństwa narodowego”. |
| --- | --- |

(127)

W drugim scenariuszu, w odniesieniu do udostępniania danych zebranych przez organ ścigania agencji wywiadowczej do celów bezpieczeństwa narodowego, podstawą prawną upoważniającą do takiego udostępniania jest ustawa o zwalczaniu terroryzmu z 2008 r. (CTA 2008) (208). Zgodnie z ustawą o zwalczaniu terroryzmu z 2008 r. każdy może przekazać informacje którejkolwiek ze służb wywiadowczych na potrzeby wykonywania którejkolwiek z funkcji tej służby, w tym dotyczącej „bezpieczeństwa narodowego”.

208

| (128) | Jeśli chodzi o warunki, na jakich dane można udostępniać do celów bezpieczeństwa narodowego, ustawa o służbach wywiadowczych oraz ustawa o Służbie Bezpieczeństwa ograniczają możliwości służb wywiadowczych w zakresie uzyskiwania danych do tego, co jest niezbędne do wykonywania ich funkcji ustawowych. Właściwe organy, wchodzące w zakres części 3 DPA 2018, które zamierzają udostępniać dane służbom wywiadowczym, będą musiały uwzględnić szereg czynników/ograniczeń oprócz ustawowych funkcji agencji określonych w ustawie o służbach wywiadowczych i ustawie o Służbie Bezpieczeństwa (209). W art. 20 ustawy o zwalczaniu terroryzmu z 2008 r. wyraźnie wskazano, że wszelkie udostępnianie danych na podstawie art. 19 tej ustawy musi być również zgodne z ustawodawstwem w dziedzinie ochrony danych; oznacza to, że mają zastosowanie wszystkie ograniczenia i wymogi określone w DPA 2018. Ponadto organy ścigania i służby wywiadowcze są organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r., a zatem muszą zagwarantować, że działają zgodnie z prawami gwarantowanymi na mocy EKPC, w tym jej art. 8. Innymi słowy, wymogi te oznaczają, że wszelkie udostępnianie danych między organami ścigania a służbami wywiadowczymi musi być zgodne z ustawodawstwem w dziedzinie ochrony danych i EKPC. |
| --- | --- |

(128)

Jeśli chodzi o warunki, na jakich dane można udostępniać do celów bezpieczeństwa narodowego, ustawa o służbach wywiadowczych oraz ustawa o Służbie Bezpieczeństwa ograniczają możliwości służb wywiadowczych w zakresie uzyskiwania danych do tego, co jest niezbędne do wykonywania ich funkcji ustawowych. Właściwe organy, wchodzące w zakres części 3 DPA 2018, które zamierzają udostępniać dane służbom wywiadowczym, będą musiały uwzględnić szereg czynników/ograniczeń oprócz ustawowych funkcji agencji określonych w ustawie o służbach wywiadowczych i ustawie o Służbie Bezpieczeństwa (209). W art. 20 ustawy o zwalczaniu terroryzmu z 2008 r. wyraźnie wskazano, że wszelkie udostępnianie danych na podstawie art. 19 tej ustawy musi być również zgodne z ustawodawstwem w dziedzinie ochrony danych; oznacza to, że mają zastosowanie wszystkie ograniczenia i wymogi określone w DPA 2018. Ponadto organy ścigania i służby wywiadowcze są organami publicznymi w rozumieniu ustawy o prawach człowieka z 1998 r., a zatem muszą zagwarantować, że działają zgodnie z prawami gwarantowanymi na mocy EKPC, w tym jej art. 8. Innymi słowy, wymogi te oznaczają, że wszelkie udostępnianie danych między organami ścigania a służbami wywiadowczymi musi być zgodne z ustawodawstwem w dziedzinie ochrony danych i EKPC.

209

| (129) | Przetwarzanie przez służby wywiadowcze danych osobowych otrzymanych lub uzyskanych od organów ścigania do celów bezpieczeństwa narodowego podlega szeregowi warunków i zabezpieczeń (210). Część 4 DPA 2018 ma zastosowanie do wszelkiego przetwarzania danych przez służby wywiadowcze lub w ich imieniu. Określono w niej główne zasady ochrony danych (zgodność z prawem, rzetelność i przejrzystość (211); ograniczenie celu (212); minimalizacja danych (213); prawidłowość (214); ograniczenie przechowywania (215) i bezpieczeństwo (216)), określono warunki dotyczące przetwarzania szczególnych kategorii danych (217), zapewniono prawa osób, których dane dotyczą, (218) określono obowiązek uwzględniania ochrony danych w fazie projektowania (219) i uregulowano międzynarodowe przekazywanie danych osobowych (220). |
| --- | --- |

(129)

Przetwarzanie przez służby wywiadowcze danych osobowych otrzymanych lub uzyskanych od organów ścigania do celów bezpieczeństwa narodowego podlega szeregowi warunków i zabezpieczeń (210). Część 4 DPA 2018 ma zastosowanie do wszelkiego przetwarzania danych przez służby wywiadowcze lub w ich imieniu. Określono w niej główne zasady ochrony danych (zgodność z prawem, rzetelność i przejrzystość (211); ograniczenie celu (212); minimalizacja danych (213); prawidłowość (214); ograniczenie przechowywania (215) i bezpieczeństwo (216)), określono warunki dotyczące przetwarzania szczególnych kategorii danych (217), zapewniono prawa osób, których dane dotyczą, (218) określono obowiązek uwzględniania ochrony danych w fazie projektowania (219) i uregulowano międzynarodowe przekazywanie danych osobowych (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | Jednocześnie w art. 110 DPA 2018 przewidziano wyłączenie stosowania określonych przepisów zawartych w części 4 tej ustawy, gdy takie wyłączenie jest wymagane do ochrony bezpieczeństwa narodowego. W art. 110 ust. 2 DPA 2018 wymieniono przepisy, w przypadku których dopuszcza się wyłączenie stosowania. Obejmują one zasady ochrony danych (z wyjątkiem zasady zgodności z prawem), prawa osób, których dane dotyczą, obowiązek informowania Komisarza ds. Informacji o naruszeniu ochrony danych, uprawnienia Komisarza ds. Informacji do przeprowadzania kontroli zgodnie z zobowiązaniami międzynarodowymi, określone uprawnienia Komisarza ds. Informacji do egzekwowania przestrzegania przepisów, przepisy, zgodnie z którymi niektóre naruszenia ochrony danych stanowią czyn zabroniony, oraz przepisy dotyczące szczególnych celów przetwarzania, takich jak przetwarzanie do celów dziennikarskich, akademickich czy artystycznych. Na wyłączenie to można się powołać na podstawie analizy poszczególnych przypadków (221). Jak wyjaśniły władze Zjednoczonego Królestwa i jak potwierdzono w orzecznictwie sądów Zjednoczonego Królestwa, „administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego lub obrony, gdyby musiał zastosować się do konkretnego przepisu dotyczącego ochrony danych i gdyby istniały racjonalne przesłanki, że mógłby przestrzegać zwykłej zasady bez wpływu na bezpieczeństwo narodowe lub obronę” (222). Nad prawidłowym stosowaniem wyłączeń nadzór sprawuje Komisarz ds. Informacji (223). |
| --- | --- |

(130)

Jednocześnie w art. 110 DPA 2018 przewidziano wyłączenie stosowania określonych przepisów zawartych w części 4 tej ustawy, gdy takie wyłączenie jest wymagane do ochrony bezpieczeństwa narodowego. W art. 110 ust. 2 DPA 2018 wymieniono przepisy, w przypadku których dopuszcza się wyłączenie stosowania. Obejmują one zasady ochrony danych (z wyjątkiem zasady zgodności z prawem), prawa osób, których dane dotyczą, obowiązek informowania Komisarza ds. Informacji o naruszeniu ochrony danych, uprawnienia Komisarza ds. Informacji do przeprowadzania kontroli zgodnie z zobowiązaniami międzynarodowymi, określone uprawnienia Komisarza ds. Informacji do egzekwowania przestrzegania przepisów, przepisy, zgodnie z którymi niektóre naruszenia ochrony danych stanowią czyn zabroniony, oraz przepisy dotyczące szczególnych celów przetwarzania, takich jak przetwarzanie do celów dziennikarskich, akademickich czy artystycznych. Na wyłączenie to można się powołać na podstawie analizy poszczególnych przypadków (221). Jak wyjaśniły władze Zjednoczonego Królestwa i jak potwierdzono w orzecznictwie sądów Zjednoczonego Królestwa, „administrator musi uwzględnić faktyczne konsekwencje dla bezpieczeństwa narodowego lub obrony, gdyby musiał zastosować się do konkretnego przepisu dotyczącego ochrony danych i gdyby istniały racjonalne przesłanki, że mógłby przestrzegać zwykłej zasady bez wpływu na bezpieczeństwo narodowe lub obronę” (222). Nad prawidłowym stosowaniem wyłączeń nadzór sprawuje Komisarz ds. Informacji (223).

221

222

223

| (131) | Ponadto jeżeli chodzi o możliwość ograniczenia któregokolwiek z wymienionych powyżej praw ze względu na ochronę „bezpieczeństwa narodowego”, w art. 79 DPA 2018 określono, że administrator może ubiegać się o podpisane przez ministra lub Prokuratora Generalnego poświadczenie potwierdzające, że ograniczenie takich praw jest, lub było w dowolnym momencie, niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (224). Rząd Zjednoczonego Królestwa opublikował wytyczne dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, w których podkreślono w szczególności, że wszelkie ograniczenia praw osób, których dane dotyczą, służące do ochrony bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (225). Wszelkie poświadczenia bezpieczeństwa narodowego muszą zostać opublikowane na stronie internetowej Komisarza ds. Informacji (226). |
| --- | --- |

(131)

Ponadto jeżeli chodzi o możliwość ograniczenia któregokolwiek z wymienionych powyżej praw ze względu na ochronę „bezpieczeństwa narodowego”, w art. 79 DPA 2018 określono, że administrator może ubiegać się o podpisane przez ministra lub Prokuratora Generalnego poświadczenie potwierdzające, że ograniczenie takich praw jest, lub było w dowolnym momencie, niezbędnym i proporcjonalnym środkiem służącym ochronie bezpieczeństwa narodowego (224). Rząd Zjednoczonego Królestwa opublikował wytyczne dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, w których podkreślono w szczególności, że wszelkie ograniczenia praw osób, których dane dotyczą, służące do ochrony bezpieczeństwa narodowego muszą być proporcjonalne i niezbędne (225). Wszelkie poświadczenia bezpieczeństwa narodowego muszą zostać opublikowane na stronie internetowej Komisarza ds. Informacji (226).

224

225

226

| (132) | Poświadczenie powinno być wydawane na czas określony, nie dłuższy niż pięć lat, tak aby podlegało regularnej ocenie przez władzę wykonawczą (227). W poświadczeniu określa się dane osobowe lub kategorie danych osobowych podlegające wyłączeniu, a także przepisy DPA 2018, do których wyłączenie ma zastosowanie (228). |
| --- | --- |

(132)

Poświadczenie powinno być wydawane na czas określony, nie dłuższy niż pięć lat, tak aby podlegało regularnej ocenie przez władzę wykonawczą (227). W poświadczeniu określa się dane osobowe lub kategorie danych osobowych podlegające wyłączeniu, a także przepisy DPA 2018, do których wyłączenie ma zastosowanie (228).

227

228

| (133) | Należy zauważyć, że poświadczenia bezpieczeństwa narodowego nie stanowią dodatkowej podstawy ograniczania praw do ochrony danych ze względów bezpieczeństwa narodowego. Innymi słowy administrator lub podmiot przetwarzający może powołać się na poświadczenie wyłącznie wówczas, gdy stwierdził, że konieczne jest powołanie się na wyłączenie dotyczące bezpieczeństwa narodowego, co jest możliwe wyłącznie na podstawie oceny każdego przypadku z osobna. Nawet jeżeli do danej sprawy zastosowanie ma poświadczenie bezpieczeństwa narodowego, Komisarz ds. Informacji może zbadać, czy w tym konkretnym przypadku powołanie się na wyłączenie dotyczące bezpieczeństwa narodowego było uzasadnione (229). |
| --- | --- |

(133)

Należy zauważyć, że poświadczenia bezpieczeństwa narodowego nie stanowią dodatkowej podstawy ograniczania praw do ochrony danych ze względów bezpieczeństwa narodowego. Innymi słowy administrator lub podmiot przetwarzający może powołać się na poświadczenie wyłącznie wówczas, gdy stwierdził, że konieczne jest powołanie się na wyłączenie dotyczące bezpieczeństwa narodowego, co jest możliwe wyłącznie na podstawie oceny każdego przypadku z osobna. Nawet jeżeli do danej sprawy zastosowanie ma poświadczenie bezpieczeństwa narodowego, Komisarz ds. Informacji może zbadać, czy w tym konkretnym przypadku powołanie się na wyłączenie dotyczące bezpieczeństwa narodowego było uzasadnione (229).

229

| (134) | Każdy, na kogo wydanie poświadczenia wywarło bezpośredni wpływ, może odwołać się od wydania poświadczenia (230) do Wyższego Trybunału (231) lub, gdy w poświadczeniu dane określono za pomocą ogólnego opisu, zaskarżyć stosowanie poświadczenia w odniesieniu do konkretnych danych (232). |
| --- | --- |

(134)

Każdy, na kogo wydanie poświadczenia wywarło bezpośredni wpływ, może odwołać się od wydania poświadczenia (230) do Wyższego Trybunału (231) lub, gdy w poświadczeniu dane określono za pomocą ogólnego opisu, zaskarżyć stosowanie poświadczenia w odniesieniu do konkretnych danych (232).

230

231

232

| (135) | W takiej sytuacji Trybunał bada decyzję o wydaniu poświadczenia i orzeka, czy istniały uzasadnione podstawy do jego wydania (233). Może rozważyć wiele różnych aspektów, takich jak niezbędność, proporcjonalność i zgodność z prawem, uwzględniając wpływ na prawa osób, których dane dotyczą, oraz wyważając potrzebę ochrony bezpieczeństwa narodowego. W rezultacie Trybunał może stwierdzić, że poświadczenie nie ma zastosowania do konkretnych danych osobowych będących przedmiotem odwołania (234). |
| --- | --- |

(135)

W takiej sytuacji Trybunał bada decyzję o wydaniu poświadczenia i orzeka, czy istniały uzasadnione podstawy do jego wydania (233). Może rozważyć wiele różnych aspektów, takich jak niezbędność, proporcjonalność i zgodność z prawem, uwzględniając wpływ na prawa osób, których dane dotyczą, oraz wyważając potrzebę ochrony bezpieczeństwa narodowego. W rezultacie Trybunał może stwierdzić, że poświadczenie nie ma zastosowania do konkretnych danych osobowych będących przedmiotem odwołania (234).

233

234

| (136) | Inny zbiór możliwych ograniczeń dotyczy wyłączeń, które stosuje się na podstawie załącznika 11 do DPA 2018 do określonych przepisów zawartych w części 4 DPA 2018 (235) na potrzeby zabezpieczenia innych ważnych celów leżących w ogólnym interesie publicznym lub chronionych interesów, takich jak np. przywilej parlamentarny, prawnicza tajemnica zawodowa, przebieg postępowania sądowego lub skuteczność bojowa sił zbrojnych. Wyłączenia stosowania tych przepisów dokonuje się albo w odniesieniu do określonych kategorii informacji („ze względu na klasę”), albo w zakresie, w jakim stosowanie tych przepisów mogłoby zaszkodzić chronionemu interesowi („ze względu na szkodę”) (236). Na wyłączenia ze względu na szkodę można się powoływać tylko w takim zakresie, w jakim zastosowanie wymienionego przepisu dotyczącego ochrony danych prawdopodobnie zaszkodziłoby danemu interesowi. Stosowanie wyłączenia musi być zatem zawsze uzasadnione poprzez wskazanie odpowiedniej szkody, która prawdopodobnie powstałaby w danym przypadku. Na wyłączenia ze względu na klasę można się powoływać wyłącznie w odniesieniu do konkretnej, ściśle zdefiniowanej kategorii informacji, dla której przyznano wyłączenie. Wyłączenia te są podobne pod względem celu i skutku do szeregu wyjątków od RODO UK (określonych w załączniku 2 do DPA 2018), które z kolei odzwierciedlają cel i skutek przewidziane w art. 23 RODO. |
| --- | --- |

(136)

Inny zbiór możliwych ograniczeń dotyczy wyłączeń, które stosuje się na podstawie załącznika 11 do DPA 2018 do określonych przepisów zawartych w części 4 DPA 2018 (235) na potrzeby zabezpieczenia innych ważnych celów leżących w ogólnym interesie publicznym lub chronionych interesów, takich jak np. przywilej parlamentarny, prawnicza tajemnica zawodowa, przebieg postępowania sądowego lub skuteczność bojowa sił zbrojnych. Wyłączenia stosowania tych przepisów dokonuje się albo w odniesieniu do określonych kategorii informacji („ze względu na klasę”), albo w zakresie, w jakim stosowanie tych przepisów mogłoby zaszkodzić chronionemu interesowi („ze względu na szkodę”) (236). Na wyłączenia ze względu na szkodę można się powoływać tylko w takim zakresie, w jakim zastosowanie wymienionego przepisu dotyczącego ochrony danych prawdopodobnie zaszkodziłoby danemu interesowi. Stosowanie wyłączenia musi być zatem zawsze uzasadnione poprzez wskazanie odpowiedniej szkody, która prawdopodobnie powstałaby w danym przypadku. Na wyłączenia ze względu na klasę można się powoływać wyłącznie w odniesieniu do konkretnej, ściśle zdefiniowanej kategorii informacji, dla której przyznano wyłączenie. Wyłączenia te są podobne pod względem celu i skutku do szeregu wyjątków od RODO UK (określonych w załączniku 2 do DPA 2018), które z kolei odzwierciedlają cel i skutek przewidziane w art. 23 RODO.

235

236

| (137) | Z powyższego wynika, że – w rozumieniu obowiązujących w Zjednoczonym Królestwie przepisów oraz zgodnie z wykładnią sądów i interpretacją Komisji ds. Informacji – istnieją ograniczenia i warunki zapewniające, aby wspomniane wyłączenia i ograniczenia pozostawały w zakresie niezbędnym i proporcjonalnym do ochrony bezpieczeństwa narodowego. |
| --- | --- |

(137)

Z powyższego wynika, że – w rozumieniu obowiązujących w Zjednoczonym Królestwie przepisów oraz zgodnie z wykładnią sądów i interpretacją Komisji ds. Informacji – istnieją ograniczenia i warunki zapewniające, aby wspomniane wyłączenia i ograniczenia pozostawały w zakresie niezbędnym i proporcjonalnym do ochrony bezpieczeństwa narodowego.

| (138) | Przetwarzanie danych osobowych prowadzone przez służby wywiadowcze na podstawie części 4 DPA 2018 nadzoruje Komisarz ds. Informacji (237). |
| --- | --- |

(138)

Przetwarzanie danych osobowych prowadzone przez służby wywiadowcze na podstawie części 4 DPA 2018 nadzoruje Komisarz ds. Informacji (237).

237

| (139) | Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych przez służby wywiadowcze na podstawie części 4 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują w szczególności m.in.: monitorowanie i egzekwowanie części 4 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postępowań. |
| --- | --- |

(139)

Ogólne funkcje Komisarza ds. Informacji w odniesieniu do przetwarzania danych osobowych przez służby wywiadowcze na podstawie części 4 DPA 2018 zostały określone w załączniku 13 do tej ustawy. Jego zadania obejmują w szczególności m.in.: monitorowanie i egzekwowanie części 4 DPA 2018, zwiększanie świadomości społecznej, doradzanie parlamentowi, rządowi i innym instytucjom w zakresie środków legislacyjnych i administracyjnych, zwiększanie świadomości administratorów i podmiotów przetwarzających w zakresie ich obowiązków, udzielanie informacji osobie, której dane dotyczą, dotyczących wykonywania jej praw czy prowadzenie postępowań.

| (140) | Komisarz, podobnie jak określono w części 3 DPA 2018, jest uprawniony do powiadamiania administratorów o domniemanym naruszeniu oraz do wydawania ostrzeżeń, że przetwarzanie może naruszać przepisy, a także udziela upomnień, gdy naruszenie zostanie potwierdzone. Może również wydawać zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji za naruszenie określonych przepisów ustawy (238). W odróżnieniu jednak od uprawnień określonych w innych częściach DPA 2018 Komisarz nie może wydać zawiadomienia oceniającego organowi bezpieczeństwa narodowego (239). |
| --- | --- |

(140)

Komisarz, podobnie jak określono w części 3 DPA 2018, jest uprawniony do powiadamiania administratorów o domniemanym naruszeniu oraz do wydawania ostrzeżeń, że przetwarzanie może naruszać przepisy, a także udziela upomnień, gdy naruszenie zostanie potwierdzone. Może również wydawać zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji za naruszenie określonych przepisów ustawy (238). W odróżnieniu jednak od uprawnień określonych w innych częściach DPA 2018 Komisarz nie może wydać zawiadomienia oceniającego organowi bezpieczeństwa narodowego (239).

238

239

| (141) | Ponadto w art. 110 DPA 2018 przewidziano wyjątek dotyczący korzystania przez Komisarza z niektórych uprawnień, gdy jest to wymagane do celów ochrony bezpieczeństwa narodowego. Wyjątek ten obejmuje uprawnienie Komisarza do wydawania (wszelkiego rodzaju) zawiadomień na podstawie ustawy o ochronie danych (zawiadomień informacyjnych, oceniających, egzekucyjnych i w sprawie sankcji), uprawnienie do przeprowadzania inspekcji zgodnie z zobowiązaniami międzynarodowymi, uprawnienia do wstępu i inspekcji oraz przepisy dotyczące przestępstw (240). Jak wyjaśniono w motywie 136, wyjątki te będą miały zastosowanie tylko wtedy, gdy jest to niezbędne i proporcjonalne, oraz po przeprowadzeniu oceny każdego przypadku z osobna. Stosowanie tych wyjątków może podlegać kontroli sądowej (241). |
| --- | --- |

(141)

Ponadto w art. 110 DPA 2018 przewidziano wyjątek dotyczący korzystania przez Komisarza z niektórych uprawnień, gdy jest to wymagane do celów ochrony bezpieczeństwa narodowego. Wyjątek ten obejmuje uprawnienie Komisarza do wydawania (wszelkiego rodzaju) zawiadomień na podstawie ustawy o ochronie danych (zawiadomień informacyjnych, oceniających, egzekucyjnych i w sprawie sankcji), uprawnienie do przeprowadzania inspekcji zgodnie z zobowiązaniami międzynarodowymi, uprawnienia do wstępu i inspekcji oraz przepisy dotyczące przestępstw (240). Jak wyjaśniono w motywie 136, wyjątki te będą miały zastosowanie tylko wtedy, gdy jest to niezbędne i proporcjonalne, oraz po przeprowadzeniu oceny każdego przypadku z osobna. Stosowanie tych wyjątków może podlegać kontroli sądowej (241).

240

241

| (142) | Komisarz ds. Informacji i służby wywiadowcze Zjednoczonego Królestwa podpisały protokół ustaleń (242), który ustanawia ramy współpracy w wielu kwestiach, w tym w zakresie powiadamiania o naruszeniu ochrony danych i rozpatrywania skarg osób, których dane dotyczą. W protokole tym uzgodniono w szczególności, że po otrzymaniu skargi Komisarz ds. Informacji będzie zobowiązany ocenić prawidłowość wszelkich wyłączeń zastosowanych w związku z wystąpieniem zagrożenia dla bezpieczeństwa narodowego. Odpowiednia agencja wskazana w wytycznych rządu Zjednoczonego Królestwa dotyczących poświadczeń bezpieczeństwa narodowego przyjętych na podstawie ustawy o ochronie danych jest zobowiązana odpowiadać na pytania zadawane przez Komisarza ds. Informacji w toku rozpatrywania skarg osób fizycznych w terminie 20 dni roboczych, korzystając w tym celu z odpowiednich bezpiecznych kanałów, jeżeli wspomniane pytania dotyczą informacji niejawnych. Od kwietnia 2018 r. do chwili obecnej Komisarz ds. Informacji otrzymał od osób fizycznych 21 skarg, które dotyczyły służb wywiadowczych. Każda skarga została oceniona, a o rezultacie poinformowano osobę, której dane dotyczą (243). |
| --- | --- |

(142)

Komisarz ds. Informacji i służby wywiadowcze Zjednoczonego Królestwa podpisały protokół ustaleń (242), który ustanawia ramy współpracy w wielu kwestiach, w tym w zakresie powiadamiania o naruszeniu ochrony danych i rozpatrywania skarg osób, których dane dotyczą. W protokole tym uzgodniono w szczególności, że po otrzymaniu skargi Komisarz ds. Informacji będzie zobowiązany ocenić prawidłowość wszelkich wyłączeń zastosowanych w związku z wystąpieniem zagrożenia dla bezpieczeństwa narodowego. Odpowiednia agencja wskazana w wytycznych rządu Zjednoczonego Królestwa dotyczących poświadczeń bezpieczeństwa narodowego przyjętych na podstawie ustawy o ochronie danych jest zobowiązana odpowiadać na pytania zadawane przez Komisarza ds. Informacji w toku rozpatrywania skarg osób fizycznych w terminie 20 dni roboczych, korzystając w tym celu z odpowiednich bezpiecznych kanałów, jeżeli wspomniane pytania dotyczą informacji niejawnych. Od kwietnia 2018 r. do chwili obecnej Komisarz ds. Informacji otrzymał od osób fizycznych 21 skarg, które dotyczyły służb wywiadowczych. Każda skarga została oceniona, a o rezultacie poinformowano osobę, której dane dotyczą (243).

242

243

| (143) | Ponadto nad przetwarzaniem danych osobowych przez agencje wywiadowcze nadzór parlamentarny sprawuje Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa (ISC). Podstawą ustawową regulującą działalność komisji jest ustawa o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. (244) Na mocy tej ustawy powołano Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa, która stanowi jedną z komisji parlamentu Zjednoczonego Królestwa. W skład Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa wchodzą członkowie izb parlamentu powołani przez premiera po zasięgnięciu opinii lidera opozycji (245). Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest zobowiązana przedstawić parlamentowi sprawozdanie roczne ze swojej działalności, a w stosownych przypadkach również inne sprawozdania (246). |
| --- | --- |

(143)

Ponadto nad przetwarzaniem danych osobowych przez agencje wywiadowcze nadzór parlamentarny sprawuje Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa (ISC). Podstawą ustawową regulującą działalność komisji jest ustawa o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. (244) Na mocy tej ustawy powołano Komisję ds. Agencji Wywiadowczych i Bezpieczeństwa, która stanowi jedną z komisji parlamentu Zjednoczonego Królestwa. W skład Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa wchodzą członkowie izb parlamentu powołani przez premiera po zasięgnięciu opinii lidera opozycji (245). Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa jest zobowiązana przedstawić parlamentowi sprawozdanie roczne ze swojej działalności, a w stosownych przypadkach również inne sprawozdania (246).

244

245

246

| (144) | W 2013 r. zwiększono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa i obecnie obejmuje on również nadzór nad działaniami operacyjnymi podejmowanymi przez służby bezpieczeństwa. Zgodnie z art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa powierzono zadanie sprawowania nadzoru nad wydatkami agencji bezpieczeństwa narodowego, ich administracją, realizowaną przez nie polityką oraz podejmowanymi przez nie działaniami operacyjnymi. Zgodnie z ustawą o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może prowadzić postępowania w kwestiach operacyjnych, jeżeli nie dotyczą one operacji będących w toku (247). W protokole ustaleń uzgodnionym między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa (248) wyszczególniono elementy, które należy wziąć pod uwagę przy ustalaniu, czy dana czynność jest częścią operacji będącej w toku, czy też nie (249). Premier może również zwrócić się do Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa o zbadanie operacji będących w toku; komisja może ponadto dokonać przeglądu informacji przekazanych dobrowolnie przez agencje. |
| --- | --- |

(144)

W 2013 r. zwiększono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa i obecnie obejmuje on również nadzór nad działaniami operacyjnymi podejmowanymi przez służby bezpieczeństwa. Zgodnie z art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa powierzono zadanie sprawowania nadzoru nad wydatkami agencji bezpieczeństwa narodowego, ich administracją, realizowaną przez nie polityką oraz podejmowanymi przez nie działaniami operacyjnymi. Zgodnie z ustawą o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może prowadzić postępowania w kwestiach operacyjnych, jeżeli nie dotyczą one operacji będących w toku (247). W protokole ustaleń uzgodnionym między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa (248) wyszczególniono elementy, które należy wziąć pod uwagę przy ustalaniu, czy dana czynność jest częścią operacji będącej w toku, czy też nie (249). Premier może również zwrócić się do Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa o zbadanie operacji będących w toku; komisja może ponadto dokonać przeglądu informacji przekazanych dobrowolnie przez agencje.

247

248

249

| (145) | Zgodnie z załącznikiem 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może wystąpić do kierownika każdej z trzech służb wywiadowczych o ujawnienie wszelkich informacji. Agencja jest zobowiązana udostępnić żądane informacje, chyba że sprzeciwi się temu Sekretarz Stanu (250). Władze Zjednoczonego Królestwa wyjaśniły, że w praktyce przypadki odmowy udostępnienia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa żądanych przez nią informacji zdarzają się niezwykle rzadko (251). |
| --- | --- |

(145)

Zgodnie z załącznikiem 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa może wystąpić do kierownika każdej z trzech służb wywiadowczych o ujawnienie wszelkich informacji. Agencja jest zobowiązana udostępnić żądane informacje, chyba że sprzeciwi się temu Sekretarz Stanu (250). Władze Zjednoczonego Królestwa wyjaśniły, że w praktyce przypadki odmowy udostępnienia Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa żądanych przez nią informacji zdarzają się niezwykle rzadko (251).

250

251

| (146) | Jeżeli chodzi o środki zaskarżenia, to – przede wszystkim – zgodnie z art. 165 ust. 2 DPA 2018 osoba, której dane dotyczą, może wnieść skargę do Komisarza ds. Informacji, jeżeli uważa, że w odniesieniu do danych osobowych, które jej dotyczą, doszło do naruszenia przepisów części 4 DPA 2018, uwzględniając wszelkie nadużycia w zakresie stosowania odstępstw i ograniczeń z tytułu zagrożenia dla bezpieczeństwa narodowego. |
| --- | --- |

(146)

Jeżeli chodzi o środki zaskarżenia, to – przede wszystkim – zgodnie z art. 165 ust. 2 DPA 2018 osoba, której dane dotyczą, może wnieść skargę do Komisarza ds. Informacji, jeżeli uważa, że w odniesieniu do danych osobowych, które jej dotyczą, doszło do naruszenia przepisów części 4 DPA 2018, uwzględniając wszelkie nadużycia w zakresie stosowania odstępstw i ograniczeń z tytułu zagrożenia dla bezpieczeństwa narodowego.

| (147) | Ponadto zgodnie z częścią 4 DPA 2018 osoby fizyczne są uprawnione do wystąpienia do Wysokiego Trybunału (lub do Court of Session w Szkocji) o wydanie nakazu zobowiązującego administratora do zapewnienia poszanowania prawa dostępu do danych (252), prawa do wyrażenia sprzeciwu wobec przetwarzania danych (253) lub prawa do sprostowania danych bądź ich usunięcia. |
| --- | --- |

(147)

Ponadto zgodnie z częścią 4 DPA 2018 osoby fizyczne są uprawnione do wystąpienia do Wysokiego Trybunału (lub do Court of Session w Szkocji) o wydanie nakazu zobowiązującego administratora do zapewnienia poszanowania prawa dostępu do danych (252), prawa do wyrażenia sprzeciwu wobec przetwarzania danych (253) lub prawa do sprostowania danych bądź ich usunięcia.

252

253

| (148) | Osoby fizyczne mogą również dochodzić odszkodowania z tytułu szkód, jakich doznały wskutek niespełnienia przez administratora lub podmiot przetwarzający wymogu ustanowionego w części 4 DPA 2018 (254). Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie (255). |
| --- | --- |

(148)

Osoby fizyczne mogą również dochodzić odszkodowania z tytułu szkód, jakich doznały wskutek niespełnienia przez administratora lub podmiot przetwarzający wymogu ustanowionego w części 4 DPA 2018 (254). Szkoda obejmuje zarówno stratę finansową, jak i szkodę niezwiązaną ze stratą finansową, taką jak cierpienie (255).

254

255

| (149) | Osoba fizyczna może również wnieść skargę do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal) w związku z jakimikolwiek działaniami agencji wywiadowczych Zjednoczonego Królestwa lub jakimikolwiek działaniami podejmowanymi w imieniu tych agencji (256). Trybunał ds. Uprawnień Dochodzeniowo-Śledczych ustanowiono na mocy ustawy regulującej uprawnienia dochodzeniowo-śledcze w Anglii, Walii i Irlandii Północnej z 2000 r. oraz na mocy ustawy regulującej uprawnienia dochodzeniowo-śledcze w Szkocji z 2000 r. (RIPA 2000) – jest on niezależny od organów władzy wykonawczej (257). Zgodnie z art. 65 RIPA 2000 Jej Królewska Mość powołuje członków Trybunału ds. Uprawnień Dochodzeniowo-Śledczych na pięcioletnią kadencję. |
| --- | --- |

(149)

Osoba fizyczna może również wnieść skargę do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych (Investigatory Powers Tribunal) w związku z jakimikolwiek działaniami agencji wywiadowczych Zjednoczonego Królestwa lub jakimikolwiek działaniami podejmowanymi w imieniu tych agencji (256). Trybunał ds. Uprawnień Dochodzeniowo-Śledczych ustanowiono na mocy ustawy regulującej uprawnienia dochodzeniowo-śledcze w Anglii, Walii i Irlandii Północnej z 2000 r. oraz na mocy ustawy regulującej uprawnienia dochodzeniowo-śledcze w Szkocji z 2000 r. (RIPA 2000) – jest on niezależny od organów władzy wykonawczej (257). Zgodnie z art. 65 RIPA 2000 Jej Królewska Mość powołuje członków Trybunału ds. Uprawnień Dochodzeniowo-Śledczych na pięcioletnią kadencję.

256

257

| (150) | Jej Królewska Mość może odwołać członka Trybunału na podstawie oświadczenia (258) obydwu izb parlamentu (259). |
| --- | --- |

(150)

Jej Królewska Mość może odwołać członka Trybunału na podstawie oświadczenia (258) obydwu izb parlamentu (259).

258

259

| (151) | Aby wszcząć postępowanie przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych („wymóg w zakresie legitymacji procesowej”), zgodnie z art. 65 RIPA 2000 osoba fizyczna musi żywić przekonanie, że (i) służba wywiadowcza podjęła określone działania w odniesieniu do niej, jakiegokolwiek składnika jej majątku, jakichkolwiek wysyłanych przez nią lub adresowanych do niej wiadomości lub wiadomości, które miały zostać jej przesłane, lub w odniesieniu do korzystania przez nią z jakichkolwiek usług pocztowych, usług telekomunikacyjnych lub systemu telekomunikacyjnego (260) i że (ii) działania te były podejmowane w „okolicznościach budzących wątpliwości” (261) lub „przez służby wywiadowcze bądź w imieniu tych służb” (262). Ponieważ do owego „przekonania” stosuje się dość szeroką wykładnię (263), wniesienie sprawy do Trybunału podlega stosunkowo łagodnym wymogom w zakresie legitymacji procesowej. |
| --- | --- |

(151)

Aby wszcząć postępowanie przed Trybunałem ds. Uprawnień Dochodzeniowo-Śledczych („wymóg w zakresie legitymacji procesowej”), zgodnie z art. 65 RIPA 2000 osoba fizyczna musi żywić przekonanie, że (i) służba wywiadowcza podjęła określone działania w odniesieniu do niej, jakiegokolwiek składnika jej majątku, jakichkolwiek wysyłanych przez nią lub adresowanych do niej wiadomości lub wiadomości, które miały zostać jej przesłane, lub w odniesieniu do korzystania przez nią z jakichkolwiek usług pocztowych, usług telekomunikacyjnych lub systemu telekomunikacyjnego (260) i że (ii) działania te były podejmowane w „okolicznościach budzących wątpliwości” (261) lub „przez służby wywiadowcze bądź w imieniu tych służb” (262). Ponieważ do owego „przekonania” stosuje się dość szeroką wykładnię (263), wniesienie sprawy do Trybunału podlega stosunkowo łagodnym wymogom w zakresie legitymacji procesowej.

260

261

262

263

| (152) | W przypadku gdy Trybunał rozpoznaje wniesioną do niego skargę, jego obowiązkiem jest zbadanie, czy osoby, wobec których w skardze sformułowano jakikolwiek zarzut, dopuściły się naruszeń w stosunku do skarżącego, jak również zbadanie organu, który rzekomo dopuścił się naruszeń, oraz kwestii, czy miało miejsce zarzucane działanie (264). We wszelkich tego rodzaju postępowaniach przy wydawaniu orzeczeń Trybunał musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (265). |
| --- | --- |

(152)

W przypadku gdy Trybunał rozpoznaje wniesioną do niego skargę, jego obowiązkiem jest zbadanie, czy osoby, wobec których w skardze sformułowano jakikolwiek zarzut, dopuściły się naruszeń w stosunku do skarżącego, jak również zbadanie organu, który rzekomo dopuścił się naruszeń, oraz kwestii, czy miało miejsce zarzucane działanie (264). We wszelkich tego rodzaju postępowaniach przy wydawaniu orzeczeń Trybunał musi stosować te same zasady, które zastosowałby sąd w przypadku wniosku o kontrolę sądową (265).

264

265

| (153) | Trybunał ds. Uprawnień Dochodzeniowo-Śledczych musi powiadomić skarżącego o tym, czy wydał orzeczenie na jego korzyść, czy nie (266). Zgodnie z art. 67 ust. 6 i 7 RIPA 2000 Trybunał jest uprawniony do wydawania nakazów tymczasowych oraz zasądzania odszkodowania lub zastosowania innego nakazu, jaki uzna za stosowny (267). Zgodnie z art. 67 A RIPA 2000 orzeczenie Trybunału można zaskarżyć pod warunkiem uzyskania zgody Trybunału lub właściwego sądu apelacyjnego. |
| --- | --- |

(153)

Trybunał ds. Uprawnień Dochodzeniowo-Śledczych musi powiadomić skarżącego o tym, czy wydał orzeczenie na jego korzyść, czy nie (266). Zgodnie z art. 67 ust. 6 i 7 RIPA 2000 Trybunał jest uprawniony do wydawania nakazów tymczasowych oraz zasądzania odszkodowania lub zastosowania innego nakazu, jaki uzna za stosowny (267). Zgodnie z art. 67 A RIPA 2000 orzeczenie Trybunału można zaskarżyć pod warunkiem uzyskania zgody Trybunału lub właściwego sądu apelacyjnego.

266

267

| (154) | Osoby fizyczne mogą wystąpić z roszczeniem do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych – i uzyskać odszkodowanie – w szczególności w przypadku gdy organ publiczny działał (lub zamierza działać) w sposób naruszający prawa zagwarantowane w EKPC, w tym prawo do prywatności i ochrony danych, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r. Trybunał ds. Uprawnień Dochodzeniowo-Śledczych dysponuje właściwością wyłączną do rozpoznawania wszystkich roszczeń przeciwko agencjom wywiadowczym wnoszonych na podstawie ustawy o prawach człowieka. Jak zauważył Wysoki Trybunał, oznacza to, że „kwestia, czy doszło do naruszenia ustawy o prawach człowieka w zakresie okoliczności faktycznych konkretnej sprawy, może być zasadniczo podniesiona i rozstrzygnięta przez niezależny sąd, który może mieć dostęp do wszystkich istotnych materiałów, w tym materiałów niejawnych. [...] W tym kontekście należy również pamiętać, że orzeczenia samego Trybunału ds. Uprawnień Dochodzeniowo-Śledczych mogą obecnie stać się przedmiotem odwołania do odpowiedniego sądu apelacyjnego (w Anglii i Walii byłby to Sąd Apelacyjny) oraz że Sąd Najwyższy orzekł niedawno, że Trybunał ds. Uprawnień Dochodzeniowo-Śledczych może co do zasady podlegać kontroli sądowej: zob. Korona (Privacy International) przeciwko Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (268). Jeśli Trybunał ds. Uprawnień Dochodzeniowo-Śledczych stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub środek prawny bądź wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (269). |
| --- | --- |

(154)

Osoby fizyczne mogą wystąpić z roszczeniem do Trybunału ds. Uprawnień Dochodzeniowo-Śledczych – i uzyskać odszkodowanie – w szczególności w przypadku gdy organ publiczny działał (lub zamierza działać) w sposób naruszający prawa zagwarantowane w EKPC, w tym prawo do prywatności i ochrony danych, a w rezultacie niezgodny z prawem w rozumieniu art. 6 ust. 1 ustawy o prawach człowieka z 1998 r. Trybunał ds. Uprawnień Dochodzeniowo-Śledczych dysponuje właściwością wyłączną do rozpoznawania wszystkich roszczeń przeciwko agencjom wywiadowczym wnoszonych na podstawie ustawy o prawach człowieka. Jak zauważył Wysoki Trybunał, oznacza to, że „kwestia, czy doszło do naruszenia ustawy o prawach człowieka w zakresie okoliczności faktycznych konkretnej sprawy, może być zasadniczo podniesiona i rozstrzygnięta przez niezależny sąd, który może mieć dostęp do wszystkich istotnych materiałów, w tym materiałów niejawnych. [...] W tym kontekście należy również pamiętać, że orzeczenia samego Trybunału ds. Uprawnień Dochodzeniowo-Śledczych mogą obecnie stać się przedmiotem odwołania do odpowiedniego sądu apelacyjnego (w Anglii i Walii byłby to Sąd Apelacyjny) oraz że Sąd Najwyższy orzekł niedawno, że Trybunał ds. Uprawnień Dochodzeniowo-Śledczych może co do zasady podlegać kontroli sądowej: zob. Korona (Privacy International) przeciwko Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (268). Jeśli Trybunał ds. Uprawnień Dochodzeniowo-Śledczych stwierdzi, że jakiekolwiek działanie organu publicznego jest niezgodne z prawem, może – w ramach swojej właściwości – zastosować taki środek zabezpieczający lub środek prawny bądź wydać taki nakaz, jaki uzna za sprawiedliwy i właściwy (269).

268

269

| (155) | Po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszenia praw gwarantowanych na mocy EKPC, w tym prawa do prywatności i ochrony danych. |
| --- | --- |

(155)

Po wyczerpaniu krajowych środków ochrony prawnej osobie fizycznej przysługuje środek zaskarżenia przed Europejskim Trybunałem Praw Człowieka z tytułu naruszenia praw gwarantowanych na mocy EKPC, w tym prawa do prywatności i ochrony danych.

| (156) | Z powyższego wynika, że udostępnianie danych przekazanych na podstawie niniejszej decyzji przez organy ścigania Zjednoczonego Królestwa innym organom publicznym, w tym agencjom wywiadowczym, podlega ograniczeniom i warunkom zapewniającym, aby takie dalsze przekazanie było niezbędne i proporcjonalne, a także szczególnym zabezpieczeniom służącym ochronie danych przewidzianym w DPA 2018. Ponadto przetwarzanie danych przez organy publiczne podlega nadzorowi niezależnych organów, a osoby, na które ma ono wpływ, mają dostęp do skutecznych środków ochrony prawnej przed sądem. |
| --- | --- |

(156)

Z powyższego wynika, że udostępnianie danych przekazanych na podstawie niniejszej decyzji przez organy ścigania Zjednoczonego Królestwa innym organom publicznym, w tym agencjom wywiadowczym, podlega ograniczeniom i warunkom zapewniającym, aby takie dalsze przekazanie było niezbędne i proporcjonalne, a także szczególnym zabezpieczeniom służącym ochronie danych przewidzianym w DPA 2018. Ponadto przetwarzanie danych przez organy publiczne podlega nadzorowi niezależnych organów, a osoby, na które ma ono wpływ, mają dostęp do skutecznych środków ochrony prawnej przed sądem.

3.   WNIOSEK

WNIOSEK

| (157) | Komisja uważa, że część 3 DPA 2018 zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych do celów ścigania przestępstw z właściwych organów w Unii do właściwych organów w Zjednoczonym Królestwie, który zasadniczo odpowiada stopniowi ochrony zagwarantowanemu w dyrektywie (UE) 2016/680. |
| --- | --- |

(157)

Komisja uważa, że część 3 DPA 2018 zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych do celów ścigania przestępstw z właściwych organów w Unii do właściwych organów w Zjednoczonym Królestwie, który zasadniczo odpowiada stopniowi ochrony zagwarantowanemu w dyrektywie (UE) 2016/680.

| (158) | Ponadto Komisja stwierdza, że mechanizmy nadzoru i możliwości dochodzenia roszczeń przewidziane w prawie Zjednoczonego Królestwa – rozumiane jako całość – zapewniają możliwość identyfikowania przypadków naruszenia przepisów i w praktyce nakładania za te naruszenia sankcji oraz oferują osobom, których dane dotyczą, możliwość skorzystania ze środków ochrony prawnej w celu uzyskania dostępu do dotyczących ich danych osobowych, a także – ostatecznie – sprostowania lub usunięcia takich danych. |
| --- | --- |

(158)

Ponadto Komisja stwierdza, że mechanizmy nadzoru i możliwości dochodzenia roszczeń przewidziane w prawie Zjednoczonego Królestwa – rozumiane jako całość – zapewniają możliwość identyfikowania przypadków naruszenia przepisów i w praktyce nakładania za te naruszenia sankcji oraz oferują osobom, których dane dotyczą, możliwość skorzystania ze środków ochrony prawnej w celu uzyskania dostępu do dotyczących ich danych osobowych, a także – ostatecznie – sprostowania lub usunięcia takich danych.

| (159) | Wreszcie, na podstawie dostępnych informacji na temat porządku prawnego Zjednoczonego Królestwa Komisja uważa, że wszelkie ingerencje w prawa podstawowe osób fizycznych, których dane osobowe są przekazywane z Unii Europejskiej do Zjednoczonego Królestwa, jakich dopuszczają się organy publiczne Zjednoczonego Królestwa do celów zgodnych z interesem publicznym, w szczególności w kontekście udostępniania danych osobowych między organami ścigania i innymi organami publicznymi, takimi jak organy bezpieczeństwa narodowego, będą ograniczać się do tego, co jest ściśle niezbędne do osiągnięcia tego uzasadnionego celu, oraz że ustanowiono skuteczną ochronę prawną przed takimi ingerencjami. |
| --- | --- |

(159)

Wreszcie, na podstawie dostępnych informacji na temat porządku prawnego Zjednoczonego Królestwa Komisja uważa, że wszelkie ingerencje w prawa podstawowe osób fizycznych, których dane osobowe są przekazywane z Unii Europejskiej do Zjednoczonego Królestwa, jakich dopuszczają się organy publiczne Zjednoczonego Królestwa do celów zgodnych z interesem publicznym, w szczególności w kontekście udostępniania danych osobowych między organami ścigania i innymi organami publicznymi, takimi jak organy bezpieczeństwa narodowego, będą ograniczać się do tego, co jest ściśle niezbędne do osiągnięcia tego uzasadnionego celu, oraz że ustanowiono skuteczną ochronę prawną przed takimi ingerencjami.

| (160) | Należy zatem uznać, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony w rozumieniu art. 36 ust. 2 dyrektywy (UE) 2016/680, interpretowanego w świetle Karty praw podstawowych. |
| --- | --- |

(160)

Należy zatem uznać, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony w rozumieniu art. 36 ust. 2 dyrektywy (UE) 2016/680, interpretowanego w świetle Karty praw podstawowych.

| (161) | Wniosek ten opiera się zarówno na odpowiednim systemie krajowym Zjednoczonego Królestwa, jak i na jego zobowiązaniach międzynarodowych, w szczególności na przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka. Nieprzerwane przestrzeganie takich zobowiązań międzynarodowych stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja. |
| --- | --- |

(161)

Wniosek ten opiera się zarówno na odpowiednim systemie krajowym Zjednoczonego Królestwa, jak i na jego zobowiązaniach międzynarodowych, w szczególności na przystąpieniu do Konwencji o ochronie praw człowieka i podstawowych wolności i poddaniu się jurysdykcji Europejskiego Trybunału Praw Człowieka. Nieprzerwane przestrzeganie takich zobowiązań międzynarodowych stanowi zatem szczególnie istotny element oceny, na której opiera się niniejsza decyzja.

4.   SKUTKI NINIEJSZEJ DECYZJI I DZIAŁANIA ORGANÓW OCHRONY DANYCH

SKUTKI NINIEJSZEJ DECYZJI I DZIAŁANIA ORGANÓW OCHRONY DANYCH

| (162) | Państwa członkowskie i ich organy mają obowiązek stosować środki niezbędne do zapewnienia zgodności z aktami instytucji unijnych, ponieważ domniemywa się, że akty te są zgodne z prawem, a zatem wywołują skutki prawne do chwili ich wygaśnięcia, uchylenia, stwierdzenia ich nieważności w postępowaniu o stwierdzenie nieważności lub orzeczenia o ich nieważności w następstwie odesłania prejudycjalnego lub zarzutu niezgodności z prawem. |
| --- | --- |

(162)

Państwa członkowskie i ich organy mają obowiązek stosować środki niezbędne do zapewnienia zgodności z aktami instytucji unijnych, ponieważ domniemywa się, że akty te są zgodne z prawem, a zatem wywołują skutki prawne do chwili ich wygaśnięcia, uchylenia, stwierdzenia ich nieważności w postępowaniu o stwierdzenie nieważności lub orzeczenia o ich nieważności w następstwie odesłania prejudycjalnego lub zarzutu niezgodności z prawem.

| (163) | Decyzja stwierdzająca odpowiedni stopień ochrony danych osobowych przyjęta przez Komisję na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680 jest zatem wiążąca dla wszystkich organów państw członkowskich, do których jest skierowana, w tym ich niezależnych organów nadzorczych. W szczególności w okresie stosowania niniejszej decyzji przekazywanie danych przez administratora lub podmiot przetwarzający w Unii administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia. |
| --- | --- |

(163)

Decyzja stwierdzająca odpowiedni stopień ochrony danych osobowych przyjęta przez Komisję na podstawie art. 36 ust. 3 dyrektywy (UE) 2016/680 jest zatem wiążąca dla wszystkich organów państw członkowskich, do których jest skierowana, w tym ich niezależnych organów nadzorczych. W szczególności w okresie stosowania niniejszej decyzji przekazywanie danych przez administratora lub podmiot przetwarzający w Unii administratorom lub podmiotom przetwarzającym w Zjednoczonym Królestwie może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia.

| (164) | Należy przypomnieć, że zgodnie z art. 47 ust. 5 dyrektywy (UE) 2016/680 i jak wyjaśnił Trybunał Sprawiedliwości w wyroku w sprawie Schrems, jeżeli krajowy organ ochrony danych kwestionuje, również na podstawie skargi, zgodność wydanej przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony z podstawowymi prawami osoby do prywatności i ochrony danych, należy zapewnić w prawie krajowym drogę prawną umożliwiającą jej podniesienie tych zarzutów przed sądem krajowym, który może być zobowiązany do wystąpienia z odesłaniem prejudycjalnym do Trybunału Sprawiedliwości (270). |
| --- | --- |

(164)

Należy przypomnieć, że zgodnie z art. 47 ust. 5 dyrektywy (UE) 2016/680 i jak wyjaśnił Trybunał Sprawiedliwości w wyroku w sprawie Schrems, jeżeli krajowy organ ochrony danych kwestionuje, również na podstawie skargi, zgodność wydanej przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony z podstawowymi prawami osoby do prywatności i ochrony danych, należy zapewnić w prawie krajowym drogę prawną umożliwiającą jej podniesienie tych zarzutów przed sądem krajowym, który może być zobowiązany do wystąpienia z odesłaniem prejudycjalnym do Trybunału Sprawiedliwości (270).

270

5.   MONITOROWANIE, ZAWIESZENIE, UCHYLENIE LUB ZMIANA NINIEJSZEJ DECYZJI

MONITOROWANIE, ZAWIESZENIE, UCHYLENIE LUB ZMIANA NINIEJSZEJ DECYZJI

| (165) | Zgodnie z art. 36 ust. 4 dyrektywy (UE) 2016/680 Komisja jest zobowiązana na bieżąco monitorować odpowiednie zmiany w Zjednoczonym Królestwie po przyjęciu niniejszej decyzji, aby ocenić, czy nadal zapewnia ono zasadniczo odpowiadający stopień ochrony. Takie monitorowanie jest szczególnie ważne w tym przypadku, ponieważ nowy system ochrony danych Zjednoczonego Królestwa, którym będzie ono zarządzać, stosować go i egzekwować jego stosowanie, nie będzie już podlegać prawu Unii; może również ulegać zmianom. W związku z tym szczególna uwaga zostanie zwrócona na stosowanie w praktyce przepisów Zjednoczonego Królestwa dotyczących przekazywania danych osobowych do państw trzecich, w tym poprzez zawieranie umów międzynarodowych, oraz na wpływ, jaki może to mieć na stopień ochrony zapewnianej danym przekazywanym na mocy niniejszej decyzji; a także na skuteczność wykonywania praw indywidualnych w dziedzinach objętych niniejszą decyzją. W ramach monitorowania Komisja uwzględni m.in. zmiany w orzecznictwie i nadzór ze strony Komisarza ds. Informacji i innych niezależnych organów. |
| --- | --- |

(165)

Zgodnie z art. 36 ust. 4 dyrektywy (UE) 2016/680 Komisja jest zobowiązana na bieżąco monitorować odpowiednie zmiany w Zjednoczonym Królestwie po przyjęciu niniejszej decyzji, aby ocenić, czy nadal zapewnia ono zasadniczo odpowiadający stopień ochrony. Takie monitorowanie jest szczególnie ważne w tym przypadku, ponieważ nowy system ochrony danych Zjednoczonego Królestwa, którym będzie ono zarządzać, stosować go i egzekwować jego stosowanie, nie będzie już podlegać prawu Unii; może również ulegać zmianom. W związku z tym szczególna uwaga zostanie zwrócona na stosowanie w praktyce przepisów Zjednoczonego Królestwa dotyczących przekazywania danych osobowych do państw trzecich, w tym poprzez zawieranie umów międzynarodowych, oraz na wpływ, jaki może to mieć na stopień ochrony zapewnianej danym przekazywanym na mocy niniejszej decyzji; a także na skuteczność wykonywania praw indywidualnych w dziedzinach objętych niniejszą decyzją. W ramach monitorowania Komisja uwzględni m.in. zmiany w orzecznictwie i nadzór ze strony Komisarza ds. Informacji i innych niezależnych organów.

| (166) | Aby ułatwić to monitorowanie, władze Zjednoczonego Królestwa powinny niezwłocznie i regularnie informować Komisję o wszelkich istotnych zmianach w porządku prawnym Zjednoczonego Królestwa, które mają wpływ na ramy prawne będące przedmiotem niniejszej decyzji, a także o wszelkich zmianach praktyk związanych z przetwarzaniem danych osobowych poddanych ocenie w niniejszej decyzji, w szczególności w odniesieniu do elementów, o których mowa w motywie 165. |
| --- | --- |

(166)

Aby ułatwić to monitorowanie, władze Zjednoczonego Królestwa powinny niezwłocznie i regularnie informować Komisję o wszelkich istotnych zmianach w porządku prawnym Zjednoczonego Królestwa, które mają wpływ na ramy prawne będące przedmiotem niniejszej decyzji, a także o wszelkich zmianach praktyk związanych z przetwarzaniem danych osobowych poddanych ocenie w niniejszej decyzji, w szczególności w odniesieniu do elementów, o których mowa w motywie 165.

| (167) | Ponadto, aby Komisja mogła skutecznie realizować funkcję monitorowania, państwa członkowskie powinny informować ją o wszelkich istotnych działaniach podejmowanych przez organy ochrony danych państw członkowskich, zwłaszcza w odniesieniu do zapytań lub skarg osób z UE, których dane dotyczą, dotyczących przekazywania danych osobowych z Unii właściwym organom w Zjednoczonym Królestwie. Komisja powinna być również informowana o wszelkich sygnałach świadczących o tym, że działania organów publicznych Zjednoczonego Królestwa odpowiedzialnych za zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych, w tym wszelkich organów nadzoru, nie gwarantują wymaganego stopnia ochrony. |
| --- | --- |

(167)

Ponadto, aby Komisja mogła skutecznie realizować funkcję monitorowania, państwa członkowskie powinny informować ją o wszelkich istotnych działaniach podejmowanych przez organy ochrony danych państw członkowskich, zwłaszcza w odniesieniu do zapytań lub skarg osób z UE, których dane dotyczą, dotyczących przekazywania danych osobowych z Unii właściwym organom w Zjednoczonym Królestwie. Komisja powinna być również informowana o wszelkich sygnałach świadczących o tym, że działania organów publicznych Zjednoczonego Królestwa odpowiedzialnych za zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych, w tym wszelkich organów nadzoru, nie gwarantują wymaganego stopnia ochrony.

| (168) | W przypadku gdy z dostępnych informacji, w szczególności informacji uzyskanych w wyniku monitorowania niniejszej decyzji lub przedstawionych przez władze Zjednoczonego Królestwa lub państw członkowskich, wynika, że stopień ochrony zapewniany przez Zjednoczone Królestwo może nie być już odpowiedni, Komisja powinna powiadomić o tym właściwe organy Zjednoczonego Królestwa i zwrócić się o zastosowanie właściwych środków w określonym terminie, który nie może przekraczać trzech miesięcy. W razie potrzeby okres ten może zostać przedłużony o określony czas, biorąc pod uwagę charakter danej kwestii i środki, które należy zastosować. |
| --- | --- |

(168)

W przypadku gdy z dostępnych informacji, w szczególności informacji uzyskanych w wyniku monitorowania niniejszej decyzji lub przedstawionych przez władze Zjednoczonego Królestwa lub państw członkowskich, wynika, że stopień ochrony zapewniany przez Zjednoczone Królestwo może nie być już odpowiedni, Komisja powinna powiadomić o tym właściwe organy Zjednoczonego Królestwa i zwrócić się o zastosowanie właściwych środków w określonym terminie, który nie może przekraczać trzech miesięcy. W razie potrzeby okres ten może zostać przedłużony o określony czas, biorąc pod uwagę charakter danej kwestii i środki, które należy zastosować.

| (169) | Jeżeli po upływie tego określonego terminu właściwe organy Zjednoczonego Królestwa nie zastosują tych środków lub w inny zadowalający sposób nie wykażą, że niniejsza decyzja jest nadal oparta na odpowiednim stopniu ochrony, Komisja rozpocznie procedurę, o której mowa w art. 58 ust. 2 dyrektywy (UE) 2016/680, w celu częściowego lub całkowitego zawieszenia lub uchylenia niniejszej decyzji. |
| --- | --- |

(169)

Jeżeli po upływie tego określonego terminu właściwe organy Zjednoczonego Królestwa nie zastosują tych środków lub w inny zadowalający sposób nie wykażą, że niniejsza decyzja jest nadal oparta na odpowiednim stopniu ochrony, Komisja rozpocznie procedurę, o której mowa w art. 58 ust. 2 dyrektywy (UE) 2016/680, w celu częściowego lub całkowitego zawieszenia lub uchylenia niniejszej decyzji.

| (170) | Ewentualnie Komisja rozpocznie tę procedurę w celu zmiany decyzji, zwłaszcza uzależniając przekazywanie danych od spełnienia dodatkowych warunków lub ograniczając zakres stwierdzenia odpowiedniego stopnia ochrony wyłącznie do przekazywania danych, co do których zapewniono ciągłość odpowiedniego stopnia ochrony. |
| --- | --- |

(170)

Ewentualnie Komisja rozpocznie tę procedurę w celu zmiany decyzji, zwłaszcza uzależniając przekazywanie danych od spełnienia dodatkowych warunków lub ograniczając zakres stwierdzenia odpowiedniego stopnia ochrony wyłącznie do przekazywania danych, co do których zapewniono ciągłość odpowiedniego stopnia ochrony.

| (171) | W należycie uzasadnionych, szczególnie pilnych przypadkach Komisja skorzysta z możliwości przyjęcia zgodnie z procedurą, o której mowa w art. 58 ust. 3 dyrektywy (UE) 2016/680, mających natychmiastowe zastosowanie aktów wykonawczych zawieszających, uchylających lub zmieniających decyzję. |
| --- | --- |

(171)

W należycie uzasadnionych, szczególnie pilnych przypadkach Komisja skorzysta z możliwości przyjęcia zgodnie z procedurą, o której mowa w art. 58 ust. 3 dyrektywy (UE) 2016/680, mających natychmiastowe zastosowanie aktów wykonawczych zawieszających, uchylających lub zmieniających decyzję.

6.   OKRES OBOWIĄZYWANIA I PRZEDŁUŻENIE OBOWIĄZYWANIA NINIEJSZEJ DECYZJI

OKRES OBOWIĄZYWANIA I PRZEDŁUŻENIE OBOWIĄZYWANIA NINIEJSZEJ DECYZJI

| (172) | Należy wziąć pod uwagę, że wraz z zakończeniem okresu przejściowego przewidzianego w umowie o wystąpieniu oraz z chwilą, gdy przestanie obowiązywać przepis przejściowy określony w art. 782 umowy o handlu i współpracy między Zjednoczonym Królestwem a UE, Zjednoczone Królestwo będzie zarządzać nowym systemem ochrony danych w porównaniu z systemem, który obowiązywał, gdy Zjednoczone Królestwo było związane prawem Unii, a także stosować go i egzekwować jego stosowanie. Może to w szczególności obejmować poprawki lub zmiany w ramach ochrony danych poddanych ocenie w niniejszej decyzji, jak również inne istotne zmiany. |
| --- | --- |

(172)

Należy wziąć pod uwagę, że wraz z zakończeniem okresu przejściowego przewidzianego w umowie o wystąpieniu oraz z chwilą, gdy przestanie obowiązywać przepis przejściowy określony w art. 782 umowy o handlu i współpracy między Zjednoczonym Królestwem a UE, Zjednoczone Królestwo będzie zarządzać nowym systemem ochrony danych w porównaniu z systemem, który obowiązywał, gdy Zjednoczone Królestwo było związane prawem Unii, a także stosować go i egzekwować jego stosowanie. Może to w szczególności obejmować poprawki lub zmiany w ramach ochrony danych poddanych ocenie w niniejszej decyzji, jak również inne istotne zmiany.

| (173) | W związku z tym należy zapewnić, aby niniejsza decyzja była stosowana przez okres czterech lat od chwili jej wejścia w życie. |
| --- | --- |

(173)

W związku z tym należy zapewnić, aby niniejsza decyzja była stosowana przez okres czterech lat od chwili jej wejścia w życie.

| (174) | W przypadku gdy w szczególności z informacji uzyskanych w wyniku monitorowania niniejszej decyzji będzie wynikało, że ustalenia dotyczące odpowiedniego stopnia ochrony zapewnianego w Zjednoczonym Królestwie są nadal uzasadnione pod względem faktycznym i prawnym, Komisja powinna, najpóźniej sześć miesięcy przed zakończeniem okresu stosowania niniejszej decyzji, wszcząć procedurę zmiany niniejszej decyzji poprzez przedłużenie jej zakresu czasowego, co do zasady, na dodatkowy okres czterech lat. Każdy taki akt wykonawczy zmieniający niniejszą decyzję należy przyjąć zgodnie z procedurą, o której mowa w art. 58 ust. 2 dyrektywy (UE) 2016/680. |
| --- | --- |

(174)

W przypadku gdy w szczególności z informacji uzyskanych w wyniku monitorowania niniejszej decyzji będzie wynikało, że ustalenia dotyczące odpowiedniego stopnia ochrony zapewnianego w Zjednoczonym Królestwie są nadal uzasadnione pod względem faktycznym i prawnym, Komisja powinna, najpóźniej sześć miesięcy przed zakończeniem okresu stosowania niniejszej decyzji, wszcząć procedurę zmiany niniejszej decyzji poprzez przedłużenie jej zakresu czasowego, co do zasady, na dodatkowy okres czterech lat. Każdy taki akt wykonawczy zmieniający niniejszą decyzję należy przyjąć zgodnie z procedurą, o której mowa w art. 58 ust. 2 dyrektywy (UE) 2016/680.

7.   UWAGI KOŃCOWE

UWAGI KOŃCOWE

| (175) | Europejska Rada Ochrony Danych opublikowała swoją opinię (271), która została uwzględniona podczas przygotowywania niniejszej decyzji. |
| --- | --- |

(175)

Europejska Rada Ochrony Danych opublikowała swoją opinię (271), która została uwzględniona podczas przygotowywania niniejszej decyzji.

271

| (176) | Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na mocy art. 58 dyrektywy (UE) 2016/680. |
| --- | --- |

(176)

Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na mocy art. 58 dyrektywy (UE) 2016/680.

| (177) | Zgodnie z art. 6a Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, który jest załączony do TUE i TFUE, Irlandia nie jest związana przepisami ustanowionymi w dyrektywie (UE) 2016/680, a zatem również w niniejszej decyzji wykonawczej, dotyczącymi przetwarzania danych osobowych przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres zastosowania części trzeciej tytuł V rozdział 4 lub rozdział 5 TFUE, jeżeli Irlandia nie jest związana zasadami regulującymi formy współpracy wymiarów sprawiedliwości w sprawach karnych lub współpracy policyjnej, w ramach której należy przestrzegać przepisów ustanowionych na podstawie art. 16 TFUE. Ponadto zgodnie z decyzją wykonawczą Rady (UE) 2020/1745 (272) dyrektywę (UE) 2016/680 należy wprowadzić w życie i stosować tymczasowo w Irlandii od dnia 1 stycznia 2021 r. Irlandia jest zatem związana niniejszą decyzją wykonawczą na takich samych zasadach, jakie mają zastosowanie do stosowania dyrektywy (UE) 2016/680 w Irlandii, jak przewidziano w decyzji wykonawczej (UE) 2020/1745, jeżeli chodzi o dorobek Schengen, w którym uczestniczy. |
| --- | --- |

(177)

Zgodnie z art. 6a Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, który jest załączony do TUE i TFUE, Irlandia nie jest związana przepisami ustanowionymi w dyrektywie (UE) 2016/680, a zatem również w niniejszej decyzji wykonawczej, dotyczącymi przetwarzania danych osobowych przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres zastosowania części trzeciej tytuł V rozdział 4 lub rozdział 5 TFUE, jeżeli Irlandia nie jest związana zasadami regulującymi formy współpracy wymiarów sprawiedliwości w sprawach karnych lub współpracy policyjnej, w ramach której należy przestrzegać przepisów ustanowionych na podstawie art. 16 TFUE. Ponadto zgodnie z decyzją wykonawczą Rady (UE) 2020/1745 (272) dyrektywę (UE) 2016/680 należy wprowadzić w życie i stosować tymczasowo w Irlandii od dnia 1 stycznia 2021 r. Irlandia jest zatem związana niniejszą decyzją wykonawczą na takich samych zasadach, jakie mają zastosowanie do stosowania dyrektywy (UE) 2016/680 w Irlandii, jak przewidziano w decyzji wykonawczej (UE) 2020/1745, jeżeli chodzi o dorobek Schengen, w którym uczestniczy.

272

| (178) | Zgodnie z art. 2 i 2a Protokołu nr 22 w sprawie stanowiska Danii, który jest załączony do Traktatu o Unii Europejskiej i Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie jest związana przepisami ustanowionymi w dyrektywie (UE) 2016/680, a zatem również w niniejszej decyzji wykonawczej, dotyczącymi przetwarzania danych osobowych przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres zastosowania części trzeciej tytuł V rozdział 4 lub rozdział 5 TFUE, ani nie podlega stosowaniu tych przepisów. Biorąc jednak pod uwagę fakt, że dyrektywa (UE) 2016/680 opiera się na dorobku Schengen, zgodnie z art. 4 tego Protokołu w dniu 26 października 2016 r. Dania poinformowała o swojej decyzji dotyczącej wdrożenia dyrektywy (UE) 2016/680. W związku z powyższym na mocy prawa międzynarodowego Dania ma obowiązek wprowadzenia w życie przepisów niniejszej decyzji wykonawczej. |
| --- | --- |

(178)

Zgodnie z art. 2 i 2a Protokołu nr 22 w sprawie stanowiska Danii, który jest załączony do Traktatu o Unii Europejskiej i Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie jest związana przepisami ustanowionymi w dyrektywie (UE) 2016/680, a zatem również w niniejszej decyzji wykonawczej, dotyczącymi przetwarzania danych osobowych przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres zastosowania części trzeciej tytuł V rozdział 4 lub rozdział 5 TFUE, ani nie podlega stosowaniu tych przepisów. Biorąc jednak pod uwagę fakt, że dyrektywa (UE) 2016/680 opiera się na dorobku Schengen, zgodnie z art. 4 tego Protokołu w dniu 26 października 2016 r. Dania poinformowała o swojej decyzji dotyczącej wdrożenia dyrektywy (UE) 2016/680. W związku z powyższym na mocy prawa międzynarodowego Dania ma obowiązek wprowadzenia w życie przepisów niniejszej decyzji wykonawczej.

| (179) | W odniesieniu do Norwegii i Islandii niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (273). |
| --- | --- |

(179)

W odniesieniu do Norwegii i Islandii niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (273).

273

| (180) | W odniesieniu do Szwajcarii niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (274). |
| --- | --- |

(180)

W odniesieniu do Szwajcarii niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (274).

274

| (181) | W odniesieniu do Liechtensteinu niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (275), |
| --- | --- |

(181)

W odniesieniu do Liechtensteinu niniejsza decyzja wykonawcza stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (275),

275

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Do celów art. 36 dyrektywy (UE) 2016/680 Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych z Unii Europejskiej organom publicznym Zjednoczonego Królestwa odpowiedzialnym za zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych oraz wykonywanie kar.

Artykuł 2

W każdym przypadku, gdy właściwe organy nadzorcze w państwach członkowskich, w celu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych, wykonują swoje uprawnienia na podstawie art. 47 dyrektywy (UE) 2016/680 w odniesieniu do przekazywania danych organom publicznym w Zjednoczonym Królestwie wchodzącego w zakres stosowania określony w art. 1, dane państwo członkowskie niezwłocznie informuje o tym fakcie Komisję.

Artykuł 3

1.   Komisja stale monitoruje stosowanie ram prawnych, na których opiera się niniejsza decyzja, w tym warunków, na jakich odbywa się dalsze przekazywanie danych i wykonywanie praw indywidualnych, w celu ustalenia, czy Zjednoczone Królestwo nadal zapewnia odpowiedni stopień ochrony w rozumieniu art. 1.

2.   Państwa członkowskie oraz Komisja informują się nawzajem o przypadkach, w których Komisarz ds. Informacji lub jakikolwiek inny właściwy organ Zjednoczonego Królestwa nie zapewnili zgodności z ramami prawnymi, na których opiera się niniejsza decyzja.

3.   Państwa członkowskie i Komisja informują się nawzajem o wszelkich sygnałach wskazujących, że ingerencje organów publicznych Zjednoczonego Królestwa w prawo osób fizycznych do ochrony ich danych osobowych wykraczają poza to, co jest ściśle niezbędne, lub że nie zapewniono skutecznej ochrony prawnej przed takimi ingerencjami.

4.   Jeżeli Komisja posiada dowody na to, że odpowiedni stopień ochrony nie jest już zapewniony, Komisja powiadamia o tym właściwe organy Zjednoczonego Królestwa i może zawiesić, uchylić albo zmienić niniejszą decyzję.

5.   Komisja może zawiesić, uchylić albo zmienić niniejszą decyzję, jeżeli brak współpracy ze strony rządu Zjednoczonego Królestwa nie pozwala Komisji stwierdzić, czy istnieją przesłanki do podważenia ustalenia zawartego w art. 1.

Artykuł 4

Niniejsza decyzja traci moc z dniem 27 czerwca 2025 r., chyba że okres jej stosowania zostanie przedłużony zgodnie z procedurą, o której mowa w art. 58 ust. 2 dyrektywy (UE) 2016/680.

Artykuł 5

Niniejsza decyzja skierowana jest do państw członkowskich.

Sporządzono w Brukseli dnia 28 czerwca 2021 r.

W imieniu Komisji

Didier REYNDERS

Członek Komisji

---

(1)  
  Dz.U. L 119 z 4.5.2016, s. 89.

1

(2)  Zob. motyw 64 dyrektywy (UE) 2016/680.

2

(3)  Zob. niedawna sprawa C-311/18, Maximilian Schrems/Data Protection Commissioner („Schrems II”), ECLI:EU:C:2020:559.

3

(4)  Zob. zalecenia 01/2021 w sprawie odpowiedniego stopnia ochrony przekazywanych danych osobowych na mocy dyrektywy o ochronie danych w sprawach karnych, przyjęte w lutym 2021 r., dostępne pod adresem: https://edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_pl

4

(5)  Sprawa C-362/14, Maximilian Schrems/Data Protection Commissioner („Schrems”), ECLI:EU:C:2015:650, pkt 73.

5

(6)  Schrems, pkt 74.

6

(7)  Komunikat Komisji do Parlamentu Europejskiego i Rady „Wymiana i ochrona danych osobowych w zglobalizowanym świecie”, COM(2017) 7 z dnia 10 stycznia 2017 r., sekcja 3.1, s. 6–7, dostępny pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  Ustawa o ochronie danych z 2018 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2018/12/contents

8

(9)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja F: ściganie przestępstw, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf.

9

(10)  Zasady konwencji nr 108 zostały pierwotnie wdrożone do prawa Zjednoczonego Królestwa w drodze ustawy o ochronie danych (DPA) z 1984 r., którą zastąpiono DPA 1998, a następnie DPA 2018 (w związku z RODO UK). W 2018 r. Zjednoczone Królestwo podpisało również Protokół zmieniający Konwencję o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (znany jako „konwencja nr 108+”) i obecnie pracuje nad ratyfikacją tej konwencji.

10

(11)  Art. 6 i 8 EKPC (zob. również załącznik 1 do ustawy o prawach człowieka z 1998 r.).

11

(12)  Art. 6 ustawy o prawach człowieka z 1998 r.

12

(13)  Art. 3 ustawy o prawach człowieka z 1998 r.

13

(14)  Umowa o wystąpieniu Zjednoczonego Królestwa Wielkiej Brytanii i Irlandii Północnej z Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej 2019/C 384 I/01, XT/21054/2019/INIT, Dz.U. C 384I z 12.11.2019, s. 1 („umowa o wystąpieniu”), dostępna pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN

14

(15)  Ustawa o wystąpieniu z Unii Europejskiej z 2018 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2018/16/contents

15

(16)  Ustawa o ochronie danych z 2018 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2018/12/contents

16

(17)  Art. 6 Ustawy o wystąpieniu z Unii Europejskiej z 2018 r.

17

(18)  Rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej wprowadzające zmiany w związku z wyjściem z UE z 2019 r., dostępne pod adresem: https://www.legislation.gov.uk/uksi/2019/419/contents/made, zmienione rozporządzeniem w sprawie ochrony danych, prywatności i łączności elektronicznej z 2020 r., dostępnym pod adresem: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

18

(19)  Rozporządzeniem w sprawie wyjścia z UE wprowadzono szereg zmian w części 3 DPA 2018. Wiele z tych zmian ma charakter techniczny, jak np. usunięcie odniesień do „państwa członkowskiego” lub „dyrektywy o ochronie danych w sprawach karnych” (zob. np. art. 48 ust. 8 lub art. 73 ust. 5 lit. a) DPA 2018 w odniesieniu do „prawa krajowego”), dzięki czemu część 3 można skutecznie stosować jako prawo krajowe po zakończeniu okresu przejściowego. W niektórych fragmentach wymagane były innego rodzaju zmiany, na przykład w odniesieniu do tego, kto przyjmuje „decyzje stwierdzające odpowiedni stopień ochrony” na potrzeby ram prawnych dotyczących ochrony danych w Zjednoczonym Królestwie (zob. art. 74 A DPA 2018), tj. Sekretarz Stanu zamiast Komisji Europejskiej.

19

(20)  Bardziej szczegółowe wyjaśnienia dotyczące sił policyjnych Zjednoczonego Królestwa oraz ich uprawnień można znaleźć w: Ramach wyjaśniających Zjednoczonego Królestwa dotyczących dyskusji na temat odpowiedniego stopnia ochrony, sekcja F: ściganie przestępstw (zob. przypis 9).

20

(21)  Kodeks postępowania dotyczący zasad i norm postępowania zawodowego dla policjantów w Anglii i Walii, dostępny pod adresem: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Kodeks etyki dla służb policyjnych w Irlandii Północnej, dostępny pod adresem: https://www.nipolicingboard.org.uk/psni-code-ethics; Kodeks etyki dla sił policyjnych w Szkocji, dostępny pod adresem: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/.

21

(22)  Kodeks postępowania dotyczący zarządzania informacjami policyjnymi, dostępny pod adresem: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf.

22

(23)  Ustawa o policji z 1996 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/1996/16/contents.

23

(24)  Kodeksy postępowania wydane na podstawie ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r. (Police and Criminal Evidence Act), dostępne pod adresem: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice.

24

(25)  Ustawa w sprawie policji i dowodów w sprawach karnych z 1984 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/1984/60/contents.

25

(26)  Zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi, dostępne pod adresem: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/.

26

(27)  Podręcznik dotyczący ochrony danych dla funkcjonariuszy policji zajmujących się ochroną danych, dostępny pod adresem: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf.

27

(28)  Na przykład kodeks postępowania dotyczący zarządzania informacjami policyjnymi (zob. przypis 22) dotyczy zatrzymywania policyjnych informacji operacyjnych (zob. motyw 47 niniejszej decyzji).

28

(29)  Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa w okresie rozmów na temat odpowiedniego stopnia ochrony Kolegium Policyjne prowadziło prace nad kodeksem postępowania dotyczącym zarządzania informacjami i rejestrami, który ma zastąpić kodeks postępowania dotyczący zarządzania informacjami policyjnymi. W dniu 25 stycznia 2021 r. opublikowano roboczą wersję kodeksu na potrzeby konsultacji publicznych, która jest dostępna pod adresem: https://www.college.police.uk/article/information-records-management-consultation.

29

(30)  W sprawie Korona przeciwko Commission of Police of the Metropolis [2014] EWCA Civ 585 potwierdzono status prawny kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi, a sędzia sądu apelacyjnego Laws stwierdził, że zgodnie z art. 39 A ustawy o policji z 1996 r. komendant policji metropolitalnej ma obowiązek uwzględniać kodeks postępowania dotyczący zarządzania informacjami policyjnymi oraz zatwierdzone praktyki zawodowe dotyczące zarządzania informacjami policyjnymi.

30

(31)  Policja podlega kontroli przestrzegania kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi ze strony Inspektoratu Policji, Straży Pożarnej i Służb Ratowniczych Jej Królewskiej Mości (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services – HMICFRS).

31

(32)  Zob. stanowisko Kolegium Policyjnego w sprawie przestrzegania zatwierdzonych praktyk zawodowych we wszystkich obszarach działań policyjnych, w którym wyjaśniono, że „zatwierdzone praktyki zawodowe są zatwierdzane przez samorząd zawodowy policji (Kolegium Policyjne) jako oficjalne źródło policyjnych praktyk zawodowych. Od funkcjonariuszy i pracowników policji oczekuje się, że będą przestrzegali zatwierdzonych praktyk zawodowych przy wykonywaniu swoich obowiązków. Mogą jednak pojawić się okoliczności, w których odejście od zatwierdzonych praktyk zawodowych przez służbę będzie uzasadnione z operacyjnego punktu widzenia, pod warunkiem że istnieje wyraźne uzasadnienie takiego działania. Odpowiedzialność za zaistniałe na poziomie lokalnym lub krajowym ryzyko wynikłe z działania poza ramami wytycznych uzgodnionych na szczeblu krajowym ponosi dana służba, dlatego jeżeli w następstwie takiego działania dojdzie do incydentu lub dochodzenia (np. prowadzonego przez Niezależne Biuro ds. Postępowania Policji), to dana służba ponosi odpowiedzialność za wszelkie zagrożenia”, dostępne pod adresem: https://www.app.college.police.uk/faq-page/.

32

(33)  Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/.

33

(34)  Zob. sprawa Bridges przeciwko Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), w której pomimo odnotowania nieustawowego charakteru wytycznych Komisarza, Wysoki Trybunał stwierdził, że „[r]ozważając, czy administrator danych dopełnił obowiązku określonego w art. 64 [przeprowadzenie oceny skutków dla ochrony danych w odniesieniu do przetwarzania wysokiego ryzyka], Wysoki Trybunał uwzględni wytyczne wydane przez Komisarza ds. Informacji w odniesieniu do ocen skutków dla ochrony danych”.

34

(35)  Wymieniono je w załączniku 7 DPA 2018 i są to m.in. dyrektorzy prokuratury, Dyrektor Urzędu Prokuratury Irlandii Północnej lub Komisarz ds. Informacji.

35

(36)  Art. 43 ust. 3 DPA 2018.

36

(37)  Art. 30 ust. 3 DPA 2018. Służby wywiadowcze (Tajna Służba Wywiadowcza, Służba Bezpieczeństwa i Centrala Łączności Rządowej) nie są właściwymi organami (zob. art. 30 ust. 2 lit. DPA 2018) i część 3 DPA 2018 nie ma zastosowania do żadnych ich działań. Ich działania wchodzą w zakres części 4 DPA 2018.

37

(38)  Art. 31 DPA 2018.

38

(39)  Oznacza to, że DPA 2018, a tym samym niniejsza decyzja nie ma zastosowania do terytoriów zależnych Korony Brytyjskiej ani innych terytoriów zamorskich Zjednoczonego Królestwa, takich jak Falklandy i terytorium Gibraltaru.

39

(40)  Dane osobowe dotyczące osoby zmarłej nie są objęte zakresem stosowania DPA 2018.

40

(41)  Art. 35 ust. 8 DPA 2018.

41

(42)  
  „Dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.

42

(43)  
  „Dane dotyczące zdrowia” oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia.

43

(44)  
  „Dane genetyczne” oznaczają dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej.

44

(45)  Noty wyjaśniające do DPA 2018, pkt 181, dostępne pod adresem: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf.

45

(46)  Na przykład uprawnienia Krajowej Agencji ds. Zwalczania Przestępczości wynikają z ustawy o przestępczości i sądach z 2013 r., dostępnej pod adresem https://www.legislation.gov.uk/ukpga/2013/22/contents. Podobnie uprawnienia Agencji ds. Norm Żywności przewidziano w ustawie o normach żywności z 1999 r., dostępnej pod adresem https://www.legislation.gov.uk/ukpga/1999/28/contents. Inne przykłady obejmują ustawę w sprawie ścigania przestępców z 1985 r., na mocy której utworzono Królewską Służbę Oskarżycielską (zob. https://www.legislation.gov.uk/ukpga/1985/23/contents); ustawę w sprawie Komisarzy Urzędu Skarbowego i Celnego z 2005 r., na mocy której ustanowiono Urząd Podatkowy i Celny Jej Królewskiej Mości (Her Majesty’s Revenue and Customs) (zob. https://www.legislation.gov.uk/ukpga/2005/11/contents); ustawę o postępowaniu karnym (Szkocja) z 1995 r., na mocy której utworzono Szkocką Komisję Odwoławczą Spraw Karnych (zob. https://www.legislation.gov.uk/ukpga/1995/46/contents); ustawę o wymiarze sprawiedliwości (Irlandia Północna) z 2002 r., na mocy której ustanowiono prokuraturę w Irlandii Północnej (zob. https://www.legislation.gov.uk/ukpga/2002/26/contents) oraz Urząd ds. Poważnych Nadużyć Finansowych i nadano mu uprawnienia na mocy ustawy o wymiarze sprawiedliwości w sprawach karnych z 1987 r. (zob. https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

(47)  Przykładowo, zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa, w ramach prokuratury (Crown Office and Procurator Fiscal Service) odpowiedzialnej za ściganie przestępstw w Szkocji, uprawnienia Prokuratora Generalnego stojącego na czele prokuratury w Szkocji do prowadzenia dochodzeń w sprawach dotyczących zgonów oraz ścigania przestępstw wynikają z prawa precedensowego, podczas gdy niektóre jego funkcje określono w ustawie. Ponadto uprawnienia Korony, a co za tym idzie, rządów, departamentów i ministrów, również wynikają z połączenia ustawodawstwa, prawa precedensowego i królewskiej prerogatywy (są to uprawnienia wynikające z prawa precedensowego przysługujące Koronie, ale wykonywane przez ministrów).

47

(48)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja F: ściganie przestępstw, s. 8 (zob. przypis 9).

48

(49)  Najważniejsze akty prawne określające system głównych uprawnień policyjnych (aresztowanie, przeszukanie, zezwolenie na dalsze zatrzymanie, pobieranie odcisków palców, pobieranie próbek z miejsc intymnych, prowadzenie podsłuchu, dostęp do danych pochodzących z łączności) to: (i) w odniesieniu do Anglii i Walii – ustawa w sprawie policji i dowodów w sprawach karnych z 1984 r., dostępna pod adresem https://www.legislation.gov.uk/ukpga/1984/60/contents (zmieniona ustawą o ochronie wolności z 2012 r., dostępna pod adresem: https://www.legislation.gov.uk/ukpga/2012/9/contents) oraz ustawa o uprawnieniach dochodzeniowo-śledczych z 2016 r., dostępna pod adresem https://www.legislation.gov.uk/ukpga/2016/25/contents), (ii) w odniesieniu do Szkocji – ustawa w sprawie szkockiego wymiaru sprawiedliwości w sprawach karnych z 2016 r., dostępna pod adresem https://www.legislation.gov.uk/asp/2016/1/contents oraz ustawa o postępowaniu karnym (Szkocja) z 1995 r., dostępna pod adresem https://www.legislation.gov.uk/ukpga/1995/46/contents) (iii) w odniesieniu do Irlandii Północnej – zarządzenie w sprawie policji i dowodów w sprawach karnych (Irlandia Północna) z 1989 r., dostępne pod adresem https://www.legislation.gov.uk/nisi/1989/1341/contents.

49

(50)  Władze Zjednoczonego Królestwa wyjaśniły, że w Zjednoczonym Królestwie od dawna panuje nadrzędność prawa stanowionego, począwszy od wyroku w sprawie Entick przeciwko Carrington [1765] EWHC KB J98, w którym uznano, że istnieją ograniczenia w wykonywaniu uprawnień przez władzę wykonawczą i ustanowiono zasadę, że uprawnienia wynikające z prawa precedensowego oraz uprawnienia prerogatywne monarchy i rządu podlegają przepisom prawa krajowego.

50

(51)  Zob. sprawa Rice przeciwko Connolly [1966] 2 QB 414.

51

(52)  Zob. sprawa Korona (Catt) przeciwko Association of Chief Police Officers [2015] AC 1065, w której w odniesieniu do uprawnień policji do pozyskiwania i przechowywania informacji o osobie fizycznej (która popełniła przestępstwo), Lord Sumption orzekł, że zgodnie z prawem precedensowym policja jest uprawniona do uzyskiwania i przechowywania informacji dla celów policyjnych, tj. szeroko rozumianego utrzymania porządku publicznego oraz zapobiegania popełnianiu przestępstw i ich wykrywania. Uprawnienia te nie upoważniają do stosowania inwazyjnych metod pozyskiwania informacji, takich jak wejście na teren prywatny lub działania (inne niż aresztowanie na mocy uprawnień wynikających z prawa precedensowego), które stanowiłyby napaść. Sąd uznał, że w tej sprawie uprawnienia wynikające z prawa precedensowego były w pełni wystarczające, aby zezwolić na uzyskanie i przechowywanie informacji publicznych dotyczących tych odwołań.

52

(53)  Ustawa o równouprawnieniu z 2010 r., dostępna pod adresem https://www.legislation.gov.uk/ukpga/2010/15/contents.

53

(54)  Aby zapoznać się z przykładem sprawy, w której uprawnienia policji wynikające z prawa precedensowego są oceniane w ramach DPA 1998, zob. orzeczenie Wysokiego Trybunału w sprawie Bridges przeciwko Chief Constable of South Wales Police (zob. przypis 33). Zob. również sprawy Vidal-Hall przeciwko Google Inc [2015] EWCA Civ 311 i Richard przeciwko BBC [2018] EWHC 1837 (Ch).

54

(55)  Zob. np. wytyczne Policji Irlandii Północnej [The Police Service of Northern Ireland] dotyczące instrukcji służbowych w zakresie zarządzania rejestrami, dostępne pod adresem: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf.

55

(56)  Izba Gmin opublikowała dokument informacyjny, w którym przedstawiono najważniejsze uprawnienia policji w Anglii i Walii wynikające z prawa precedensowego i ustawy (zob. https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Przykładowo, w dokumencie tym zaznaczono, że mimo iż uprawnienia do utrzymania „pokoju w Koronie”, podobnie jak „użycie siły” i „prawo do zatrzymania i przeszukania” są uprawnieniami wywodzącymi się z prawa precedensowego, to zawsze wynikają z ustawy. Ponadto rząd szkocki podaje na swojej stronie internetowej informacje na temat uprawnień policji do aresztowania oraz zatrzymania i przeszukania (zob. https://www.gov.scot/policies/police/police-powers/).

56

(57)  Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa uprawnienia prerogatywne wykonywane przez rząd obejmują na przykład zawieranie umów i ich ratyfikację, stosunki dyplomatyczne, użycie sił zbrojnych na terytorium Zjednoczonego Królestwa w celu utrzymania pokoju i wsparcia policji.

57

(58)  W tym względzie zob. ocenę systemu Zjednoczonego Królestwa w zakresie dalszego przekazywania danych w motywach 74–87.

58

(59)  Zob. sprawa Bancoult przeciwko Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, w której sądy orzekły, że uprawnienia prerogatywne do wydawania zarządzeń w Radzie również podlegają zwykłym zasadom kontroli sądowej.

59

(60)  Zob. sprawa Attorney-General przeciwko De Keyser’s Royal Hotel Ltd [1920] [1920] AC 508, w której sąd orzekł, że nie można korzystać z uprawnień prerogatywnych, w przypadku gdy zastępują je uprawnienia ustawowe; sprawa Laker Airways Ltd przeciwko Department of Trade [1977] QB 643, w której sąd stwierdził, że nie można korzystać z uprawnień prerogatywnych w celu uniemożliwienia stosowania prawa stanowionego; sprawa Korona przeciwko Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, w której sąd orzekł, że nie można korzystać z uprawnień prerogatywnych, jeżeli są one sprzeczne z uchwalonymi przepisami, nawet jeżeli nie weszły one jeszcze w życie; sprawa Korona (Miller) przeciwko Secretary of State for Exiting the European Union [2017] UKSC 5, w której sąd potwierdził możliwość dostosowania i zniesienia uprawnień prerogatywnych przez prawo stanowione. Aby zapoznać się z ogólnym przeglądem relacji między królewskimi prerogatywami a uprawnieniami wynikającymi z ustawy lub prawa precedensowego, zob. dokument informacyjny Izby Gmin, dostępny pod adresem: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf.

60

(61)  Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „O czym mówi pierwsza zasada?” dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2.

61

(62)  Wynika to z brzmienia odpowiedniego przepisu DPA 2018, zgodnie z którym przetwarzanie danych osobowych do jakichkolwiek celów ścigania przestępstw jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – „opiera się na przepisach prawa” oraz jeżeli a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w tym celu albo b) przetwarzanie jest niezbędne do wykonania zadania realizowanego w tym celu przez właściwy organ”.

62

(63)  Zob. motywy 35 i 37 dyrektywy (UE) 2016/680.

63

(64)  Władze Zjednoczonego Królestwa wyjaśniły, że jednym z przykładowych przypadków, w których zgoda może stanowić odpowiednią podstawę uzasadniającą przetwarzanie danych, jest uzyskanie przez policję próbki DNA w odniesieniu do osoby zaginionej w celu dopasowania jej do ciała, jeżeli zostanie ono odnalezione. W takich okolicznościach zastosowanie przez policję przymusu wobec osoby, której dane dotyczą, w celu dostarczenia próbki byłoby niewłaściwe; zamiast tego policja zwróciłaby się z prośbą do danej osoby fizycznej o udzielenie zgody, która jest dobrowolna i którą można w każdej chwili cofnąć. Jeżeli zgoda zostanie wycofana, danych nie wolno dłużej przetwarzać, chyba że ustanowiono nową podstawę prawną uzasadniającą dalsze przetwarzanie próbki (np. osoba, której dane dotyczą, została uznana za osobę podejrzaną). Kolejnym przykładem może być sytuacja, gdy policja prowadzi dochodzenie w sprawie przestępstwa, którego ofiara (może to być ofiara rozboju, przestępstwa na tle seksualnym, przemocy domowej lub innego przestępstwa, a także krewni ofiary zabójstwa) mogłaby skorzystać ze skierowania do organizacji Victim Support (niezależnej organizacji charytatywnej wspierającej ofiary przestępstw i traumatycznych zdarzeń). W takim przypadku policja udostępnia organizacji Victim Support dane osobowe, takie jak nazwisko i dane kontaktowe ofiary, wyłącznie za jej zgodą.

64

(65)  Nie istnieje odrębna definicja „zgody” do celów przetwarzania danych osobowych na podstawie części 3 DPA 2018. Komisarz ds. Informacji przedstawił wytyczne dotyczące pojęcia „zgody” w ramach części 3 DPA 2018, wyjaśniając, że ma ona takie samo znaczenie jak definicja zawarta w RODO i powinna być do niej dostosowana, zwłaszcza że „zgoda musi być dobrowolna, konkretna i świadoma oraz musi istnieć rzeczywista możliwość dokonania wyboru w odniesieniu do wyrażenia zgody na przetwarzanie danych” (Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „O czym mówi pierwsza zasada?” (zob. przypis 64) i Przewodnik dotyczący ochrony danych w zakresie zgody, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

(66)  Zob. np. informacje na stronie internetowej policji z Lincolnshire (zob. https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) lub na stronie internetowej policji z West Yorkshire (zob. https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Art. 35 ust. 8 DPA 2018.

67

(68)  Art. 35 ust. 4 DPA 2018.

68

(69)  Art. 35 ust. 5 DPA 2018.

69

(70)  W celu uzyskania pełnego obrazu sytuacji warto zauważyć, że jeżeli przetwarzanie odbywa się na podstawie zgody, musi być ona dobrowolna, konkretna i świadoma oraz musi istnieć konkretna możliwość dokonania wyboru w odniesieniu do wyrażenia zgody na przetwarzanie danych. Ponadto od administratora wymaga się dysponowania „odpowiednim dokumentem dotyczącym polityki” w przypadku przetwarzania danych na podstawie zgody osoby, której dane dotyczą. W art. 42 DPA 2018 określono wymogi, które musi spełniać odpowiedni dokument dotyczący polityki. Wskazano, że dokument ten musi co najmniej zawierać wyjaśnienie procedur administratora w zakresie zapewniania zgodności z zasadami ochrony danych oraz polityki administratora w odniesieniu do zatrzymywania i usuwania danych osobowych. Zgodnie z art. 42 DPA 2018 oznacza to, że administrator musi przedstawić dokument, który a) zawiera wyjaśnienie procedur stosowanych przez niego w celu zapewnienia zgodności z zasadami ochrony danych; oraz b) zawiera wyjaśnienie polityki administratora w zakresie zatrzymywania i usuwania danych osobowych przetwarzanych na podstawie zgody osoby, której dane dotyczą, lub wskazuje, jak długo takie dane osobowe mogą być zatrzymywane. W szczególności dokument dotyczący polityki zobowiązuje administratora, aby w odniesieniu do obowiązku prowadzenia rejestru czynności przetwarzania zawsze uwzględniał elementy, o których mowa w lit. a) i b). Komisarz ds. Informacji opublikował wzór dokumentu (Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw. „Warunki przetwarzania danych wrażliwych”, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) i może zastosować środek przymusu, jeżeli administratorzy nie spełnią tych wymogów. Przy rozpatrywaniu potencjalnych naruszeń DPA 2018 sądy również poddają analizie odpowiedni dokument dotyczący polityki. Na przykład w niedawnej sprawie Korona (Bridges) przeciwko Chief Constable of South Wales Police sądy dokonały przeglądu odpowiedniego dokumentu dotyczącego polityki administratora i uznały, że jest on właściwy, ale mógłby zawierać więcej szczegółów. W związku z tym policja południowej Walii (South Wales Police) dokonała przeglądu odpowiedniego dokumentu dotyczącego polityki i zaktualizowała go zgodnie z nowymi wytycznymi Komisarza ds. Informacji (zob. przypis 33). Ponadto zgodnie z art. 42 ust. 3 DPA 2018 odpowiedni dokument dotyczący polityki powinien podlegać regularnemu przeglądowi ze strony administratora danych. Ponadto zgodnie z art. 42 ust. 4 DPA 2018 od administratora, w ramach dodatkowego zabezpieczenia, wymaga się prowadzenia rozszerzonego rejestru czynności przetwarzania, obejmującego dodatkowe elementy w stosunku do ogólnego obowiązku, który spoczywa na administratorze w zakresie prowadzenia rejestru czynności przetwarzania, określonego w art. 61 DPA 2018.

70

(71)  Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „Warunki przetwarzania danych wrażliwych” (zob. przypis 70).

71

(72)  Przetwarzanie odbywa się bez zgody osoby, której dane dotyczą, gdy: a) osoba, której dane dotyczą, nie może udzielić zgody na przetwarzanie; b) nie można w sposób uzasadniony oczekiwać od administratora, że uzyska zgodę osoby, której dane dotyczą, na przetwarzanie; c) przetwarzanie musi być dokonane bez zgody osoby, której dane dotyczą, ponieważ uzyskanie jej zgody naruszyłoby zapewnienie ochrony, o której mowa w pkt 1 lit. a).

72

(73)  Zob. art. 41 ust. 1 DPA 2018.

73

(74)  Zob. art. 41 ust. 2 DPA 2018.

74

(75)  W art. 205 DPA 2018 zdefiniowano termin „nieprawidłowe” jako „niepoprawne lub wprowadzające w błąd” dane osobowe. Władze Zjednoczonego Królestwa wyjaśniły, że typowe jest to, że dane związane z postępowaniami przygotowawczymi są często niekompletne, ale niezależnie od tego mogą być prawidłowe.

75

(76)  Art. 38 ust. 1 lit. b) DPA 2018.

76

(77)  Zgodnie z Ramami wyjaśniającymi Zjednoczonego Królestwa dotyczącymi dyskusji na temat odpowiedniego stopnia ochrony „zapewnia to uznanie zarówno praw osób, których dane dotyczą, jak i potrzeb operacyjnych organów ścigania. Powyższy punkt dokładnie rozważono na etapie opracowywania projektu ustawy o ochronie danych, ponieważ mogą istnieć szczególne i ograniczone powody operacyjne, dla których nie można sprostować danych. Najprawdopodobniej będzie to miało miejsce w przypadku konieczności zachowania nieprawidłowych danych osobowych w ich pierwotnej formie do celów dowodowych” (zob. Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja F: ściganie przestępstw, s. 21, zob. przypis 9).

77

(78)  Art. 38 ust. 4 DPA 2018. Ponadto zgodnie z art. 38 ust. 5 DPA 2018 jakość danych osobowych należy weryfikować przed ich przekazaniem lub udostępnieniem; we wszystkich przypadkach przesyłania danych osobowych muszą być zawarte niezbędne informacje umożliwiające odbiorcy ocenę stopnia prawidłowości, kompletności i wiarygodności danych oraz stopnia ich aktualności, a jeżeli po przekazaniu danych osobowych okaże się, że dane były nieprawidłowe lub że ich przekazanie było niezgodne z prawem, należy bezzwłocznie powiadomić odbiorcę.

78

(79)  Art. 38 ust. 2 DPA 2018.

79

(80)  Art. 38 ust. 3 DPA 2018.

80

(81)  Ramy te zapewniają spójność w stosowaniu zasad dotyczących przechowywania pozyskanych danych osobowych. Okres przeglądu zależy od przestępstw, które są podzielone na 4 grupy: 1) niektóre sprawy z zakresu ochrony publicznej; 2) inne przestępstwa na tle seksualnym z użyciem przemocy i poważne przestępstwa; 3) wszystkie inne przestępstwa; 4) różne. Więcej szczegółowych informacji można znaleźć w Zatwierdzonych praktykach zawodowych dotyczących zarządzania informacjami policyjnymi (zob. przypis 26).

81

(82)  Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa, inne organizacje mogą swobodnie przestrzegać zasad kodeksu postępowania dotyczącego zarządzania informacjami policyjnymi (MoPI Code of Practice), jeżeli tak zdecydują, na przykład Urząd Podatkowy i Celny Jej Królewskiej Mości (Her Majesty’s Revenue and Customs) oraz Krajowa Agencja ds. Zwalczania Przestępczości dobrowolnie przyjmują wiele zasad tego kodeksu postępowania, aby zapewnić spójność w zakresie ścigania przestępstw. Ogólnie rzecz biorąc, większość organizacji zapewnia swoim pracownikom szczegółowe polityki i wytyczne dla całego personelu dotyczące sposobu postępowania z danymi osobowymi w ramach pełnionej przez nich funkcji, które to polityki i wytyczne są dostosowane do konkretnej organizacji. Zazwyczaj obejmuje to również obowiązkowe szkolenia.

82

(83)  Kodeks postępowania dotyczący zarządzania informacjami policyjnymi (MoPI Code of Practice) wydano na mocy uprawnień wynikających z ustawy o policji z 1996 r., która umożliwia Kolegium Policyjnemu wydawanie kodeksów postępowania związanych ze skutecznym funkcjonowaniem policji. Każdy kodeks postępowania opracowany na podstawie wspomnianej ustawy musi zostać zatwierdzony przez Sekretarza Stanu i zanim zostanie zaprezentowany w parlamencie podlega konsultacji Krajowej Agencji ds. Zwalczania Przestępczości. W art. 39 A ust. 7 ustawy o policji z 1996 r. nakłada się na policję wymóg należytego poszanowania kodeksów wydanych na podstawie ustawy o policji z 1996 r.

83

(84)  PSNI MoPI Handbook [Podręcznik Policji Irlandii Północnej dotyczący zarządzania informacjami policyjnymi], rozdziały 1–6.

84

(85)  Obowiązująca procedura działania dotycząca zatrzymywania rejestrów, dostępna pod adresem: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf.

85

(86)  Więcej szczegółowych informacji na temat zarządzania rejestrami można znaleźć w informacjach związanych z National Records of Scotland, dostępnych pod adresem: https://www.nrscotland.gov.uk/record-keeping/records-management.

86

(87)  Okresy zatrzymywania różnią się w zależności od tego, czy dana osoba została skazana, czy nie (art. 63I–63KI ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). Na przykład w przypadku osoby dorosłej skazanej za przestępstwo podlegające wpisowi do rejestru, jej odciski palców i profil DNA mogą być zatrzymywane przez czas nieokreślony (art. 63I ust. 2 ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.), natomiast okres zatrzymywania jest ograniczony, jeżeli osoba skazana ma mniej niż 18 lat, popełniła wykroczenie podlegające wpisowi do rejestru i nie była wcześniej skazana (art. 63K ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). Okres zatrzymywania danych w przypadku osoby aresztowanej lub oskarżonej, ale nie skazanej, jest ograniczony do trzech lat (art. 63F ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). Przedłużenie tego okresu zatrzymywania musi zatwierdzić organ sądowy (art. 63F ust. 7 ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). W przypadku osób aresztowanych lub oskarżonych, ale nie skazanych za wykroczenie, zatrzymywanie nie jest możliwe (art. 63D i art. 63H ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.).

87

(88)  W art. 20 ustawy o ochronie wolności z 2012 r. ustanowiono stanowisko Komisarza ds. Biometrii. Komisarz ds. Biometrii decyduje między innymi o tym, czy policja może zatrzymywać zapisy profili DNA i odcisków palców pozyskanych od osób aresztowanych, ale nie oskarżonych o popełnienie przestępstwa kwalifikowanego (art. 63G ustawy w sprawie policji i dowodów w sprawach karnych z 1984 r.). Ponadto Komisarz ds. Biometrii ma ogólny obowiązek dokonywania przeglądu zatrzymywania i wykorzystywania DNA i odcisków palców oraz zatrzymywania danych ze względów bezpieczeństwa narodowego (art. 20 ust. 2 ustawy o ochronie wolności z 2012 r.). Komisarz ds. Biometrii jest powoływany zgodnie z kodeksem w zakresie nominacji publicznych (kodeks jest dostępny pod następującym adresem: Kodeks zarządzania w zakresie nominacji publicznych – GOV.UK (www.gov.uk)), a w warunkach jego powołania jasno wskazano, że może on zostać odwołany ze stanowiska przez Home Secretary (ministra spraw wewnętrznych) jedynie w ściśle określonych okolicznościach; obejmują one niewypełnianie obowiązków przez okres trzech miesięcy, skazanie za przestępstwo lub nieprzestrzeganie warunków powołania.

88

(89)  Przegląd wykorzystywania i zatrzymywania wizerunków osób zatrzymanych, dostępny pod adresem: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention.

89

(90)  Art. 18 i nast. ustawy o postępowaniu karnym (Szkocja) z 1995 r.

90

(91)  Okresy zatrzymywania różnią się w zależności od tego, czy dana osoba została skazana (art. 18 ust. 3 ustawy o postępowaniu karnym (Szkocja) z 1995 r.) lub czy jest nieletnia. W drugim z powyższych przypadków okres zatrzymywania wynosi 3 lata od wyroku skazującego wydanego przez sąd ds. osób nieletnich (art. 18E ust. 8 ustawy o postępowaniu karnym (Szkocja) z 1995 r.). Nie można zatrzymywać danych osób aresztowanych, ale nie skazanych (art. 18 ust. 3 ustawy o postępowaniu karnym (Szkocja) z 1995 r.), z wyjątkiem szczególnych przypadków i w zależności od wagi przestępstwa (art. 18 A ustawy o postępowaniu karnym (Szkocja) z 1995 r.). W ustawie o szkockim Komisarzu ds. Biometrii z 2020 r. (zob. https://www.legislation.gov.uk/asp/2020/8/contents) ustanowiono stanowisko szkockiego Komisarza ds. Biometrii, który przygotowuje i weryfikuje kodeksy postępowania (zatwierdzone przez Parlament Szkocki) dotyczące pozyskiwania, zatrzymywania, wykorzystywania i niszczenia danych biometrycznych na potrzeby wymiaru sprawiedliwości w sprawach karnych i policji (art. 7 ustawy o szkockim Komisarzu ds. Biometrii z 2020 r.).

91

(92)  Zgodnie z notami wyjaśniającymi do DPA 2018 (zob. przypis 45), administrator musi w szczególności: zaprojektować i zorganizować swoje zabezpieczenia tak, aby dopasować je do charakteru przechowywanych przez niego danych osobowych oraz szkód, jakie mogą wyniknąć z naruszenia bezpieczeństwa; jasno określić, kto w jego organizacji odpowiada za zapewnienie bezpieczeństwa informacji; upewnić się, że posiada odpowiednie zabezpieczenia fizyczne i techniczne, wspierane przez solidne polityki i procedury, oraz rzetelny, dobrze wyszkolony personel; oraz być gotowy do szybkiej i skutecznej reakcji na każde naruszenie bezpieczeństwa.

92

(93)  Pkt 221 not wyjaśniających do DPA 2018 (zob. przypis 45).

93

(94)  Art. 67 ust. 4 DPA 2018 stanowi, że zawiadomienie musi zawierać opis charakteru naruszenia ochrony danych osobowych (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, a także kategorie i przybliżoną liczbę zapisów danych osobowych, których dotyczy naruszenie), nazwę i dane kontaktowe punktu kontaktowego, opis prawdopodobnych konsekwencji naruszenia ochrony danych osobowych oraz opis środków wdrożonych lub proponowanych do wdrożenia przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych (w tym, w stosownych przypadkach, środków mających na celu złagodzenie jego ewentualnych negatywnych skutków).

94

(95)  Art. 67 ust. 2 DPA 2018.

95

(96)  Art. 67 ust. 6 DPA 2018.

96

(97)  Art. 67 ust. 9 DPA 2018.

97

(98)  Zgodnie z art. 68 ust. 7 DPA 2018 administrator może ograniczyć, w całości lub w części, przekazywanie informacji osobie, której dane dotyczą, w takim zakresie i tak długo, jak długo ograniczenie to jest – uwzględniając prawa podstawowe i prawnie uzasadnione interesy osoby, której dane dotyczą – środkiem niezbędnym i proporcjonalnym, aby a) uniemożliwić utrudnianie czynności postępowania urzędowego lub sądowego, postępowania przygotowawczego lub procedury; b) uniemożliwić zakłócanie zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar; c) chronić bezpieczeństwo publiczne; d) chronić bezpieczeństwo narodowe; e) chronić prawa i wolności innych osób.

98

(99)  Art. 68 ust. 3 DPA 2018.

99

(100)  Art. 68 ust. 5 DPA 2018.

100

(101)  Art. 68 ust. 6 DPA 2018, z zastrzeżeniem ograniczenia przewidzianego w art. 68 ust. 8 DPA 2018.

101

(102)  W Przewodniku dotyczącym przetwarzania danych do celów ścigania przestępstw podano następujący przykład: „Na stronie internetowej znajduje się ogólne oświadczenie o ochronie prywatności, które zawiera podstawowe informacje o organizacji, celu przetwarzania danych osobowych, prawach osoby, której dane dotyczą, oraz jej prawie do wniesienia skargi do Komisarza ds. Informacji. Dysponujesz danymi wywiadowczymi o tym, że pewna osoba fizyczna była obecna w miejscu popełnienia przestępstwa w czasie, gdy do niego doszło. Podczas pierwszego przesłuchania tej osoby fizycznej należy podać jej ogólne informacje, jak również dalsze informacje uzupełniające, aby umożliwić tej osobie korzystanie z jej praw. Zakres przekazywanych informacji dotyczących rzetelnego przetwarzania można ograniczyć wyłącznie wtedy, gdy ich podanie będzie miało negatywny wpływ na prowadzenie postępowania przygotowawczego” (Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „Jakie informacje należy przekazać osobie fizycznej?”, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

(103)  W Przewodniku dotyczącym przetwarzania danych do celów ścigania przestępstw podano, że przekazywane informacje na temat przetwarzania danych osobowych muszą być zwięzłe, zrozumiałe i łatwo dostępne; napisane jasnym i prostym językiem, z dostosowaniem go do potrzeb osób wymagających szczególnego traktowania, takich jak dzieci; oraz nieodpłatne (Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „W jaki sposób należy przekazywać te informacje?”, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).

103

(104)  Art. 44 ust. 2 DPA 2018.

104

(105)  Szczegółową analizę praw osób, których dane dotyczą, można znaleźć w: Przewodniku dotyczącym przetwarzania danych do celów ścigania przestępstw, w części dotyczącej praw indywidualnych, dostępnej pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/.

105

(106)  Art. 45 ust. 1 DPA 2018.

106

(107)  Art. 45 ust. 2 DPA 2018.

107

(108)  Art. 46 ust. 4 DPA 2018.

108

(109)  Osoba, której dane dotyczą, może zwrócić się do administratora z wnioskiem o usunięcie danych osobowych lub ograniczenie ich przetwarzania (ale obowiązki administratora w zakresie usunięcia danych lub ograniczenia ich przetwarzania mają zastosowanie bez względu na to, czy taki wniosek został złożony, czy nie).

109

(110)  Art. 46 ust. 4 oraz art. 47 ust. 2 DPA 2018.

110

(111)  Art. 47 ust. 3 DPA 2018.

111

(112)  Art. 48 ust. 1 DPA 2018.

112

(113)  Art. 48 ust. 7 DPA 2018.

113

(114)  Art. 48 ust. 9 DPA 2018.

114

(115)  Art. 68 DPA 2018.

115

(116)  Art. 52 ust. 1 DPA 2018.

116

(117)  Art. 52 ust. 3 DPA 2018.

117

(118)  W art. 54 DPA 2018 zdefiniowano znaczenie „właściwego okresu”, który oznacza okres 1 miesiąca lub okres dłuższy, jaki może wynikać z przepisów, rozpoczynający się odpowiednio w chwili, gdy administrator otrzymuje dany wniosek; gdy administrator otrzymuje informacje (w stosownych przypadkach), o których udzielenie zwrócił się w związku z wnioskiem w sytuacji, o której mowa w art. 52 ust. 4 DPA; lub gdy zostanie uiszczona opłata (w stosownych przypadkach) pobierana w związku z wnioskiem, o którym mowa w art. 53 DPA.

118

(119)  Art. 53 ust. 1 DPA 2018.

119

(120)  Zgodnie z wytycznymi Komisarza ds. Informacji administrator może zdecydować o obciążeniu osoby, której dane dotyczą, opłatą, jeżeli wniosek tej osoby jest wyraźnie nieuzasadniony lub wygórowany, ale mimo to administrator postanawia na niego odpowiedzieć. Opłata musi być zasadna i wynikać z poniesionych kosztów. Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „Wyraźnie nieuzasadnione i wygórowane wnioski”, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

(121)  Art. 45 ust. 4 DPA 2018.

121

(122)  Art. 44 ust. 4 DPA 2018.

122

(123)  Art. 68 ust. 7 DPA 2018.

123

(124)  Art. 48 ust. 3 DPA 2018.

124

(125)  Zob. np. Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw – część dotycząca praw dostępu, dostępna pod adresem:https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

(126)  Zob. np. podręcznik dotyczący ochrony danych opracowany przez Krajową Radę Komendantów Policji (zob. przypis 27) lub wytyczne przedstawione przez Urząd ds. Poważnych Nadużyć Finansowych, dostępne pod adresem: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

(127)  Podręcznik dotyczący ochrony danych opracowany przez Krajową Radę Komendantów Policji, s. 140 (zob. przypis 27).

127

(128)  Podręcznik dotyczący ochrony danych opracowany przez Krajową Radę Komendantów Policji stanowi, że „uniemożliwienie utrudniania czynności postępowania urzędowego lub sądowego, postępowania przygotowawczego lub procedury” może mieć znaczenie dla danych osobowych przetwarzanych na potrzeby śledztw, postępowań przed sądem rodzinnym, wewnętrznych postępowań dyscyplinarnych innych niż karne oraz badań takich jak Niezależne badanie dotyczące niegodziwego traktowania dzieci w celach seksualnych; natomiast „ochrona praw i wolności innych osób” ma znaczenie dla danych osobowych, które odnoszą się zarówno do innych osób fizycznych, jak i do wnioskodawcy (Podręcznik dotyczący ochrony danych opracowany przez Krajową Radę Komendantów Policji, s. 140, zob. przypis 27).

128

(129)  Art. 79 DPA 2018.

129

(130)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

130

(131)  Art. 44 ust. 5 i 6; art. 45 ust. 5 i 6; art. 48 ust. 4 DPA 2018.

131

(132)  Art. 44 ust. 7; art. 45 ust. 7; art. 48 ust. 6 DPA 2018.

132

(133)  Art. 51 DPA 2018.

133

(134)  Art. 167 DPA 2018.

134

(135)  Jeżeli chodzi o zakres zautomatyzowanego przetwarzania, w notach wyjaśniających do DPA 2018 określono, że: „przepisy te odnoszą się do w pełni zautomatyzowanego podejmowania decyzji, a nie do zautomatyzowanego przetwarzania. Zautomatyzowane przetwarzanie (w tym profilowanie) ma miejsce wówczas, gdy operacja jest przeprowadzana na danych bez konieczności interwencji ludzkiej. Jest ono często stosowane na potrzeby ścigania przestępstw do filtrowania i ograniczenia dużych zbiorów danych do ilości możliwych do późniejszego wykorzystania przez człowieka. Zautomatyzowane podejmowanie decyzji jest formą zautomatyzowanego przetwarzania i wymaga podjęcia ostatecznej decyzji bez ingerencji człowieka” (noty wyjaśniające do DPA, pkt 204, zob. przypis 45).

135

(136)  Oprócz zabezpieczeń przewidzianych w DPA w ramach prawnych Zjednoczonego Królestwa istnieją inne ograniczenia prawne, które mają zastosowanie do organów ścigania i zapobiegają automatycznemu przetwarzaniu (w tym profilowaniu), które prowadzi do niezgodnej z prawem dyskryminacji. Ustawą o prawach człowieka z 1998 r. wprowadzono do prawa Zjednoczonego Królestwa prawa wynikające z EKPC, w tym prawo, o którym mowa w art. 14 konwencji, tj. zakaz dyskryminacji. Podobnie ustawa o równouprawnieniu z 2010 r. zakazuje dyskryminacji osób o cechach podlegających ochronie (które obejmują płeć, rasę, niepełnosprawność itp.).

136

(137)  Art. 49 ust. 2 DPA 2018.

137

(138)  Art. 50 ust. 4 DPA 2018.

138

(139)  Te nowe ramy, w tym uprawnienie Sekretarza Stanu do wydawania rozporządzeń stwierdzających odpowiedni stopień ochrony, zaczęły obowiązywać z końcem okresu przejściowego. Rozporządzenie w sprawie ochrony danych, prywatności i łączności elektronicznej (w szczególności załącznik 21 pkt 10–12, które na mocy tego rozporządzenia wprowadzono do DPA 2018) stanowi jednak, że w okresie przejściowym i po jego zakończeniu określone rodzaje przekazywania danych osobowych są traktowane tak, jakby opierały się na rozporządzeniach stwierdzających odpowiedni stopień ochrony. Te rodzaje przekazywania danych obejmują przekazywanie do państw trzecich objętych unijną decyzją stwierdzającą odpowiedni stopień ochrony na koniec okresu przejściowego oraz do państw członkowskich UE, państw EFTA i terytorium Gibraltaru z racji stosowania przez nie dyrektywy o ochronie danych w sprawach karnych do przetwarzania danych na potrzeby ścigania przestępstw (państwa EFTA stosują dyrektywę (UE) 2016/680 ze względu na swoje zobowiązania wynikające z dorobku Schengen). Oznacza to, że po zakończeniu okresu przejściowego przekazywanie danych do tych państw może nadal odbywać się na takich samych zasadach jak przed wystąpieniem z UE. Po zakończeniu okresu przejściowego Sekretarz Stanu ma obowiązek przeprowadzić przegląd ustaleń dotyczących odpowiedniego stopnia ochrony w ciągu 4 lat.

139

(140)  Art. 73 i 77 DPA 2018.

140

(141)  Władze Zjednoczonego Królestwa wyjaśniły, że opis państwa lub organizacji międzynarodowej odnosi się do sytuacji, w której konieczne byłoby dokonanie szczegółowego i częściowego określenia odpowiedniego stopnia ochrony przy konkretnych ograniczeniach (np. rozporządzeniu stwierdzającym odpowiedni stopień ochrony wyłącznie w odniesieniu do określonego rodzaju przekazywania danych).

141

(142)  Zob. art. 74 A ust. 4 DPA 2018, który stanowi, że oceniając, czy stopień ochrony jest odpowiedni, „Sekretarz Stanu musi uwzględnić w szczególności a) praworządność, poszanowanie praw człowieka i podstawowych wolności, odpowiednie prawodawstwo – zarówno ogólne, jak i sektorowe – w tym w dziedzinie bezpieczeństwa publicznego, obrony, bezpieczeństwa narodowego i prawa karnego oraz dostępu organów publicznych do danych osobowych, a także wdrażanie takiego prawodawstwa, zasady ochrony danych osobowych, zasady dotyczące wykonywania zawodu, środki bezpieczeństwa, w tym zasady dalszego przekazywania danych osobowych do kolejnego państwa trzeciego lub innej organizacji międzynarodowej, których przestrzega się w tym państwie trzecim lub w organizacji międzynarodowej, orzecznictwo, a także skuteczne i wykonalne prawa osób, których dane dotyczą, oraz prawa osób, których dane osobowe są przekazywane, do skutecznych administracyjnych i sądowych środków zaskarżenia; b) istnienie i skuteczne funkcjonowanie co najmniej jednego niezależnego organu nadzorczego w państwie trzecim lub organu nadzorującego organizację międzynarodową, mającego obowiązek zapewniać i egzekwować przestrzeganie przepisów o ochronie danych – w tym posiadające odpowiednie uprawnienia do egzekwowania przestrzegania przepisów – pomagać i doradzać osobom, których dane dotyczą, w toku wykonywania przysługujących im praw, a także współpracować z Komisarzem; oraz c) międzynarodowe zobowiązania państwa trzeciego lub organizacji międzynarodowej lub inne obowiązki wynikające z prawnie wiążących konwencji lub aktów prawnych oraz z udziału w systemach wielostronnych lub regionalnych, w szczególności w dziedzinie ochrony danych osobowych”.

142

(143)  Zob. protokół ustaleń między Sekretarzem Stanu Departamentu Cyfryzacji, Kultury, Mediów i Sportu (DCMS) a Biurem Komisarza ds. Informacji w sprawie roli Biura w ponownej ocenie odpowiedniego stopnia ochrony zapewnionego przez Zjednoczone Królestwo, dostępny pod następującym adresem: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

143

(144)  W trakcie tego 40-dniowego okresu obie izby parlamentu mogą, jeśli zechcą, zagłosować przeciwko rozporządzeniom; w przypadku przyjęcia takiego wniosku w drodze głosowania, rozporządzenia ostatecznie przestaną wywoływać jakiekolwiek dalsze skutki prawne.

144

(145)  Art. 75 DPA 2018.

145

(146)  Zgodnie z art. 75 ust. 3 DPA 2018, jeżeli przekazanie danych odbywa się w oparciu o odpowiednie zabezpieczenia: a) przekazanie musi być udokumentowane; b) dokumentacja musi zostać przekazana Komisarzowi na jego żądanie oraz c) dokumentacja musi zawierać w szczególności (i) datę i godzinę przekazania, (ii) nazwę odbiorcy i wszelkie inne stosowne informacje na jego temat, (iii) uzasadnienie przekazania oraz (iv) opis przekazanych danych osobowych.

146

(147)  Przewodnik dotyczący przetwarzania danych do celów ścigania przestępstw, „Czy istnieją jakiekolwiek okoliczności szczególne?”, dostępny pod adresem: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3.

147

(148)  Art. 76 DPA 2018.

148

(149)  Art. 76 DPA 2018.

149

(150)  Art. 76 ust. 3 DPA 2018.

150

(151)  Art. 73 ust. 5 DPA 2018.

151

(152)  Stosowanie tych nowych ram należy interpretować w świetle art. 782 umowy o handlu i współpracy między Unią Europejską i Europejską Wspólnotą Energii Atomowej, z jednej strony, a Zjednoczonym Królestwem Wielkiej Brytanii i Irlandii Północnej, z drugiej strony (L 444/14 z 31.12.2020) („umowa o handlu i współpracy między Unią Europejską a Zjednoczonym Królestwem”), dostępnej pod adresem: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:22020A1231(01)&from=PL.

152

(153)  Art. 62 DPA 2018.

153

(154)  Art. 69 DPA 2018.

154

(155)  Art. 36 ust. 2 lit. b) dyrektywy (UE) 2016/680.

155

(156)  Art. 116 DPA 2018.

156

(157)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2019–2020, dostępne pod adresem: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

157

(158)  Relacje między tymi dwoma podmiotami reguluje umowa o zarządzanie. W szczególności kluczowe obowiązki Departamentu Cyfryzacji, Kultury, Mediów i Sportu jako departamentu finansującego obejmują: zapewnienie Komisarzowi ds. Informacji odpowiedniego finansowania i odpowiednich zasobów; reprezentowanie interesów Komisarza ds. Informacji przed parlamentem i innymi departamentami rządowymi; zapewnienie solidnych krajowych ram ochrony danych; oraz zapewnienie wytycznych i wsparcia na rzecz Komisarza ds. Informacji w zakresie kwestii korporacyjnych, taki jak kwestie dotyczące nieruchomości, najmu i zamówień publicznych (umowa o zarządzanie na lata 2018–2021, dostępna pod adresem: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf

158

(159)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

159

(160)  Kodeks zarządzania w zakresie nominacji publicznych, dostępny pod adresem: https://www.gov.uk/government/publications/governance-code-for-public-appointments.

160

(161)  Drugie sprawozdanie z sesji Komisji Kultury, Mediów i Sportu 2015–2016 w Izbie Gmin, dostępne pod adresem: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

161

(162)  
  „Oświadczenie” oznacza wniosek składany w parlamencie, służący zapoznaniu monarchy z opiniami parlamentu na dany temat.

162

(163)  Pkt 3 załącznika 12 do DPA 2018.

163

(164)  Art. 137 DPA 2018.

164

(165)  Art. 137 i 138 DPA 2018 zawiera szereg zabezpieczeń służących zapewnieniu ustalenia opłat na odpowiednim poziomie. W szczególności w art. 137 ust. 4 DPA 2018 wymieniono kwestie, jakie Sekretarz Stanu musi uwzględnić przy tworzeniu przepisów określających kwotę, którą muszą zapłacić różne organizacje. Art. 138 ust. 1 i art. 182 DPA 2018 zawierają również wymóg prawny, aby Sekretarz Stanu przed wprowadzeniem przepisów zasięgnął opinii Komisarza ds. Informacji i innych przedstawicieli osób, których przepisy te mogą dotyczyć. Ponadto zgodnie z art. 138 ust. 2 DPA 2018 Komisarz ds. Informacji jest zobowiązany do prowadzenia stałego przeglądu funkcjonowania rozporządzenia w sprawie opłat i może przedstawić Sekretarzowi Stanu propozycje zmian, które należy wprowadzić do rozporządzenia. Z wyjątkiem przypadków gdy przepisy są tworzone w celu uwzględnienia wzrostu wskaźnika cen towarów i usług konsumpcyjnych (w którym to przypadku podlegają one procedurze milczącej zgody [negative resolution procedure]), przepisy podlegają ponadto procedurze wyraźnej zgody (affirmative resolution procedure), a ich przyjęcie jest możliwe po zatwierdzeniu ich uchwałą każdej izby parlamentu.

165

negative resolution procedure

affirmative resolution procedure

(166)  W umowie o zarządzanie wyjaśniono, że „Sekretarz Stanu może dokonywać płatności na rzecz Komisarza ds. Informacji ze środków zapewnianych przez parlament na mocy pkt 9 załącznika 12 do DPA 2018. Po konsultacji z Komisarzem ds. Informacji Departament Cyfryzacji, Kultury, Mediów i Sportu wypłaci Komisarzowi ds. Informacji odpowiednią kwotę (subwencję) na pokrycie kosztów administracyjnych Komisarza ds. Informacji i kosztów związanych z pełnieniem funkcji Komisarza ds. Informacji w odniesieniu do szeregu konkretnych funkcji, w tym swobodnego dostępu do informacji” (umowa o zarządzanie na lata 2018–2021, pkt 1.12, zob. przypis 158).

166

(167)  Art. 134 DPA 2018.

167

(168)  Pkt 2 załącznika 13 do DPA 2018.

168

(169)  Art. 142 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 143 DPA 2018).

169

(170)  Art. 146 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 147 DPA 2018).

170

(171)  Art. 149–151 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 152 DPA 2018).

171

(172)  Art. 155 DPA 2018 (z zastrzeżeniem ograniczeń określonych w art. 156 DPA 2018).

172

(173)  Polityka działań regulacyjnych, dostępna pod adresem: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

173

(174)  W szczególności Komisarz ds. Informacji może wydać zawiadomienie w sprawie sankcji w następstwie uchybienia przepisom, o którym mowa w art. 149 ust. 2, 3, 4 lub 5 DPA 2018.

174

(175)  Art. 157 DPA 2018.

175

(176)  Sprawozdanie roczne i sprawozdanie finansowe Komisarza ds. Informacji za okres 2018-2019, dostępne pod adresem: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf.

176

(177)  Sprawozdanie roczne Komisarza ds. Informacji za okres 2019–2020 (zob. przypis 157).

177

(178)  Baza danych, w której zapisywano dane wywiadowcze dotyczące domniemanych członków gangów i poszkodowanych w przestępstwach związanych z gangami.

178

(179)  Art. 170 DPA 2018.

179

(180)  Art. 171 DPA 2018.

180

(181)  Art. 119 DPA 2018.

181

(182)  Art. 144 i 148 DPA 2018.

182

(183)  Jak określono w umowie o zarządzanie, sprawozdanie roczne musi: (i) uwzględniać wszystkie przedsiębiorstwa, spółki zależne lub spółki joint venture objęte kontrolą Komisarza ds. Informacji; (ii) być zgodne z Podręcznikiem dotyczącym sprawozdawczości finansowej opublikowanym przez Ministerstwo Skarbu (Financial Reporting Manual – FReM); (iii) zawierać oświadczenie dotyczące zarządzania, określające metody stosowane przez księgowego do zarządzania zasobami wykorzystywanymi w organizacji i ich kontroli w ciągu roku i ilustrujące sprawność organizacji w zarządzaniu ryzykiem związanym z realizacją jej celów i zadań oraz (iv) nakreślać główne działania i wyniki w poprzednim roku budżetowym oraz przedstawiać w skróconej formie plany na przyszłość (umowa o zarządzanie na lata 2018–2021, pkt 3.26, zob. przypis 158).

183

(184)  Art. 117 DPA 2018.

184

(185)  Panel jest odpowiedzialny za zapewnienie wytycznych i szkoleń dla wymiaru sprawiedliwości. Rozpatruje on również skargi wniesione przez osoby, których dane dotyczą, dotyczące przetwarzania danych osobowych przez sądy, trybunały i osoby fizyczne w ramach sprawowania przez nie wymiaru sprawiedliwości. Celem panelu jest zapewnienie środków umożliwiających rozpatrzenie każdej skargi. Jeżeli skarżący nie jest zadowolony z decyzji podjętej przez panel i dostarcza dodatkowy materiał dowodowy, panel może ponownie rozpatrzyć swoją decyzję. Chociaż sam panel nie nakłada sankcji finansowych, to jeżeli uzna, że doszło do wystarczająco poważnego naruszenia przepisów DPA 2018, może skierować sprawę do Biura ds. Badania Funkcjonowania Wymiaru Sprawiedliwości (Judicial Conduct Investigation Office, JCIO), które rozpatrzy skargę. Jeżeli skarga zostanie podtrzymana, lord kanclerz (Lord Chancellor) i Lord Chief Justice (lub sędzia starszy rangą upoważniony do działania w jego imieniu) decydują o tym, jakie działania należy podjąć wobec osoby sprawującej urząd. Działania te mogą obejmować, według stopnia powagi: formalną opinię, formalne ostrzeżenie i upomnienie, a w ostateczności usunięcie ze stanowiska. Jeżeli dana osoba jest niezadowolona ze sposobu rozpatrzenia skargi przez JCIO, może złożyć dalszą skargę do Rzecznika Praw Obywatelskich ds. mianowań sądowych i postępowania sądowego [Judicial Appointments and Conduct Ombudsman] (zob. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Rzecznik Praw Obywatelskich jest uprawniony do zwrócenia się do JCIO o ponowne rozpatrzenie skargi i może zaproponować wypłatę odszkodowania na rzecz skarżącego, jeżeli uważa, że poniósł on szkodę w wyniku niewłaściwego załatwienia sprawy.

185

(186)  Oświadczenie o ochronie prywatności wydane przez Lord Chief Justice i Senior President of Tribunals jest dostępne pod adresem: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  Oświadczenie o ochronie prywatności wydane przez Lord Chief Justice Irlandii Północnej jest dostępne pod adresem: https://judiciaryni.uk/data-privacy.

187

(188)  Oświadczenie o ochronie prywatności szkockich sądów i trybunałów jest dostępne pod adresem: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.

188

(189)  Sędzia sprawujący nadzór nad ochroną danych osobowych udziela wskazówek kadrom wymiaru sprawiedliwości i bada naruszenia lub skargi dotyczące przetwarzania danych osobowych przez sądy lub osoby fizyczne w ramach sprawowania przez nie wymiaru sprawiedliwości.

189

(190)  W przypadku uznania, że skarga lub naruszenie są poważne, przekazuje się je urzędnikowi ds. skarg sądowych w celu przeprowadzenia dalszego dochodzenia zgodnie z kodeksem postępowania w sprawie skarg opublikowanym przez Lord Chief Justice Irlandii Północnej. Skutkiem takiej skargi może być: zaniechanie dalszych działań, porada, szkolenie lub opieka mentorska, nieformalne ostrzeżenie, formalne ostrzeżenie, ostatnie ostrzeżenie, ograniczenie praktyki lub skierowanie sprawy do ustawowego trybunału. Kodeks postępowania w sprawie skarg opublikowany przez Lord Chief Justice Irlandii Północnej jest dostępny pod adresem: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

190

(191)  Każda uzasadniona skarga jest badana przez sędziego sprawującego nadzór nad ochroną danych osobowych i kierowana do Lord President, który ma prawo udzielić porady, formalnego ostrzeżenia lub nagany, jeśli uzna to za konieczne (równoważne zasady obowiązują członków trybunału i są dostępne pod adresem: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  Art. 165 DPA 2018.

192

(193)  Art. 166 DPA 2018 odnosi się w szczególności do następujących sytuacji: a) Komisarz nie podejmuje odpowiednich kroków w celu udzielenia odpowiedzi na skargę; b) Komisarz nie przekazuje skarżącemu informacji o postępach w rozpatrywaniu skargi lub o skutkach rozpatrzenia skargi w terminie trzech miesięcy od chwili otrzymania skargi przez Komisarza; lub c) jeżeli, w przypadku niezakończenia rozpatrywania skargi w tym okresie, Komisarz nie informuje o tym skarżącego w okresie kolejnych trzech miesięcy.

193

(194)  Trybunał Pierwszej Instancji jest sądem właściwym do rozpatrywania odwołań od decyzji wydanych przez rządowe organy regulacyjne. W przypadku decyzji wydanych przez Komisarza ds. Informacji właściwą izbą jest „Izba ds. Regulatorów”, której właściwość obejmuje obszar całego Zjednoczonego Królestwa.

194

(195)  Art. 166 DPA 2018.

195

(196)  Art. 161 i 162 DPA 2018.

196

(197)  Zob. sprawa Brown przeciwko Commissioner of the Met 2016, w której sąd zasądził rekompensatę powódce w kontekście ochrony danych w powództwie przeciwko policji. Sąd orzekł na korzyść powódki, przychylając się do jej pozwu dotyczącego naruszenia obowiązków wynikających z DPA 1998, naruszenia ustawy o prawach człowieka z 1998 r. (i powiązanego prawa określonego w art. 8 EKPC) oraz popełnienia czynu niedozwolonego polegającego na niewłaściwym wykorzystaniu informacji prywatnych (pozwany ostatecznie przyznał, że naruszył DPA i EKPC, więc sąd skupił się w wyroku na określeniu odpowiedniego środka zaradczego). W związku z tymi naruszeniami sąd zasądził na rzecz powódki odszkodowanie pieniężne.

197

(198)  Art. 8 ust. 1 ustawy o prawach człowieka z 1998 r.

198

(199)  Art. 36 ust. 3 DPA 2018.

199

(200)  Art. 56 ustawy o gospodarce cyfrowej z 2017 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2017/30/contents.

200

(201)  Art. 48 ustawy o gospodarce cyfrowej z 2017 r.

201

(202)  Art. 7 ustawy o przestępczości i sądach z 2013 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2013/22/contents.

202

(203)  Art. 68 ustawy o poważnej przestępczości z 2007 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2007/27/contents.

203

(204)  Zatwierdzone praktyki zawodowe dotyczące udostępniania informacji, dostępne pod adresem: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.

204

(205)  Zob. np. sprawa M przeciwko Chief Constable of Sussex Police [2019] EWHC 975 (Admin), w której zwrócono się do Wysokiego Trybunału o rozstrzygnięcie w kwestii udostępniania danych między policją a partnerstwem na rzecz ograniczenia przestępczości wymierzonej w przedsiębiorstwa (Business Crime Reduction Partnership – BCRP), organizacją upoważnioną do zarządzania programem zawiadomień o wykluczeniu, zabraniającymi osobom wstępu do lokali handlowych jej członków. Trybunał zbadał udostępnianie danych, które odbywało się na podstawie umowy mającej na celu ochronę społeczeństwa i zapobieganie przestępczości, i ostatecznie stwierdził, że większość aspektów udostępniania danych była zgodna z prawem, z wyjątkiem pewnych informacji szczególnie chronionych udostępnianych między policją a BCRP. Innym przykładem jest sprawa Cooper przeciwko NCA [2019] EWCA Civ 16, w której Sąd Apelacyjny potwierdził zgodność z prawem udostępniania danych między policją a Agencją ds. Poważnej Przestępczości Zorganizowanej (Serious Organised Crime Agency), organem ścigania będącym obecnie częścią Krajowej Agencji ds. Zwalczania Przestępczości.

205

(206)  Art. 36 ust. 4 DPA 2018.

206

(207)  Decyzja wykonawcza Komisji na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo C(2021) 4800.

207

(208)  Art. 19 ustawy o zwalczaniu terroryzmu z 2008 r., dostępnej pod adresem: https://www.legislation.gov.uk/ukpga/2008/28/section/19.

208

(209)  Art. 2 ust. 2 ustawy o służbach wywiadowczych z 1994 r. (zob. https://www.legislation.gov.uk/ukpga/1994/13/contents) stanowi, że „Dyrektor służby wywiadowczej jest odpowiedzialny za skuteczne działanie tej służby i jego obowiązkiem jest zapewnienie, aby: a) wprowadzono rozwiązania mające na celu zagwarantowanie, że służba wywiadowcza nie uzyskuje żadnych informacji z wyjątkiem tych, które są konieczne do właściwego wykonywania jej funkcji, i że nie zostaną ujawnione żadne informacje poza to, co konieczne – (i) do tego celu; (ii) w interesie bezpieczeństwa narodowego; (iii) do celów zapobiegania poważnym przestępstwom lub ich wykrywania lub (iv) do celów jakichkolwiek postępowań karnych oraz b) służba wywiadowcza nie podejmowała żadnych działań na rzecz interesów jakiejkolwiek partii politycznej Zjednoczonego Królestwa”; natomiast art. 2 ust. 2 ustawy o Służbie Bezpieczeństwa z 1989 r. (zob. https://www.legislation.gov.uk/ukpga/1989/5/contents) stanowi, że „Dyrektor generalny jest odpowiedzialny za skuteczne działanie Służby i jego obowiązkiem jest zapewnienie, aby: a) wprowadzono rozwiązania mające na celu zagwarantowanie, że Służba nie uzyskuje żadnych informacji z wyjątkiem tych, które są konieczne do właściwego wykonywania jej funkcji, i że nie zostaną ujawnione żadne informacje poza to, co konieczne do tego celu lub do celów zapobiegania poważnej przestępczości lub jej wykrywania lub do celów jakichkolwiek postępowań karnych; b) Służba nie podejmowała żadnych działań na rzecz interesów jakiejkolwiek partii politycznej; oraz c) wprowadzono rozwiązania, uzgodnione z Dyrektorem Generalnym Krajowej Agencji ds. Zwalczania Przestępczości, mające na celu koordynację działań Służby prowadzonych na podstawie art. 1 ust. 4 ustawy z działaniami sił policyjnych, Krajowej Agencji ds. Zwalczania Przestępczości i innych organów ścigania”.

209

(210)  Zabezpieczenia i ograniczenia uprawnień służb wywiadowczych uregulowano również ustawą o uprawnieniach dochodzeniowo-śledczych z 2016 r., która wraz z ustawą regulującą uprawnienia dochodzeniowo-śledcze z 2000 r. w przypadku Anglii, Walii i Irlandii Północnej oraz ustawą regulującą uprawnienia dochodzeniowo-śledcze w Szkocji z 2000 r., w przypadku Szkocji, zapewnia podstawę prawną do korzystania z takich uprawnień. Uprawnienia te nie są jednak istotne w kontekście „dalszego przekazywania”, ponieważ obejmują one bezpośrednie gromadzenie danych osobowych przez agencje wywiadowcze. Ocenę uprawnień przyznanych agencjom wywiadowczym na mocy ustawy o uprawnieniach dochodzeniowo-śledczych zawarto w decyzji wykonawczej Komisji na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzającej odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo C(2021) 4800.

210

(211)  Zgodnie z art. 86 ust. 6 DPA 2018, aby stwierdzić rzetelność i przejrzystość przetwarzania, należy uwzględnić metodę wykorzystaną do uzyskania tych danych. W tym sensie wymóg rzetelności i przejrzystości jest spełniony, jeśli dane uzyskano od osoby, która jest zgodnie z prawem upoważniona lub zobowiązana do ich dostarczenia.

211

(212)  Zgodnie z art. 87 DPA 2018 cele przetwarzania muszą być konkretne, wyraźne i prawnie uzasadnione. Danych nie można przetwarzać w sposób niezgodny z celami, dla których zostały zebrane. Zgodnie z art. 87 ust. 3 dalsze zgodne z celami przetwarzanie danych osobowych może być dozwolone tylko wtedy, gdy administrator jest prawnie upoważniony do przetwarzania danych w tym celu, a przetwarzanie jest niezbędne i proporcjonalne do tego innego celu. Przetwarzanie należy uznać za zgodne z celami, jeśli polega ono na przetwarzaniu do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych i podlega odpowiednim zabezpieczeniom (art. 87 ust. 4 DPA 2018).

212

(213)  Dane osobowe muszą być adekwatne, stosowne i nienadmierne w stosunku do celów, dla których są przetwarzane (art. 88 DPA 2018).

213

(214)  Dane osobowe muszą być prawidłowe i aktualne (art. 89 DPA 2018).

214

(215)  Danych osobowych nie wolno przechowywać dłużej niż jest to niezbędne (art. 90 DPA 2018).

215

(216)  Szósta zasada ochrony danych polega na tym, że dane osobowe muszą być przetwarzane w sposób obejmujący zastosowanie odpowiednich środków bezpieczeństwa w celu zabezpieczenia przed ryzykiem wynikającym z przetwarzania danych osobowych. Ryzyko to obejmuje m.in. przypadkowy lub nieuprawniony dostęp do danych osobowych lub ich zniszczenie, utratę, wykorzystanie, modyfikację lub ujawnienie (art. 91 DPA 2018). W art. 107 zawarto również wymóg, aby: 1) każdy administrator wdrożył odpowiednie środki bezpieczeństwa adekwatne do ryzyka wynikającego z przetwarzania danych osobowych oraz aby 2) w przypadku zautomatyzowanego przetwarzania każdy administrator i każdy podmiot przetwarzający wdrożyli środki zapobiegawcze lub zaradcze na podstawie oceny ryzyka.

216

(217)  Art. 86 ust. 2 lit. b) i załącznik 10 do DPA 2018.

217

(218)  Część 4 rozdział 3 DPA 2018, a mianowicie prawa: do dostępu, sprostowania i usunięcia, do wniesienia sprzeciwu wobec przetwarzania i niepodlegania zautomatyzowanemu podejmowaniu decyzji, do interwencji w zautomatyzowane podejmowanie decyzji oraz do uzyskania informacji o podejmowaniu decyzji w taki sposób. Administrator musi ponadto udzielić osobie, której dane dotyczą, informacji na temat przetwarzania jej danych osobowych.

218

(219)  Art. 103 DPA 2018.

219

(220)  Art. 109 DPA 2018. Przekazywanie danych osobowych do organizacji międzynarodowych lub państw poza terytorium Zjednoczonego Królestwa jest możliwe, jeśli przekazanie jest środkiem niezbędnym i proporcjonalnym stosowanym do celów wykonywania przez administratora funkcji ustawowych lub do innych celów przewidzianych w określonych artykułach ustawy o Służbie Bezpieczeństwa z 1989 r. i ustawy o służbach wywiadowczych z 1994 r.

220

(221)  Zob. sprawa Baker przeciwko Secretary of State for the Home Department [2001] UKIT NSA2 („Baker przeciwko Secretary of State”).

221

(222)  Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Ramy dotyczące ochrony danych związanych z bezpieczeństwem narodowym i uprawnień dochodzeniowo-śledczych, s. 15–16, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Zob. również sprawa Baker przeciwko Secretary of State (zob. przypis 220 powyżej), w której trybunał unieważnił poświadczenie bezpieczeństwa narodowego wydane przez Home Secretary (ministra spraw wewnętrznych) i potwierdzające zastosowanie wyjątku dotyczącego bezpieczeństwa narodowego, stwierdzając, że nie ma powodów do określenia ogólnego wyjątku od obowiązku odpowiadania na wnioski o udzielenie dostępu oraz że dopuszczenie takiego wyjątku we wszystkich okolicznościach bez analizy poszczególnych przypadków wykracza poza to, co jest niezbędne i proporcjonalne do ochrony bezpieczeństwa narodowego.

222

(223)  Zob. protokół ustaleń między Komisarzem ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa (UKIC), zgodnie z którym „po otrzymaniu przez Komisarza ds. Informacji skargi od osoby, której dane dotyczą, Komisarz upewnia się, że sprawę rozstrzygnięto prawidłowo i, w stosownych przypadkach, że wszelkie wyłączenia zastosowano w odpowiedni sposób” (Protokół ustaleń między Biurem Komisarza ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa, pkt 16, dostępny pod adresem: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  W DPA 2018 uchylono możliwość wydawania poświadczenia na podstawie art. 28 ust. 2 ustawy o ochronie danych z 1998 r. Możliwość wydawania „starych poświadczeń” nadal istnieje jednak w zakresie związanym z ewentualnym zaskarżeniem dotyczącym przeszłości na mocy ustawy z 1998 r. (zob. pkt 17 części 5 załącznika 20 do DPA 2018). Ta możliwość wydaje się jednak mieć zastosowanie jedynie w rzadkich przypadkach, np. gdy osoba, której dane dotyczą, kwestionuje korzystanie z wyłączenia dotyczącego bezpieczeństwa narodowego w odniesieniu do przetwarzania danych przez organ publiczny na mocy ustawy z 1998 r. Należy zauważyć, że w takich przypadkach art. 28 DPA 1998 będzie miał zastosowanie w całości, włączając w to możliwość zaskarżenia poświadczenia przez osobę, której dane dotyczą. W chwili obecnej brak jest poświadczeń bezpieczeństwa narodowego wydanych na mocy DPA 1998.

224

(225)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego wydawanych na podstawie DPA 2018, dostępne pod adresem: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

225

(226)  Zgodnie z art. 130 DPA 2018 Komisarz ds. Informacji może podjąć decyzję o niepublikowaniu całości lub części tekstu poświadczenia, jeżeli byłoby to sprzeczne z interesem bezpieczeństwa narodowego lub interesem publicznym bądź mogłoby zagrozić bezpieczeństwu jakiejkolwiek osoby. W takich przypadkach Komisarz ds. Informacji publikuje jednak informację o wydaniu poświadczenia.

226

(227)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 15, zob. przypis 225.

227

(228)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 5, przypis 225.

228

(229)  Zgodnie z art. 102 DPA 2018 administrator musi być w stanie wykazać, że zastosował się do przepisów tej ustawy. Oznacza to, że służba wywiadowcza musiałaby wykazać Komisarzowi ds. Informacji, że powołując się na wyłączenie, uwzględniła szczególne okoliczności sprawy. Komisarz ds. Informacji publikuje również rejestr poświadczeń bezpieczeństwa narodowego, który jest dostępny pod adresem: jest dostępny pod adresem: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

229

(230)  Art. 111 ust. 3 DPA 2018.

230

(231)  Wyższy Trybunał jest sądem właściwym do rozpoznawania odwołań od orzeczeń sądów administracyjnych niższej instancji i ma właściwość szczególną w odniesieniu do bezpośrednich odwołań od decyzji określonych organów rządowych.

231

(232)  Art. 111 ust. 5 DPA 2018.

232

(233)  W sprawie Baker przeciwko Secretary of State (zob. przypis 221) Trybunał ds. Ochrony Danych unieważnił poświadczenie bezpieczeństwa narodowego wydane przez Home Secretary (ministra spraw wewnętrznych), stwierdzając, że nie ma powodów do określenia ogólnego wyjątku od obowiązku odpowiadania na wnioski o udzielenie dostępu oraz że dopuszczenie takiego wyjątku we wszystkich okolicznościach bez analizy poszczególnych przypadków wykracza poza to, co jest niezbędne i proporcjonalne do ochrony bezpieczeństwa narodowego.

233

(234)  Wytyczne rządu Zjednoczonego Królestwa dotyczące poświadczeń bezpieczeństwa narodowego, pkt 25, przypis 224.

234

(235)  Obejmują one: (i) zasady ochrony danych określone w części 4 z wyjątkiem wymogu zgodności przetwarzania z prawem zawartego w pierwszej zasadzie oraz z wyjątkiem faktu, że przetwarzanie musi spełniać jeden z odpowiednich warunków określonych w załącznikach 9 i 10; (ii) prawa osób, których dane dotyczą, oraz (iii) obowiązki związane ze zgłaszaniem naruszeń Komisarzowi ds. Informacji.

235

(236)  Zgodnie z ramami wyjaśniającymi Zjednoczonego Królestwa wyjątki „ze względu na klasę” są następujące: (i) informacje dotyczące nadawania tytułów i zaszczytów królewskich; (ii) prawnicza tajemnica zawodowa; (iii) poufne referencje zawodowe, szkoleniowe lub edukacyjne oraz (iv) arkusze egzaminacyjne i uzyskane oceny. Wyjątki „ze względu na szkodę” dotyczą takich kwestii jak: (i) zapobieganie przestępstwom lub ich wykrywanie; zatrzymywanie i ściganie przestępców; (ii) przywilej parlamentarny; (iii) postępowania sądowe; (iv) skuteczność bojowa Sił Zbrojnych Korony; (v) dobrobyt gospodarczy Zjednoczonego Królestwa; (vi) negocjacje z osobą, której dane dotyczą; (vii) badania naukowe lub historyczne lub cele statystyczne; (viii) archiwizacja w interesie publicznym. Ramy wyjaśniające Zjednoczonego Królestwa dotyczące dyskusji na temat odpowiedniego stopnia ochrony, sekcja H: Bezpieczeństwo narodowe, s. 13, zob. przypis 222.

236

(237)  Art. 116 DPA 2018.

237

(238)  Zgodnie z art. 149 ust. 2 w związku z art. 155 DPA 2018 wobec administratora lub podmiotu przetwarzającego mogą zostać wystawione zawiadomienia egzekucyjne i zawiadomienia w sprawie sankcji w związku z naruszeniem części 4 rozdział 2 DPA 2018 (zasady przetwarzania), przepisu części 4 DPA 2018 przyznającego prawa osobie, której dane dotyczą, wymogu poinformowania Komisarza o naruszeniu ochrony danych osobowych na mocy art. 108 DPA 2018 oraz zasad przekazywania danych osobowych do państw trzecich, państw nieobjętych konwencją i organizacji międzynarodowych, które to zasady określono w art. 109 DPA 2018. (Aby uzyskać bardziej szczegółowe informacje na temat zawiadomień egzekucyjnych i zawiadomień w sprawie sankcji, zob. motywy 102–103).

238

(239)  Zgodnie z art. 147 ust. 6 DPA 2018 Komisarz ds. Informacji nie może wydać zawiadomienia oceniającego organowi określonemu w art. 23 ust. 3 ustawy o swobodnym dostępie do informacji z 2000 r. Organem takim jest Służba Bezpieczeństwa (MI5), Tajna Służba Wywiadowcza (MI6) oraz Centrala Łączności Rządowej.

239

(240)  Zastosowanie wyjątku jest możliwe w przypadku następujących przepisów: art. 108 (informowanie Komisarza o naruszeniu ochrony danych osobowych), art. 119 (inspekcja zgodnie z zobowiązaniami międzynarodowymi); art. 142–154 i załącznik 15 (zawiadomienia wydawane przez Komisarza oraz uprawnienia do wstępu i inspekcji); oraz art. 170–173 (przestępstwa związane z danymi osobowymi). Ponadto – w odniesieniu do przetwarzania przez służby wywiadowcze – pkt 1 lit. a) i g) oraz pkt 2 załącznika 13 (inne ogólne funkcje Komisarza).

240

(241)  Zob. np. sprawa Baker przeciwko Secretary of State for the Home Department (zob. przypis 221).

241

(242)  Protokół ustaleń między Komisarzem ds. Informacji a wspólnotą wywiadowczą Zjednoczonego Królestwa (UKIC), zob. przypis 231.

242

(243)  W siedmiu z tych spraw Komisarz ds. Informacji doradził skarżącemu, aby zgłosił problem administratorowi danych (dotyczy to sytuacji, gdy osoba fizyczna zgłosiła problem Komisarzowi ds. Informacji, ale powinna była najpierw zgłosić go administratorowi danych), w jednej z tych spraw Komisarz ds. Informacji udzielił administratorowi danych ogólnej porady (ma to miejsce, gdy czynności administratora danych wydają się nie naruszać przepisów, ale udoskonalenie praktyk mogło pozwolić na uniknięcie zgłoszenia problemu Komisarzowi ds. Informacji), a w pozostałych 13 przypadkach nie było wymagane żadne działanie ze strony administratora danych (dzieje się tak w sytuacjach, gdy mimo że problemy zgłaszane przez osobę fizyczną podlegają ustawie o ochronie danych z 2018 r., ponieważ dotyczą przetwarzania danych osobowych, to na podstawie dostarczonych informacji nie wydaje się, aby administrator naruszył przepisy).

243

(244)  Zgodnie z wyjaśnieniami udzielonymi przez władze Zjednoczonego Królestwa w ustawie o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. rozszerzono zakres uprawnień Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa, aby uwzględnić jej rolę w sprawowaniu nadzoru nad wspólnotą wywiadowczą, którego zakres wykracza poza trzy główne agencje, oraz aby zapewnić możliwość sprawowania nadzoru z mocą wsteczną nad działaniami operacyjnymi agencji w kwestiach mających istotne znaczenie z punktu widzenia interesu narodowego.

244

(245)  Art. 1 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r. Ministrowie nie mogą być członkami komisji. Kadencja członków Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa odpowiada kadencji parlamentu, w trakcie której ich powołano. Członków może odwołać w drodze uchwały izba parlamentu, która ich powołała; ich kadencja wygasa również z chwilą zaprzestania pełnienia przez nich funkcji członka parlamentu lub powierzenia im funkcji ministra. Członek komisji może również samodzielnie zrezygnować z członkostwa.

245

(246)  Sprawozdania i opinie komisji są dostępne online pod adresem: http://isc.independent.gov.uk/committee-reports. W 2015 r. Komisja ds. Agencji Wywiadowczych i Bezpieczeństwa opublikowała sprawozdanie pt. „Prywatność i bezpieczeństwo: nowoczesne i przejrzyste ramy prawne” (zob.: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf), w którym przeprowadziła analizę ram prawnych regulujących kwestie związane ze stosowaniem technik nadzoru przez agencje wywiadowcze i wydała szereg zaleceń, które poddano następnie ocenie i włączono do projektu ustawy o uprawnieniach dochodzeniowo-śledczych, przekształconej na późniejszym etapie w IPA 2016. Odpowiedź rządu na sprawozdanie dotyczące prywatności i bezpieczeństwa jest dostępna pod adresem: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.

246

(247)  Art. 2 ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r.

247

(248)  Protokół ustaleń między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa dostępny pod adresem: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf.

248

(249)  Protokół ustaleń między premierem a Komisją ds. Agencji Wywiadowczych i Bezpieczeństwa, pkt 14, zob. przypis 248.

249

(250)  Sekretarz Stanu może sprzeciwić się ujawnieniu informacji wyłącznie w dwóch przypadkach: gdy żądane informacje są szczególnie chronione i nie powinny zostać ujawnione Komisji ds. Agencji Wywiadowczych i Bezpieczeństwa ze względów związanych z bezpieczeństwem narodowym lub są informacjami takiego rodzaju, że w przypadku gdyby Sekretarz Stanu został poproszony o ich przedstawienie przed departamentalną komisją specjalną Izby Gmin, musiałby uznać ich przedstawienie za niewłaściwe (ze względów innych niż względy związane z bezpieczeństwem narodowym) (pkt 4 ppkt 2 załącznika 1 do ustawy o wymiarze sprawiedliwości i bezpieczeństwie z 2013 r.).

250

(251)  Ramy wyjaśniające Zjednoczonego Królestwa – sekcja H: Bezpieczeństwo narodowe, s. 43.

251

(252)  Art. 94 ust. 11 DPA 2018.

252

(253)  Art. 99 ust. 4 DPA 2018.

253

(254)  Art. 169 DPA 2018, który zapewnia możliwość wystąpienia z roszczeniem „osobie, która doznała szkody wskutek niespełnienia wymogu ustanowionego w ustawodawstwie w dziedzinie ochrony danych”.

254

(255)  Art. 169 ust. 5 DPA 2018.

255

(256)  Zob. art. 65 ust. 2 lit. b) RIPA.

256

(257)  Zgodnie z załącznikiem 3 do RIPA 2000 członkowie muszą dysponować określonym doświadczeniem w pracy w organach wymiaru sprawiedliwości i mogą zostać powołani na kolejną kadencję.

257

(258)  Aby uzyskać dodatkowe informacje na temat „oświadczenia”, zob. przypis 183.

258

(259)  Pkt 1 ppkt 5 załącznika 3 do RIPA 2000.

259

(260)  Art. 65 ust. 4 RIPA 2000.

260

(261)  Okoliczności te odnoszą się do działań organów publicznych podejmowanych na podstawie upoważnienia (np. nakazu, zezwolenia na pozyskanie komunikacji/zawiadomienia o pozyskaniu komunikacji itp.) lub do takich sytuacji, w których (niezależnie od tego, czy wydano takie upoważnienie) działanie takie nie byłoby właściwe bez tego upoważnienia lub przynajmniej bez należytego rozważenia, czy należy wystąpić o takie upoważnienie. Za działanie podejmowane w okolicznościach budzących wątpliwości uznaje się zachowanie na podstawie upoważnienia udzielonego przez komisarza sądowego (art. 65 (7ZA) RIPA 2000), natomiast innych działań podejmowanych za zgodą osoby sprawującej urząd sądowy nie uznaje się za podejmowane w okolicznościach budzących wątpliwości (art. 65 ust. 7 i 8 RIPA 2000).

261

(262)  Zgodnie z informacjami przekazanymi przez władze Zjednoczonego Królestwa niski próg wymagany do złożenia skargi powoduje, że nierzadko w ramach prowadzonego dochodzenia Trybunał stwierdza, że w rzeczywistości organ publiczny nigdy nie prowadził dochodzenia wobec skarżącego. W najnowszym sprawozdaniu statystycznym Trybunał ds. Uprawnień Dochodzeniowo-Śledczych precyzuje, że w 2016 r. do Trybunału wpłynęło 209 skarg, z czego 52 % uznano za niepoważne lub uciążliwe, a 25 % pozostało bez rozstrzygnięcia. Władze Zjednoczonego Królestwa wyjaśniły, że oznacza to, że w odniesieniu do skarżącego nie skorzystano z żadnego niejawnego działania/upoważnienia, albo że zastosowano niejawne techniki, a Trybunał uznał, że działanie to było zgodne z prawem. Ponadto 11 % skarg odrzucono ze względu na brak właściwości do ich rozpoznania, wycofano lub uznano za nieważne, 5 % uznano za wniesione po terminie, a w przypadku 7 % wydano orzeczenie korzystne dla skarżącego. Sprawozdanie statystyczne Trybunału ds. Uprawnień Dochodzeniowo-Śledczych z 2016 r., dostępne pod adresem: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.

262

(263)  Zob. sprawa Human Rights Watch przeciwko Secretary of State [2016] UKIPTrib15_165-CH. W tej sprawie Trybunał ds. Uprawnień Dochodzeniowo-Śledczych, odwołując się do orzecznictwa Europejskiego Trybunału Praw Człowieka, orzekł, że właściwym kryterium w odniesieniu do przekonania, że działanie objęte art. 68 ust. 5 RIPA 2000 zostało podjęte przez którąkolwiek ze służb wywiadowczych lub w jej imieniu, jest określenie, czy istnieje jakakolwiek podstawa takiego przekonania, w tym fakt, że osoba fizyczna może twierdzić, że jest ofiarą naruszenia spowodowanego samym istnieniem niejawnych środków lub ustawodawstwa pozwalającego na stosowanie niejawnych środków, pod warunkiem że jest ona w stanie wykazać, że ze względu na jej sytuację osobistą jest potencjalnie zagrożona zastosowaniem wobec niej takich środków (zob. Human Rights Watch przeciwko Secretary of State, pkt 41).

263

(264)  Art. 67 ust. 3 RIPA 2000.

264

(265)  Art. 67 ust. 2 RIPA 2000.

265

(266)  Art. 68 ust. 4 RIPA 2000.

266

(267)  Takim nakazem może być nakaz zniszczenia wszelkich zapisów informacji przechowywanych przez dowolny organ publiczny w odniesieniu do jakiejkolwiek osoby.

267

(268)  Wysoki Trybunał, Liberty, [2019] EWHC 2057 (Admin), pkt 170.

268

(269)  Art. 8 ust. 1 ustawy o prawach człowieka z 1998 r.

269

(270)  Schrems, pkt 65.

270

(271)  Opinia 15/2021 dotycząca projektu decyzji wykonawczej Komisji Europejskiej przyjętej na podstawie dyrektywy (UE) 2016/680 w sprawie odpowiedniego stopnia ochrony danych osobowych w Zjednoczonym Królestwie, dostępna pod adresem: https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en.

271

(272)  Decyzja wykonawcza Rady (UE) 2020/1745 z dnia 18 listopada 2020 r. w sprawie wprowadzenia w życie przepisów dorobku Schengen dotyczących ochrony danych oraz tymczasowego wprowadzenia w życie niektórych przepisów dorobku Schengen w Irlandii (Dz.U. L 393 z 23.11.2020, s. 3).

272

(273)  
  Dz.U. L 176 z 10.7.1999, s. 36.

273

(274)  
  Dz.U. L 53 z 27.2.2008, s. 52.

274

(275)  
  Dz.U. L 160 z 18.6.2011, s. 21.

275

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/108

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1774

z dnia 5 października 2021 r.

zmieniająca decyzję wykonawczą (UE) 2018/1493 upoważniającą Węgry do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 26 ust. 1 lit. a), art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę 2006/112/WE Rady z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Decyzją wykonawczą Rady (UE) 2018/1493 (2) upoważniono Węgry do stosowania, do dnia 31 grudnia 2021 r., szczególnego środka przewidującego, z jednej strony, ograniczenie do 50 % prawa do odliczenia podatku od wartości dodanej („VAT”) naliczonego w związku z wydatkami dotyczącymi samochodów osobowych, które nie są wykorzystywane wyłącznie do celów związanych z prowadzeniem przedsiębiorstwa, na zasadzie odstępstwa od art. 168 i 168a dyrektywy 2006/112/WE, oraz, z drugiej strony, nieuznawanie za świadczenie usług za wynagrodzeniem wykorzystywania do celów niezwiązanych z działalnością gospodarczą samochodu osobowego wchodzącego w skład aktywów przedsiębiorstwa podatnika, jeżeli samochód ten został objęty ograniczeniem dopuszczonym na mocy art. 1 tej decyzji wykonawczej, na zasadzie odstępstwa od art. 26 ust. 1 lit. a) tej dyrektywy (zwanego dalej „szczególnym środkiem”). |
| --- | --- |

(1)

Decyzją wykonawczą Rady (UE) 2018/1493 (2) upoważniono Węgry do stosowania, do dnia 31 grudnia 2021 r., szczególnego środka przewidującego, z jednej strony, ograniczenie do 50 % prawa do odliczenia podatku od wartości dodanej („VAT”) naliczonego w związku z wydatkami dotyczącymi samochodów osobowych, które nie są wykorzystywane wyłącznie do celów związanych z prowadzeniem przedsiębiorstwa, na zasadzie odstępstwa od art. 168 i 168a dyrektywy 2006/112/WE, oraz, z drugiej strony, nieuznawanie za świadczenie usług za wynagrodzeniem wykorzystywania do celów niezwiązanych z działalnością gospodarczą samochodu osobowego wchodzącego w skład aktywów przedsiębiorstwa podatnika, jeżeli samochód ten został objęty ograniczeniem dopuszczonym na mocy art. 1 tej decyzji wykonawczej, na zasadzie odstępstwa od art. 26 ust. 1 lit. a) tej dyrektywy (zwanego dalej „szczególnym środkiem”).

| (2) | Pismem, które wpłynęło do Komisji w dniu 25 lutego 2021 r., Węgry wystąpiły z wnioskiem o upoważnienie do dalszego stosowania szczególnego środka („wniosek o przedłużenie”). |
| --- | --- |

(2)

Pismem, które wpłynęło do Komisji w dniu 25 lutego 2021 r., Węgry wystąpiły z wnioskiem o upoważnienie do dalszego stosowania szczególnego środka („wniosek o przedłużenie”).

| (3) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała wniosek o przedłużenie pozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Węgry, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku o przedłużenie. |
| --- | --- |

(3)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała wniosek o przedłużenie pozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Węgry, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku o przedłużenie.

| (4) | Na podstawie art. 5 decyzji wykonawczej 2018/1493 Węgry przedłożyły Komisji – wraz z wnioskiem o przedłużenie – sprawozdanie zawierające przegląd stawki procentowej określonej w odniesieniu do odliczenia VAT. Na podstawie dostępnych obecnie informacji, a mianowicie doświadczeń z kontroli podatkowej oraz danych statystycznych dotyczących prywatnego wykorzystywania samochodów osobowych, Węgry potwierdzają we wniosku o przedłużenie, że pułap 50 % nadal ma uzasadnienie i jest odpowiedni. Ponadto upraszczając pobór VAT szczególny środek skutecznie zmniejszył obciążenie administracyjne przedsiębiorstw i organów podatkowych. Jednocześnie uniemożliwia on uchylanie się od opodatkowania wynikające z niewłaściwego prowadzenia dokumentacji. Należy zatem upoważnić Węgry do dalszego stosowania tego szczególnego środka. |
| --- | --- |

(4)

Na podstawie art. 5 decyzji wykonawczej 2018/1493 Węgry przedłożyły Komisji – wraz z wnioskiem o przedłużenie – sprawozdanie zawierające przegląd stawki procentowej określonej w odniesieniu do odliczenia VAT. Na podstawie dostępnych obecnie informacji, a mianowicie doświadczeń z kontroli podatkowej oraz danych statystycznych dotyczących prywatnego wykorzystywania samochodów osobowych, Węgry potwierdzają we wniosku o przedłużenie, że pułap 50 % nadal ma uzasadnienie i jest odpowiedni. Ponadto upraszczając pobór VAT szczególny środek skutecznie zmniejszył obciążenie administracyjne przedsiębiorstw i organów podatkowych. Jednocześnie uniemożliwia on uchylanie się od opodatkowania wynikające z niewłaściwego prowadzenia dokumentacji. Należy zatem upoważnić Węgry do dalszego stosowania tego szczególnego środka.

| (5) | Przedłużenie obowiązywania szczególnego środka powinno być ograniczone w czasie, tak aby można było ocenić jego skuteczność oraz stwierdzić, czy stawka procentowa jest odpowiednia. Należy zatem upoważnić Węgry do dalszego stosowania szczególnego środka w ograniczonym okresie do dnia 31 grudnia 2024 r. |
| --- | --- |

(5)

Przedłużenie obowiązywania szczególnego środka powinno być ograniczone w czasie, tak aby można było ocenić jego skuteczność oraz stwierdzić, czy stawka procentowa jest odpowiednia. Należy zatem upoważnić Węgry do dalszego stosowania szczególnego środka w ograniczonym okresie do dnia 31 grudnia 2024 r.

| (6) | W przypadku gdyby Węgry uznały, że konieczne jest przedłużenie obowiązywania tego upoważnienia na okres po 2024 r., powinny przedłożyć Komisji sprawozdanie zawierające przegląd stosowanej stawki procentowej ograniczenia wraz z wnioskiem o przedłużenie najpóźniej do dnia 31 marca 2024 r. |
| --- | --- |

(6)

W przypadku gdyby Węgry uznały, że konieczne jest przedłużenie obowiązywania tego upoważnienia na okres po 2024 r., powinny przedłożyć Komisji sprawozdanie zawierające przegląd stosowanej stawki procentowej ograniczenia wraz z wnioskiem o przedłużenie najpóźniej do dnia 31 marca 2024 r.

| (7) | Szczególny środek wpłynie jedynie w nieznacznym stopniu na ogólną kwotę wpływów z podatków pobieranych na etapie ostatecznej konsumpcji i nie będzie mieć negatywnego wpływu na zasoby własne Unii pochodzące z podatku VAT. |
| --- | --- |

(7)

Szczególny środek wpłynie jedynie w nieznacznym stopniu na ogólną kwotę wpływów z podatków pobieranych na etapie ostatecznej konsumpcji i nie będzie mieć negatywnego wpływu na zasoby własne Unii pochodzące z podatku VAT.

| (8) | Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2018/1493, |
| --- | --- |

(8)

Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2018/1493,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Art. 5 decyzji wykonawczej (UE) 2018/1493 otrzymuje brzmienie:

„Artykuł 5

Niniejszą decyzję stosuje się od dnia 1 stycznia 2019 r. do dnia 31 grudnia 2024 r.

Ewentualny wniosek o przedłużenie upoważnienia przewidzianego niniejszą decyzją przedkłada się Komisji do dnia 31 marca 2024 r. wraz ze sprawozdaniem zawierającym przegląd stawki procentowej określonej w art. 1.”.

Artykuł 2

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 3

Niniejsza decyzja skierowana jest do Węgier.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Decyzja wykonawcza Rady (UE) 2018/1493 z dnia 2 października 2018 r. upoważniająca Węgry do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 26 ust. 1 lit. a), art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 252 z 8.10.2018, s. 44).

2

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/110

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1775

z dnia 5 października 2021 r.

zmieniająca decyzję wykonawczą (UE) 2018/789 w sprawie upoważnienia Węgier do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2006/112/WE z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Art. 193 dyrektywy 2006/112/WE określa, że każdy podatnik dokonujący podlegającej opodatkowaniu dostawy towarów lub świadczenia usług jest, co do zasady, obowiązany do zapłaty podatku od wartości dodanej (VAT) organom podatkowym. |
| --- | --- |

(1)

Art. 193 dyrektywy 2006/112/WE określa, że każdy podatnik dokonujący podlegającej opodatkowaniu dostawy towarów lub świadczenia usług jest, co do zasady, obowiązany do zapłaty podatku od wartości dodanej (VAT) organom podatkowym.

| (2) | Decyzją wykonawczą Rady (UE) 2018/789 (2) upoważniono Węgry do wprowadzenia środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w odniesieniu do osoby zobowiązanej do zapłaty podatku VAT w przypadkach, gdy niektóre dostawy są dokonywane przez podatników, wobec których prowadzone jest postępowanie likwidacyjne lub inne postępowanie prawnie stwierdzające ich upadłość (zwanego dalej „środkiem szczególnym”). |
| --- | --- |

(2)

Decyzją wykonawczą Rady (UE) 2018/789 (2) upoważniono Węgry do wprowadzenia środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w odniesieniu do osoby zobowiązanej do zapłaty podatku VAT w przypadkach, gdy niektóre dostawy są dokonywane przez podatników, wobec których prowadzone jest postępowanie likwidacyjne lub inne postępowanie prawnie stwierdzające ich upadłość (zwanego dalej „środkiem szczególnym”).

| (3) | Pismem, które wpłynęło do Komisji dnia 18 lutego 2021 r. Węgry przedłożyły Komisji wniosek o przedłużenie upoważnienia do stosowania środka szczególnego do dnia 31 grudnia 2026 r. (zwany dalej „wnioskiem”). Wraz z wnioskiem Węgry przedłożyły sprawozdanie, w tym przegląd stosowania środka szczególnego. |
| --- | --- |

(3)

Pismem, które wpłynęło do Komisji dnia 18 lutego 2021 r. Węgry przedłożyły Komisji wniosek o przedłużenie upoważnienia do stosowania środka szczególnego do dnia 31 grudnia 2026 r. (zwany dalej „wnioskiem”). Wraz z wnioskiem Węgry przedłożyły sprawozdanie, w tym przegląd stosowania środka szczególnego.

| (4) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała ten wniosek pozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Węgry, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku. |
| --- | --- |

(4)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała ten wniosek pozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Węgry, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku.

| (5) | Węgry twierdzą, że podatnicy w stanie likwidacji lub objęci postępowaniem upadłościowym często nie odprowadzają należnego podatku VAT do organów podatkowych. Jednocześnie nabywca, który jest podatnikiem mającym prawo do odliczenia, może mimo to odliczyć naliczony podatek VAT, wywierając tym samym negatywny wpływ na budżet i finansując likwidację. Węgry odnotowały również przypadki nadużyć finansowych polegających na tym, że przedsiębiorstwa w stanie likwidacji wystawiały fikcyjne faktury na rzecz aktywnych przedsiębiorstw i tym samym znacznie zmniejszały kwotę podatku należnego do zapłacenia przez te ostatnie bez gwarancji, że wystawiający fakturę uiści należny podatek VAT. |
| --- | --- |

(5)

Węgry twierdzą, że podatnicy w stanie likwidacji lub objęci postępowaniem upadłościowym często nie odprowadzają należnego podatku VAT do organów podatkowych. Jednocześnie nabywca, który jest podatnikiem mającym prawo do odliczenia, może mimo to odliczyć naliczony podatek VAT, wywierając tym samym negatywny wpływ na budżet i finansując likwidację. Węgry odnotowały również przypadki nadużyć finansowych polegających na tym, że przedsiębiorstwa w stanie likwidacji wystawiały fikcyjne faktury na rzecz aktywnych przedsiębiorstw i tym samym znacznie zmniejszały kwotę podatku należnego do zapłacenia przez te ostatnie bez gwarancji, że wystawiający fakturę uiści należny podatek VAT.

| (6) | Art. 199 ust. 1 lit. g) dyrektywy 2006/112/WE umożliwia państwom członkowskim postanowienie, że osobą zobowiązaną do zapłaty VAT jest podatnik, na rzecz którego dokonywana jest dostawa nieruchomości zbywanych przez dłużnika z tytułu wyroku w ramach procedury przymusowej licytacji („mechanizm odwrotnego obciążenia”). Środek szczególny umożliwia Węgrom rozszerzenie stosowania mechanizmu odwrotnego obciążenia na inne dostawy dokonywane przez podatników objętych postępowaniem upadłościowym, a mianowicie na dostawę dóbr inwestycyjnych oraz dostawę innych towarów i świadczenie usług o wartości wolnorynkowej przekraczającej 100 000 HUF. |
| --- | --- |

(6)

Art. 199 ust. 1 lit. g) dyrektywy 2006/112/WE umożliwia państwom członkowskim postanowienie, że osobą zobowiązaną do zapłaty VAT jest podatnik, na rzecz którego dokonywana jest dostawa nieruchomości zbywanych przez dłużnika z tytułu wyroku w ramach procedury przymusowej licytacji („mechanizm odwrotnego obciążenia”). Środek szczególny umożliwia Węgrom rozszerzenie stosowania mechanizmu odwrotnego obciążenia na inne dostawy dokonywane przez podatników objętych postępowaniem upadłościowym, a mianowicie na dostawę dóbr inwestycyjnych oraz dostawę innych towarów i świadczenie usług o wartości wolnorynkowej przekraczającej 100 000 HUF.

| (7) | Na podstawie informacji przekazanych przez Węgry zastosowanie mechanizmu odwrotnego obciążenia do tego rodzaju transakcji skutecznie uprościło pobór podatku i zapobiegło uchylaniu się od opodatkowania. Wdrożenie szczególnego środka ograniczyło straty w dochodach publicznych i wygenerowało dodatkowe dochody budżetowe. Ponadto gospodarcze skutki pandemii COVID-19 mogą doprowadzić do gwałtownego wzrostu liczby likwidacji w najbliższej przyszłości, co uwypukla potrzebę przedłużenia środka szczególnego. |
| --- | --- |

(7)

Na podstawie informacji przekazanych przez Węgry zastosowanie mechanizmu odwrotnego obciążenia do tego rodzaju transakcji skutecznie uprościło pobór podatku i zapobiegło uchylaniu się od opodatkowania. Wdrożenie szczególnego środka ograniczyło straty w dochodach publicznych i wygenerowało dodatkowe dochody budżetowe. Ponadto gospodarcze skutki pandemii COVID-19 mogą doprowadzić do gwałtownego wzrostu liczby likwidacji w najbliższej przyszłości, co uwypukla potrzebę przedłużenia środka szczególnego.

| (8) | Odstępstwo, którego dotyczy wniosek, powinno być ograniczone w czasie, ale nadal dawać organom podatkowym czas na wprowadzenie innych konwencjonalnych środków w celu rozwiązania problemu i zmniejszenia strat dla budżetu publicznego, w szczególności związanych z oszukańczymi praktykami, przed wygaśnięciem szczególnego środka, co sprawi, że dalsze przedłużenie odstępstwa stanie się zbędne. Odstępstwo umożliwiające stosowanie mechanizmu odwrotnego obciążenia jest przyznawane tylko w wyjątkowych przypadkach w odniesieniu do obszarów szczególnie podatnych na oszustwa i jest to środek stosowany w ostateczności. Upoważnienie należy zatem przedłużyć tylko do dnia 31 grudnia 2024 r. |
| --- | --- |

(8)

Odstępstwo, którego dotyczy wniosek, powinno być ograniczone w czasie, ale nadal dawać organom podatkowym czas na wprowadzenie innych konwencjonalnych środków w celu rozwiązania problemu i zmniejszenia strat dla budżetu publicznego, w szczególności związanych z oszukańczymi praktykami, przed wygaśnięciem szczególnego środka, co sprawi, że dalsze przedłużenie odstępstwa stanie się zbędne. Odstępstwo umożliwiające stosowanie mechanizmu odwrotnego obciążenia jest przyznawane tylko w wyjątkowych przypadkach w odniesieniu do obszarów szczególnie podatnych na oszustwa i jest to środek stosowany w ostateczności. Upoważnienie należy zatem przedłużyć tylko do dnia 31 grudnia 2024 r.

| (9) | Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT. |
| --- | --- |

(9)

Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT.

| (10) | Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2018/789, |
| --- | --- |

(10)

Należy zatem odpowiednio zmienić decyzję wykonawczą (UE) 2018/789,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

W art. 2 decyzji wykonawczej (UE) 2018/789 akapit drugi otrzymuje brzmienie:

„Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.
  ”.

Artykuł 2

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 3

Niniejsza decyzja skierowana jest do Węgier.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Decyzja wykonawcza Rady (UE) 2018/789 z dnia 25 maja 2018 r. w sprawie upoważnienia Węgier do wprowadzenia szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 134 z 31.5.2018, s. 10).

2

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/112

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1776

z dnia 5 października 2021 r.

zmieniająca decyzję 2009/791/WE upoważniającą Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2006/112/WE z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Art. 168 i 168a dyrektywy 2006/112/WE regulują prawo podatnika do odliczenia podatku od wartości dodanej (VAT) nałożonego na dostarczane mu towary i świadczone na jego rzecz usługi wykorzystywane na potrzeby opodatkowanych transakcji podatnika. Republikę Federalną Niemiec (zwaną dalej „Niemcami”) upoważniono do wprowadzenia środka stanowiącego odstępstwo, mającego na celu wyłączenie z prawa do odliczenia podatku VAT nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatnika lub jego pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą. |
| --- | --- |

(1)

Art. 168 i 168a dyrektywy 2006/112/WE regulują prawo podatnika do odliczenia podatku od wartości dodanej (VAT) nałożonego na dostarczane mu towary i świadczone na jego rzecz usługi wykorzystywane na potrzeby opodatkowanych transakcji podatnika. Republikę Federalną Niemiec (zwaną dalej „Niemcami”) upoważniono do wprowadzenia środka stanowiącego odstępstwo, mającego na celu wyłączenie z prawa do odliczenia podatku VAT nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatnika lub jego pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą.

| (2) | Pierwotnie decyzją Rady 2000/186/WE (2) upoważniono Niemcy do wprowadzenia i stosowania środków stanowiących odstępstwo od art. 6 i 17 dyrektywy Rady 77/388/EWG (3) do dnia 31 grudnia 2002 r. Decyzją Rady 2003/354/WE (4) upoważniono Niemcy do stosowania środków stanowiących odstępstwo od art. 17 dyrektywy 77/388/EWG do dnia 30 czerwca 2004 r. Decyzją Rady 2004/817/WE (5) przedłużono to upoważnienie do dnia 31 grudnia 2009 r. |
| --- | --- |

(2)

Pierwotnie decyzją Rady 2000/186/WE (2) upoważniono Niemcy do wprowadzenia i stosowania środków stanowiących odstępstwo od art. 6 i 17 dyrektywy Rady 77/388/EWG (3) do dnia 31 grudnia 2002 r. Decyzją Rady 2003/354/WE (4) upoważniono Niemcy do stosowania środków stanowiących odstępstwo od art. 17 dyrektywy 77/388/EWG do dnia 30 czerwca 2004 r. Decyzją Rady 2004/817/WE (5) przedłużono to upoważnienie do dnia 31 grudnia 2009 r.

| (3) | Decyzją Rady 2009/791/WE (6) upoważniono Niemcy do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE. Po kolejnych przedłużeniach upoważnienie to wygasa z dniem 31 grudnia 2021 r. |
| --- | --- |

(3)

Decyzją Rady 2009/791/WE (6) upoważniono Niemcy do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE. Po kolejnych przedłużeniach upoważnienie to wygasa z dniem 31 grudnia 2021 r.

| (4) | Dyrektywą Rady 2009/162/UE (7) wprowadzono do dyrektywy 2006/112/WE art. 168a w celu ograniczenia odliczenia do udziału procentowego rzeczywistego wykorzystania do celów działalności gospodarczej, a tym samym skuteczniejszego stosowania zasady, zgodnie z którą odliczenie powstaje jedynie w zakresie, w jakim dane towary i usługi są wykorzystywane do celów działalności gospodarczej podatnika. Artykuł 1 decyzji 2009/791/WE został zmieniony celem włączenia odniesienia do art. 168a dyrektywy 2006/112/WE. Tytuł decyzji 2009/791/WE musi zatem również odnosić się do art. 168a dyrektywy 2006/112/WE. |
| --- | --- |

(4)

Dyrektywą Rady 2009/162/UE (7) wprowadzono do dyrektywy 2006/112/WE art. 168a w celu ograniczenia odliczenia do udziału procentowego rzeczywistego wykorzystania do celów działalności gospodarczej, a tym samym skuteczniejszego stosowania zasady, zgodnie z którą odliczenie powstaje jedynie w zakresie, w jakim dane towary i usługi są wykorzystywane do celów działalności gospodarczej podatnika. Artykuł 1 decyzji 2009/791/WE został zmieniony celem włączenia odniesienia do art. 168a dyrektywy 2006/112/WE. Tytuł decyzji 2009/791/WE musi zatem również odnosić się do art. 168a dyrektywy 2006/112/WE.

| (5) | Pismem, które wpłynęło do Komisji dnia 19 lutego 2021 r., Niemcy wystąpiły do Komisji z wnioskiem o upoważnienie do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE (zwanego dalej „szczególnym środkiem”) w celu całkowitego wyłączenia z prawa do odliczenia podatku VAT nałożonego na towary i usługi, które są wykorzystywane przez podatnika w ponad 90 % do jego użytku prywatnego lub do celów innych niż prowadzenie przedsiębiorstwa, w tym do działalności niebędącej działalnością gospodarczą (zwanym dalej „wnioskiem”). Do wniosku załączono sprawozdanie dotyczące stosowania szczególnego środka, w tym weryfikację stosowanego wskaźnika proporcji w odniesieniu do prawa do odliczenia VAT zgodnie z art. 2 decyzji Rady 2009/791/WE. |
| --- | --- |

(5)

Pismem, które wpłynęło do Komisji dnia 19 lutego 2021 r., Niemcy wystąpiły do Komisji z wnioskiem o upoważnienie do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE (zwanego dalej „szczególnym środkiem”) w celu całkowitego wyłączenia z prawa do odliczenia podatku VAT nałożonego na towary i usługi, które są wykorzystywane przez podatnika w ponad 90 % do jego użytku prywatnego lub do celów innych niż prowadzenie przedsiębiorstwa, w tym do działalności niebędącej działalnością gospodarczą (zwanym dalej „wnioskiem”). Do wniosku załączono sprawozdanie dotyczące stosowania szczególnego środka, w tym weryfikację stosowanego wskaźnika proporcji w odniesieniu do prawa do odliczenia VAT zgodnie z art. 2 decyzji Rady 2009/791/WE.

| (6) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 17 marca 2021 r. Komisja przekazała wniosek pozostałym państwom członkowskim. Pismem z dnia 18 marca 2021 r. Komisja zawiadomiła Niemcy, że posiada wszystkie informacje konieczne do rozpatrzenia wniosku. |
| --- | --- |

(6)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 17 marca 2021 r. Komisja przekazała wniosek pozostałym państwom członkowskim. Pismem z dnia 18 marca 2021 r. Komisja zawiadomiła Niemcy, że posiada wszystkie informacje konieczne do rozpatrzenia wniosku.

| (7) | Zdaniem Niemiec szczególny środek okazał się bardzo skuteczny, jeśli chodzi o uproszczenie poboru VAT oraz zapobieganie uchylaniu się od opodatkowania i unikaniu opodatkowania. Szczególny środek ogranicza obciążenie administracyjne przedsiębiorstw i administracji podatkowych, ponieważ nie ma potrzeby monitorowania późniejszego wykorzystania towarów i usług, do których zastosowano wyłączenie z odliczenia w chwili ich nabycia. Należy zatem upoważnić Niemcy do dalszego stosowania tego środka szczególnego w kolejnym ograniczonym okresie, tj. do dnia 31 grudnia 2024 r. |
| --- | --- |

(7)

Zdaniem Niemiec szczególny środek okazał się bardzo skuteczny, jeśli chodzi o uproszczenie poboru VAT oraz zapobieganie uchylaniu się od opodatkowania i unikaniu opodatkowania. Szczególny środek ogranicza obciążenie administracyjne przedsiębiorstw i administracji podatkowych, ponieważ nie ma potrzeby monitorowania późniejszego wykorzystania towarów i usług, do których zastosowano wyłączenie z odliczenia w chwili ich nabycia. Należy zatem upoważnić Niemcy do dalszego stosowania tego środka szczególnego w kolejnym ograniczonym okresie, tj. do dnia 31 grudnia 2024 r.

| (8) | W przypadku gdy Niemcy uznają za konieczne przedłużenie tego okresu po 2024 r., powinny do dnia 31 marca 2024 r. przedłożyć Komisji wniosek wraz ze sprawozdaniem dotyczącym stosowania przedmiotowego szczególnego środka, które powinno obejmować weryfikację stosowanego wskaźnika proporcji. |
| --- | --- |

(8)

W przypadku gdy Niemcy uznają za konieczne przedłużenie tego okresu po 2024 r., powinny do dnia 31 marca 2024 r. przedłożyć Komisji wniosek wraz ze sprawozdaniem dotyczącym stosowania przedmiotowego szczególnego środka, które powinno obejmować weryfikację stosowanego wskaźnika proporcji.

| (9) | Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT. |
| --- | --- |

(9)

Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT.

| (10) | Należy zatem odpowiednio zmienić decyzję 2009/791/WE, |
| --- | --- |

(10)

Należy zatem odpowiednio zmienić decyzję 2009/791/WE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

W decyzji 2009/791/WE wprowadza się następujące zmiany:

| 1) | tytuł otrzymuje brzmienie:

  „Decyzja Rady 2009/791/WE z dnia 20 października 2009 r. upoważniająca Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej”; |
| --- | --- |

1)

tytuł otrzymuje brzmienie:

„Decyzja Rady 2009/791/WE z dnia 20 października 2009 r. upoważniająca Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej”;

| 2) | art. 2 otrzymuje brzmienie:

  „Artykuł 2
  Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.
  Ewentualny wniosek o przedłużenie środka stanowiącego odstępstwo określonego w niniejszej decyzji przedkłada się Komisji do dnia 31 marca 2024 r.
  Do takiego wniosku dołącza się sprawozdanie dotyczące stosowania tego środka, obejmujące weryfikację stosowanego wskaźnika proporcji dotyczącego prawa do odliczenia VAT na podstawie niniejszej decyzji.”. |
| --- | --- |

2)

art. 2 otrzymuje brzmienie:

„Artykuł 2

Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.

Ewentualny wniosek o przedłużenie środka stanowiącego odstępstwo określonego w niniejszej decyzji przedkłada się Komisji do dnia 31 marca 2024 r.

Do takiego wniosku dołącza się sprawozdanie dotyczące stosowania tego środka, obejmujące weryfikację stosowanego wskaźnika proporcji dotyczącego prawa do odliczenia VAT na podstawie niniejszej decyzji.”.

Artykuł 2

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 3

Niniejsza decyzja skierowana jest do Republiki Federalnej Niemiec.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Decyzja Rady 2000/186/WE z dnia 28 lutego 2000 r. upoważniająca Republikę Federalną Niemiec do zastosowania środków stanowiących odstępstwo od art. 6 i 17 szóstej dyrektywy 77/388/EWG w sprawie harmonizacji ustawodawstw państw członkowskich w odniesieniu do podatków obrotowych – wspólny system podatku od wartości dodanej: ujednolicona podstawa wymiaru podatku (Dz.U. L 59 z 4.3.2000, s. 12).

2

(3)  Szósta dyrektywa Rady 77/388/EWG z dnia 17 maja 1977 r. w sprawie harmonizacji ustawodawstw państw członkowskich w odniesieniu do podatków obrotowych – wspólny system podatku od wartości dodanej: ujednolicona podstawa wymiaru podatku (Dz.U. L 145 z 13.6.1977, s. 1).

3

(4)  Decyzja Rady 2003/354/WE z dnia 13 maja 2003 r. upoważniająca Niemcy do wprowadzenia specjalnych środków stanowiących odstępstwo od art. 17 szóstej dyrektywy 77/388/EWG w sprawie harmonizacji ustawodawstw państw członkowskich w odniesieniu do podatków obrotowych (Dz.U. L 123 z 17.5.2003, s. 47).

4

(5)  Decyzja Rady 2004/817/WE z dnia 19 listopada 2004 r. upoważniająca Niemcy do wprowadzenia specjalnych środków stanowiących odstępstwo od art. 17 szóstej dyrektywy 77/388/EWG w sprawie harmonizacji ustawodawstw państw członkowskich w odniesieniu do podatków obrotowych (Dz.U. L 357 z 2.12.2004, s. 33).

5

(6)  Decyzja Rady 2009/791/WE z dnia 20 października 2009 r. upoważniająca Republikę Federalną Niemiec do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 283 z 30.10.2009, s. 55).

6

(7)  Dyrektywa Rady 2009/162/UE z dnia 22 grudnia 2009 r. zmieniająca niektóre przepisy dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 10 z 15.1.2010, s. 14).

7

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/115

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1777

z dnia 5 października 2021 r.

upoważniająca Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do ogrzewania oraz na energię elektryczną, dostarczane w gminie Campione d’Italia

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2003/96/WE z dnia 27 października 2003 r. w sprawie restrukturyzacji wspólnotowych przepisów ramowych dotyczących opodatkowania produktów energetycznych i energii elektrycznej (1), w szczególności jej art. 19,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Pismem z dnia 7 sierpnia 2020 r. Włochy zwróciły się z wnioskiem o upoważnienie zgodnie z art. 19 dyrektywy 2003/96/WE do stosowania, w okresie od dnia 1 stycznia 2021 r. do dnia 31 grudnia 2026 r., obniżonych stawek podatkowych na olej gazowy wykorzystywany do celów grzewczych oraz na energię elektryczną, dostarczane w gminie Campione d’Italia. W dniu 19 stycznia 2021 r. Włochy przedstawiły dodatkowe informacje i wyjaśnienia na poparcie wniosku. |
| --- | --- |

(1)

Pismem z dnia 7 sierpnia 2020 r. Włochy zwróciły się z wnioskiem o upoważnienie zgodnie z art. 19 dyrektywy 2003/96/WE do stosowania, w okresie od dnia 1 stycznia 2021 r. do dnia 31 grudnia 2026 r., obniżonych stawek podatkowych na olej gazowy wykorzystywany do celów grzewczych oraz na energię elektryczną, dostarczane w gminie Campione d’Italia. W dniu 19 stycznia 2021 r. Włochy przedstawiły dodatkowe informacje i wyjaśnienia na poparcie wniosku.

| (2) | Gmina Campione d’Italia jest eksklawą Włoch w Szwajcarii o bardzo ograniczonym zasięgu geograficznym i małej populacji. Obszar ten jest terenem górzystym, co ogranicza rozwój miast, działalność przemysłową i ogólną dostępność. Ze względu na położenie geograficzne, brak dostępu do sieci gazu ziemnego i trudne warunki klimatyczne koszty dostaw produktów energetycznych do Campione d’Italia są wysokie, niezależnie od tego, czy są one dostarczane ze Szwajcarii czy z Włoch. Ponadto włączenie Campione d’Italia do obszaru celnego Unii w dniu 1 stycznia 2020 r. doprowadziło do wzrostu kosztów energii dla gospodarstw domowych i przedsiębiorstw. Co więcej, Campione d’Italia doświadcza poważnego kryzysu gospodarczego, który pogłębił się w związku z pandemią COVID-19. |
| --- | --- |

(2)

Gmina Campione d’Italia jest eksklawą Włoch w Szwajcarii o bardzo ograniczonym zasięgu geograficznym i małej populacji. Obszar ten jest terenem górzystym, co ogranicza rozwój miast, działalność przemysłową i ogólną dostępność. Ze względu na położenie geograficzne, brak dostępu do sieci gazu ziemnego i trudne warunki klimatyczne koszty dostaw produktów energetycznych do Campione d’Italia są wysokie, niezależnie od tego, czy są one dostarczane ze Szwajcarii czy z Włoch. Ponadto włączenie Campione d’Italia do obszaru celnego Unii w dniu 1 stycznia 2020 r. doprowadziło do wzrostu kosztów energii dla gospodarstw domowych i przedsiębiorstw. Co więcej, Campione d’Italia doświadcza poważnego kryzysu gospodarczego, który pogłębił się w związku z pandemią COVID-19.

| (3) | Aby złagodzić wysoki koszt energii w Campione d’Italia, należy obniżyć opodatkowanie niektórych produktów energetycznych. |
| --- | --- |

(3)

Aby złagodzić wysoki koszt energii w Campione d’Italia, należy obniżyć opodatkowanie niektórych produktów energetycznych.

| (4) | Komisja dokonała przeglądu wnioskowanego środka i uznała, że nie narusza on zasad konkurencji ani nie ogranicza prawidłowego funkcjonowania rynku wewnętrznego; nie uznała go też za niezgodny z polityką Unii w dziedzinach ochrony środowiska, energii i transportu. Obniżone opodatkowanie zarówno oleju gazowego, jak i energii elektrycznej pozostałoby równe minimalnym poziomom opodatkowania określonym w dyrektywie 2003/96/WE lub wyższe i częściowo zrekompensowałoby wzrost kosztów energii w gminie Campione d’Italia. Przedmiotowe obniżenie podatku nie łączy się z żadnym innym rodzajem obniżenia podatku. |
| --- | --- |

(4)

Komisja dokonała przeglądu wnioskowanego środka i uznała, że nie narusza on zasad konkurencji ani nie ogranicza prawidłowego funkcjonowania rynku wewnętrznego; nie uznała go też za niezgodny z polityką Unii w dziedzinach ochrony środowiska, energii i transportu. Obniżone opodatkowanie zarówno oleju gazowego, jak i energii elektrycznej pozostałoby równe minimalnym poziomom opodatkowania określonym w dyrektywie 2003/96/WE lub wyższe i częściowo zrekompensowałoby wzrost kosztów energii w gminie Campione d’Italia. Przedmiotowe obniżenie podatku nie łączy się z żadnym innym rodzajem obniżenia podatku.

| (5) | Należy zatem upoważnić Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do celów grzewczych i na energię elektryczną, dostarczane w gminie Campione d’Italia. |
| --- | --- |

(5)

Należy zatem upoważnić Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do celów grzewczych i na energię elektryczną, dostarczane w gminie Campione d’Italia.

| 6) | Aby zapewnić osiągnięcie celów realizowanych w ramach środka stanowiącego odstępstwo, w szczególności w zakresie unikania zakłóceń wynikających z obecnej sytuacji gospodarczej, społecznej i geograficznej Campione d’Italia oraz w zakresie zapewnienia równych warunków działania poprzez ograniczenie wysokich kosztów energii, właściwe jest, aby niniejszą decyzję stosować ze skutkiem od dnia 1 stycznia 2021 r. Przepis przewidujący stosowanie od dnia poprzedzającego wejście w życie środka stanowiącego odstępstwo zapewnia respektowanie uzasadnionych oczekiwań podmiotów gospodarczych i osób fizycznych, ponieważ środek stanowiący odstępstwo nie narusza ich praw i obowiązków. |
| --- | --- |

6)

Aby zapewnić osiągnięcie celów realizowanych w ramach środka stanowiącego odstępstwo, w szczególności w zakresie unikania zakłóceń wynikających z obecnej sytuacji gospodarczej, społecznej i geograficznej Campione d’Italia oraz w zakresie zapewnienia równych warunków działania poprzez ograniczenie wysokich kosztów energii, właściwe jest, aby niniejszą decyzję stosować ze skutkiem od dnia 1 stycznia 2021 r. Przepis przewidujący stosowanie od dnia poprzedzającego wejście w życie środka stanowiącego odstępstwo zapewnia respektowanie uzasadnionych oczekiwań podmiotów gospodarczych i osób fizycznych, ponieważ środek stanowiący odstępstwo nie narusza ich praw i obowiązków.

| (7) | Każde upoważnienie przyznawane na podstawie art. 19 ust. 2 dyrektywy 2003/96/WE musi być ściśle ograniczone w czasie. Aby dać gminie Campione d’Italia wystarczający stopień pewności, upoważnienie należy przyznać na okres sześciu lat. Jednakże aby nie naruszać przyszłych ogólnych zmian obowiązujących ram prawnych, należy przewidzieć, że jeżeli Rada, stanowiąc na podstawie art. 113 Traktatu o funkcjonowaniu Unii Europejskiej, wprowadzi zmieniony powszechny system opodatkowania produktów energetycznych, do którego niniejsze upoważnienie nie będzie dostosowane, niniejsze upoważnienie powinno wygasnąć w dniu rozpoczęcia stosowania tego powszechnego systemu. |
| --- | --- |

(7)

Każde upoważnienie przyznawane na podstawie art. 19 ust. 2 dyrektywy 2003/96/WE musi być ściśle ograniczone w czasie. Aby dać gminie Campione d’Italia wystarczający stopień pewności, upoważnienie należy przyznać na okres sześciu lat. Jednakże aby nie naruszać przyszłych ogólnych zmian obowiązujących ram prawnych, należy przewidzieć, że jeżeli Rada, stanowiąc na podstawie art. 113 Traktatu o funkcjonowaniu Unii Europejskiej, wprowadzi zmieniony powszechny system opodatkowania produktów energetycznych, do którego niniejsze upoważnienie nie będzie dostosowane, niniejsze upoważnienie powinno wygasnąć w dniu rozpoczęcia stosowania tego powszechnego systemu.

| (8) | Niniejsza decyzja pozostaje bez uszczerbku dla stosowania unijnych przepisów dotyczących pomocy państwa, |
| --- | --- |

(8)

Niniejsza decyzja pozostaje bez uszczerbku dla stosowania unijnych przepisów dotyczących pomocy państwa,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Upoważnia się Włochy do stosowania obniżonych stawek podatkowych na olej gazowy wykorzystywany do ogrzewania i na energię elektryczną, dostarczane w gminie Campione d’Italia, pod warunkiem zachowania minimalnych poziomów opodatkowania określonych w art. 9 i 10 dyrektywy 2003/96/WE.

Artykuł 2

Niniejszą decyzję stosuje się od dnia 1 stycznia 2021 r. do dnia 31 grudnia 2026 r.

Jednakże w przypadku gdy Rada, stanowiąc na podstawie art. 113 lub innego odpowiedniego postanowienia Traktatu o funkcjonowaniu Unii Europejskiej, wprowadzi zmieniony powszechny system opodatkowania produktów energetycznych, do którego nie będzie dostosowane upoważnienie przyznane w art. 1 niniejszej decyzji, niniejsza decyzja przestaje obowiązywać w dniu rozpoczęcia stosowania tego powszechnego systemu.

Artykuł 3

Niniejsza decyzja skierowana jest do Republiki Włoskiej.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 283 z 31.10.2003, s. 51.

1

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/117

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1778

z dnia 5 października 2021 r.

upoważniająca Republikę Federalną Niemiec do stosowania szczególnego środka stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2006/112/WE z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Art. 193 dyrektywy 2006/112/WE stanowi, że podatnik dokonujący dostawy towarów lub świadczenia usług jest, co do zasady, obowiązany do zapłaty podatku od wartości dodanej (VAT) organom podatkowym. |
| --- | --- |

(1)

Art. 193 dyrektywy 2006/112/WE stanowi, że podatnik dokonujący dostawy towarów lub świadczenia usług jest, co do zasady, obowiązany do zapłaty podatku od wartości dodanej (VAT) organom podatkowym.

| (2) | Pismem, które wpłynęło do Komisji dnia 15 marca 2021 r. Republika Federalna Niemiec (zwana dalej „Niemcami”) zwróciła się do Komisji z wnioskiem o upoważnienie do stosowania środka szczególnego stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w odniesieniu do osób zobowiązanych do zapłaty VAT w przypadku przenoszenia uprawnień do emisji będących przedmiotem obrotu w krajowym systemie handlu, ustanowionym ustawą o handlu uprawnieniami do emisji ze spalania paliw (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen - BEHG) z dnia 12 grudnia 2019 r. (zwanym dalej „wnioskiem”). |
| --- | --- |

(2)

Pismem, które wpłynęło do Komisji dnia 15 marca 2021 r. Republika Federalna Niemiec (zwana dalej „Niemcami”) zwróciła się do Komisji z wnioskiem o upoważnienie do stosowania środka szczególnego stanowiącego odstępstwo od art. 193 dyrektywy 2006/112/WE w odniesieniu do osób zobowiązanych do zapłaty VAT w przypadku przenoszenia uprawnień do emisji będących przedmiotem obrotu w krajowym systemie handlu, ustanowionym ustawą o handlu uprawnieniami do emisji ze spalania paliw (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen - BEHG) z dnia 12 grudnia 2019 r. (zwanym dalej „wnioskiem”).

| (3) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała ten wniosek pozostałym państwom członkowskim, a pismem z dnia 8 kwietnia 2021 r. zawiadomiła Niemcy, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku. |
| --- | --- |

(3)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismami z dnia 7 kwietnia 2021 r. Komisja przekazała ten wniosek pozostałym państwom członkowskim, a pismem z dnia 8 kwietnia 2021 r. zawiadomiła Niemcy, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku.

| (4) | W art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE zezwala się państwom członkowskim na wyznaczanie podatników, na których przenoszone są pozwolenia na emisję gazów cieplarnianych, zgodnie z definicją w art. 3 dyrektywy 2003/87/WE Parlamentu Europejskiego i Rady (2), oraz przenoszone są inne jednostki, z których mogą korzystać przedsiębiorcy w celu zapewnienia zgodności z tą dyrektywą, jako osoby zobowiązane do zapłaty VAT (zwane dalej „mechanizmem odwrotnego obciążenia”). Przepisy te zostały włączone do dyrektywy 2006/112/WE dyrektywą Rady 2010/23/UE (3), aby przyczynić się do zwalczania oszustw związanych z VAT. Stosowanie mechanizmu odwrotnego obciążenia w odniesieniu do handlu pozwoleniami na emisję gazów cieplarnianych zgodnie z art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE ogranicza się do uprawnień będących przedmiotem obrotu w ramach unijnego systemu handlu uprawnieniami do emisji („EU ETS”). |
| --- | --- |

(4)

W art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE zezwala się państwom członkowskim na wyznaczanie podatników, na których przenoszone są pozwolenia na emisję gazów cieplarnianych, zgodnie z definicją w art. 3 dyrektywy 2003/87/WE Parlamentu Europejskiego i Rady (2), oraz przenoszone są inne jednostki, z których mogą korzystać przedsiębiorcy w celu zapewnienia zgodności z tą dyrektywą, jako osoby zobowiązane do zapłaty VAT (zwane dalej „mechanizmem odwrotnego obciążenia”). Przepisy te zostały włączone do dyrektywy 2006/112/WE dyrektywą Rady 2010/23/UE (3), aby przyczynić się do zwalczania oszustw związanych z VAT. Stosowanie mechanizmu odwrotnego obciążenia w odniesieniu do handlu pozwoleniami na emisję gazów cieplarnianych zgodnie z art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE ogranicza się do uprawnień będących przedmiotem obrotu w ramach unijnego systemu handlu uprawnieniami do emisji („EU ETS”).

| (5) | Ustawą BEHG Niemcy stworzyły ramy prawne dla krajowego systemu handlu uprawnieniami do emisji, który obejmuje emisje niewchodzące w zakres EU ETS. W związku z tym art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE nie stanowią podstawy prawnej do stosowania mechanizmu odwrotnego obciążenia do handlu w ramach BEHG. |
| --- | --- |

(5)

Ustawą BEHG Niemcy stworzyły ramy prawne dla krajowego systemu handlu uprawnieniami do emisji, który obejmuje emisje niewchodzące w zakres EU ETS. W związku z tym art. 199a ust. 1 lit. a) i b) dyrektywy 2006/112/WE nie stanowią podstawy prawnej do stosowania mechanizmu odwrotnego obciążenia do handlu w ramach BEHG.

| (6) | Według Niemiec handel uprawnieniami jest bardzo narażony na oszustwa związane z VAT. Handel uprawnieniami do emisji ze spalania paliw na podstawie BEHG może być wykorzystywany w nieuczciwych celach w taki sam sposób, jak handel w ramach EU ETS. Uprawnienia do emisji mogą być wymieniane szybko, wielokrotnie i łatwo. W związku z tym organom bardzo trudno jest wykryć takie zmiany własności oraz zapewnić pobranie odpowiedniej kwoty podatku. Nabywca uprawnień, będący podatnikiem z prawem do odliczenia, może odliczyć naliczony podatek VAT, istnieje natomiast ryzyko, że dostawca nie zapłacił organom podatkowym podatku obrotowego wykazanego na fakturze. W szczególności występowanie w łańcuchu dostaw tzw. znikających podatników, którzy szybko znikają lub nie posiadają żadnych aktywów, uniemożliwia organom pobór podatku, który nie został zapłacony, co ma negatywne skutki dla budżetu. Aby zaradzić stratom w dochodach publicznych, Niemcy wystąpiły z wnioskiem o uzyskanie upoważnienia na przyznanie odstępstwa od art. 193 dyrektywy 2006/112/WE do wprowadzenia mechanizmu odwrotnego obciążenia w odniesieniu do przenoszenia uprawnień do emisji. |
| --- | --- |

(6)

Według Niemiec handel uprawnieniami jest bardzo narażony na oszustwa związane z VAT. Handel uprawnieniami do emisji ze spalania paliw na podstawie BEHG może być wykorzystywany w nieuczciwych celach w taki sam sposób, jak handel w ramach EU ETS. Uprawnienia do emisji mogą być wymieniane szybko, wielokrotnie i łatwo. W związku z tym organom bardzo trudno jest wykryć takie zmiany własności oraz zapewnić pobranie odpowiedniej kwoty podatku. Nabywca uprawnień, będący podatnikiem z prawem do odliczenia, może odliczyć naliczony podatek VAT, istnieje natomiast ryzyko, że dostawca nie zapłacił organom podatkowym podatku obrotowego wykazanego na fakturze. W szczególności występowanie w łańcuchu dostaw tzw. znikających podatników, którzy szybko znikają lub nie posiadają żadnych aktywów, uniemożliwia organom pobór podatku, który nie został zapłacony, co ma negatywne skutki dla budżetu. Aby zaradzić stratom w dochodach publicznych, Niemcy wystąpiły z wnioskiem o uzyskanie upoważnienia na przyznanie odstępstwa od art. 193 dyrektywy 2006/112/WE do wprowadzenia mechanizmu odwrotnego obciążenia w odniesieniu do przenoszenia uprawnień do emisji.

| (7) | Wyznaczenie odbiorcy będącego podatnikiem jako osoby zobowiązanej do zapłaty VAT w takich szczególnych przypadkach przyczyniłoby się do uproszczenia procedury poboru VAT i zapobiegłoby uchylaniu się od opodatkowania i unikaniu opodatkowania. W związku z tym należy upoważnić Niemcy do stosowania mechanizmu odwrotnego obciążenia w odniesieniu do przenoszenia uprawnień do emisji będących przedmiotem obrotu w krajowym systemie handlu w ramach BEHG (zwanego dalej „środkiem szczególnym”). |
| --- | --- |

(7)

Wyznaczenie odbiorcy będącego podatnikiem jako osoby zobowiązanej do zapłaty VAT w takich szczególnych przypadkach przyczyniłoby się do uproszczenia procedury poboru VAT i zapobiegłoby uchylaniu się od opodatkowania i unikaniu opodatkowania. W związku z tym należy upoważnić Niemcy do stosowania mechanizmu odwrotnego obciążenia w odniesieniu do przenoszenia uprawnień do emisji będących przedmiotem obrotu w krajowym systemie handlu w ramach BEHG (zwanego dalej „środkiem szczególnym”).

| (8) | Środek szczególny powinien być ograniczony w czasie. Należy zatem upoważnić Niemcy do stosowania środka szczególnego do dnia 31 grudnia 2024 r. |
| --- | --- |

(8)

Środek szczególny powinien być ograniczony w czasie. Należy zatem upoważnić Niemcy do stosowania środka szczególnego do dnia 31 grudnia 2024 r.

| (9) | Zważywszy na zakres odstępstwa i fakt, że jest ono rozwiązaniem nowym, należy ocenić jego skutki. W związku z tym gdyby Niemcy zamierzały przedłużyć obowiązywanie środka szczególnego na okres po 2024 r., powinny do dnia 31 marca 2024 r. wraz z wnioskiem o przedłużenie przedstawić Komisji sprawozdanie zawierające przegląd tego środka szczególnego. Sprawozdanie to powinno zawierać ocenę wpływu środka szczególnego na zwalczanie oszustw związanych z VAT oraz liczbę przedsiębiorstw i transakcji objętych środkiem szczególnym. |
| --- | --- |

(9)

Zważywszy na zakres odstępstwa i fakt, że jest ono rozwiązaniem nowym, należy ocenić jego skutki. W związku z tym gdyby Niemcy zamierzały przedłużyć obowiązywanie środka szczególnego na okres po 2024 r., powinny do dnia 31 marca 2024 r. wraz z wnioskiem o przedłużenie przedstawić Komisji sprawozdanie zawierające przegląd tego środka szczególnego. Sprawozdanie to powinno zawierać ocenę wpływu środka szczególnego na zwalczanie oszustw związanych z VAT oraz liczbę przedsiębiorstw i transakcji objętych środkiem szczególnym.

| (10) | Środek szczególny nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT, |
| --- | --- |

(10)

Środek szczególny nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

W drodze odstępstwa od art. 193 dyrektywy 2006/112/WE upoważnia się Republikę Federalną Niemiec do określenia, że osobą zobowiązaną do zapłaty VAT jest podatnik, na rzecz którego dokonuje się przeniesienia uprawnień do emisji będących przedmiotem obrotu w krajowym systemie handlu, ustanowionym ustawą o krajowym handlu uprawnieniami do emisji ze spalania paliw (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) z dnia 12 grudnia 2019 r.

Artykuł 2

Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.

Ewentualny wniosek o przedłużenie środka szczególnego przewidzianego w niniejszej decyzji przedkłada się Komisji do dnia 31 marca 2024 r. wraz ze sprawozdaniem dotyczącym stosowania tego środka, zawierającym ocenę wpływu środka na zwalczanie oszustw związanych z VAT oraz liczbę przedsiębiorstw i transakcji, na które środek ten ma wpływ.

Artykuł 3

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 4

Niniejsza decyzja skierowana jest do Republiki Federalnej Niemiec.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Dyrektywa 2003/87/WE Parlamentu Europejskiego i Rady z dnia 13 października 2003 r. ustanawiająca system handlu przydziałami emisji gazów cieplarnianych w Unii oraz zmieniająca dyrektywę Rady 96/61/WE (Dz.U. L 275 z 25.10.2003, s. 32).

2

(3)  Dyrektywa Rady 2010/23/UE z dnia 16 marca 2010 r. zmieniająca dyrektywę 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej w zakresie fakultatywnego i tymczasowego stosowania mechanizmu odwrotnego obciążenia w związku z dostawami niektórych usług podatnych na oszustwa (Dz.U. L 72 z 20.3.2010, s. 1).

3

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/120

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1779

z dnia 5 października 2021 r.

zmieniająca decyzję wykonawczą 2009/1013/UE upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2006/112/WE z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Decyzją wykonawczą Rady 2009/1013/UE (2) upoważniono Republikę Austrii (zwaną dalej „Austrią”) do stosowania szczególnego środka stanowiącego odstępstwo od dyrektywy 2006/112/WE (zwanego dalej „szczególnym środkiem”). Po kolejnych przedłużeniach upoważnienie to wygasa z dniem 31 grudnia 2021 r. |
| --- | --- |

(1)

Decyzją wykonawczą Rady 2009/1013/UE (2) upoważniono Republikę Austrii (zwaną dalej „Austrią”) do stosowania szczególnego środka stanowiącego odstępstwo od dyrektywy 2006/112/WE (zwanego dalej „szczególnym środkiem”). Po kolejnych przedłużeniach upoważnienie to wygasa z dniem 31 grudnia 2021 r.

| (2) | Dyrektywą Rady 2009/162/UE (3) wprowadzono do dyrektywy 2006/112/WE art. 168a w celu ograniczenia odliczania proporcjonalnie do rzeczywistego wykorzystania do celów działalności gospodarczej i w celu skuteczniejszego stosowania zasady, zgodnie z którą odliczenie powstaje jedynie w zakresie, w jakim dane towary i usługi są wykorzystywane do celów działalności gospodarczej podatnika. Artykuł 1 decyzji wykonawczej 2009/1013/UE został zmieniony celem włączenia odniesienia do art. 168a dyrektywy 2006/112/WE. Tytuł decyzji wykonawczej 2009/1013/UE musi zatem odnosić się również do art. 168a dyrektywy 2006/112/WE. |
| --- | --- |

(2)

Dyrektywą Rady 2009/162/UE (3) wprowadzono do dyrektywy 2006/112/WE art. 168a w celu ograniczenia odliczania proporcjonalnie do rzeczywistego wykorzystania do celów działalności gospodarczej i w celu skuteczniejszego stosowania zasady, zgodnie z którą odliczenie powstaje jedynie w zakresie, w jakim dane towary i usługi są wykorzystywane do celów działalności gospodarczej podatnika. Artykuł 1 decyzji wykonawczej 2009/1013/UE został zmieniony celem włączenia odniesienia do art. 168a dyrektywy 2006/112/WE. Tytuł decyzji wykonawczej 2009/1013/UE musi zatem odnosić się również do art. 168a dyrektywy 2006/112/WE.

| (3) | Szczególny środek stanowi odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE regulujących prawo podatnika do odliczenia podatku od wartości dodanej (VAT) naliczonego w związku z dostawą towarów i świadczeniem usług wykorzystywanych przez podatnika do celów jego opodatkowanych transakcji. Przedmiotowy szczególny środek ma na celu wyłączenie z prawa do odliczenia podatku VAT nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatników lub ich pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą. |
| --- | --- |

(3)

Szczególny środek stanowi odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE regulujących prawo podatnika do odliczenia podatku od wartości dodanej (VAT) naliczonego w związku z dostawą towarów i świadczeniem usług wykorzystywanych przez podatnika do celów jego opodatkowanych transakcji. Przedmiotowy szczególny środek ma na celu wyłączenie z prawa do odliczenia podatku VAT nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatników lub ich pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą.

| (4) | Celem szczególnego środka jest uproszczenie procedury naliczania i poboru podatku VAT. Jedynie w znikomym stopniu wpływa on na kwotę podatku należnego na końcowym etapie konsumpcji. |
| --- | --- |

(4)

Celem szczególnego środka jest uproszczenie procedury naliczania i poboru podatku VAT. Jedynie w znikomym stopniu wpływa on na kwotę podatku należnego na końcowym etapie konsumpcji.

| (5) | Pismem, które wpłynęło do Komisji w dniu 19 marca 2021 r., Austria wystąpiła z wnioskiem o upoważnienie do dalszego stosowania środka (zwanym dalej „wnioskiem”). |
| --- | --- |

(5)

Pismem, które wpłynęło do Komisji w dniu 19 marca 2021 r., Austria wystąpiła z wnioskiem o upoważnienie do dalszego stosowania środka (zwanym dalej „wnioskiem”).

| (6) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismem z dnia 7 kwietnia 2021 r. Komisja przekazała wniosekpozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Austrię, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku. |
| --- | --- |

(6)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE pismem z dnia 7 kwietnia 2021 r. Komisja przekazała wniosekpozostałym państwom członkowskim. Pismem z dnia 8 kwietnia 2021 r. Komisja zawiadomiła Austrię, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku.

| (7) | Zdaniem Austrii szczególny środek okazał się bardzo skuteczny, jeśli chodzi o uproszczenie poboru VAT oraz zapobieganie uchylaniu się od opodatkowania i unikaniu opodatkowania. Ogranicza on obciążenia administracyjne przedsiębiorstw i administracji podatkowych, ponieważ nie ma potrzeby monitorowania późniejszego wykorzystania towarów i usług, do których zastosowano wyłączenie z odliczenia w chwili ich nabycia. Należy zatem upoważnić Austrię do dalszego stosowania szczególnego środka w kolejnym ograniczonym okresie do dnia 31 grudnia 2024 r. |
| --- | --- |

(7)

Zdaniem Austrii szczególny środek okazał się bardzo skuteczny, jeśli chodzi o uproszczenie poboru VAT oraz zapobieganie uchylaniu się od opodatkowania i unikaniu opodatkowania. Ogranicza on obciążenia administracyjne przedsiębiorstw i administracji podatkowych, ponieważ nie ma potrzeby monitorowania późniejszego wykorzystania towarów i usług, do których zastosowano wyłączenie z odliczenia w chwili ich nabycia. Należy zatem upoważnić Austrię do dalszego stosowania szczególnego środka w kolejnym ograniczonym okresie do dnia 31 grudnia 2024 r.

| (8) | W przypadku gdy Austria uzna za konieczne przedłużenie tego okresu po 2024 r., powinna ona do dnia 31 marca 2024 r. przedłożyć Komisji wniosek o przedłużenie wraz ze sprawozdaniem dotyczącym stosowania przedmiotowego środka, które powinno obejmować przegląd stosowanego wskaźnika proporcji. |
| --- | --- |

(8)

W przypadku gdy Austria uzna za konieczne przedłużenie tego okresu po 2024 r., powinna ona do dnia 31 marca 2024 r. przedłożyć Komisji wniosek o przedłużenie wraz ze sprawozdaniem dotyczącym stosowania przedmiotowego środka, które powinno obejmować przegląd stosowanego wskaźnika proporcji.

| (9) | Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT. |
| --- | --- |

(9)

Szczególny środek nie wpłynie negatywnie na zasoby własne Unii z tytułu VAT.

| (10) | Należy zatem odpowiednio zmienić decyzję wykonawczą 2009/1013/UE, |
| --- | --- |

(10)

Należy zatem odpowiednio zmienić decyzję wykonawczą 2009/1013/UE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

W decyzji wykonawczej 2009/1013/UE wprowadza się następujące zmiany:

| 1) | tytuł otrzymuje brzmienie:

  „Decyzja wykonawcza Rady 2009/1013/UE z dnia 22 grudnia 2009 r. upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej”; |
| --- | --- |

1)

tytuł otrzymuje brzmienie:

„Decyzja wykonawcza Rady 2009/1013/UE z dnia 22 grudnia 2009 r. upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 i 168a dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej”;

| 2) | art. 1 i 2 otrzymują brzmienie:

  „Artykuł 1
  W drodze odstępstwa od art. 168 i art. 168a dyrektywy 2006/112/WE upoważnia się Republikę Austrii do całkowitego wyłączenia z prawa do odliczenia podatku od wartości dodanej (VAT) nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatnika lub jego pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą.


  Artykuł 2
  Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.
  Ewentualny wniosek o przedłużenie środka stanowiącego odstępstwo określonego w niniejszej decyzji musi zostać przedłożony Komisji do dnia 31 marca 2024 r.
  Do takiego wniosku dołącza się sprawozdanie dotyczące stosowania tego środka, obejmujące przegląd stosowanego wskaźnika proporcji dotyczącego prawa do odliczenia VAT na podstawie niniejszej decyzji.”. |
| --- | --- |

2)

art. 1 i 2 otrzymują brzmienie:

„Artykuł 1

W drodze odstępstwa od art. 168 i art. 168a dyrektywy 2006/112/WE upoważnia się Republikę Austrii do całkowitego wyłączenia z prawa do odliczenia podatku od wartości dodanej (VAT) nałożonego na towary i usługi wykorzystywane w ponad 90 % do celów prywatnych podatnika lub jego pracowników lub ogólnie do celów innych niż prowadzenie przedsiębiorstwa lub do działalności niebędącej działalnością gospodarczą.

Artykuł 2

Niniejsza decyzja traci moc z dniem 31 grudnia 2024 r.

Ewentualny wniosek o przedłużenie środka stanowiącego odstępstwo określonego w niniejszej decyzji musi zostać przedłożony Komisji do dnia 31 marca 2024 r.

Do takiego wniosku dołącza się sprawozdanie dotyczące stosowania tego środka, obejmujące przegląd stosowanego wskaźnika proporcji dotyczącego prawa do odliczenia VAT na podstawie niniejszej decyzji.”.

Artykuł 2

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 3

Niniejsza decyzja skierowana jest do Republiki Austrii.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Decyzja wykonawcza Rady 2009/1013/UE z dnia 22 grudnia 2009 r. upoważniająca Republikę Austrii do dalszego stosowania środka stanowiącego odstępstwo od art. 168 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 348 z 29.12.2009, s. 21).

2

(3)  Dyrektywa Rady 2009/162/UE z dnia 22 grudnia 2009 r. zmieniająca niektóre przepisy dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 10 z 15.1.2010, s. 14).

3

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/122

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1780

z dnia 5 października 2021 r.

zmieniająca decyzję 2009/790/WE upoważniającą Rzeczpospolitą Polską do stosowania środka stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Rady 2006/112/WE z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (1), w szczególności jej art. 395 ust. 1 akapit pierwszy,

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Zgodnie z art. 287 pkt 14 dyrektywy 2006/112/WE Rzeczpospolita Polska (zwana dalej „Polską”) jest uprawniona do przyznania zwolnienia z podatku od wartości dodanej (VAT) podatnikom, których roczny obrót nie przekracza równowartości 10 000 EUR w walucie krajowej zgodnie z kursem wymiany w dniu jej przystąpienia. |
| --- | --- |

(1)

Zgodnie z art. 287 pkt 14 dyrektywy 2006/112/WE Rzeczpospolita Polska (zwana dalej „Polską”) jest uprawniona do przyznania zwolnienia z podatku od wartości dodanej (VAT) podatnikom, których roczny obrót nie przekracza równowartości 10 000 EUR w walucie krajowej zgodnie z kursem wymiany w dniu jej przystąpienia.

| (2) | Decyzją wykonawczą Rady (UE) 2009/790/WE (2) upoważniono Polskę do wprowadzenia – w drodze środka szczególnego stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE – zwolnienia z VAT podatników, których roczny obrót nie przekracza równowartości 40 000 EUR w walucie krajowej („środek stanowiący odstępstwo”). |
| --- | --- |

(2)

Decyzją wykonawczą Rady (UE) 2009/790/WE (2) upoważniono Polskę do wprowadzenia – w drodze środka szczególnego stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE – zwolnienia z VAT podatników, których roczny obrót nie przekracza równowartości 40 000 EUR w walucie krajowej („środek stanowiący odstępstwo”).

| (3) | Decyzją wykonawczą Rady (UE) 2018/1919 (3) przyznano Polsce upoważnienie do dalszego stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2021 r. albo do dnia wejścia w życie dyrektywy zmieniającej przepisy art. 281–294 dyrektywy 2006/112/WE, w zależności od tego, która z tych dat będzie wcześniejsza. |
| --- | --- |

(3)

Decyzją wykonawczą Rady (UE) 2018/1919 (3) przyznano Polsce upoważnienie do dalszego stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2021 r. albo do dnia wejścia w życie dyrektywy zmieniającej przepisy art. 281–294 dyrektywy 2006/112/WE, w zależności od tego, która z tych dat będzie wcześniejsza.

| (4) | W piśmie, które wpłynęło do Komisji dnia 1 marca 2021 r., Polska wystąpiła do Komisji z wnioskiem o upoważnienie do dalszego stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2024 r. (zwanym dalej „wnioskiem”). |
| --- | --- |

(4)

W piśmie, które wpłynęło do Komisji dnia 1 marca 2021 r., Polska wystąpiła do Komisji z wnioskiem o upoważnienie do dalszego stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2024 r. (zwanym dalej „wnioskiem”).

| (5) | Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE Komisja przekazała wniosek pozostałym państwom członkowskim z wyjątkiem Cypru pismem z dnia 25 marca 2021 r. oraz Cypr – pismem z dnia 26 marca 2021 r. Pismem z dnia 29 marca 2021 r. Komisja powiadomiła Polskę, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku. |
| --- | --- |

(5)

Na podstawie art. 395 ust. 2 akapit drugi dyrektywy 2006/112/WE Komisja przekazała wniosek pozostałym państwom członkowskim z wyjątkiem Cypru pismem z dnia 25 marca 2021 r. oraz Cypr – pismem z dnia 26 marca 2021 r. Pismem z dnia 29 marca 2021 r. Komisja powiadomiła Polskę, że posiada wszystkie informacje niezbędne do rozpatrzenia wniosku.

| (6) | Środek stanowiący odstępstwo jest zgodny z celami przedstawionymi w komunikacie Komisji z dnia 25 czerwca 2008 r. zatytułowanym „Najpierw myśl na małą skalę” – Program „Small Business Act” dla Europy. |
| --- | --- |

(6)

Środek stanowiący odstępstwo jest zgodny z celami przedstawionymi w komunikacie Komisji z dnia 25 czerwca 2008 r. zatytułowanym „Najpierw myśl na małą skalę” – Program „Small Business Act” dla Europy.

| (7) | Zgodnie z informacjami przedstawionych przez Polskę środek stanowiący odstępstwo będzie miał tylko nieznaczny wpływ na łączną kwotę dochodów podatkowych pobieranych przez Polskę na etapie ostatecznej konsumpcji. Podatnicy będą mieć wciąż możliwość do korzystania z systemu VAT na zasadach ogólnych. |
| --- | --- |

(7)

Zgodnie z informacjami przedstawionych przez Polskę środek stanowiący odstępstwo będzie miał tylko nieznaczny wpływ na łączną kwotę dochodów podatkowych pobieranych przez Polskę na etapie ostatecznej konsumpcji. Podatnicy będą mieć wciąż możliwość do korzystania z systemu VAT na zasadach ogólnych.

| (8) | Po wejściu w życie rozporządzenia Rady (UE, Euratom) 2021/769 (4) Polska nie dokona obliczenia rekompensaty w odniesieniu do sprawozdania dotyczącego zasobów własnych opartych na VAT za rok budżetowy 2021 i kolejne lata. |
| --- | --- |

(8)

Po wejściu w życie rozporządzenia Rady (UE, Euratom) 2021/769 (4) Polska nie dokona obliczenia rekompensaty w odniesieniu do sprawozdania dotyczącego zasobów własnych opartych na VAT za rok budżetowy 2021 i kolejne lata.

| (9) | Biorąc pod uwagę potencjalny pozytywny wpływ środka stanowiącego odstępstwo na uproszczenie obowiązków związane z VAT poprzez zmniejszenie obciążenia administracyjnego i kosztów ponoszonych przez małe przedsiębiorstwa, należy upoważnić Polskę do dalszego stosowania tego środka. |
| --- | --- |

(9)

Biorąc pod uwagę potencjalny pozytywny wpływ środka stanowiącego odstępstwo na uproszczenie obowiązków związane z VAT poprzez zmniejszenie obciążenia administracyjnego i kosztów ponoszonych przez małe przedsiębiorstwa, należy upoważnić Polskę do dalszego stosowania tego środka.

| (10) | Dyrektywą Rady (UE) 2020/285 (5) zmieniono art. 281–294 dyrektywy 2006/112/WE w odniesieniu do procedury szczególnej dla małych przedsiębiorstw i ustanawiającą dla tych przedsiębiorstw nowe zasady, w tym maksymalny próg rocznego obrotu w odniesieniu do danego państwa członkowskiego w wysokości 85 000 EUR lub równowartości tej kwoty w walucie krajowej. |
| --- | --- |

(10)

Dyrektywą Rady (UE) 2020/285 (5) zmieniono art. 281–294 dyrektywy 2006/112/WE w odniesieniu do procedury szczególnej dla małych przedsiębiorstw i ustanawiającą dla tych przedsiębiorstw nowe zasady, w tym maksymalny próg rocznego obrotu w odniesieniu do danego państwa członkowskiego w wysokości 85 000 EUR lub równowartości tej kwoty w walucie krajowej.

| (11) | Upoważnienie do stosowania środka stanowiącego odstępstwo powinno być ograniczone w czasie. Takie ograniczenie w czasie powinno być wystarczające, aby umożliwić ocenę skuteczności i adekwatności progu. Ponadto dyrektywa (UE) 2020/285 wymaga od państw członkowskich przyjęcia i opublikowania do dnia 31 grudnia 2024 r. przepisów ustawowych, wykonawczych i administracyjnych niezbędnych do wykonania art. 1 tej dyrektywy i stosowania tych przepisów od dnia 1 stycznia 2025 r. Należy zatem upoważnić Polskę do stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2024 r. |
| --- | --- |

(11)

Upoważnienie do stosowania środka stanowiącego odstępstwo powinno być ograniczone w czasie. Takie ograniczenie w czasie powinno być wystarczające, aby umożliwić ocenę skuteczności i adekwatności progu. Ponadto dyrektywa (UE) 2020/285 wymaga od państw członkowskich przyjęcia i opublikowania do dnia 31 grudnia 2024 r. przepisów ustawowych, wykonawczych i administracyjnych niezbędnych do wykonania art. 1 tej dyrektywy i stosowania tych przepisów od dnia 1 stycznia 2025 r. Należy zatem upoważnić Polskę do stosowania środka stanowiącego odstępstwo do dnia 31 grudnia 2024 r.

| (12) | Należy zatem odpowiednio zmienić decyzję 2009/790/WE, |
| --- | --- |

(12)

Należy zatem odpowiednio zmienić decyzję 2009/790/WE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Art. 2 decyzji 2009/790/WE otrzymuje brzmienie:

„Artykuł 2

Niniejszą decyzję stosuje się od dnia 1 stycznia 2010 r. do dnia 31 grudnia 2024 r.”.

Artykuł 2

Niniejsza decyzja staje się skuteczna z dniem jej notyfikacji.

Artykuł 3

Niniejsza decyzja skierowana jest do Rzeczpospolitej Polskiej.

Sporządzono w Luksemburgu dnia 5 października 2021 r.

W imieniu Rady

A. ŠIRCELJ

Przewodniczący

---

(1)  
  Dz.U. L 347 z 11.12.2006, s. 1.

1

(2)  Decyzja Rady 2009/790/WE z dnia 20 października 2009 r. upoważniająca Rzeczpospolitą Polską do stosowania środka stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 283 z 30.10.2009, s. 53).

2

(3)  Decyzja wykonawcza Rady (UE) 2018/1919 z dnia 4 grudnia 2018 r. zmieniająca decyzję 2009/790/WE upoważniającą Rzeczpospolitą Polską do stosowania środka stanowiącego odstępstwo od art. 287 dyrektywy 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 311 z 7.12.2018, s. 32).

3

(4)  Rozporządzenie Rady (UE, Euratom) 2021/769 z dnia 30 kwietnia 2021 r. zmieniające rozporządzenie Rady (EWG, Euratom) nr 1553/89 w sprawie ostatecznych jednolitych warunków poboru środków własnych pochodzących z podatku od wartości dodanej (Dz.U. L 165 z 11.5.2021, s. 9).

4

(5)  Dyrektywa Rady (UE) 2020/285 z dnia 18 lutego 2020 r. zmieniająca dyrektywę 2006/112/WE w sprawie wspólnego systemu podatku od wartości dodanej w odniesieniu do procedury szczególnej dla małych przedsiębiorstw oraz rozporządzenie (UE) nr 904/2010 w odniesieniu do współpracy administracyjnej i wymiany informacji do celów monitorowania i prawidłowego stosowania procedury szczególnej dla małych przedsiębiorstw (Dz.U. L 62 z 2.3.2020, s. 13).

5

---

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/124

---

DECYZJA WYKONAWCZA RADY (UE) 2021/1781

z dnia 7 października 2021 r.

w sprawie zawieszenia niektórych przepisów rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 810/2009 w odniesieniu do Gambii

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 810/2009 z dnia 13 lipca 2009 r. ustanawiające Wspólnotowy Kodeks Wizowy (kodeks wizowy) (1), w szczególności jego art. 25a ust. 5 lit. a),

uwzględniając wniosek Komisji Europejskiej,

a także mając na uwadze, co następuje:

| (1) | Pod koniec lutego 2019 r. władze Gambii podjęły jednostronnie decyzję o wprowadzeniu moratorium na wszystkie operacje przymusowych powrotów, co uniemożliwiło skuteczne powroty przez większą część 2019 r. Po zniesieniu moratorium w styczniu 2020 r. państwa członkowskie musiały się mierzyć z powtarzającymi się przeszkodami stwarzanymi przez Gambię w dziedzinie organizacji i realizacji operacji powrotowych. Zmienne poziomy współpracy utrudniają również wszystkie etapy procesu powrotu, w tym przy stosowaniu istniejących dobrych praktyk i innych ustaleń operacyjnych wcześniej uzgodnionych między Unią a Gambią. W dniu 6 kwietnia 2021 r. władze Gambii oświadczyły, że kraj ten nie jest w stanie do odwołania przyjmować osób powracających, a w czerwcu 2021 r. potwierdziły istnienie „moratorium na przymusowe powroty lub repatriację do czasu następującego po wyborach w grudniu”. |
| --- | --- |

(1)

Pod koniec lutego 2019 r. władze Gambii podjęły jednostronnie decyzję o wprowadzeniu moratorium na wszystkie operacje przymusowych powrotów, co uniemożliwiło skuteczne powroty przez większą część 2019 r. Po zniesieniu moratorium w styczniu 2020 r. państwa członkowskie musiały się mierzyć z powtarzającymi się przeszkodami stwarzanymi przez Gambię w dziedzinie organizacji i realizacji operacji powrotowych. Zmienne poziomy współpracy utrudniają również wszystkie etapy procesu powrotu, w tym przy stosowaniu istniejących dobrych praktyk i innych ustaleń operacyjnych wcześniej uzgodnionych między Unią a Gambią. W dniu 6 kwietnia 2021 r. władze Gambii oświadczyły, że kraj ten nie jest w stanie do odwołania przyjmować osób powracających, a w czerwcu 2021 r. potwierdziły istnienie „moratorium na przymusowe powroty lub repatriację do czasu następującego po wyborach w grudniu”.

| (2) | Od 2019 r. Komisja podejmuje działania mające na celu poprawę poziomu współpracy Gambii w zakresie readmisji nielegalnie przebywających obywateli państw trzecich. Działania te polegały na zorganizowaniu kilku spotkań z władzami Gambii, zarówno na szczeblu technicznym, jak i politycznym, mających na celu znalezienie wzajemnie akceptowalnych rozwiązań oraz uzgodnienie dalszych projektów wsparcia z korzyścią dla Gambii. Jednocześnie prowadzony był dialog na wysokim szczeblu między Komisją a Gambią. Kwestie readmisji poruszano również z Gambią na spotkaniach zorganizowanych przez ESDZ. |
| --- | --- |

(2)

Od 2019 r. Komisja podejmuje działania mające na celu poprawę poziomu współpracy Gambii w zakresie readmisji nielegalnie przebywających obywateli państw trzecich. Działania te polegały na zorganizowaniu kilku spotkań z władzami Gambii, zarówno na szczeblu technicznym, jak i politycznym, mających na celu znalezienie wzajemnie akceptowalnych rozwiązań oraz uzgodnienie dalszych projektów wsparcia z korzyścią dla Gambii. Jednocześnie prowadzony był dialog na wysokim szczeblu między Komisją a Gambią. Kwestie readmisji poruszano również z Gambią na spotkaniach zorganizowanych przez ESDZ.

| (3) | Biorąc pod uwagę działania podejmowane dotychczas przez Komisję w celu podniesienia poziomu współpracy i poprawy ogólnych stosunków Unii z Gambią, uznaje się, że współpraca Gambii z Unią w kwestiach readmisji nie jest wystarczająca i niezbędne jest podjęcie działań przez Unię. |
| --- | --- |

(3)

Biorąc pod uwagę działania podejmowane dotychczas przez Komisję w celu podniesienia poziomu współpracy i poprawy ogólnych stosunków Unii z Gambią, uznaje się, że współpraca Gambii z Unią w kwestiach readmisji nie jest wystarczająca i niezbędne jest podjęcie działań przez Unię.

| (4) | Należy zatem czasowo zawiesić stosowanie niektórych przepisów rozporządzenia (WE) nr 810/2009 w odniesieniu do obywateli Gambii podlegających obowiązkowi wizowemu na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1806 (2). Powinno to zachęcić władze Gambii do podjęcia niezbędnych działań w celu poprawy współpracy w kwestiach readmisji. |
| --- | --- |

(4)

Należy zatem czasowo zawiesić stosowanie niektórych przepisów rozporządzenia (WE) nr 810/2009 w odniesieniu do obywateli Gambii podlegających obowiązkowi wizowemu na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1806 (2). Powinno to zachęcić władze Gambii do podjęcia niezbędnych działań w celu poprawy współpracy w kwestiach readmisji.

| (5) | Przepisy czasowo zawieszone zostały określone w art. 25a ust. 5 lit. a) kodeksu wizowego: zawieszenie możliwości odstąpienia od wymogów w odniesieniu do przedkładanych przez osoby ubiegające się o wizę dokumentów uzupełniających, o których mowa w art. 14 ust. 6, zawieszenie ogólnego terminu na rozpatrzenie wniosku wynoszącego 15 dni kalendarzowych, o którym mowa w art. 23 ust. 1 (co w konsekwencji wyklucza również stosowanie zasady przedłużania tego terminu maksymalnie do 45 dni w indywidualnych przypadkach), zawieszenie wydawania wiz wielokrotnego wjazdu zgodnie z art. 24 ust. 2 i 2c oraz zawieszenie fakultatywnego zniesienia opłaty wizowej względem posiadaczy paszportów dyplomatycznych zgodnie z art. 16 ust. 5 lit. b). |
| --- | --- |

(5)

Przepisy czasowo zawieszone zostały określone w art. 25a ust. 5 lit. a) kodeksu wizowego: zawieszenie możliwości odstąpienia od wymogów w odniesieniu do przedkładanych przez osoby ubiegające się o wizę dokumentów uzupełniających, o których mowa w art. 14 ust. 6, zawieszenie ogólnego terminu na rozpatrzenie wniosku wynoszącego 15 dni kalendarzowych, o którym mowa w art. 23 ust. 1 (co w konsekwencji wyklucza również stosowanie zasady przedłużania tego terminu maksymalnie do 45 dni w indywidualnych przypadkach), zawieszenie wydawania wiz wielokrotnego wjazdu zgodnie z art. 24 ust. 2 i 2c oraz zawieszenie fakultatywnego zniesienia opłaty wizowej względem posiadaczy paszportów dyplomatycznych zgodnie z art. 16 ust. 5 lit. b).

| (6) | Art. 21 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowi, że każdy obywatel Unii ma prawo do swobodnego przemieszczania się i przebywania na terytorium państw członkowskich, z zastrzeżeniem ograniczeń i warunków ustanowionych w Traktatach i w środkach przyjętych w celu ich wykonania. Dyrektywa 2004/38/WE Parlamentu Europejskiego i Rady (3) nadaje skuteczność tym ograniczeniom i warunkom. Niniejsza decyzja nie ma wpływu na stosowanie tej dyrektywy, w której rozszerzono prawo do swobodnego przemieszczania się na członków rodziny, bez względu na ich przynależność państwową, którzy towarzyszą obywatelowi Unii lub do niego dołączają. Niniejszej decyzji nie stosuje się zatem do członków rodziny obywatela Unii, do których stosuje się dyrektywę 2004/38/WE, ani do członków rodziny obywateli państw trzecich korzystających z prawa do swobodnego przemieszczania się równoważnego prawu przysługującemu obywatelom Unii na mocy umowy między Unią i jej państwami członkowskimi, z jednej strony, a państwem trzecim, z drugiej strony. |
| --- | --- |

(6)

Art. 21 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowi, że każdy obywatel Unii ma prawo do swobodnego przemieszczania się i przebywania na terytorium państw członkowskich, z zastrzeżeniem ograniczeń i warunków ustanowionych w Traktatach i w środkach przyjętych w celu ich wykonania. Dyrektywa 2004/38/WE Parlamentu Europejskiego i Rady (3) nadaje skuteczność tym ograniczeniom i warunkom. Niniejsza decyzja nie ma wpływu na stosowanie tej dyrektywy, w której rozszerzono prawo do swobodnego przemieszczania się na członków rodziny, bez względu na ich przynależność państwową, którzy towarzyszą obywatelowi Unii lub do niego dołączają. Niniejszej decyzji nie stosuje się zatem do członków rodziny obywatela Unii, do których stosuje się dyrektywę 2004/38/WE, ani do członków rodziny obywateli państw trzecich korzystających z prawa do swobodnego przemieszczania się równoważnego prawu przysługującemu obywatelom Unii na mocy umowy między Unią i jej państwami członkowskimi, z jednej strony, a państwem trzecim, z drugiej strony.

| (7) | Środki przewidziane w niniejszej decyzji powinny pozostawać bez uszczerbku dla zobowiązań państw członkowskich z zakresu prawa międzynarodowego jako państw przyjmujących międzynarodowe organizacje międzyrządowe lub międzynarodowe konferencje zwołane przez międzynarodowe organizacje międzyrządowe, których państwem przyjmującym są państwa członkowskie. A zatem to czasowe zawieszenie nie powinno mieć zastosowania do obywateli Gambii ubiegających się o wizę w zakresie, w jakim jest to konieczne do wypełnienia przez państwa członkowskie ich zobowiązań jako państw przyjmujących takie organizacje lub takie konferencje. |
| --- | --- |

(7)

Środki przewidziane w niniejszej decyzji powinny pozostawać bez uszczerbku dla zobowiązań państw członkowskich z zakresu prawa międzynarodowego jako państw przyjmujących międzynarodowe organizacje międzyrządowe lub międzynarodowe konferencje zwołane przez międzynarodowe organizacje międzyrządowe, których państwem przyjmującym są państwa członkowskie. A zatem to czasowe zawieszenie nie powinno mieć zastosowania do obywateli Gambii ubiegających się o wizę w zakresie, w jakim jest to konieczne do wypełnienia przez państwa członkowskie ich zobowiązań jako państw przyjmujących takie organizacje lub takie konferencje.

| (8) | Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie uczestniczy w przyjęciu niniejszego niniejszej decyzji, nie jest nią związana ani jej nie stosuje. Ponieważ niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania podejmuje w terminie sześciu miesięcy po przyjęciu przez Radę niniejszej decyzji decyzję, czy dokona jej transpozycji do swego prawa krajowego. |
| --- | --- |

(8)

Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie uczestniczy w przyjęciu niniejszego niniejszej decyzji, nie jest nią związana ani jej nie stosuje. Ponieważ niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania podejmuje w terminie sześciu miesięcy po przyjęciu przez Radę niniejszej decyzji decyzję, czy dokona jej transpozycji do swego prawa krajowego.

| (9) | Niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen, które nie mają zastosowania do Irlandii zgodnie z decyzją Rady 2002/192/WE (4); Irlandia nie uczestniczy w związku z tym w jej przyjęciu i nie jest nią związana ani jej nie stosuje. |
| --- | --- |

(9)

Niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen, które nie mają zastosowania do Irlandii zgodnie z decyzją Rady 2002/192/WE (4); Irlandia nie uczestniczy w związku z tym w jej przyjęciu i nie jest nią związana ani jej nie stosuje.

| (10) | W odniesieniu do Islandii i Norwegii niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (5), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji Rady 1999/437/WE (6). |
| --- | --- |

(10)

W odniesieniu do Islandii i Norwegii niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (5), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji Rady 1999/437/WE (6).

| (11) | W odniesieniu do Szwajcarii niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (7), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2008/146/WE (8). |
| --- | --- |

(11)

W odniesieniu do Szwajcarii niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (7), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2008/146/WE (8).

| (12) | W odniesieniu do Liechtensteinu niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu o przystąpieniu Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (9), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2011/350/UE (10). |
| --- | --- |

(12)

W odniesieniu do Liechtensteinu niniejsza decyzja stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu o przystąpieniu Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (9), które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt B decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2011/350/UE (10).

| (13) | Niniejsza decyzja jest aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 2 Aktu przystąpienia z 2003 r., art. 4 ust. 2 Aktu przystąpienia z 2005 r. i art. 4 ust. 2 Aktu przystąpienia z 2011 r., |
| --- | --- |

(13)

Niniejsza decyzja jest aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 2 Aktu przystąpienia z 2003 r., art. 4 ust. 2 Aktu przystąpienia z 2005 r. i art. 4 ust. 2 Aktu przystąpienia z 2011 r.,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Zakres

1.   Niniejszą decyzję stosuje się do obywateli Gambii podlegających obowiązkowi wizowemu na mocy rozporządzenia (UE) 2018/1806.

2.   Niniejszej decyzji nie stosuje się do obywateli Gambii, którzy są zwolnieni z obowiązku wizowego na mocy art. 4 lub 6 rozporządzenia (UE) 2018/1806.

3.   Niniejszej decyzji nie stosuje się do obywateli Gambii ubiegających się o wizę i będących członkami rodziny obywatela Unii, do których stosuje się dyrektywę 2004/38/WE, ani do członków rodziny obywateli państw trzecich korzystających z prawa do swobodnego przemieszczania się równoważnego prawu przysługującemu obywatelom Unii na mocy umowy między Unią i jej państwami członkowskimi, z jednej strony, a państwem trzecim, z drugiej strony.

4.   Niniejsza decyzja pozostaje bez uszczerbku dla przypadków, w których państwo członkowskie jest związane zobowiązaniami z zakresu prawa międzynarodowego, a mianowicie:

| a) | jako państwo przyjmujące międzynarodową organizację międzyrządową; |
| --- | --- |

a)

jako państwo przyjmujące międzynarodową organizację międzyrządową;

| b) | jako państwo przyjmujące międzynarodową konferencję zwołaną przez Organizację Narodów Zjednoczonych lub inne międzynarodowe organizacje międzyrządowe, których państwem przyjmującym są państwa członkowskie, lub pod auspicjami tych organizacji; |
| --- | --- |

b)

jako państwo przyjmujące międzynarodową konferencję zwołaną przez Organizację Narodów Zjednoczonych lub inne międzynarodowe organizacje międzyrządowe, których państwem przyjmującym są państwa członkowskie, lub pod auspicjami tych organizacji;

| c) | na mocy umowy wielostronnej przyznającej przywileje i immunitety; lub |
| --- | --- |

c)

na mocy umowy wielostronnej przyznającej przywileje i immunitety; lub

| d) | na podstawie traktatu pojednawczego (traktatu laterańskiego) z 1929 r. zawartego między Stolicą Apostolską (Państwem Watykańskim) a Włochami, w obowiązującym brzmieniu. |
| --- | --- |

d)

na podstawie traktatu pojednawczego (traktatu laterańskiego) z 1929 r. zawartego między Stolicą Apostolską (Państwem Watykańskim) a Włochami, w obowiązującym brzmieniu.

Artykuł 2

Czasowe zawieszenie stosowania niektórych przepisów rozporządzenia (WE) nr 810/2009

Zawiesza się czasowo stosowanie następujących przepisów rozporządzenia (WE) nr 810/2009:

| a) | art. 14 ust. 6; |
| --- | --- |

a)

art. 14 ust. 6;

| b) | art. 16 ust. 5 lit. b); |
| --- | --- |

b)

art. 16 ust. 5 lit. b);

| c) | art. 23 ust. 1; |
| --- | --- |

c)

art. 23 ust. 1;

| d) | art. 24 ust. 2 i 2c. |
| --- | --- |

d)

art. 24 ust. 2 i 2c.

Artykuł 3

Adresaci

Niniejsza decyzja skierowana jest do Królestwa Belgii, Republiki Bułgarii, Republiki Czeskiej, Republiki Federalnej Niemiec, Republiki Estońskiej, Republiki Greckiej, Królestwa Hiszpanii, Republiki Francuskiej, Republiki Chorwacji, Republiki Włoskiej, Republiki Cypryjskiej, Republiki Łotewskiej, Republiki Litewskiej, Wielkiego Księstwa Luksemburga, Węgier, Republiki Malty, Królestwa Niderlandów, Republiki Austrii, Rzeczypospolitej Polskiej, Republiki Portugalskiej, Rumunii, Republiki Słowenii, Republiki Słowackiej, Republiki Finlandii oraz Królestwa Szwecji.

Sporządzono w Luksemburgu dnia 7 października 2021 r.

W imieniu Rady

M. DIKAUČIČ

Przewodniczący

---

(1)  
  Dz.U. L 243 z 15.9.2009, s. 1.

1

(2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1806 z dnia 14 listopada 2018 r. wymieniające państwa trzecie, których obywatele muszą posiadać wizy podczas przekraczania granic zewnętrznych, oraz te, których obywatele są zwolnieni z tego wymogu (Dz.U. L 303 z 28.11.2018, s. 39).

2

(3)  Dyrektywa 2004/38/WE Parlamentu Europejskiego i Rady z dnia 29 kwietnia 2004 r. w sprawie prawa obywateli Unii i członków ich rodzin do swobodnego przemieszczania się i pobytu na terytorium państw członkowskich, zmieniająca rozporządzenie (EWG) nr 1612/68 i uchylająca dyrektywy 64/221/EWG, 68/360/EWG, 72/194/EWG, 73/148/EWG, 75/34/EWG, 75/35/EWG, 90/364/EWG, 90/365/EWG i 93/96/EWG (Dz.U. L 158 z 30.4.2004, s. 77).

3

(4)  Decyzja Rady 2002/192/WE z dnia 28 lutego 2002 r. dotycząca wniosku Irlandii o zastosowanie wobec niej niektórych przepisów dorobku Schengen (Dz.U. L 64 z 7.3.2002, s. 20).

4

(5)  
  Dz.U. L 176 z 10.7.1999, s. 36.

5

(6)  Decyzja Rady 1999/437/WE z dnia 17 maja 1999 r. w sprawie niektórych warunków stosowania Układu zawartego przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącego włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (Dz.U. L 176 z 10.7.1999, s. 31).

6

(7)  
  Dz.U. L 53 z 27.2.2008, s. 52.

7

(8)  Decyzja Rady 2008/146/WE z dnia 28 stycznia 2008 r. w sprawie zawarcia w imieniu Wspólnoty Europejskiej Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia tego państwa we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (Dz.U. L 53 z 27.2.2008, s. 1).

8

(9)  
  Dz.U. L 160 z 18.6.2011, s. 21.

9

(10)  Decyzja Rady 2011/350/UE z dnia 7 marca 2011 r. w sprawie zawarcia w imieniu Unii Europejskiej Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, odnoszącego się do zniesienia kontroli na granicach wewnętrznych i do przemieszczania się osób (Dz.U. L 160 z 18.6.2011, s. 19).

10

---

ZALECENIA

| 11.10.2021 | PL | Dziennik Urzędowy Unii Europejskiej | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

PL

Dziennik Urzędowy Unii Europejskiej

L 360/128

---

ZALECENIE RADY (UE) 2021/1782

z dnia 8 października 2021 r.

zmieniające zalecenie (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 77 ust. 2 lit. b) i e) i art. 292 zdanie pierwsze i drugie,

a także mając na uwadze, co następuje:

| (1) | W dniu 30 czerwca 2020 r. Rada przyjęła zalecenie w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia (1) („zalecenie Rady”). |
| --- | --- |

(1)

W dniu 30 czerwca 2020 r. Rada przyjęła zalecenie w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia (1) („zalecenie Rady”).

| (2) | Od tego czasu Rada przyjęła zalecenia: (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) i (UE) 2021/1712 (16) zmieniające zalecenie Rady (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia. |
| --- | --- |

(2)

Od tego czasu Rada przyjęła zalecenia: (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) i (UE) 2021/1712 (16) zmieniające zalecenie Rady (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia.

| (3) | W dniu 20 maja 2021 r. Rada przyjęła zalecenie 2021/816 zmieniające zalecenie Rady (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia (17) w celu aktualizacji kryteriów stosowanych na potrzeby dokonania oceny, czy podróż inna niż niezbędna z państw trzecich jest bezpieczna i czy należy na nią zezwolić. |
| --- | --- |

(3)

W dniu 20 maja 2021 r. Rada przyjęła zalecenie 2021/816 zmieniające zalecenie Rady (UE) 2020/912 w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia (17) w celu aktualizacji kryteriów stosowanych na potrzeby dokonania oceny, czy podróż inna niż niezbędna z państw trzecich jest bezpieczna i czy należy na nią zezwolić.

| (4) | Zalecenie Rady stanowi, że państwa członkowskie powinny w skoordynowany sposób stopniowo, począwszy od dnia 1 lipca 2020 r., znosić tymczasowe ograniczenie dotyczące innych niż niezbędne podróży do UE w odniesieniu do rezydentów państw trzecich wymienionych w załączniku I do zalecenia Rady. Co dwa tygodnie wykaz państw trzecich, o którym mowa w załączniku I, powinien podlegać przeglądowi i – stosownie do przypadku – ewentualnej aktualizacji, dokonywanych przez Radę w ścisłym porozumieniu z Komisją oraz ze stosownymi agencjami i służbami UE, po dokonaniu ogólnej oceny opartej na metodyce, kryteriach i informacjach, o których mowa w zaleceniu Rady. |
| --- | --- |

(4)

Zalecenie Rady stanowi, że państwa członkowskie powinny w skoordynowany sposób stopniowo, począwszy od dnia 1 lipca 2020 r., znosić tymczasowe ograniczenie dotyczące innych niż niezbędne podróży do UE w odniesieniu do rezydentów państw trzecich wymienionych w załączniku I do zalecenia Rady. Co dwa tygodnie wykaz państw trzecich, o którym mowa w załączniku I, powinien podlegać przeglądowi i – stosownie do przypadku – ewentualnej aktualizacji, dokonywanych przez Radę w ścisłym porozumieniu z Komisją oraz ze stosownymi agencjami i służbami UE, po dokonaniu ogólnej oceny opartej na metodyce, kryteriach i informacjach, o których mowa w zaleceniu Rady.

| (5) | Od tego czasu – w ścisłym porozumieniu z Komisją oraz ze stosownymi agencjami i służbami UE – toczą się w Radzie dyskusje na temat przeglądu wykazu państw trzecich zawartego w załączniku I do zalecenia Rady oraz z zastosowaniem kryteriów i metod określonych w zaleceniu Rady zmienionym zaleceniem 2021/816. W wyniku tych dyskusji należy zmienić wykaz państw trzecich zawarty w załączniku I. W szczególności do wykazu należy dodać Bahrajn i Zjednoczone Emiraty Arabskie. |
| --- | --- |

(5)

Od tego czasu – w ścisłym porozumieniu z Komisją oraz ze stosownymi agencjami i służbami UE – toczą się w Radzie dyskusje na temat przeglądu wykazu państw trzecich zawartego w załączniku I do zalecenia Rady oraz z zastosowaniem kryteriów i metod określonych w zaleceniu Rady zmienionym zaleceniem 2021/816. W wyniku tych dyskusji należy zmienić wykaz państw trzecich zawarty w załączniku I. W szczególności do wykazu należy dodać Bahrajn i Zjednoczone Emiraty Arabskie.

| (6) | Kontrola graniczna leży nie tylko w interesie państwa członkowskiego, na którego granicach zewnętrznych jest ona dokonywana, lecz także w interesie wszystkich państw członkowskich, które zniosły kontrolę na granicach wewnętrznych. Państwa członkowskie powinny zatem zapewnić koordynację środków podejmowanych na granicach zewnętrznych w celu zapewnienia dobrze funkcjonującej strefy Schengen. W tym celu, począwszy od dnia 8 października 2021 r., państwa członkowskie powinny w skoordynowany sposób kontynuować znoszenie tymczasowego ograniczenia dotyczącego innych niż niezbędne podróży do UE w odniesieniu do rezydentów państw trzecich, specjalnych regionów administracyjnych oraz innych jednostek i władz terytorialnych wymienionych w załączniku I do zalecenia Rady zmienionego niniejszym zaleceniem. |
| --- | --- |

(6)

Kontrola graniczna leży nie tylko w interesie państwa członkowskiego, na którego granicach zewnętrznych jest ona dokonywana, lecz także w interesie wszystkich państw członkowskich, które zniosły kontrolę na granicach wewnętrznych. Państwa członkowskie powinny zatem zapewnić koordynację środków podejmowanych na granicach zewnętrznych w celu zapewnienia dobrze funkcjonującej strefy Schengen. W tym celu, począwszy od dnia 8 października 2021 r., państwa członkowskie powinny w skoordynowany sposób kontynuować znoszenie tymczasowego ograniczenia dotyczącego innych niż niezbędne podróży do UE w odniesieniu do rezydentów państw trzecich, specjalnych regionów administracyjnych oraz innych jednostek i władz terytorialnych wymienionych w załączniku I do zalecenia Rady zmienionego niniejszym zaleceniem.

| (7) | Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie uczestniczy w przyjęciu niniejszego zalecenia, nie jest nim związana ani go nie stosuje. Ponieważ niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego zalecenia – podejmie decyzję, czy dokona jego transpozycji. |
| --- | --- |

(7)

Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, Dania nie uczestniczy w przyjęciu niniejszego zalecenia, nie jest nim związana ani go nie stosuje. Ponieważ niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego zalecenia – podejmie decyzję, czy dokona jego transpozycji.

| (8) | Niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen, które nie mają zastosowania do Irlandii zgodnie z decyzją Rady 2002/192/WE (18); Irlandia nie uczestniczy w związku z tym w jego przyjęciu, nie jest nim związana ani go nie stosuje. |
| --- | --- |

(8)

Niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen, które nie mają zastosowania do Irlandii zgodnie z decyzją Rady 2002/192/WE (18); Irlandia nie uczestniczy w związku z tym w jego przyjęciu, nie jest nim związana ani go nie stosuje.

| (9) | W odniesieniu do Islandii i Norwegii niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji Rady 1999/437/WE (19). |
| --- | --- |

(9)

W odniesieniu do Islandii i Norwegii niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji Rady 1999/437/WE (19).

| (10) | W odniesieniu do Szwajcarii niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji 1999/437/WE (20) w związku z art. 3 decyzji Rady 2008/146/WE (21). |
| --- | --- |

(10)

W odniesieniu do Szwajcarii niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji 1999/437/WE (20) w związku z art. 3 decyzji Rady 2008/146/WE (21).

| (11) | W odniesieniu do Liechtensteinu niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu o przystąpieniu Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji 1999/437/WE (22) w związku z art. 3 decyzji 2011/350/UE (23), |
| --- | --- |

(11)

W odniesieniu do Liechtensteinu niniejsze zalecenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu o przystąpieniu Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 pkt A decyzji 1999/437/WE (22) w związku z art. 3 decyzji 2011/350/UE (23),

PRZYJMUJE NINIEJSZE ZALECENIE:

W zaleceniu Rady (UE) 2020/912, zmienionym zaleceniami (UE) 2020/1052, (UE) 2020/1144, (UE) 2020/1186, (UE) 2020/1551, (UE) 2020/2169, (UE) 2021/89, (UE) 2021/132, (UE) 2021/767, (UE) 2021/816, (UE) 2021/892, (UE) 2021/992, (UE) 2021/1085, (UE) 2021/1170, (UE) 2021/1346, (UE) 2021/1459 i (UE) 2021/1712, w sprawie tymczasowego ograniczenia innych niż niezbędne podróży do UE oraz ewentualnego zniesienia takiego ograniczenia wprowadza się następujące zmiany:

| 1) | pkt 1 akapit pierwszy zalecenia Rady otrzymuje brzmienie:






  „1. | Począwszy od dnia 8 października 2021 r., państwa członkowskie powinny w sposób skoordynowany stopniowo znosić tymczasowe ograniczenie dotyczące innych niż niezbędne podróży do UE w odniesieniu do rezydentów państw trzecich wymienionych w załączniku I.”; |
| --- | --- | --- |

1)

pkt 1 akapit pierwszy zalecenia Rady otrzymuje brzmienie:

„1.

| 2) | załącznik I do zalecenia otrzymuje brzmienie:


  „„ZAŁĄCZNIK I
  Państwa trzecie, specjalne regiony administracyjne oraz inne jednostki i władze terytorialne, których rezydentów nie powinno dotyczyć tymczasowe ograniczenie na granicach zewnętrznych dotyczące innych niż niezbędne podróży do UE:






  I. | PAŃSTWA






  1. | AUSTRALIA |
| --- | --- | --- | --- |

2)

załącznik I do zalecenia otrzymuje brzmienie:

„„ZAŁĄCZNIK I

Państwa trzecie, specjalne regiony administracyjne oraz inne jednostki i władze terytorialne, których rezydentów nie powinno dotyczyć tymczasowe ograniczenie na granicach zewnętrznych dotyczące innych niż niezbędne podróży do UE:

I.

PAŃSTWA

1.

AUSTRALIA

| 2. | BAHRAJN |
| --- | --- |

2.

BAHRAJN

| 3. | KANADA |
| --- | --- |

3.

KANADA

| 4. | CHILE |
| --- | --- |

4.

CHILE

| 5. | JORDANIA |
| --- | --- |

5.

JORDANIA

| 6. | KUWEJT |
| --- | --- |

6.

KUWEJT

| 7. | NOWA ZELANDIA |
| --- | --- |

7.

NOWA ZELANDIA

| 8. | KATAR |
| --- | --- |

8.

KATAR

| 9. | RWANDA |
| --- | --- |

9.

RWANDA

| 10. | ARABIA SAUDYJSKA |
| --- | --- |

10.

ARABIA SAUDYJSKA

| 11. | SINGAPUR |
| --- | --- |

11.

SINGAPUR

| 12. | KOREA POŁUDNIOWA |
| --- | --- |

12.

KOREA POŁUDNIOWA

| 13. | UKRAINA |
| --- | --- |

13.

UKRAINA

| 14. | ZJEDNOCZONE EMIRATY ARABSKIE |
| --- | --- |

14.

ZJEDNOCZONE EMIRATY ARABSKIE

| 15. | URUGWAJ |
| --- | --- |

15.

URUGWAJ

| 16. | CHINY (*1) |
| --- | --- |

16.

CHINY (*1)

| II. | SPECJALNE REGIONY ADMINISTRACYJNE CHIŃSKIEJ REPUBLIKI LUDOWEJ





  Specjalny Region Administracyjny Hongkong |
| --- | --- |

II.

SPECJALNE REGIONY ADMINISTRACYJNE CHIŃSKIEJ REPUBLIKI LUDOWEJ

Specjalny Region Administracyjny Hongkong

| Specjalny Region Administracyjny Makau |
| --- |

Specjalny Region Administracyjny Makau

| III. | JEDNOSTKI ORAZ WŁADZE TERYTORIALNE, KTÓRE NIE SĄ UZNAWANE ZA PAŃSTWA PRZEZ PRZYNAJMNIEJ JEDNO PAŃSTWO CZŁONKOWSKIE





  Tajwan |
| --- | --- |

III.

JEDNOSTKI ORAZ WŁADZE TERYTORIALNE, KTÓRE NIE SĄ UZNAWANE ZA PAŃSTWA PRZEZ PRZYNAJMNIEJ JEDNO PAŃSTWO CZŁONKOWSKIE

Tajwan

(*1)  Z zastrzeżeniem potwierdzenia zasady wzajemności."

*1

Sporządzono w Luksemburgu dnia 8 października 2021 r.

W imieniu Rady

M. DIKAUČIČ

Przewodniczący

---

(1)  
  Dz.U. L 208I z 1.7.2020, s. 1.

1

(2)  
  Dz.U. L 230 z 17.7.2020, s. 26.

2

(3)  
  Dz.U. L 248 z 31.7.2020, s. 26.

3

(4)  
  Dz.U. L 261 z 11.8.2020, s. 83.

4

(5)  
  Dz.U. L 354 z 26.10.2020, s. 19.

5

(6)  
  Dz.U. L 431 z 21.12.2020, s. 75.

6

(7)  
  Dz.U. L 33 z 29.1.2021, s. 1.

7

(8)  
  Dz.U. L 41 z 4.2.2021, s. 1.

8

(9)  
  Dz.U. L 165I z 11.5.2021, s. 66.

9

(10)  
  Dz.U. L 198 z 4.6.2021, s. 1.

10

(11)  
  Dz.U. L 221 z 21.6.2021, s. 12.

11

(12)  
  Dz.U. L 235 z 2.7.2021, s. 27.

12

(13)  
  Dz.U. L 255 z 16.7.2021, s. 3.

13

(14)  
  Dz.U. L 306 z 31.8.2021, s. 4.

14

(15)  
  Dz.U. L 320 z 10.9.2021, s. 1.

15

(16)  
  Dz.U. L 341 z 24.9.2021, s. 1.

16

(17)  
  Dz.U. L 182 z 21.5.2021, s. 1.

17

(18)  Decyzja Rady 2002/192/WE z dnia 28 lutego 2002 r. dotycząca wniosku Irlandii o zastosowanie wobec niej niektórych przepisów dorobku Schengen (Dz.U. L 64 z 7.3.2002, s. 20).

18

(19)  
  Dz.U. L 176 z 10.7.1999, s. 31.

19

(20)  
  Dz.U. L 53 z 27.2.2008, s. 52.

20

(21)  Decyzja Rady 2008/146/WE z dnia 28 stycznia 2008 r. w sprawie zawarcia w imieniu Wspólnoty Europejskiej Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską dotyczącej włączenia tego państwa we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen (Dz.U. L 53 z 27.2.2008, s. 1).

21

(22)  
  Dz.U. L 160 z 18.6.2011, s. 21.

22

(23)  Decyzja Rady 2011/350/UE z dnia 7 marca 2011 r. w sprawie zawarcia w imieniu Unii Europejskiej Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, odnoszącego się do zniesienia kontroli na granicach wewnętrznych i do przemieszczania się osób (Dz.U. L 160 z 18.6.2011, s. 19).

23

---