KOMISJA EUROPEJSKA Bruksela, dnia 24.6.2020 SWD(2020) 115 final DOKUMENT ROBOCZY SŁUŻB KOMISJI […] Towarzyszący dokumentowi: KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY Ochrona danych jako filar wzmacniania pozycji obywateli oraz podejścia UE do transformacji cyfrowej – dwa lata stosowania ogólnego rozporządzenia o ochronie danych {COM(2020) 264 final}



Spis treści 1 Kontekst 2 Egzekwowanie RODO oraz funkcjonowanie mechanizmu współpracy i spójności 2.1 Wykorzystanie rozszerzonych uprawnień przez organy ochrony danych Konkretne problemy dotyczące sektora publicznego Współpraca z innymi organami regulacyjnymi 2.2 Mechanizm współpracy i spójności Kompleksowa współpraca 8 Wzajemna pomoc 9 Mechanizm spójności 9 Wyzwania, którymi należy się zająć 10 2.3 Doradztwo i wytyczne 11 Podnoszenie świadomości oraz doradztwo świadczone przez organy ochrony danych 11 Wytyczne Europejskiej Rady Ochrony Danych 12 2.4 Zasoby organów ochrony danych 13 3 Zharmonizowane przepisy przy istniejącym wciąż pewnym stopniu rozdrobnienia i rozbieżnych podejściach 15 3.1 Wdrażanie RODO przez państwa członkowskie 15 Główne problemy związane z wdrażaniem na szczeblu krajowym 16 Godzenie prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji 17

3.2 Opcjonalne przepisy szczegółowe oraz ich granice 19 Rozdrobnienie prawodawstwa związane z wprowadzaniem opcjonalnych przepisów szczegółowych 19 4 Umożliwienie osobom fizycznym kontrolowania ich danych 22 5 Możliwości i wyzwania dla organizacji, w szczególności dla małych i średnich przedsiębiorstw 25 Zestaw narzędzi dla przedsiębiorstw 28 6 Stosowanie RODO w kontekście nowych technologii 30 7 Międzynarodowe przekazywanie danych i ogólnoświatowa współpraca 33 7.1 Prywatność: kwestia ogólnoświatowa 33 7.2 Zestaw narzędzi do przekazywania danych określony w RODO 34 Decyzje stwierdzające odpowiedni stopień ochrony 36 Odpowiednie zabezpieczenia 41 Wyjątki 48 Decyzje wydane przez sądy lub organy zagraniczne: brak podstawy przekazania 49 7.3 Współpraca międzynarodowa w dziedzinie ochrony danych 51 Wymiar dwustronny 52 Wymiar wielostronny 53 Załącznik I: Przepisy, w odniesieniu do których państwa członkowskie mogą przewidzieć opcjonalne krajowe przepisy szczegółowe Załącznik II: Przegląd zasobów organów ochrony danych





1Kontekst Po ośmiu latach przygotowań, sporządzania projektów oraz prowadzenia negocjacji międzyinstytucjonalnych w dniu 25 maja 2018 r., po dwuletnim okresie przejściowym (trwającym od maja 2016 r. do maja 2018 r.), zaczęło obowiązywać ogólne rozporządzenie o ochronie danych (zwane dalej „RODO”). Zgodnie z art. 97 RODO Komisja ma obowiązek przedłożenia sprawozdania z oceny i przeglądu rozporządzenia, począwszy od pierwszego sprawozdania po dwóch latach stosowania rozporządzenia, a następnie co cztery lata. Ocena ta jest również częścią wielowymiarowego podejścia, które Komisja obrała już przed rozpoczęciem stosowania RODO i które to podejście aktywnie kontynuowała również po rozpoczęciu stosowania rozporządzenia. W ramach tego podejścia Komisja zaangażowała się w bieżący dwustronny dialog z państwami członkowskimi dotyczący zgodności przepisów krajowych z RODO, brała aktywny udział w pracach prowadzonych przez Europejską Radę Ochrony Danych (zwaną dalej „EROD”) poprzez dzielenie się swoim doświadczeniem i wiedzą ekspercką, wspierała organy ochrony danych oraz utrzymywała bliskie stosunki z wieloma różnymi stronami zainteresowanymi praktycznym stosowaniem rozporządzenia. Przedmiotowa ocena została opracowana na podstawie podsumowania dokonanego przez Komisję w trakcie pierwszego roku stosowania RODO, a jego streszczenie znajduje się w komunikacie wydanym w lipcu 2019 r. Stanowi ona również kontynuację komunikatu w sprawie stosowania RODO wydanego w styczniu 2018 r. Komisja przyjęła również wytyczne dotyczące wykorzystywania danych osobowych w kontekście wyborczym opublikowane we wrześniu 2018 r. oraz wytyczne dotyczące aplikacji pomocnych w walce z pandemią COVID-19 wydane w kwietniu 2020 r. Poza skupieniem się na dwóch kwestiach, o których mowa w art. 97 ust. 2 RODO, a mianowicie na przekazywaniu danych osobowych do państw trzecich lub organizacji międzynarodowych oraz na mechanizmach współpracy i spójności, w ramach tej oceny przyjęto szersze podejście do kwestii poruszonych przez różne podmioty w ciągu ostatnich dwóch lat. W celu przygotowania oceny Komisja wzięła pod uwagę wkład wniesiony: ·przez Radę; ·przez Parlament Europejski (Komisja Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych); ·przez EROD i poszczególne organy ochrony danych – na podstawie kwestionariusza przesłanego przez Komisję; ·w ramach informacji zwrotnych dostarczonych przez członków wielostronnej grupy ekspertów w celu wspierania stosowania RODO – również na podstawie kwestionariusza przesłanego przez Komisję; ·w ramach wkładu ad hoc otrzymanego od zainteresowanych stron. 2Egzekwowanie RODO oraz funkcjonowanie mechanizmu współpracy i spójności W RODO ustanowiono innowacyjny system zarządzania i położono fundament prawdziwie europejskiej kultury ochrony danych osobowych mającej na celu zapewnienie nie tylko zharmonizowanej wykładni, lecz również zharmonizowanego stosowania i egzekwowania przepisów o ochronie danych. Jego filarami są niezależne krajowe organy ochrony danych oraz nowo powołany EROD. Ponieważ organy ochrony danych odgrywają kluczową rolę w funkcjonowaniu całego unijnego systemu ochrony danych osobowych, Komisja uważnie monitoruje ich rzeczywistą niezależność, w tym jeżeli chodzi o odpowiednie zasoby finansowe, kadrowe i techniczne. Ze względu na to, że zdobyte do tej pory doświadczenie nie obejmuje długiego okresu, wciąż jest zbyt wcześnie na pełną ocenę funkcjonowania nowych mechanizmów współpracy i spójności. Ponadto organy ochrony danych nie wykorzystały jeszcze pełnej gamy narzędzi przewidzianych w RODO w celu dalszego zacieśnienia swojej współpracy. 2.1Wykorzystanie rozszerzonych uprawnień przez organy ochrony danych Na mocy RODO powołano niezależne organy ochrony danych i przyznano im zharmonizowane i rozszerzone uprawnienia do egzekwowania przestrzegania przepisów. Od początku obowiązywania RODO organy te korzystały z szerokiego spektrum uprawnień naprawczych przewidzianych w RODO, takich jak administracyjne kary pieniężne (22 organy w UE/EOG), ostrzeżenia i upomnienia (23), nakazy spełnienia żądania osoby, której dane dotyczą (26), nakazy dostosowania operacji przetwarzania do przepisów RODO (27) oraz nakazy sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania (17). Około połowy organów ochrony danych (13) nałożyło tymczasowe lub ostateczne ograniczenia przetwarzania, w tym zakazy przetwarzania. Świadczy to o świadomym stosowaniu wszystkich działań naprawczych przewidzianych w RODO; organy ochrony danych nie stroniły od nakładania administracyjnych kar pieniężnych w uzupełnieniu lub zamiast innych działań naprawczych, w zależności od okoliczności poszczególnych spraw. Administracyjne kary pieniężne: Od dnia 25 maja 2018 r. do dnia 30 listopada 2019 r. 22 organy ochrony danych w UE/EOG nałożyły około 785 kar pieniężnych. Zaledwie kilka organów nie nałożyło jeszcze żadnej administracyjnej kary pieniężnej, przy czym zawisłe postępowania mogą prowadzić do nałożenia tego typu kar pieniężnych. Większość spośród nałożonych kar pieniężnych było związanych w naruszeniami dotyczącymi: zasady zgodności z prawem; ważnej zgody; ochrony danych wrażliwych; obowiązku zapewnienia przejrzystości, praw osób, których dane dotyczą; oraz naruszeń ochrony danych osobowych.

Przykłady kar pieniężnych nałożonych przez organy ochrony danych obejmują: – 200 000 EUR kary za niezachowanie zgodności z prawem do sprzeciwu wobec marketingu bezpośredniego w Grecji; – 220 000 EUR kary dla przedsiębiorstwa pośredniczącego w obrocie danymi w Polsce za brak poinformowania osób fizycznych o tym, że ich dane są przetwarzane; – 250 000 EUR kary dla hiszpańskiej ligi piłki nożnej LaLiga za brak przejrzystości jej aplikacji na smartfony; – 14,5 mln EUR kary za naruszenie zasad ochrony danych, w szczególności za niezgodne z prawem przechowywanie danych, przez niemieckie przedsiębiorstwo z branży nieruchomości; – 18 mln EUR za niezgodne z prawem przetwarzanie szczególnych kategorii danych na dużą skalę przez austriackie służby pocztowe; – 50 mln EUR kary dla Google we Francji za nieodpowiednie warunki uzyskania zgody od użytkowników. Sukcesu RODO nie należy postrzegać w kategoriach liczby nałożonych kar pieniężnych, ponieważ RODO przewiduje szersze spektrum uprawnień naprawczych. W zależności od okoliczności na przykład odstraszający skutek zakazu przetwarzania danych lub zawieszenia przepływu danych może być dużo silniejszy. Konkretne problemy dotyczące sektora publicznego W RODO zezwala się państwom członkowskim na określenie, czy i w jakim zakresie istnieje możliwość nakładania administracyjnych kar pieniężnych na organy i podmioty publiczne. W przypadku gdy państwa członkowskie korzystają z tej możliwości, nie pozbawia to organów ochrony danych możliwości korzystania ze wszystkich pozostałych uprawnień naprawczych w stosunku do organów i podmiotów publicznych. Innym konkretnym problemem jest nadzór nad sądami: mimo iż RODO ma również zastosowanie do działalności sądów, są one wyłączone spod nadzoru organów ochrony danych w ramach sprawowania wymiaru sprawiedliwości. W Karcie praw podstawowych i TFUE nałożono jednak na państwa członkowskie obowiązek wyznaczenia niezależnego podmiotu w ramach ich systemów sądowych odpowiedzialnego za nadzór nad takimi operacjami przetwarzania danych osobowych. Współpraca z innymi organami regulacyjnymi Zgodnie z zapowiedzią zawartą w komunikacie z lipca 2019 r. Komisja wspiera interakcję z innymi organami regulacyjnymi przy pełnym poszanowaniu odpowiednich kompetencji organów. Obiecujące obszary współpracy obejmują ochronę konsumentów i konkurencję. EROD wyraził chęć nawiązania współpracy z innymi organami regulacyjnymi, w szczególności w związku z koncentracją na rynkach cyfrowych. Komisja dostrzega istotę prywatności i ochrony danych osobowych jako jakościowego parametru w dziedzinie konkurencji. Członkowie EROD wzięli udział we wspólnych warsztatach z siecią współpracy w zakresie ochrony konsumenta poświęconych współpracy mającej na celu lepsze egzekwowanie przepisów UE dotyczących ochrony konsumentów i ochrony danych osobowych. Podejście to będzie stosowane w celu sprzyjania wzajemnemu zrozumieniu oraz wypracowaniu praktycznych sposobów rozwiązywania konkretnych problemów, z którymi spotykają się konsumenci, w szczególności w ramach gospodarki cyfrowej. W celu zapewnienia spójnego podejścia do prywatności i ochrony danych osobowych oraz w oczekiwaniu na przyjęcie rozporządzenia w sprawie prywatności i łączności elektronicznej niezbędna jest ścisła współpraca z organami właściwymi do egzekwowania dyrektywy o prywatności i łączności elektronicznej, lex specialis w dziedzinie łączności elektronicznej. Bliższa współpraca z organami właściwymi na mocy dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz z grupą współpracy ds. bezpieczeństwa sieci i informacji przyniosłaby obopólną korzyść tym organom oraz organom ochrony danych. 2.2Mechanizm współpracy i spójności W RODO ustanowiono mechanizm współpracy (system kompleksowej współpracy dla podmiotów gospodarczych, wspólne operacje i wzajemna pomoc wśród organów ochrony danych) oraz mechanizm spójności, którego celem jest sprzyjanie jednolitemu stosowaniu przepisów o ochronie danych dzięki spójnej wykładni oraz rozwiązywaniu ewentualnych sporów między organami a EROD. Złożony z przedstawicieli wszystkich organów ochrony danych EROD ustanowiono jako w pełni operacyjny organ UE mający osobowość prawną i wspierany przez sekretariat. EROD ma kluczowe znaczenie z punktu widzenia funkcjonowania dwóch wyżej wspomnianych mechanizmów. Do końca 2019 r. EROD przyjął 67 dokumentów, w tym 10 nowych dokumentów zawierających wytyczne oraz 43 opinie Istotna rola EROD uwidoczniła się w chwili, gdy istniała potrzeba szybkiego zapewnienia spójnej wykładni RODO oraz znalezienia możliwych do niezwłocznego zastosowania rozwiązań na poziomie UE. Na przykład w kontekście pandemii COVID-19 w marcu 2020 r. EROD przyjął oświadczenie w sprawie przetwarzania danych osobowych, w którym mowa między innymi o zgodności z prawem przetwarzania oraz o wykorzystaniu danych dotyczących lokalizacji pochodzących z urządzeń mobilnych w tym kontekście, a w kwietniu 2020 r. EROD przyjął wytyczne w sprawie przetwarzania danych dotyczących zdrowia do celów badań naukowych w kontekście pandemii COVID-19 oraz wytyczne w sprawie wykorzystania danych dotyczących lokalizacji oraz narzędzi służących ustalaniu kontaktów zakaźnych w kontekście pandemii COVID-19. EROD wniósł również znaczący wkład w ukształtowanie podejścia UE do aplikacji do śledzenia kontaktów reprezentowanego przez Komisję i państwa członkowskie. Codzienna współpraca między organami ochrony danych – niezależnie od tego, czy działają one we własnym imieniu, czy jako członkowie EROD – opiera się na wymianie informacji oraz na zgłaszaniu postępowań wszczętych przez organy. W celu ułatwienia komunikacji między organami Komisja udzieliła znaczącego wsparcia poprzez zapewnienie tym organom systemu wymiany informacji. Większość organów uznaje go za dostosowany do potrzeb związanych z mechanizmami współpracy i spójności, nawet jeżeli można by go jeszcze dopracować, na przykład sprawiając, aby stał się bardziej przyjazny użytkownikowi.

Pomimo wciąż jeszcze wczesnego etapu można już wymienić szereg przedstawionych niżej osiągnięć i wyzwań. Na ich podstawie można zauważyć, że dotychczas organy ochrony danych skutecznie korzystały z narzędzi współpracy, preferując przy tym bardziej elastyczne rozwiązania. Kompleksowa współpraca Co do zasady w sprawach transgranicznych organ ochrony danych danego państwa członkowskiego może być zaangażowany w charakterze (i) wiodącego organu nadzorczego, w przypadku gdy główna jednostka organizacyjna znajduje się w tym państwie członkowskim albo (ii) organu, którego sprawa dotyczy, w przypadku gdy jednostka organizacyjna podmiotu gospodarczego znajduje się na terytorium tego państwa członkowskiego, a sprawa w znacznym stopniu dotyczy osób fizycznych w tym państwie członkowskim, lub gdy skarga wpłynęła do tego organu. Taka bliska współpraca stała się codzienną praktyką: od daty rozpoczęcia stosowania RODO organy ochrony danych we wszystkich państwach członkowskich w którymś momencie pełniły funkcję wiodącego organu lub organu, którego sprawa dotyczy, w sprawach transgranicznych, jednak odbywało się to w różnym zakresie. Od maja 2018 r. do końca 2019 r. organ ochrony danych w Irlandii występował w charakterze wiodącego organu nadzorczego w największej liczbie spraw transgranicznych (127); następne w kolejności były Niemcy (92), Luksemburg (87), Francja (64) i Niderlandy (45). Ranking ten odzwierciedla w szczególności specyficzną sytuację Irlandii i Luksemburga, w których to państwach siedziby ma kilka wielonarodowych przedsiębiorstw z branży technologicznej. Ranking prezentuje się inaczej, jeżeli chodzi o pełnienie funkcji organu ochrony danych, którego sprawa dotyczy: organy w Niemczech były zaangażowane w największą liczbę spraw (435), a po nich plasowały się Hiszpania (337), Dania (327), Francja (332) i Włochy (306). W okresie od dnia 25 maja 2018 r. do dnia 31 grudnia 2019 r. w ramach procedury kompleksowej współpracy przedłożono 141 projektów decyzji, z czego 79 skutkowało wydaniem ostatecznych decyzji. Na dzień publikacji niniejszego sprawozdania kilka ważnych spraw o wymiarze transgranicznym i podlegających mechanizmowi kompleksowej współpracy jest w toku. Niektóre spośród tych spraw dotyczą wielonarodowych gigantów technologicznych. Przewiduje się, że decyzje wydane w tych sprawach dostarczą wyjaśnień i przyczynią się do zwiększenia harmonizacji w ramach wykładni RODO. Wzajemna pomoc Organy ochrony danych na dużą skalę korzystały z narzędzia wzajemnej pomocy. Do końca 2019 r. przeprowadzono 115 procedur wzajemnej pomocy, w szczególności na potrzeby prowadzenia postępowań, z których większość prowadziły organy ochrony danych w Hiszpanii (26), Niemczech (20), Danii (13), Polsce (12) oraz Republice Czeskiej (10). Z kolei najwięcej wniosków otrzymały Irlandia (19), Francja (11), Austria (10), Niemcy (10) i Luksemburg (9). Zdecydowana większość organów uważa wzajemną pomoc za bardzo przydatne narzędzie współpracy i nie spotkała się z żadnymi szczególnymi przeszkodami w stosowaniu procedury wzajemnej pomocy. Częściej – tj. w 2 427 postępowaniach – korzystano z dobrowolnej wzajemnej pomocy, w odniesieniu do której nie istnieją określone przepisami terminy ani wyraźny obowiązek odpowiedzi. Najwięcej wniosków o wzajemną pomoc wysłał i otrzymał irlandzki organ ochrony danych (527 wysłanych i 359 otrzymanych wniosków), a na drugim miejscu uplasowały się organy niemieckie (260 wysłanych i 356 otrzymanych wniosków). Nie przeprowadzono jeszcze natomiast wspólnych operacji, które umożliwiłyby organom ochrony danych kilku państw członkowskich zaangażowanie się już na etapie rozpoznawania spraw transgranicznych. W ramach EROD toczy się obecnie dyskusja na temat praktycznego wdrożenia tego narzędzia oraz sposobu propagowania jego wykorzystania. Mechanizm spójności Dotychczas korzystano wyłącznie z jednej części mechanizmu spójności, a mianowicie z trybu przyjmowania opinii przez EROD. Nie korzystano jeszcze natomiast z trybu rozstrzygania sporów ani z trybu pilnego na poziomie EROD. Od dnia 25 maja 2018 r. do dnia 31 grudnia 2019 r. EROD wydał 36 opinii w kontekście przyjęcia środków przez jednego spośród jego członków. Większość z nich (31) dotyczyła przyjęcia krajowych wykazów procesów przetwarzania wymagających oceny skutków dla ochrony danych. Dwie opinie dotyczyły wiążących reguł korporacyjnych, dwie inne – proponowanych wymagań akredytacyjnych dotyczących organów monitorujących kodeksy postępowania, a jedna – standardowych klauzul umownych. Ponadto EROD przyjął – na wniosek – sześć opinii. Trzy spośród nich dotyczyły krajowych wykazów obejmujących przypadki przetwarzania danych, które nie wymagają oceny skutków dla ochrony danych. Pozostałe opinie dotyczyły odpowiednio uzgodnienia administracyjnego w sprawie przekazywania danych osobowych między organami nadzoru finansowego z EOG i spoza EOG, powiązań pomiędzy dyrektywą o prywatności i łączności elektronicznej a RODO, a także kompetencji organu nadzorczego w przypadku zmiany okoliczności związanych z główną lub jedyną jednostką organizacyjną. Wyzwania, którymi należy się zająć Mimo iż organy ochrony danych niezwykle aktywnie współpracowały ze sobą w ramach EROD i wykorzystują już intensywnie narzędzie współpracy polegające na wzajemnej pomocy, budowanie prawdziwie wspólnej kultury ochrony danych osobowych jest procesem, który nadal trwa. W szczególności rozpoznawanie spraw transgranicznych wymaga skuteczniejszego i bardziej zharmonizowanego podejścia oraz skutecznego wykorzystania wszystkich narzędzi współpracy przewidzianych w RODO. Istnieje w tej kwestii bardzo powszechny konsensus, ponieważ na różne sposoby podnosiły ją Parlament Europejski, Rada, Europejski Inspektor Ochrony Danych, zainteresowane strony (w ramach wielostronnej grupy ekspertów i poza nią) oraz organy ochrony danych. Główne problemy, którymi należy się zająć w tym kontekście, obejmują rozbieżności w:

·krajowych procedurach administracyjnych dotyczących w szczególności: procedur rozpatrywania skarg, kryteriów dopuszczalności skarg, czasu trwania postępowań w kontekście różnych ram czasowych lub braku odnośnych terminów, momentu w postępowaniu, w którym przysługuje prawo do bycia wysłuchanym, informacji i zaangażowania skarżących w toku postępowania; ·wykładni pojęć związanych z mechanizmem współpracy, takich jak „stosowne informacje”, określenie „niezwłocznie”, „skarga”, dokument określony jako „projekt decyzji” wiodącego organu ochrony danych, polubowne rozwiązanie (w szczególności procedura prowadząca do polubownego rozwiązania oraz forma prawna takiego rozwiązania); oraz ·podejście do kwestii chwili rozpoczęcia procedury współpracy i zaangażowania organów ochrony danych, których sprawa dotyczy, oraz przekazania im informacji. Dodatkowo skarżącym brakuje jasnych informacji dotyczących sposobu rozpoznawania ich spraw w kontekście transgranicznym, co podkreśliło kilku członków wielostronnej grupy ekspertów. Ponadto przedsiębiorcy wspominają, że w niektórych przypadkach krajowe organy ochrony danych nie kierowały spraw do wiodących organów ochrony danych, lecz rozpoznawały je jak sprawy lokalne. Komisja przyjmuje z zadowoleniem ogłoszenie EROD, że Rada rozpoczęła analizę sposobów rozwiązania tych problemów. W szczególności EROD wskazał, że wyjaśni kroki proceduralne wchodzące w zakres współpracy między wiodącym organem ochrony danych a organami ochrony danych, których sprawa dotyczy, przeanalizuje krajowe administracyjne prawo procesowe, będzie dążyć do wspólnej wykładni kluczowych pojęć oraz wzmacniać komunikację i współpracę (w tym w zakresie wspólnych operacji). Refleksja i analiza EROD powinny prowadzić do opracowania skuteczniejszych ustaleń roboczych w sprawach transgranicznych między innymi przez wykorzystanie wiedzy eksperckiej członków Rady oraz poprzez wzmacnianie zaangażowania jej sekretariatu. Ponadto należy zauważyć, że swojego obowiązku w zakresie zapewnienia spójnej wykładni RODO EROD nie może dopełnić jedynie przez znalezienie najniższego wspólnego mianownika. Ponadto jako organ UE EROD musi również stosować prawo administracyjne UE i zapewniać przejrzystość procesu decyzyjnego. 2.3Doradztwo i wytyczne Podnoszenie świadomości oraz doradztwo świadczone przez organy ochrony danych Szereg organów ochrony danych stworzyło nowe narzędzia, takie jak infolinie dla osób fizycznych i przedsiębiorstw, oraz zestawy narzędzi dla przedsiębiorstw. Wiele podmiotów gospodarczych docenia pragmatyzm, którym wykazywały się te organy w ramach pomocy w stosowaniu RODO. W szczególności kilka z nich nawiązało aktywną i bliską współpracę oraz kontaktowało się z inspektorami ochrony danych, w tym poprzez stowarzyszenia inspektorów ochrony danych. Wiele organów wydało również wytyczne dotyczące roli i obowiązków inspektorów ochrony danych, aby zapewnić im wsparcie podczas ich codziennych czynności, a także zorganizowało seminaria przeznaczone dla tych inspektorów. Nie dotyczyło to jednak wszystkich organów ochrony danych. Z informacji zwrotnych otrzymanych od zainteresowanych stron również wynika, że istnieje szereg problemów dotyczących wytycznych i doradztwa: ·brak spójnego podejścia do niektórych kwestii między krajowymi organami ochrony danych oraz odnośnych wytycznych (np. w kwestii plików cookie, stosowania prawnie uzasadnionego interesu, zgłoszeń naruszenia ochrony danych lub oceny skutków dla ochrony danych) lub nawet między organami ochrony danych w obrębie tych samych państw członkowskich (np. w Niemczech w kwestii dotyczącej administratora i podmiotu przetwarzającego); ·niespójność wytycznych przyjętych na poziomie krajowym z wytycznymi przyjętymi przez EROD; ·brak konsultacji publicznych w sprawie niektórych wytycznych przyjętych na poziomie krajowym; ·różne poziomy zaangażowania w relacje z zainteresowanymi stronami wśród organów ochrony danych; ·opóźnienia w otrzymywaniu odpowiedzi na żądania informacji; ·trudności w uzyskaniu praktycznych i wartościowych porad od organów ochrony danych; ·potrzeba zwiększenia poziomu wiedzy eksperckiej o danych branżach w niektórych organach ochrony danych (np. w branży ochrony zdrowia i branży farmaceutycznej). Kilka spośród tych kwestii jest również związanych z brakiem zasobów w niektórych organach ochrony danych (zob. poniżej). Rozbieżne praktyki, jeżeli chodzi o zgłaszanie naruszeń ochrony danych Chociaż Rada podkreśla obciążenie powodowane takimi zgłoszeniami, między państwami członkowskimi istnieją znaczne rozbieżności dotyczące zgłaszania: podczas gdy od maja 2018 r. do końca listopada 2019 r. w większości państw członkowskich łączna liczba zgłoszeń naruszeń ochrony danych pozostawała na poziomie niższym niż 2 000, a w 7 państwach członkowskich mieściła się w zakresie 2 000–10 000, niderlandzkie i niemieckie organy ochrony danych odnotowały odpowiednio 37 400 i 45 600 zgłoszeń. Może to wskazywać na brak spójnej wykładni i spójnego wdrażania mimo istnienia wytycznych na poziomie UE dotyczących zgłaszania naruszeń ochrony danych.

Wytyczne Europejskiej Rady Ochrony Danych Do tej pory EROD przyjął ponad 20 dokumentów zawierających wytyczne dotyczące kluczowych kwestii związanych z RODO. Wytyczne te stanowią narzędzie niezbędne do spójnego stosowania RODO i w związku z tym zostały one w dużym zakresie przyjęte z zadowoleniem przez zainteresowane strony. Podmioty te ceniły sobie systematyczne (co 6–8 tygodni) konsultacje publiczne. Domagają się jednak one wzmożonego dialogu z EROD. W tym kontekście praktykę polegającą na organizowaniu warsztatów poświęconych wybranym tematom przed przygotowaniem wytycznych należy kontynuować i zintensyfikować, aby zapewnić przejrzystość, odpowiedni poziom uczestnictwa i adekwatność w ramach działań EROD. Zainteresowane strony wnioskują również o uwzględnienie wykładni najbardziej spornych kwestii nie w opiniach, o których mowa w art. 64 ust. 2 RODO, lecz w wytycznych, ponieważ wytyczne podlegają konsultacjom publicznym. Niektóre zainteresowane strony wzywają również do przyjmowania bardziej praktycznych wytycznych szczegółowo opisujących stosowanie pojęć i przepisów zawartych w RODO. Członkowie wielostronnej grupy ekspertów podkreślają potrzebę podawania bardziej konkretnych przykładów w celu maksymalnego ograniczenia możliwości powstania rozbieżnych interpretacji między organami ochrony danych. Jednocześnie wnioski o wyjaśnienie, jak należy stosować RODO, oraz o zapewnienie pewności prawa nie powinny wiązać się z dodatkowymi wymogami ani prowadzić do ograniczenia korzyści płynących z podejścia opartego na analizie ryzyka i zasady rozliczalności. Tematy, w odniesieniu do których zainteresowane strony chciałyby uzyskać dodatkowe informacje od EROD, obejmują: zakres praw przysługujących osobom, których dane dotyczą (w tym w kontekście zatrudnienia); aktualizacje opinii dotyczącej przetwarzania danych w oparciu o prawnie uzasadniony interes; pojęcia administratora, współadministratora i podmiotu przetwarzającego oraz niezbędnych uzgodnień między stronami; stosowanie RODO w kontekście nowych technologii (takich jak łańcuch bloków i sztuczna inteligencja); przetwarzanie danych w kontekście badań naukowych (w tym w związku ze współpracą międzynarodową); przetwarzanie danych dotyczących dzieci; pseudonimizacja i anonimizacja; oraz przetwarzanie danych dotyczących zdrowia. EROD zapowiedział już, że wyda wytyczne dotyczące wielu spośród tych tematów, a nad kilkoma z nich rozpoczęły się już prace (np. nad stosowaniem prawnie uzasadnionego interesu jako podstawy prawnej przetwarzania danych). Zainteresowane strony wnioskują, aby w stosownych przypadkach EROD dokonał aktualizacji i przeglądu istniejących wytycznych, biorąc pod uwagę doświadczenie zdobyte od chwili ich publikacji oraz – w miarę potrzeb – szczegółowo omawiając temat. 2.4Zasoby organów ochrony danych Zapewnienie każdemu organowi ochrony danych zasobów kadrowych, technicznych i finansowych, pomieszczeń i infrastruktury jest warunkiem koniecznym skutecznego wypełniania przez nie ich zadań i wykonywania ich uprawnień, a zatem stanowi podstawowy warunek ich niezależności. Większość organów ochrony danych odnotowała zwiększenie zatrudnienia i zasobów od chwili wejścia w życie RODO w 2016 r. Wiele spośród nich nadal jednak utrzymuje, że nie dysponuje wystarczającymi zasobami. Liczba pracowników pracujących w organach ochrony danych Łączna liczba pracowników pracujących w organach ochrony danych w EOG w ujęciu łącznym wzrosła o 42 % między 2016 r. a 2019 r. (o 62 %, jeżeli wziąć pod uwagę prognozę na rok 2020). W tym okresie liczba pracowników wzrosła w większości organów, a największy wzrost (w ujęciu procentowym) odnotowały organy w Irlandii (+169 %), Niderlandach (+145 %), Islandii (+143 %), Luksemburgu (+126 %) i Finlandii (+114 %). Liczba pracowników spadła natomiast w kilku organach ochrony danych, przy czym największy spadek odnotowano w Grecji (-15 %), Bułgarii (-14 %), Estonii (-11 %), na Łotwie (-10 %) i na Litwie (-8 %). W niektórych organach spadek zatrudnienia wynika również z odejścia ekspertów ds. ochrony danych osobowych do sektora prywatnego oferującego atrakcyjniejsze warunki. Ogólnie rzecz biorąc, w ramach prognozy na rok 2020 przewiduje się wzrost zatrudnienia w porównaniu z 2019 r., z wyjątkiem organów w Austrii, Bułgarii, Włoszech, Szwecji i Islandii (w których to państwach przewiduje się utrzymanie dotychczasowego poziomu zatrudnienia) oraz w Danii i na Cyprze (w których to państwach przewiduje się wzrost poziomu zatrudnienia). Najwyższy poziom zatrudnienia w ujęciu łącznym mają niemieckie organy ochrony danych (888 pracowników w 2019 r./1 002 pracowników według prognozy na rok 2020), a następnie organy ochrony danych w Polsce (238/260), Francji (215/225), Hiszpanii (170/220), Niderlandach (179/188), Włoszech 170/170) oraz Irlandii (140/176). Organami ochrony danych o najniższej liczbie pracowników są organy na Cyprze (24/22), Łotwie (19/31), w Islandii (17/17), Estonii (16/18) oraz na Malcie (13/15). Budżet krajowych organów ochrony danych Łączny budżet organów ochrony danych w EOG w ujęciu łącznym wzrósł o 49 % między 2016 r. a 2019 r. (o 64 %, jeżeli wziąć pod uwagę prognozę na rok 2020). W tym okresie w większości organów doszło do zwiększenia budżetu, a największy wzrost (w ujęciu procentowym) odnotowały organy w Irlandii (+223 %), Islandii (+167 %), Luksemburgu (+165 %), Niderlandach (+130 %) oraz na Cyprze (+114 %). Niektóre organy odnotowały jednak zaledwie niewielki wzrost budżetu, przy czym najmniejszy wzrost zarejestrowano w organach ochrony danych w Estonii (7 %), na Łotwie (4 %), w Rumunii (3 %) i Belgii (1 %), natomiast organ we Francji odnotował spadek (-2 %). Ogólnie rzecz biorąc, w ramach prognozy na rok 2020 przewiduje się wzrost budżetu w porównaniu z 2019 r., z wyjątkiem organów w Austrii, Bułgarii, Estonii i Niderlandach (w których to państwach przewiduje się utrzymanie dotychczasowego budżetu). Organami ochrony danych o najwyższym budżecie są organy w Niemczech (76,6 mln EUR w 2019 r./85,8 mln EUR według prognozy na rok 2020), we Włoszech (29,1/30,1), w Niderlandach (18,6/18,6), Francji (18,5/20,1) i Irlandii (15,2/16,9).

Organami ochrony danych o najniższym budżecie są organy w Chorwacji (1,2 mln EUR w 2019 r./1,4 mln EUR według prognozy na rok 2020), Rumunii (1,1/1,3), na Łotwie (0,6/1,2), Cyprze (0,5/0,5) i Malcie (0,5/0,6). Tabela w załączniku II zawiera zestawienie zasobów kadrowych i budżetowych krajowych organów ochrony danych. Oprócz wywierania wpływu na zdolności organów ochrony danych do egzekwowania przepisów na poziomie krajowym brak zasobów ogranicza również ich zdolność do udziału w mechanizmach współpracy i spójności oraz w pracach prowadzonych w ramach EROD, a także do wnoszenia w nie wkładu. Jak podkreślił EROD, powodzenie mechanizmu kompleksowej współpracy zależy od czasu i wysiłku, jakie organy ochrony danych są gotowe zainwestować w rozpoznawanie poszczególnych spraw transgranicznych oraz we współpracę w ich ramach. Problem dotyczący zasobów pogłębia się ze względu na zwiększoną rolę organów ochrony danych w nadzorze opracowywanych obecnie wielkoskalowych systemów informatycznych. Ponadto organy ochrony danych w Irlandii i Luksemburgu mają specyficzne zapotrzebowanie na zasoby ze względu na pełnioną przez nich rolę wiodących organów odpowiedzialnych za egzekwowanie RODO w stosunku do gigantów technologicznych, których siedziby znajdują się głównie w tych państwach członkowskich. Podczas gdy Rada wskazuje na wpływ mechanizmu współpracy oraz związanych z nim terminów na funkcjonowanie organów ochrony danych, zgodnie z RODO państwa członkowskie mają obowiązek zapewnienia krajowym organom ochrony danych odpowiednich zasobów kadrowych, finansowych i technicznych. Sekretariat EROD, którego obsługę zapewnia Europejski Inspektor Ochrony Danych, składa się obecnie z 20 osób, w tym z ekspertów z dziedziny prawa, technologii informacyjnej i komunikacji. Należy ocenić, czy liczba ta powinna w przyszłości wzrosnąć w świetle skutecznego pełnienia przez sekretariat funkcji analitycznego, administracyjnego i logistycznego wsparcia EROD oraz jego podgrup, między innymi przez zarządzanie systemem wymiany informacji. 3Zharmonizowane przepisy przy istniejącym wciąż pewnym stopniu rozdrobnienia i rozbieżnych podejściach W RODO przewiduje się spójne podejście do przepisów o ochronie danych w całej UE, zastępując poszczególne systemy krajowe istniejące na podstawie dyrektywy o ochronie danych z 1995 r. 3.1Wdrażanie RODO przez państwa członkowskie Od dnia 25 maja 2018 r. przepisy RODO miały bezpośrednie zastosowanie we wszystkich państwach członkowskich. Na jego podstawie państwa członkowskie miały obowiązek wprowadzenia przepisów – w szczególności ustanawiających organy ochrony danych i określających ogólne warunki dotyczące ich członków – mających na celu zagwarantowanie, aby funkcjonowanie każdego organu było w pełni niezależne, jeżeli chodzi o wykonywanie zadań i korzystanie z uprawnień przewidzianych w RODO. Obowiązki prawne i zadania realizowane w interesie publicznym mogą stanowić podstawę prawną przetwarzania danych osobowych wyłącznie wówczas, gdy przewidziano je w prawie (Unii lub) krajowym. Ponadto państwa członkowskie muszą przyjąć przepisy dotyczące sankcji, w szczególności za naruszenia niepodlegające administracyjnym karom pieniężnym, oraz przepisy pozwalające pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. Możliwe jest także uregulowanie w prawie krajowym podstawy prawnej wyłączenia z ogólnego zakazu przetwarzania szczególnych kategorii danych osobowych, na przykład ze względów związanych z ważnym interesem publicznym w dziedzinie zdrowia publicznego, w tym ze względu na ochronę przed poważnymi transgranicznymi zagrożeniami zdrowia. Ponadto państwa członkowskie muszą zapewnić akredytację podmiotów certyfikujących. Komisja monitoruje transpozycję RODO do przepisów krajowych. W momencie sporządzania niniejszego sprawozdania wszystkie państwa członkowskie, z wyjątkiem Słowenii, przyjęły nowe przepisy dotyczące ochrony danych osobowych lub dostosowały krajowe przepisy w tym zakresie. Komisja wezwała zatem Słowenię do przedstawienia wyjaśnień dotyczących poczynionych do tej pory postępów i wezwała ją do dokończenia tego procesu. Ponadto zgodność przepisów krajowych z przepisami o ochronie danych wynikającymi z dorobku Schengen podlega ocenie również w kontekście mechanizmu oceny Schengen, który koordynuje Komisja. Komisja i państwa członkowskie dokonują wspólnej oceny tego, jak poszczególne państwa wdrażają i stosują dorobek Schengen w szeregu różnych obszarów; jeżeli chodzi o ochronę danych osobowych, ocena ta dotyczy wielkoskalowych systemów informatycznych, takich jak System Informacyjny Schengen i System Informacyjny Via, i obejmuje rolę organów ochrony danych w nadzorowaniu przetwarzania danych osobowych w ramach tych systemów. Na szczeblu krajowym wciąż trwają prace nad dostosowaniem przepisów sektorowych. W następstwie włączenia RODO do Porozumienia o Europejskim Obszarze Gospodarczym jego zastosowanie rozszerzyło się na Norwegię, Islandię i Liechtenstein. Państwa te również przyjęły krajowe przepisy dotyczące ochrony danych osobowych. Komisja wykorzysta wszystkie dostępne narzędzia, w tym postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego, w celu zagwarantowania, by państwa członkowskie przestrzegały RODO. Główne problemy związane z wdrażaniem na szczeblu krajowym Główne problemy, które stwierdzono do tej pory w ramach bieżącej oceny przepisów krajowych oraz w ramach wymiany dwustronnej z państwami członkowskimi, obejmują: ·ograniczenia stosowania RODO: przykładowo niektóre państwa członkowskie zupełnie wyłączają z zakresu stosowania działalność parlamentu narodowego; ·rozbieżności w zasadach dotyczących stosowania krajowych przepisów szczegółowych: niektóre państwa członkowskie uzależniają stosowanie prawa krajowego od miejsca oferowania towarów lub usług, podczas gdy inne uzależniają je od miejsca, w którym znajduje się jednostka organizacyjna administratora lub podmiotu przetwarzającego. Jest to sprzeczne z celem RODO polegającym na harmonizacji przepisów; ·prawo krajowe rodzące wątpliwości dotyczące proporcjonalności jego powiązania z prawem do ochrony danych osobowych: na przykład Komisja wszczęła postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko państwu członkowskiemu, które wymagało, aby sędziowie ujawniali szczegółowe informacje na temat ich działalności niezawodowej, co jest niezgodne z prawem do poszanowania życia prywatnego i prawem do ochrony danych osobowych; ·brak niezależnego organu odpowiedzialnego za nadzór nad przetwarzaniem danych przez sądy w ramach sprawowania wymiaru sprawiedliwości;

·przepisy dotyczące obszarów w pełni uregulowanych przez RODO wykraczające poza dopuszczalny margines przepisów szczegółowych lub ograniczających. Taka sytuacja ma miejsce w szczególności wówczas, gdy przepisy krajowe określają warunki przetwarzania na podstawie prawnie uzasadnionego interesu dotyczące zachowania równowagi między odpowiednimi interesami administratora a interesami osób, których dane dotyczą, podczas gdy w RODO zobowiązuje się każdego administratora do samodzielnej oceny takiej równowagi w celu skorzystania z tej podstawy prawnej; ·przepisy szczegółowe i dodatkowe wymogi dotyczące kwestii wykraczających poza przetwarzanie w celu dopełnienia obowiązku prawnego lub wykonania zadania realizowanego w interesie publicznym (np. w przypadku nadzoru wideo w sektorze prywatnym lub w przypadku marketingu bezpośredniego); oraz dotyczące sformułowań zastosowanych w RODO (np. „duża skala” lub „usuwanie”). Trybunał Sprawiedliwości być może wyjaśni niektóre z tych kwestii, orzekając w zawisłych w tej chwili sprawach. Godzenie prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji Szczególnym wyzwaniem jest wdrożenie spoczywającego na państwach członkowskich obowiązku przyjęcia przepisów godzących prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. Kwestia ta jest niezwykle złożona, ponieważ w ocenie równowagi między tymi prawami podstawowymi należy uwzględnić również przepisy prawa prasowego i medialnego oraz przewidziane w nim zabezpieczenia. Z oceny przepisów państw członkowskich wynika, że istnieją różne podejścia do kwestii godzenia prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji: ·niektóre państwa członkowskie przewidziały zasadę pierwszeństwa wolności wypowiedzi lub co do zasady wyłączyły stosowanie całych rozdziałów, o których mowa w art. 85 ust. 2 RODO, w przypadku przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej. W pewnym zakresie przepisy dotyczące mediów przewidują pewne zabezpieczenia związane z prawami osób, których dane dotyczą. ·W niektórych państwach członkowskich ustanowiono zasadę pierwszeństwa ochrony danych osobowych, a przepisów o ochronie danych osobowych nie stosuje się wyłącznie w określonych sytuacjach, na przykład gdy chodzi o osobę o statusie osoby publicznej. ·W innych państwach członkowskich prawodawca przewiduje pewne równoważenie praw lub ocenę poszczególnych przypadków w odniesieniu do wyjątków od niektórych przepisów RODO. Komisja będzie nadal dokonywać oceny przepisów krajowych na podstawie wymogów przewidzianych w Karcie praw podstawowych. Godzenie praw musi być przewidziane ustawą, szanować istotę praw podstawowych oraz mieć proporcjonalny i konieczny charakter (art. 52 ust. 1 Karty praw podstawowych). Przepisy o ochronie danych nie powinny mieć wpływu na korzystanie z prawa do wolności wypowiedzi i informacji, w szczególności przez tworzenie efektu zniechęcającego lub bycie postrzeganymi jako sposób na wywarcie presji na dziennikarzach, aby skłonić ich do ujawnienia źródeł.

3.2Opcjonalne przepisy szczegółowe oraz ich granice W RODO przewidziano możliwość przyjęcia przez państwa członkowskie przepisów uszczegóławiających stosowanie rozporządzenia w ograniczonej liczbie obszarów. Taki margines dotyczący określania przepisów krajowych należy odróżnić od obowiązku wdrożenia niektórych innych przepisów RODO, o których wspomniano wyżej. Przepisy, w odniesieniu do których państwa członkowskie mogą przewidzieć opcjonalne przepisy szczegółowe, wymieniono w załączniku I. Marginesy dotyczące przepisów państw członkowskich podlegają warunkom i ograniczeniom określonym w RODO, a w ich ramach nie dopuszcza się wprowadzania równoległego krajowego systemu ochrony danych. Państwa członkowskie są zobowiązane do zmiany lub uchylenia krajowych przepisów dotyczących ochrony danych osobowych, w tym przepisów sektorowych z elementami związanymi z ochroną danych osobowych. Ponadto powiązane przepisy państw członkowskich nie mogą zawierać zapisów, które mogłyby wywołać nieporozumienie dotyczące bezpośredniego zastosowania RODO. W związku z tym w przypadku gdy w RODO przewiduje się możliwość wprowadzenia przepisów krajowych uszczegóławiających lub ograniczających przepisy tego rozporządzenia, państwa członkowskie mogą włączyć elementy RODO do prawa krajowego w zakresie niezbędnym do zapewnienia spójności i zrozumiałości przepisów krajowych dla osób, do których mają one zastosowanie. Zainteresowane strony uważają, że państwa członkowskie powinny ograniczyć wprowadzanie opcjonalnych przepisów szczegółowych lub powstrzymać się od ich wprowadzania, ponieważ nie przyczyniają się one do harmonizacji. Krajowe rozbieżności zarówno pod względem wdrażania przepisów, jak i ich interpretacji, przez organy ochrony danych, znacząco zwiększają koszty związane z zachowaniem zgodności z prawem w UE. Rozdrobnienie prawodawstwa związane z wprowadzaniem opcjonalnych przepisów szczegółowych ·Próg wieku dotyczący wyrażenia zgody przez dziecko w przypadku usług społeczeństwa informacyjnego Wiele państw członkowskich skorzystało z możliwości ustanowienia niższego progu wieku niż 16 lat w odniesieniu do wyrażania zgody w przypadku usług społeczeństwa informacyjnego (art. 8 ust. 1 RODO). Podczas gdy dziewięć państw członkowskich stosuje próg wieku wynoszący 16 lat, osiem państw członkowskich zdecydowało się na próg wieku wynoszący 13 lat, sześć na próg wieku wynoszący 14 lat, a trzy na próg wieku wynoszący 15 lat. Wobec tego przedsiębiorstwo świadczące usługi społeczeństwa informacyjnego na rzecz małoletnich w UE musi rozróżniać wiek potencjalnych użytkowników w zależności od państwa członkowskiego, w którym ci przebywają. Jest to niezgodne z podstawowym celem RODO polegającym na zapewnieniu równego poziomu ochrony osób fizycznych i możliwości rynkowych we wszystkich państwach członkowskich.

Takie rozbieżności prowadzą do sytuacji, w której w państwie członkowskim, w którym znajduje się siedziba administratora, obowiązuje inny próg wieku niż w państwach członkowskich, w których przebywają osoby, których dane dotyczą.



·Zdrowie i badania naukowe Jeżeli chodzi o wprowadzanie wyjątków od ogólnego zakazu przetwarzania szczególnych kategorii danych osobowych, w prawodawstwie poszczególnych państw członkowskich widoczne są różne podejścia do wprowadzania przepisów szczegółowych oraz zabezpieczeń, w tym w odniesieniu do przetwarzania do celów zdrowotnych i badawczych. Większość państw członkowskich wprowadziła dalsze warunki w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia. Powyższe stwierdzenie ma również zastosowanie do wyjątków związanych z prawami osób, których dane dotyczą, w przypadku przetwarzania do celów badawczych, zarówno jeżeli chodzi o zakres odstępstw, jak i związane z nimi zabezpieczenia. Przyszłe wytyczne EROD w sprawie wykorzystywania danych osobowych w dziedzinie badań naukowych przyczynią się do wypracowania zharmonizowanego podejścia w tym zakresie. Komisja wniesie wkład w ustalenia EROD, w szczególności w zakresie badań naukowych w dziedzinie zdrowia, w tym w formie konkretnych pytań i analizy konkretnych scenariuszy, które otrzymała od środowiska naukowego. Przyjęcie takich wytycznych przed rozpoczęciem programu ramowego w zakresie badań naukowych i innowacji „Horyzont Europa” byłoby pomocne z punktu widzenia harmonizacji praktyk z zakresu ochrony danych osobowych oraz ułatwienia dzielenia się danymi na potrzeby postępów badawczych. Użyteczne mogłyby być również wytyczne EROD dotyczące przetwarzania danych osobowych w dziedzinie zdrowia. Ogólnym rozporządzeniem o ochronie danych ustanowiono solidne ramy przepisów krajowych w dziedzinie zdrowia publicznego, a także wyraźnie uwzględniono w nim kwestie transgranicznych zagrożeń zdrowia oraz monitorowania epidemii i jej rozprzestrzeniania się, co miało znaczenie w kontekście walki z pandemią COVID-19. Na szczeblu UE w dniu 8 kwietnia 2020 r. Komisja przyjęła zalecenie dotyczące zestawu narzędzi służących do korzystania z technologii i danych w tym kontekście, w tym z aplikacji mobilnych i zanonimizowanych danych dotyczących mobilności, a w dniu 16 kwietnia 2020 r. wytyczne dotyczące aplikacji wspierających walkę z pandemią w odniesieniu do ochrony danych osobowych. EROD opublikowała oświadczenie w sprawie przetwarzania danych w tym kontekście w dniu 19 marca 2020 r., a następnie w dniu 21 kwietnia 2020 r. wytyczne dotyczące przetwarzania danych do celów badawczych oraz wykorzystania danych dotyczących lokalizacji i narzędzi do ustalania kontaktów zakaźnych. W tych zaleceniach i wytycznych wyjaśniono, w jaki sposób należy stosować zasady i przepisy dotyczące ochrony danych osobowych w kontekście walki z pandemią. ·Daleko idące ograniczenia praw osób, których dane dotyczą W większości krajowych przepisów o ochronie danych osobowych, które ograniczają prawa osób, których dane dotyczą, nie określa się celów leżących w ogólnym interesie publicznym zabezpieczanych przez te ograniczenia ani nie są one w wystarczający sposób zgodne z warunkami i zabezpieczeniami wymaganymi na podstawie art. 23 ust. 2 RODO. Kilka państw członkowskich nie umożliwia przeprowadzenia analizy proporcjonalności lub rozszerza ograniczenia poza zakres art. 23 ust. 1 RODO. Na przykład w niektórych systemach prawa krajowego odmawia się prawa dostępu ze względu na niewspółmiernie duży wysiłek po stronie administratora w przypadku danych osobowych przechowywanych na podstawie obowiązku zatrzymania lub związanych z wykonywaniem zadań realizowanych w interesie publicznym, przy czym ograniczenie to nie sprowadza się do celów leżących w ogólnym interesie publicznym. ·Dodatkowe wymogi dotyczące przedsiębiorstw Mimo iż wymóg dotyczący wyznaczenia obowiązkowego inspektora ochrony danych bazuje na podejściu opartym na analizie ryzyka, jedno państwo członkowskie rozszerzyło go o kryterium ilościowe, zgodnie z którym przedsiębiorstwa, w których co najmniej 20 pracowników jest stale zaangażowanych w zautomatyzowane przetwarzanie danych osobowych, muszą wyznaczyć inspektora ochrony danych niezależnie od ryzyka związanego z czynnościami przetwarzania. Doprowadziło to do dodatkowych utrudnień. 4Umożliwienie osobom fizycznym kontrolowania ich danych RODO zapewnia skuteczność praw podstawowych, w szczególności prawa do ochrony danych osobowych, lecz również pozostałych praw przewidzianych w Karcie praw podstawowych, w tym prawa do poszanowania życia prywatnego i rodzinnego, wolności wypowiedzi i informacji, niedyskryminacji, wolności myśli, sumienia i religii, wolności prowadzenia działalności gospodarczej oraz prawa do skutecznego środka odwoławczego. Między tymi prawami musi panować równowaga zgodnie z zasadą proporcjonalności. W RODO nadano osobom fizycznym egzekwowalne prawa, takie jak prawo dostępu, prawo do sprostowania, przenoszenia i usunięcia danych, sprzeciwu oraz zwiększonej przejrzystości. Na podstawie RODO osobom fizycznym przysługuje również prawo do złożenia skargi do organu ochrony danych, w tym poprzez powództwa przedstawicielskie, oraz prawo do dochodzenia roszczeń na drodze sądowej. Osoby fizyczne są coraz bardziej świadome przysługujących im praw, co wykazały wyniki Eurobarometru z lipca 2019 r. oraz ankiety przeprowadzonej przez Agencję Praw Podstawowych. Zgodnie z przeprowadzoną przez Agencję Praw Podstawowych ankietą dotyczącą praw podstawowych: ·69 % populacji w wieku 16+ w UE słyszało o RODO; ·71 % ankietowanych w UE słyszało o krajowym organie ochrony danych; odsetek ten wynosi od 90 % w Czechach do 44 % w Belgii; ·60 % ankietowanych w UE jest świadomych przepisów umożliwiających im uzyskanie dostępu do ich danych osobowych przechowywanych przez organy administracji publicznej; odsetek ten spada jednak do poziomu 51 % w przypadku przedsiębiorstw prywatnych; ·ponad jedna piąta ankietowanych (23 %) w UE nie chce udostępniać danych osobowych (takich jak adres, obywatelstwo lub data urodzenia) administracji publicznej, a 41 % z nich nie chce udostępniać tych danych przedsiębiorstwom prywatnym.

Osoby fizyczne w coraz większym stopniu korzystają z przysługującego im prawa do wniesienia skargi do organów ochrony danych – osobiście albo w ramach powództwa przedstawicielskiego. Tylko kilka państw członkowskich umożliwiło organizacjom pozarządowym wnoszenie skarg bez pełnomocnictwa zgodnie z możliwością przewidzianą w RODO. Oczekuje się, że proponowana dyrektywa w sprawie powództw przedstawicielskich w celu ochrony zbiorowych interesów konsumentów – po jej przyjęciu – wzmocni ramy powództw przedstawicielskich również w dziedzinie ochrony danych osobowych. Skargi Zgodnie z informacjami pochodzącymi od EROD łączna liczba skarg wniesionych od maja 2018 r. do końca listopada 2019 r. wynosi około 275 000. Do wartości tej należy jednak podchodzić z dużą dozą ostrożności, biorąc pod uwagę fakt, że definicja skargi jest identyczna we wszystkich organach. Łączna liczba skarg otrzymanych przez organy ochrony danych różni się znacznie w poszczególnych państwach członkowskich. Najwyższe liczby skarg odnotowano w Niemczech (67 000), Niderlandach (37 000), Hiszpanii i Francji (po 18 000), Włoszech (14 000), Polsce i Irlandii (po 12 000). Dwie trzecie organów odnotowało liczbę skarg mieszczącą się w zakresie 8 000–600. Najniższe liczby skarg zarejestrowano w Estonii i Belgii (około 500 w każdym z tych państw), na Malcie i w Islandii (poniżej 200 w każdym z tych państw). Liczba skarg niekoniecznie wiąże się z liczbą ludności czy z PKB, ponieważ na przykład w Niemczech wpłynęło niemal dwukrotnie więcej skarg niż w Niderlandach i czterokrotnie więcej skarg niż w Hiszpanii i Francji. Informacja zwrotna od wielostronnej grupy ekspertów pokazuje, że organizacje wdrożyły cały szereg środków mających na celu ułatwienie osobom, których dane dotyczą, korzystanie z przysługujących im praw, w tym wdrożenie procesów zapewniających indywidualny przegląd wniosków oraz odpowiedź administratora, wykorzystanie kilku kanałów (poczta, specjalny adres e-mail, strona internetowa itp.), aktualizacja wewnętrznych procedur i polityk dotyczących terminowego rozpoznawania wniosków oraz szkolenie kadr. Niektóre przedsiębiorstwa stworzyły cyfrowe portale dostępne przez stronę internetową przedsiębiorstwa (lub przez intranet dla pracowników przedsiębiorstwa) w celu ułatwienia osobom, których dane dotyczą, korzystania z przysługujących im praw. Wymagany jest jednak dalszy postęp w niżej wymienionych obszarach: ·nie wszyscy administratorzy wypełniają swój obowiązek polegający na ułatwianiu osobom, których dane dotyczą, korzystania z przysługujących im praw. Muszą oni dopilnować, aby osoby, których dane dotyczą, miały dostęp do skutecznego punktu kontaktowego, któremu mogłyby wyjaśnić swoje problemy. Taką funkcję może pełnić inspektor ochrony danych, którego dane kontaktowe należy proaktywnie udostępniać osobom, których dane dotyczą. Sposób kontaktu nie może ograniczać się do wiadomości e-mail, lecz musi również umożliwiać osobie, której dane dotyczą, skontaktowanie się z administratorem innymi kanałami; ·osoby fizyczne nadal napotykają trudności przy żądaniu dostępu do swoich danych, na przykład ze strony platform, brokerów informacji i przedsiębiorstw z sektora technologii reklamowej; ·nie wykorzystuje się pełnego potencjału prawa do przenoszenia danych. W europejskiej strategii w zakresie danych (zwanej dalej „strategią w zakresie danych”) przyjętej przez Komisję w dniu 19 lutego 2020 r. podkreślono potrzebę ułatwienia wszystkich możliwych sposobów wykorzystania tego prawa (np. poprzez nakazanie stosowania interfejsów technicznych i formatów nadających się do odczytu maszynowego umożliwiających przenoszenie danych w czasie rzeczywistym lub w czasie zbliżonym do rzeczywistego). Podmioty gospodarcze zauważają, że czasami występują trudności dotyczące dostarczenia danych w ustrukturyzowanym, powszechnie stosowanym formacie nadającym się do odczytu maszynowego (z powodu braku normy). Wyłącznie organizacje w konkretnych sektorach – takich jak bankowość, telekomunikacja, pomiar zużycia wody i ciepła – zgłaszają wdrożenie niezbędnych interfejsów. Opracowano nowe narzędzia technologiczne umożliwiające osobom fizycznym korzystanie z przysługujących im na podstawie RODO praw, nie tylko w przypadku prawa do przenoszenia danych (np. przestrzenie danych osobowych i serwisy służące do zarządzania danymi osobowymi); ·prawa przysługujące dzieciom: kilku członków wielostronnej grupy ekspertów podkreśla potrzebę dostarczenia informacji dzieciom oraz fakt, iż wiele organizacji ignoruje to, że przetwarzane przez nich dane mogą dotyczyć dzieci. Rada podkreśliła, że przy sporządzaniu kodeksów postępowania należy zwrócić szczególną uwagę na ochronę dzieci. Ochrona dzieci jest również priorytetem dla organów ochrony danych. ·prawo do informacji: niektóre przedsiębiorstwa mają bardzo legalistyczne podejście i traktują zawiadomienia o ochronie danych osobowych jako zadanie prawne; przekazywane informacje są trudne do zrozumienia lub niepełne, natomiast zgodnie z RODO wymaga się, aby wszelkie informacje miały zwięzłą formę oraz jasny i prosty język. Wydaje się, że niektóre przedsiębiorstwa nie stosują się do zaleceń EROD, np. w zakresie sporządzania wykazu nazw podmiotów, którym udostępniają dane. ·Szereg państw członkowskich mocno ograniczyło prawa osób, których dane dotyczą, za pomocą prawa krajowego, a niektóre ograniczyły je bardziej niż przewidziano w art. 23 RODO. ·Egzekwowanie praw osób hamują czasami praktyki kilku głównych podmiotów cyfrowych, które utrudniają osobom fizycznym wybór takich ustawień, które najbardziej chronią ich prywatność (co narusza wymóg uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych). Zainteresowane strony z niecierpliwością wyczekują wytycznych EROD dotyczących praw osób, których dane dotyczą. 5Możliwości i wyzwania dla organizacji, w szczególności dla małych i średnich przedsiębiorstw Możliwości dla organizacji RODO sprzyja konkurencji i innowacji. Wraz z rozporządzeniem w sprawie ram swobodnego przepływu danych nieosobowych służy zapewnieniu swobodnego przepływu danych w UE oraz stwarzaniu równych szans przedsiębiorstwom spoza UE. Tworząc ujednolicone ramy ochrony danych osobowych, dzięki RODO zagwarantowano, aby wszystkich podmiotów na rynku wewnętrznym dotyczyły te same zasady i aby mogły one korzystać z tych samych możliwości niezależnie od ich lokalizacji i miejsca przetwarzania. Neutralność technologiczna RODO zapewnia ramy ochrony danych osobowych dla rozwoju technologicznego. Zasada uwzględniania ochrony danych w fazie projektowania i domyślnej ochrony danych stanowi zachętę do przyjmowania innowacyjnych rozwiązań obejmujących kwestie związane z ochroną danych już w fazie początkowej i może się przyczynić do obniżenia kosztów związanych z przestrzeganiem przepisów o ochronie danych. Ponadto prywatność staje się ważnym konkurencyjnym parametrem, który osoby fizyczne w coraz większym stopniu biorą pod uwagę przy wyborze usług. Te lepiej poinformowane i bardziej wrażliwe na kwestie związane z ochroną danych osobowych szukają produktów i usług zapewniających skuteczną ochronę danych osobowych. Wprowadzenie prawa do przenoszenia danych może potencjalnie przyczynić się do obniżenia barier wejścia dla przedsiębiorstw oferujących innowacyjne, sprzyjające ochronie danych usługi. Należy monitorować skutki potencjalnie szerszego wykorzystania tego prawa na rynku, w różnych jego sektorach. Przestrzeganie przepisów o ochronie danych oraz ich przejrzyste stosowanie przyczyni się do budowania zaufania do wykorzystywania danych osobowych osób, a co za tym idzie do zapewnienia nowych możliwości dla przedsiębiorstw. Jak wszystkie regulacje, przepisy o ochronie danych nieodłącznie wiążą się z kosztami przestrzegania przepisów dla przedsiębiorstw. Możliwości i przewaga związane ze zwiększonym zaufaniem do innowacji cyfrowych oraz korzyści społeczne wynikające z poszanowania prawa podstawowego przewyższają jednak te koszty. Zapewniając równe szanse oraz wyposażając organy ochrony danych w narzędzia potrzebne do skutecznego egzekwowania przepisów, dzięki RODO udaje się zapobiegać niewłaściwej działalności rynkowej przez przedsiębiorstwa nieprzestrzegające przepisów, które korzystają z zaufania zbudowanego przez tych, którzy tych przepisów przestrzegają. Szczególne wyzwania dla małych i średnich przedsiębiorstw (MŚP)

Zasadniczo zainteresowane strony, ale również Parlament Europejski, Rada i organy ochrony danych uważają, że stosowanie RODO stanowi szczególnie trudne wyzwanie dla mikro, małych i średnich przedsiębiorstw oraz małych organizacji ochotniczych i charytatywnych. Zgodnie z podejściem opartym na analizie ryzyka przyznawanie odstępstw na podstawie wielkości operatorów nie byłoby podejściem właściwym, ponieważ ich rozmiar sam w sobie nie stanowi wskaźnika ryzyka, jakie przetwarzanie danych osobowych, którego to przedsiębiorstwo się podejmuje, może stworzyć dla osób fizycznych. Podejście oparte na analizie ryzyka łączy elastyczność ze skuteczną ochroną. Uwzględnia ono potrzeby MŚP, których główna działalność nie obejmuje przetwarzania danych, i kalibruje ich zobowiązania, w szczególności na podstawie prawdopodobieństwa i wagi zagrożenia związanego z konkretnym przetwarzaniem, które prowadzą. Przetwarzania na małą skalą lub charakteryzującego się niskim ryzykiem nie powinno się traktować w ten sam sposób co przetwarzania obarczonego dużym ryzykiem i odbywającego się z dużą częstotliwością – niezależnie od rozmiarów przedsiębiorstwa, które się nim zajmuje. Dlatego też EROD doszedł do wniosku, że „każdorazowo należy zachować podejście oparte na analizie ryzyka promowane przez prawodawcę w tekście, ponieważ zagrożenia dla osób, których dane dotyczą, nie zależą od wielkości administratorów danych”. Organy ochrony danych powinny w pełni uwzględniać tę zasadę przy egzekwowaniu RODO, najlepiej w ramach wspólnego europejskiego podejścia, aby nie tworzyć barier dla jednolitego rynku. Organy ochrony danych opracowały szereg narzędzi i podkreśliły swój zamiar ich dalszego udoskonalania. Niektóre organy rozpoczęły kampanie podnoszące świadomość, a nawet przeprowadzą bezpłatne „zajęcia z RODO” dla MŚP. Przykłady wskazówek udzielonych i narzędzi przekazanych przez organy ochrony danych w szczególności MŚP: ·informacje kierowanych do MŚP; ·seminaria dla inspektorów ochrony danych i wydarzenia dla MŚP, które nie muszą wyznaczać inspektora ochrony danych; ·interaktywne przewodniki wspierające MŚP; ·gorące linie na potrzeby konsultacji; ·wzory do przetwarzania umów i rejestrowania czynności przetwarzania. We wkładzie EROD zawarto opis działań prowadzonych przez organy ochrony danych. Kilka działań w szczególności wspierających MŚP otrzymało finansowanie unijne. Komisja udzieliła wsparcia finansowego w postaci trzech fal dotacji, na łączną kwotę 5 mln EUR, przy czym dwie ostatnie są przeznaczone specjalnie na wspieranie krajowych organów ochrony danych w wysiłkach na rzecz dotarcia do osób fizycznych oraz MŚP. W rezultacie, w 2018 r. kwotę 2 mln EUR przeznaczono na działania dziewięciu organów ochrony danych w latach 2018–2019 (Belgia, Bułgaria, Dania, Węgry, Litwa, Łotwa, Niderlandy, Słowenia i Islandia), a w 2019 r. kwotę 1 mln EUR przeznaczono na działania czterech organów ochrony danych w 2020 r. (Belgia, Malta, Słowenia i Chorwacja w partnerstwie z Irlandią) . Dodatkowa kwota w wysokości 1 mln EUR zostanie przydzielona w 2020 r. Mimo tych inicjatyw MŚP i przedsiębiorstwa typu start-up często zgłaszają, że z trudem przychodzi im wdrażanie zasady rozliczalności określonej w RODO. W szczególności zgłaszają, że nie zawsze otrzymują wystarczającą ilość wskazówek i porad praktycznych od krajowych organów ochrony danych lub że czas potrzebny na uzyskanie wskazówek i porad jest zbyt długi. Były również przypadki, że organy niechętnie angażowały się w sprawy prawne. W takich sytuacjach MŚP często zwracają się do zewnętrznych doradców i prawników w celu poradzenia sobie z wdrażaniem zasady rozliczalności oraz podejścia opartego na analizie ryzyka (w tym wymogów w zakresie przejrzystości, rejestrów przetwarzania i zawiadomień o naruszeniu ochrony danych). Może to również generować dla nich dalsze koszty. Jedną ze szczególnych kwestii jest rejestrowanie działań związanych z przetwarzaniem, które MŚP i małe stowarzyszenia uznają za uciążliwe obciążenie administracyjne. Wyjątek od tego zobowiązania przewidziany w art. 30 ust. 5 RODO ma w rzeczywistości bardzo wąski zakres. Nie należy jednak uznawać działań na rzecz wypełniania tego obowiązku za zbyt pracochłonne. Jeżeli główna działalność MŚP nie obejmuje przetwarzania danych osobowych, takie rejestry mogą być proste i nieuciążliwe. To samo dotyczy stowarzyszeń ochotniczych i innych. Prowadzenie takich uproszczonych rejestrów ułatwiają wzory rejestrów stosowane już w praktyce przez niektóre organy ochrony danych. Każdy, kto przetwarza dane osobowe, powinien przeprowadzać przegląd swojego procesu przetwarzania danych w ramach podstawowego wymagania zasady rozliczalności. Opracowanie praktycznych narzędzi na szczeblu UE przez EROD, takich jak ujednolicone formy naruszeń ochrony danych i uproszczone rejestrowanie czynności przetwarzania, może pomóc tym MŚP i małym stowarzyszeniom, których główne działania nie skupiają się przetwarzaniu danych osobowych, w wypełnieniu ich zobowiązań. Różne stowarzyszenia przemysłowe podjęły starania na rzecz podniesienia świadomości i informowania swoich członków, np. przekazując przedsiębiorstwom informacje na temat dostępnych wytycznych podczas konferencji i seminariów lub przez opracowanie usług pomocy w zakresie zapewniania prywatności dla członków. Stowarzyszenia te zgłaszają również rosnącą liczbę seminariów, spotkań i wydarzeń dotyczących kwestii związanych z RODO, organizowanych przez ośrodki analityczne i stowarzyszenia MŚP. Aby zwiększyć skalę swobodnego przepływu wszystkich danych w UE oraz w celu zapewnienia spójnego stosowania RODO oraz rozporządzenia w sprawie ram swobodnego przepływu danych nieosobowych, Komisja wydała również praktyczne wytyczne dotyczące zasad regulujących przetwarzanie mieszanych zbiorów danych składających się zarówno z danych osobowych, jak i nieosobowych, oraz ukierunkowanych w szczególności na MŚP. Zestaw narzędzi dla przedsiębiorstw W RODO przewidziano narzędzia pomagające w wykazaniu zgodności, takie jak kodeksy postępowania, mechanizmy certyfikacji i standardowe klauzule umowne.

·Kodeksy postępowania EROD wydała wytyczne mające na celu wsparcie „twórców kodeksów” w sporządzaniu, zmienianiu lub rozszerzaniu zakresu kodeksów i ułatwienie im tych czynności, a także udzielenie praktycznych wskazówek i pomocy w interpretacji. W wytycznych tych wyjaśniono również procedury związane z przedkładaniem, zatwierdzaniem i publikowaniem kodeksów zarówno na szczeblu krajowym, jak i UE, przez określenie minimalnych wymaganych kryteriów. Zainteresowane strony uważają kodeksy postępowania za bardzo użyteczne narzędzia. Chociaż wiele kodeksów wdraża się na szczeblu krajowym, aktualnie trwają przygotowania kilku kodeksów postępowania dla całej UE (np. dotyczących mobilnych aplikacji zdrowotnych, badań dotyczących zdrowia w zakresie genomiki, przetwarzania w chmurze, marketingu bezpośredniego, ubezpieczeń, przetwarzania przez zapobieganie oraz usług doradczych dla dzieci). Operatorzy uważają, że kodeksy postępowania dotyczące całej UE należy propagować bardziej zdecydowanie, ponieważ sprzyjają spójnemu stosowaniu RODO we wszystkich państwach członkowskich. Opracowanie kodeksów postępowania, jak również powołanie niezbędnych niezależnych organów ds. monitorowania takich kodeksów, wymaga jednak od operatorów także czasu i inwestycji. Przedstawiciele MŚP podkreślają znaczenie i użyteczność kodeksów postępowania dostosowanych do ich sytuacji i niepowodujących niewspółmiernych kosztów. W efekcie stowarzyszenia przedsiębiorców wprowadziły w kilku sektorach inne rodzaje narzędzi samoregulacyjnych, takich jak kodeksy dobrej praktyki lub wytyczne. Chociaż narzędzia takie mogą zawierać przydatne informacje, nie są zatwierdzone przez organy ochrony danych i nie mogą służyć jako narzędzie do wykazania zgodności z RODO. Rada podkreśla, że w kodeksach postępowania należy poświęcić szczególną uwagę przetwarzaniu danych osobowych dzieci oraz danych dotyczących zdrowia. Komisja wspiera kodeksy postępowania, które służą ujednoliceniu podejścia do zdrowia i badań oraz ułatwieniu transgranicznego przetwarzania danych osobowych. EROD jest w trakcie zatwierdzania proponowanych wymagań akredytacyjnych dotyczących organów monitorujących kodeksy postępowania wprowadzone przez szereg organów ochrony danych. Gdy transgraniczne lub unijne kodeksy postępowania są gotowe do złożenia do zatwierdzenia przez organy ochrony danych, konsultuje się je z EROD. Szybkie wprowadzenie transgranicznych kodeksów postępowania ma szczególne znaczenie dla obszarów obejmujących przetwarzanie znacznych ilości danych (np. przetwarzanie w chmurze) lub danych wrażliwych (np. dotyczących zdrowia/badań). ·Certyfikacja Certyfikacja może stanowić użyteczny instrument służący do wykazywania zgodności ze szczególnymi wymaganiami RODO. Może ona zwiększyć pewność prawa dla przedsiębiorstw i służyć propagowaniu stosowania RODO na całym świecie. Zgodnie z badaniem dotyczącym certyfikacji opublikowanym w kwietniu 2019 r. celem powinno być ułatwienie wprowadzenia istotnych programów. Opracowanie programów certyfikacji w UE będzie wspierane w ramach wytycznych dotyczących kryteriów certyfikacji oraz akredytacji podmiotów certyfikujących, wydanych przez EROD. Bezpieczeństwo i ochrona danych w fazie projektowania są kluczowymi elementami, które należy uwzględnić w programach certyfikacji w ramach RODO i które skorzystałyby na wspólnym i ambitnym podejściu w całej UE. Komisja będzie nadal wspierała obecne kontakty między Agencją Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), organami ochrony danych i EROD. Jeżeli chodzi o cyberbezpieczeństwo, po przyjęciu aktu o cyberbezpieczeństwie Komisja wezwała ENISA do przygotowania dwóch programów certyfikacji, w tym jednego dla usług w chmurze. Rozważa się opracowanie dalszych programów dotyczących cyberbezpieczeństwa usług i produktów dla konsumentów. Chociaż programy certyfikacji ustanowione na mocy aktu o cyberbezpieczeństwie nie odnoszą się w sposób bezpośredni do ochrony danych osobowych i prywatności, przyczyniają się one do budowania zaufania konsumentów do cyfrowych usług i produktów. Takie programy mogą dostarczyć dowodów na przestrzeganie zasad bezpieczeństwa w fazie projektowania, a także wdrożenie odpowiednich środków technicznych i organizacyjnych związanych z bezpieczeństwem przetwarzania danych osobowych. ·Standardowe klauzule umowne Komisja pracuje nad standardowymi klauzulami umownymi między administratorami a podmiotami przetwarzającymi, również w świetle trwających prac nad modernizacją standardowych klauzul umownych dotyczących przekazywania za granicę (zob. sekcja 7.2). Przyjęty przez Komisję akt Unii będzie wiążący dla całej UE, co zapewni pełną harmonizację i pewność prawa. 6Stosowanie RODO w kontekście nowych technologii Neutralne technologicznie ramy otwarte na nowe technologie RODO jest neutralne pod względem technologicznym, wspiera budowanie zaufania i opiera się na zasadach. Zasady te, w tym zgodne z prawem i przejrzyste przetwarzanie, ograniczenie celu i minimalizacja danych, stanowią solidną podstawę ochrony danych osobowych niezależnie od procesu przetwarzania i zastosowanych technik. Członkowie wielostronnej grupy ekspertów zgłaszają, że RODO ma zasadniczo pozytywny wpływ na rozwój nowych technologii i stanowi dobrą podstawę do innowacji. RODO jest postrzegane jako niezbędne i elastyczne narzędzie zapewniające rozwój nowych technologii zgodnie z prawami podstawowymi. Wdrożenie jego głównych zasad ma szczególne znaczenie dla przetwarzania dużych ilości danych. Oparte na analizie ryzyka i neutralne pod względem technologicznym podejście RODO zapewnia taki poziom ochrony danych, jaki jest odpowiedni dla ryzyka przetwarzania, również w przypadku powstających technologii. W szczególności zainteresowane strony stwierdzają, że zasady RODO dotyczące ograniczenia celu i dalszego zgodnego przetwarzania, minimalizacji danych, ograniczenia przechowywania, przejrzystości, rozliczalności oraz warunków, na jakich można zgodnie z prawem wdrożyć zautomatyzowany proces podejmowania decyzji w dużej mierze odnoszą się do obaw związanych z wykorzystaniem sztucznej inteligencji. Przyszłościowe i oparte na analizie ryzyka podejście proponowane w RODO znajdzie również zastosowanie w możliwych przyszłych ramach opracowanych na potrzeby sztucznej inteligencji oraz przy wdrażaniu strategii w zakresie danych. Celem strategii w zakresie danych jest wspieranie dostępności danych oraz tworzenie wspólnych europejskich przestrzeni danych wspieranych usługami infrastrukturalnymi federacji chmur obliczeniowych. Jeżeli chodzi o dane osobowe, w RODO przewidziano podstawowe ramy prawne, w których można opracowywać skuteczne rozwiązania dla poszczególnych przypadków w zależności od charakteru i treści każdej przestrzeni danych. RODO przyczyniło się do zwiększenia świadomości w zakresie ochrony danych osobowych zarówno w UE, jak i poza nią, zachęcając przedsiębiorstwa do dostosowania ich praktyk i uwzględnienia zasad ochrony danych osobowych przy innowacjach. Jak jednak zauważają organizacje społeczeństwa obywatelskiego, chociaż wpływ RODO na rozwój nowych technologii wydaje się pozytywny, praktyki głównych podmiotów cyfrowych nie zmieniły się jeszcze w sposób diametralny pod kątem przetwarzania bardziej sprzyjającego prywatności. Zasadniczym elementem ochrony osób fizycznych jest zdecydowane i skuteczne egzekwowanie RODO w odniesieniu do dużych platform cyfrowych i zintegrowanych przedsiębiorstw, w tym w takich obszarach jak reklama internetowa i mikrotargetowanie.

Komisja analizuje kwestie o szerszym zakresie związane z zachowaniami rynkowymi dużych podmiotów cyfrowych w kontekście pakietu proponowanego w akcie prawnym o usługach cyfrowych. Jeżeli chodzi o badania w obszarze mediów społecznościowych, Komisja przypomina, że media społecznościowe nie mogą wykorzystywać RODO jako usprawiedliwienia ograniczania badaczom naukowym i weryfikatorom informacji dostępu do danych nieosobowych, takich jak statystyki, na podstawie których targetowane reklamy wysyłano do pewnych kategorii osób, kryteria opracowania tego targetowania, informacje o fałszywych kontach itp. Neutralne technologicznie i przyszłościowe podejście RODO poddano próbie podczas pandemii COVID-19 i okazało się ono skuteczne. Jego oparte na przepisach zasady służyły wsparciu opracowywania narzędzi na potrzeby zwalczania i monitorowania rozprzestrzeniania się wirusa. Wyzwania, którymi należy się zająć Opracowywanie i stosowanie nowych technologii nie kwestionuje zasadności tych przepisów. Wyzwania wiążą się z potrzebą wyjaśnienia sposobu stosowania sprawdzonych zasad do wykorzystywania konkretnych technologii, takich jak sztuczna inteligencja, łańcuch bloków, internet rzeczy, rozpoznawanie twarzy lub informatyka kwantowa. W tym kontekście Parlament Europejski i Rada podkreśliły potrzebę ciągłego monitorowania w celu wyjaśnienia, w jaki sposób RODO stosuje się do nowych technologii i gigantów technologicznych. Ponadto zainteresowane strony przestrzegają, że ocena adekwatności RODO również wymaga stałego monitorowania. Zainteresowane strony z sektora podkreślają, że na potrzeby innowacji konieczne jest stosowanie RODO w oparciu o zasady, zgodnie z jego zamierzeniem, a nie w sztywny i formalny sposób. Uważają, że przy uwzględnieniu podejścia opartego na analizie ryzyka wytyczne EROD dotyczące stosowania zasad, koncepcji i przepisów RODO do nowych technologii, takich jak sztuczna inteligencja, łańcuch bloków lub internet rzeczy, przyczyniłyby się do zapewnienia wyjaśnień oraz większej pewności prawa. Takie narzędzia „miękkiego prawa” dobrze się nadają do wspólnego stosowania RODO do nowych technologii, ponieważ dają większą pewność prawa i można je poddawać przeglądowi wraz z rozwojem technologii. Niektóre zainteresowane strony sugerują również, że przydatne mogą być wytyczne sektorowe dotyczące stosowania RODO do nowych technologii. EROD stwierdził, że będzie kontynuował analizę wpływu powstających technologii na ochronę danych osobowych. Zainteresowane strony podkreślają również znaczenie pełnego zrozumienia wykorzystania technologii dla organów regulacyjnych oraz ich zaangażowanie w dialog z sektorami przemysłu na temat opracowywania powstających technologii. Uważają, że koncepcja „piaskownicy regulacyjnej” – jako środka uzyskania wytycznych na temat stosowania zasad – mogłoby stanowić interesujący wariant sprawdzania nowych technologii i wspierania przedsiębiorstw w stosowaniu ochrony danych osobowych przy uwzględnieniu zasady ochrony danych w fazie projektowania oraz domyślnej ochrony danych w nowych technologiach. Jeżeli chodzi o dalsze środki z zakresu polityki, zainteresowane strony zaleciły, aby wszelkie przyszłe wnioski w sprawie polityki dotyczące sztucznej inteligencji opierały się na istniejących ramach prawnych i były dostosowane do RODO. Potencjalne szczególne kwestie należy ostrożnie ocenić na podstawie odpowiednich dowodów przed zaproponowaniem nowych zasad normatywnych. W białej księdze Komisji w sprawie sztucznej inteligencji zaproponowano szereg wariantów strategicznych, na temat których do dnia 14 czerwca 2020 r. zasięgano opinii zainteresowanych stron. Jeżeli chodzi o rozpoznawanie twarzy, technologię, która może w znaczący sposób wpływać na prawa osób fizycznych, za pomocą białej księgi przypomniano obecne ramy legislacyjne i otwarto debatę publiczną na temat konkretnych okoliczności, które mogłyby uzasadniać wykorzystanie sztucznej inteligencji do celów rozpoznawania twarzy oraz innych celów zdalnej identyfikacji biometrycznej w miejscach publicznych, oraz na temat ogólnych zabezpieczeń. 7Międzynarodowe przekazywanie danych i ogólnoświatowa współpraca 7.1Prywatność: kwestia ogólnoświatowa Zapotrzebowanie na ochronę danych osobowych nie ma granic, a osoby fizyczne na całym świecie w coraz większym stopniu doceniają prywatność i bezpieczeństwo swoich danych. Jednocześnie znaczenie przepływów danych dla osób fizycznych, rządów, przedsiębiorstw i społeczeństwa w rozumieniu ogólnym jest niezaprzeczalne we współczesnym wzajemnie połączonym świecie. Przepływy te stanowią integralną część handlu, współpracy między organami publicznymi i interakcji społecznych. W tym kontekście panująca obecnie pandemia COVID-19 również eksponuje kluczowe znaczenie przekazywania i wymiany danych osobowych dla wielu zasadniczych działań, w tym zapewniania ciągłości rządów i działalności gospodarczej – przez umożliwienie telepracy i innych rozwiązań, które w dużej mierze polegają na technologiach informacyjno-komunikacyjnych – nawiązywania współpracy w zakresie badań naukowych dotyczących diagnostyki, leczenia i szczepień oraz zwalczania nowych form cyberprzestępstw, takich jak internetowe oszukańcze programy oferujące fałszywe leki, które zgodnie z zapewnieniami mają zapobiegać lub leczyć COVID-19. W związku z powyższym ochrona prywatności i ułatwianie przepływów danych muszą bardziej niż kiedykolwiek wcześniej iść w parze. UE ze swoim systemem ochrony danych łączącym otwartość na międzynarodowe przekazywanie danych z wysokim poziomem ochrony osób fizycznych stoi na bardzo dobrej pozycji, aby promować bezpieczne i godne zaufania przepływy danych. RODO stało się już punktem odniesienia na szczeblu międzynarodowym i stanowiło katalizator dla wielu krajów na świecie, aby rozważyć wprowadzenie nowoczesnych przepisów dotyczących prywatności. Jest to prawdziwie globalny trend, począwszy od Chile po Koreę Południową, od Brazylii po Japonię, od Kenii po Indie, od Tunezji po Indonezję oraz od Kalifornii po Tajwan – a to tylko kilka przykładów. Taki rozwój sytuacji jest zdumiewający nie tylko pod względem ilościowym, ale również jakościowym: wiele niedawno przyjętych lub właśnie przyjmowanych przepisów dotyczących prywatności opiera się na podstawowym zestawie wspólnych zabezpieczeń, praw i mechanizmów egzekwowania, którymi dzieli się UE. W świecie, w którym zbyt często obowiązują różne, jeżeli nie rozbieżne podejścia regulacyjne, ta tendencja w kierunku globalnej konwergencji jest bardzo pozytywnym zjawiskiem, które stwarza nowe możliwości zwiększenia ochrony osób fizycznych w Europie, a jednocześnie ułatwia przepływy danych i obniża koszty transakcji dla podmiotów gospodarczych. Aby skorzystać z tych możliwości i wdrożyć strategię określoną w komunikacie Komisji pt. „Wymiana i ochrona danych osobowych w zglobalizowanym świecie” z 2017 r., Komisja w znaczący sposób przyspieszyła prace nad międzynarodowym wymiarem pełnego wykorzystania dostępnego „zestawu narzędzi” służącego przekazywaniu na potrzeby prywatności wyjaśnionym poniżej. Prace te polegały m.in. na aktywnej współpracy z kluczowymi partnerami w celu „stwierdzenia odpowiedniej ochrony danych” i dały ważne wyniki, takie jak utworzenie największego na świecie obszaru wolnego i bezpiecznego przepływu danych między UE i Japonią. Oprócz prac nad zapewnieniem odpowiedniego poziomu ochrony danych Komisja ściśle współpracuje z organami ochrony danych w ramach EROD, a także z innymi zainteresowanymi stronami w celu wykorzystania pełnego potencjału elastycznych przepisów RODO na potrzeby międzynarodowego przekazywania danych. Dotyczy to modernizacji instrumentów takich jak standardowe klauzule umowne, opracowania programów certyfikacji, kodeksów postępowania lub uzgodnień administracyjnych na potrzeby wymiany danych między organami publicznymi, a także wyjaśnienia kluczowych pojęć związanych np. z terytorialnym zakresem unijnych przepisów o ochronie danych lub skorzystaniem z tzw. „wyjątków” w celu przekazywania danych osobowych. Co więcej, Komisja zintensyfikowała dialog na wielu forach dwustronnych, regionalnych i wielostronnych, aby wspierać globalną kulturę poszanowania prywatności i opracować elementy konwergencji między różnymi systemami ochrony prywatności. W swoich wysiłkach Komisja mogła liczyć na aktywne wsparcie Europejskiej Służby Działań Zewnętrznych i sieci delegatur UE w państwach trzecich oraz misji przy organizacjach międzynarodowych. Pozwoliło to również osiągnąć spójność i większą komplementarność różnych aspektów zewnętrznego wymiaru polityki UE – od handlu do nowego partnerstwa między UE a Afryką.

7.2Zestaw narzędzi do przekazywania danych określony w RODO W miarę jak coraz więcej prywatnych i publicznych podmiotów polega na międzynarodowych przepływach danych w ramach swojej rutynowej działalności, rośnie zapotrzebowanie na elastyczne instrumenty, które można dostosować do różnych sektorów, modeli biznesowych i sytuacji związanych z przekazywaniem danych. W odpowiedzi na te potrzeby w ramach RODO przewidziano unowocześniony zestaw narzędzi ułatwiających przekazywanie danych osobowych z UE do państwa trzeciego lub organizacji międzynarodowej, przy jednoczesnym zapewnieniu dalszego korzystania z wysokiego poziomu ochrony danych. Taka ciągłość ochrony ma znaczenie, biorąc pod uwagę, że w współcześnie dane są łatwo przesyłane przez granice, a ochrona gwarantowana na podstawie RODO nie byłaby pełna, gdyby ograniczała się do przetwarzania wyłącznie wewnątrz UE. W rozdziale V RODO prawodawca potwierdził strukturę zasad przekazywania, którą wprowadzono już dyrektywą 95/46: dane mogą być przekazywane, jeżeli Komisja stwierdzi odpowiednią ochronę danych w państwie trzecim lub organizacji międzynarodowej lub, jeżeli odpowiednia ochrona nie została stwierdzona, gdy administrator lub podmiot przetwarzający w UE („podmiot przekazujący dane”) zapewni odpowiednie zabezpieczenia, np. zawierając umowę z odbiorcą („podmiotem odbierającym dane”). Ponadto ustawowe uzasadnienia przekazywania (tzw. wyjątki) nadal są dostępne w konkretnych sytuacjach, w których prawodawca zadecyduje, że pod pewnymi warunkami równowaga interesów uzasadnia przekazywanie danych. Jednocześnie reforma posłużyła wyjaśnieniu i uproszczeniu istniejących przepisów, np. przez szczegółowe określenie warunków stwierdzenia odpowiedniej ochrony danych lub wiążących reguł korporacyjnych w drodze ograniczenia wymagań dotyczących upoważnienia do bardzo niewielkiej liczby szczególnych spraw i całkowitego zniesienia wymogów w zakresie zawiadamiania. Ponadto wprowadzono nowe narzędzia w zakresie przekazywania, takie jak kodeksy postępowania lub programy certyfikacji, oraz rozszerzono zakres możliwości wykorzystania istniejących instrumentów (np. standardowych klauzul umownych). W dzisiejszej gospodarce cyfrowej zagranicznym podmiotom umożliwia się – zdalne, lecz bezpośrednie – uczestnictwo w rynku wewnętrznym UE oraz konkurowanie o europejskich konsumentów i ich dane osobowe. W przypadku gdy podmioty te zwracają się konkretnie do Europejczyków, oferując towary lub usługi lub monitorując ich zachowania, powinni przestrzegać prawa Unii tak samo, jak podmioty UE. Znajduje to odbicie w art. 3 RODO, w którym rozszerzono bezpośrednie zastosowanie unijnych przepisów o ochronie danych na pewne procesy przetwarzania przez administratorów lub podmioty przetwarzające spoza UE. Gwarantuje to niezbędne zabezpieczenia oraz równe szanse dla wszystkich przedsiębiorstw prowadzących działalność na rynku UE. Jego duży zasięg jest jednym z powodów, dla których skutki RODO były odczuwalne także w innych częściach świata. Wydane przez EROD szczegółowe wytyczne dotyczące terytorialnego zakresu stosowania RODO, które poddano kompleksowym konsultacjom publicznym, w istotny sposób pomagają zatem zagranicznym podmiotom określić, czy i jakie czynności związane z przetwarzaniem bezpośrednio podlegają jego zabezpieczeniom, m.in. poprzez wskazanie konkretnych przykładów. Samo rozszerzenie zakresu stosowania prawa UE w zakresie ochrony danych nie wystarczy jednak, aby zagwarantować jego przestrzeganie w praktyce. Jak podkreśliła również Rada, konieczne jest zapewnienie przestrzegania przepisów przez podmioty zagraniczne oraz ich skuteczne egzekwowanie wobec nich. Główną rolę powinno tu odegrać wyznaczenie przedstawiciela w UE (art. 27 ust. 1 i 2 RODO), do którego osoby fizyczne i organy nadzorcze mogłyby kierować pytania, oprócz właściwego przedsiębiorstwa działającego zagranicą lub w jego zastępstwie. Podejście to, które w coraz większym stopniu przyjmuje się również w innych kontekstach, powinno być bardziej energicznie realizowane w celu wysłania wyraźnego sygnału, że brak siedziby w UE nie zwalnia zagranicznych podmiotów z odpowiedzialności wynikającej z RODO. W przypadku gdy podmioty te nie wywiążą się ze swojego obowiązku wyznaczenia przedstawiciela, organy nadzorcze powinny w pełni wykorzystać zestaw narzędzi służących egzekwowaniu przepisów określony w art. 58 RODO (np. ostrzeżenia publiczne, czasowe lub całkowite ograniczenia przetwarzania w UE, egzekwowanie przestrzegania przepisów przez współadministratorów z siedzibą w UE). Ponadto bardzo ważne jest, aby EROD zakończył prace nad dalszym wyjaśnieniem związku między art. 3 dotyczącym bezpośredniego stosowania RODO a przepisami dotyczącymi międzynarodowego przekazywania danych, określonymi w rozdziale V. Decyzje stwierdzające odpowiedni stopień ochrony Wkład otrzymany od zainteresowanych stron potwierdza, że decyzje stwierdzające odpowiedni stopień ochrony nadal stanowią dla podmiotów UE zasadnicze narzędzie do bezpiecznego przekazywania danych osobowych do państw trzecich. Takie decyzje stanowią najbardziej kompleksowe, proste i opłacalne rozwiązanie w zakresie przekazywania danych, ponieważ uwzględnia się je w wewnątrzunijnych przesyłach, zapewniając bezpieczny i swobodny przepływ danych osobowych bez konieczności spełniania kolejnych warunków lub potrzeby uzyskania upoważnienia. Decyzje stwierdzające odpowiedni stopień ochrony otwierają zatem korytarze gospodarcze dla podmiotów z UE i ułatwiają współpracę między organami publicznymi, jednocześnie dając uprzywilejowany dostęp do jednolitego rynku UE. W oparciu o postępowanie zgodne z dyrektywą z 1995 r. RODO wyraźnie umożliwia określenie odpowiedniości ochrony w odniesieniu do konkretnego terytorium danego państwa trzeciego lub do konkretnego sektora lub branży w danym państwie trzecim (tzw. „częściowa” odpowiedniość ochrony). RODO opiera się na doświadczeniach lat ubiegłych oraz wyjaśnieniach udzielonych przez Trybunał Sprawiedliwości, określając szczegółowo wykaz elementów, które Komisja musi uwzględnić w swojej ocenie. Zgodnie z normą odpowiedniej ochrony danych wymaga się takiego poziomu ochrony, który jest porównywalny (lub „merytorycznie równoważny”) do tego gwarantowanego w UE. Wymaga to przeprowadzenia kompleksowej oceny całego systemu państwa trzeciego, w tym istoty zabezpieczeń prywatności, ich rzeczywistego wdrożenia i egzekwowania, a także zasad dotyczących dostępu do danych osobowych przez organy publiczne, w szczególności na potrzeby ścigania przestępstw i ochrony bezpieczeństwa narodowego. Odzwierciedlają to także wytyczne przyjęte przez poprzednią Grupę Roboczą Art. 29 (i zatwierdzone przez EROD), w szczególności dokument dotyczący odpowiedniego stopnia ochrony przekazywanych danych osobowych, w ramach którego dokładniej wyjaśniono elementy, jakie Komisja powinna uwzględnić przy przeprowadzaniu oceny odpowiedniości, w tym przez przedstawienie przeglądu „zasadniczych gwarancji” dotyczących dostępu do danych osobowych przez organy publiczne. Ten ostatni opiera się w szczególności na orzecznictwie Europejskiego Trybunału Praw Człowieka. Chociaż standard „zasadniczej odpowiedniości” nie obejmuje dokładnego odwzorowania („kopii”) zasad UE, biorąc pod uwagę, że środki zapewniania porównywalnego poziomu ochrony mogą się różnić w zależności od systemu ochrony prywatności, wymaga on jednak wysokiego poziomu ochrony. Uzasadnieniem tego standardu jest fakt, że decyzja stwierdzająca odpowiedni stopień ochrony zasadniczo powoduje rozszerzenie na państwo trzecie korzyści jednolitego rynku płynące ze swobodnego przepływu danych. Oznacza to jednak również, że niekiedy będą występować różnice w poziomie ochrony zapewnionym w przedmiotowym państwie trzecim w porównaniu z RODO, które należy wyrównać, na przykład negocjując dodatkowe zabezpieczenia. Zabezpieczenia takie należy postrzegać pozytywnie, ponieważ dodatkowo wzmacniają ochronę dostępną dla osób fizycznych w UE. Jednocześnie Komisja zgadza się z EROD co do znaczenia nieustannego monitorowania stosowania tych zabezpieczeń w praktyce, w tym skutecznego egzekwowania przez organ ochrony danych funkcjonujący w państwie trzecim. W RODO sprecyzowano, że decyzje stwierdzające odpowiedni stopień ochrony są „żywymi instrumentami”, które należy nieustannie monitorować i poddawać okresowym przeglądom. Zgodnie z tymi wymogami Komisja regularnie wymienia się informacjami z właściwymi organami, aby móc aktywnie podejmować działania następcze w związku z nowymi zmianami. Na przykład od czasu przyjęcia decyzji w sprawie Tarczy Prywatności UE-USA w 2016 r. Komisja, wraz z przedstawicielami EROD, przeprowadziła trzy roczne przeglądy, aby ocenić wszystkie aspekty funkcjonowania ram. Przeglądy te przeprowadzono na podstawie informacji uzyskanych w drodze wymiany danych z organami USA, jak również wkładu innych zainteresowanych stron, takich jak unijne organy ochrony danych, społeczeństwo obywatelskie i stowarzyszenia branżowe. Umożliwiły one usprawnienie funkcjonowania różnych elementów ram w praktyce. W szerszej perspektywie roczne przeglądy przyczyniły się do nawiązania pogłębionego dialogu z administracją USA na temat prywatności ogólnie oraz ograniczeń i zabezpieczeń w odniesieniu do bezpieczeństwa narodowego w szczególności. W ramach swojej pierwszej oceny RODO Komisja jest również zobowiązana do dokonania przeglądu decyzji stwierdzających odpowiedni stopień ochrony, które zostały przyjęte na mocy dyrektywy z 1995 r. Służby Komisji zaangażowały się w intensywny dialog z każdym z 11 zainteresowanych państw i terytoriów w celu dokonania oceny rozwoju ich systemów ochrony danych osobowych od czasu przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony oraz tego, czy spełniają one standardy określone w RODO. Potrzeba zapewnienia ciągłości takich decyzji – ponieważ stanowią one kluczowe narzędzie handlu i współpracy międzynarodowej – jest jednym z czynników, które skłoniły kilka z tych państw i terytoriów do modernizacji i wzmocnienia ich prawa w zakresie ochrony prywatności. Są to z pewnością zmiany przyjmowane z zadowoleniem. Z niektórymi z tych państw i terytoriów omawiane są dodatkowe zabezpieczenia w celu wyeliminowania istotnych różnic w zakresie ochrony. Biorąc jednak pod uwagę fakt, że Trybunał Sprawiedliwości w wyroku, który ma zostać wydany w dniu 16 lipca, może przedstawić wyjaśnienia, które mogą mieć znaczenie dla niektórych elementów normy dotyczącej odpowiedniego stopnia ochrony, Komisja przedstawi oddzielnie sprawozdanie na temat oceny wspomnianych 11 decyzji stwierdzających odpowiedni stopień ochrony po wydaniu przez Trybunał Sprawiedliwości wyroku w tej sprawie. Wdrażając strategię określoną w komunikacie z 2017 r. pt. „Wymiana i ochrona danych osobowych w zglobalizowanym świecie”, Komisja zaangażowała się również w prowadzenie dialogów na temat odpowiedniej ochrony danych osobowych. Praca ta już przyniosła znaczące wyniki przez zaangażowanie kluczowych partnerów UE. W styczniu 2019 r. Komisja przyjęła swoją decyzję stwierdzającą odpowiedni stopień ochrony dotyczącą Japonii, której podstawą jest wysoki poziom zbieżności, w tym dzięki szczególnym zabezpieczeniom, np. w obszarze dalszego przekazywania danych, i utworzeniu mechanizmu rozpatrywania i rozstrzygania skarg osób fizycznych związanych z dostępem rządowym do danych osobowych do celów ścigania przestępstw i bezpieczeństwa narodowego. Jako pierwsze stwierdzenie odpowiedniej ochrony danych przyjęte na podstawie RODO, ramy uzgodnione z Japonią stanowią przydatny precedens dla przyszłych decyzji. Dotyczy to m.in. faktu, że zostało to odwzajemnione po stronie japońskiej stwierdzeniem „odpowiedniej ochrony danych” w przypadku UE. Wspólnie te wzajemne stwierdzenia odpowiedniej ochrony danych tworzą największy obszar bezpiecznego i swobodnego przepływu danych osobowych na świecie, tym samym uzupełniając Umowę o partnerstwie gospodarczym między Unią Europejską a Japonią. W rzeczywistości w ramach tego porozumienia każdego roku wspiera się handel towarami o wartości około 124 mld EUR i handel usługami na kwotę 42,5 mld EUR. Proces stwierdzenia odpowiedniego stopnia ochrony w przypadku Korei Południowej jest również na zaawansowanym poziomie. Jednym z jego istotnych rezultatów jest niedawna reforma ustawodawcza w Korei Południowej, która doprowadziła do powołania niezależnego organu ochrony danych, któremu przyznano duże uprawnienia do egzekwowania przestrzegania przepisów. Pokazuje to sposób, w jaki dialog na temat odpowiedniej ochrony danych osobowych przyczynia się do zwiększenia zbieżności między unijnymi przepisami o ochronie danych a przepisami w tym zakresie obowiązującymi w państwie obcym. Komisja w pełni zgadza się z wezwaniem zainteresowanych stron do intensyfikowania dialogu z wybranymi państwami trzecimi w związku z potencjalnymi nowymi stwierdzeniami odpowiedniej ochrony danych. Aktywnie rozważa tę możliwość w odniesieniu do innych istotnych partnerów w Azji, Ameryce Łacińskiej i krajach objętych polityką sąsiedztwa, opierając się na aktualnej tendencji w kierunku globalnej konwergencji standardów ochrony danych. Na przykład kompleksowe ustawodawstwo dotyczące prywatności zostało przyjęte lub jest na zaawansowanym etapie procesu legislacyjnego w Ameryce Łacińskiej (w Brazylii i Chile), a w Azji (np. w Indiach, Indonezji, Malezji, na Sri Lance, Tajwanie i w Tajlandii), Afryce (np. w Etiopii i Kenii), jak również w europejskim sąsiedztwie wschodnim i południowym (np. w Gruzji, Tunezji) następują obiecujące zmiany. W miarę możliwości Komisja będzie dążyć do przyjęcia kompleksowych decyzji stwierdzających odpowiedni stopień ochrony, obejmujących zarówno sektor prywatny, jak i publiczny. Ponadto w RODO wprowadzono również możliwość przyjmowania przez Komisję stwierdzeń odpowiedniej ochrony danych w przypadku organizacji międzynarodowych. Możliwość tę można by zbadać po raz pierwszy w czasie, gdy niektóre organizacje międzynarodowe modernizują swoje systemy ochrony danych, wprowadzając kompleksowe zasady, a także mechanizmy zapewniające niezależny nadzór i dochodzenie roszczeń.

Stwierdzenie odpowiedniego stopnia ochrony odgrywa również ważną rolę w kontekście stosunków ze Zjednoczonym Królestwem w następstwie brexitu, pod warunkiem że spełnione są odpowiednie warunki. Stanowi on czynnik wspomagający handel, w tym cyfrowy, i jest niezbędnym warunkiem ścisłej i ambitnej współpracy w dziedzinie egzekwowania prawa i bezpieczeństwa. Ponadto, biorąc pod uwagę znaczenie przepływu danych ze Zjednoczonym Królestwem i jego małą odległość od rynku UE, wysoki stopień konwergencji między przepisami o ochronie danych po obu stronach kanału La Manche jest ważnym elementem zapewnienia równych warunków działania. Zgodnie z deklaracją polityczną w sprawie przyszłych stosunków między UE a Zjednoczonym Królestwem Komisja prowadzi obecnie ocenę stopnia ochrony na podstawie zarówno RODO, jak i dyrektywy dotyczącej egzekwowania prawa. Biorąc pod uwagę niezależny i jednostronny charakter oceny stopnia ochrony, rozmowy te prowadzone są odrębnie od negocjacji dotyczących umowy w sprawie przyszłych stosunków między UE i Zjednoczonym Królestwem. Ponadto Komisja z zadowoleniem przyjmuje fakt, że inne państwa wprowadzają mechanizmy przekazywania danych podobne do stwierdzenia odpowiedniej ochrony danych. Czyniąc tak, często uznają UE i państwa, w przypadku których Komisji przyjęła decyzje stwierdzające odpowiedni stopień ochrony, jako bezpieczne docelowe miejsca przekazywania. Fakt, że z jednej strony rośnie liczba państw czerpiących korzyści wynikające z unijnych decyzji stwierdzających odpowiedni stopień ochrony, a z drugiej że inne państwa stosują tę formę uznawania, świadczy o możliwości utworzenia sieci państw, w której dane mogą przepływać swobodnie i bezpiecznie. Komisja uważa, że jest to pożądana zmiana, która dodatkowo zwiększy korzyści wynikające z decyzji stwierdzającej odpowiedni stopień ochrony dla państw trzecich i przyczyni się do globalnej konwergencji. Ten rodzaj synergii może również w użyteczny sposób przyczynić się do opracowania ram bezpiecznego i swobodnego przepływu danych, takich jak w kontekście inicjatywy „swobodnego przepływu danych opartego na zaufaniu” (zob. poniżej). Odpowiednie zabezpieczenia Oprócz kompleksowego rozwiązania, jakim jest stwierdzenie odpowiedniej ochrony danych, RODO przewiduje szereg innych instrumentów przekazywania. Elastyczność tego narzędzia wykazano w art. 46 RODO, który reguluje przekazywanie danych na podstawie „odpowiednich zabezpieczeń”, w tym egzekwowalnych praw osób, których dane dotyczą, i skutecznych środków ochrony prawnej. Aby zagwarantować odpowiednie zabezpieczenia, dostępne są różne instrumenty mające na celu zaspokojenie potrzeb w zakresie przekazywania zarówno po stronie podmiotów handlowych, jak i organów publicznych. ·Standardowe klauzule umowne (SCC) Pierwsza grupa tych instrumentów dotyczy narzędzi umownych, którymi mogą być albo dopasowane klauzule ochrony danych ad hoc uzgodnione między unijnym podmiotem przekazującym dane a podmiotem odbierającym dane spoza UE, w odniesieniu do których uzyskano zezwolenie właściwego organu ochrony danych (art. 46 ust. 3 lit. a) RODO), albo klauzule wzorcowe zatwierdzone uprzednio przez Komisję (art. 46 ust. 2 lit. c) i d) RODO). Najważniejszymi z tych instrumentów są tzw. standardowe klauzule umowne (SCC), tj. wzorcowe klauzule ochrony danych, które podmiot przekazujący dane i podmiot odbierający dane może dobrowolnie zawrzeć w swoich ustaleniach umownych (np. w umowie o świadczenie usług wymagającej przekazania danych osobowych), i określające wymogi związane z odpowiednimi zabezpieczeniami. Standardowe klauzule umowne zdecydowanie stanowią najczęściej stosowany mechanizm przekazywania danych. Tysiące przedsiębiorstw unijnych bazuje na standardowych klauzulach umownych w celu świadczenia szerokiego zakresu usług na rzecz swoich klientów, dostawców, partnerów i pracowników, w tym usług niezbędnych do funkcjonowania gospodarki. Ich powszechne zastosowanie wskazuje, że są niezwykle pomocne dla podmiotów prowadzących działalność gospodarczą w ich staraniach w zakresie zachowania zgodności, a w szczególności są korzystne dla przedsiębiorstw, które nie mają zasobów, aby negocjować poszczególne umowy z każdym ze swoich partnerów handlowych. Dzięki temu, że są normalizowane i uprzednio zatwierdzane, standardowe klauzule umowne zapewniają przedsiębiorstwom łatwe do wdrożenia narzędzie do spełnienia wymogów dotyczących ochrony danych osobowych w kontekście przekazywania. Zestawy obowiązujących standardowych klauzul umownych przyjęto i zatwierdzono na podstawie dyrektywy z 1995 r. Te standardowe klauzule umowne pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia w razie potrzeby decyzją Komisji (art. 46 ust. 5 RODO). W RODO rozszerzono możliwości stosowania standardowych klauzul umownych zarówno w UE, jak i w odniesieniu do międzynarodowego przekazywania danych. Komisja współpracuje z zainteresowanymi stronami na rzecz wykorzystania tych możliwości i aktualizacji obowiązujących klauzul. W celu zagwarantowania, aby przyszły projekt standardowych klauzul umownych odpowiadał zakładanym celom, Komisja gromadzi informacje zwrotne na temat doświadczeń zainteresowanych stron ze standardowymi klauzulami umownymi za pośrednictwem „wielostronnej grupy ekspertów ds. RODO” oraz specjalnych warsztatów przeprowadzonych we wrześniu 2019 r., ale także wielokrotnie kontaktując się z przedsiębiorstwami stosującymi standardowe klauzule umowne, jak również organizacjami społeczeństwa obywatelskiego. EROD aktualizuje także szereg wytycznych, które mogłyby być istotne dla przeglądu standardowych klauzul umownych, na przykład w zakresie pojęć administratora i podmiotu przetwarzającego. Korzystając z otrzymanych informacji zwrotnych, służby Komisji pracują obecnie nad zmianą standardowych klauzul umownych. W tym kontekście zidentyfikowano szereg obszarów wymagających poprawy, w szczególności w odniesieniu do następujących aspektów: 1.aktualizacji standardowych klauzul umownych w świetle wymogów wpro