Source: https://www.poradyodo.pl/odpowiedzialnosc-abiado/za-jakie-naruszenia-ochrony-danych-osobowych-grozi-odpowiedzialnosc-karna-7350.html
Timestamp: 2019-03-22 13:34:45+00:00

Document:
Za jakie naruszenia ochrony danych osobowych grozi odpowiedzialność karna - Ochrona danych osobowych
Autor: Paweł Osiński
Wszystkie czyny zabronione, z którymi ustawa o ochronie danych osobowych wiąże odpowiedzialność karną, są przestępstwami, które według Kodeksu karnego stanowią tak zwany występek. Zostały one wskazane w rozdziale 8 ustawy o ochronie danych osobowych. Działania niezgodne z ustawą mogą narazić administratora danych czy pracownika, w zależności od charakteru działania/zaniechania, oprócz odpowiedzialności karnej na odpowiedzialność administracyjną, odszkodowawczą lub dyscyplinarną.
Jakie kary grożą administratorowi danych
Dolegliwość samych kar przewidziana w ustawie jest zróżnicowana: od kary grzywny, poprzez karę ograniczenia wolności, na karze pozbawienia wolności kończąc, w wymiarze od jednego roku do trzech lat (maksymalna kara przewidziana jest za przestępstwo na danych wrażliwych). Wyjaśnienia wymaga kwestia kary grzywny. W powszechnej opinii może być ona bardzo wysoka i nałożona przez Generalnego Inspektora Ochrony Danych Osobowych. Za taki stan rzeczy odpowiadają – nie tylko – ale przede wszystkim nieuczciwi przedsiębiorcy oferujący odpłatne usługi z zakresu ochrony danych osobowych i rozpowszechniający tego typu nieprawdziwe informacje zawarte przy okazji oferowania swoich usług w Internecie.
Za jakie działania grozi odpowiedzialność karna
Przestępstwo umyślne określone w art. 49 ust. 1 ustawy o ochronie danych osobowych w brzmieniu „kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne, albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2” wskazuje na dwie zasadnicze cechy.
Pierwszą z nich jest konieczność przetwarzania danych w zbiorze (ustawowa definicja zbioru znajduje się w art. 7 ustawy). Drugą cechą jest „niedopuszczalność przetwarzania” albo „dopuszczalność, ale przez kogoś nieuprawnionego”. Żeby stwierdzić, czy przetwarzanie jest w ogóle dopuszczalne, należy dokonać kolejnego odesłania do ustawy, tj. do art. 23, który wymienia pięć przesłanek niezależnych dopuszczających przetwarzanie. Zasadniczo legitymowanie się jedną z nich przez administratora jest wystarczające do stwierdzenia dopuszczalności przetwarzania. Jeśli przetwarzamy dane wrażliwe, to pomimo ogólnego zakazu przetwarzania danych art. 27 wskazuje na katalog przesłanek dopuszczających.
Przestępstwo to ma charakter indywidualny, czyli może je popełnić ktoś, kto administruje zbiorem lub osoba zobowiązana do ochrony zbioru danych. Taką osobą może być ktoś upoważniony do przetwarzania, ale również może to być pracownik firmy ochroniarskiej, który nie ma dostępu jako takiego do samych danych osobowych, ale jest odpowiedzialny za fizyczną ochronę pomieszczenia, w którym znajdują się dokumenty czy nośniki elektroniczne z danymi osobowymi.
Na równi traktowane jest tu udostępnienie danych z samym umożliwieniem dostępu osobom nieupoważnionym. Ustawodawca zadecydował, że sprawca tych czynów mógłby działać czy zaniechać pewnych działań nieumyślnie, z czym wiąże mniej dotkliwe konsekwencje karne (maksymalnie do roku pozbawienia wolności).
Kto administrując zbiorem danych, nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w ustawie o ochronie danych osobowych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Treść zacytowanego wyżej art. 54 odnosi się do występku polegającego na niedopełnieniu przez administratora danych obowiązku informacyjnego względem osób, których dane przetwarza. Administrator danych powinien powiadomić je o adresie swojej siedziby, celu zbierania danych, prawie dostępu i źródle danych. Przestępstwo to odnosi się też do nierespektowania prawa do informacji, której żąda od administratora osoba fizyczna względem swoich danych przetwarzanych w zbiorze.
Z danych udostępnionych przez GIODO wynika, że np. w 2013 roku, działając na podstawie art. 19 ustawy, skierował on do właściwych organów 16 zawiadomień o podejrzeniu popełnienia przestępstwa (12 w 2012 roku). Najwięcej przypadków dotyczyło przestępstwa udostępnienia danych podmiotom nieupoważnionym z art. 51. W omawianej ogólnej liczbie przypadków organy ścigania pięciokrotnie umarzały dochodzenie, trzykrotnie odmawiały wszczęcia dochodzenia bądź dwukrotnie wszczęły śledztwo i je umarzały. Wnioski nasuwają się same. Można zaryzykować stwierdzenie, że za brak przestrzegania zasad ochrony danych osobowych grozi nie „aż”, a „tylko” odpowiedzialność karna.
mgr nauk prawnych, trener i prowadzący warsztaty z zakresu ochrony danych osobowych, był pierwszym pełnomocnikiem wojewody podlaskiego ds. ochrony danych osobowych
odpowiedzialność administratora danych osobowychodpowiedzialność karna za naruszenia ochrony danych osobowych
Zarządzenie dyrektora wprowadzające monitoring wizyjny
Wykaz zabezpieczeń organizacyjnych, fizycznych i informatycznych stosowanych wpodmiocie publicznym
Jak zabezpieczyć się przed wystąpieniem incydentu związanego z naruszeniem ochrony danych osobowychŁukasz Onysyk01.06.2017
Kiedy za naruszenia ochrony danych grozi odpowiedzialność cywilnaPaweł Osiński11.01.2017
Przypadkowo ujawniłeś dane osobowe w mailu? Sprawdź jak zareagować.Agnieszka Kręcisz-Sarna06.09.2018
Jakie działania podjąć w związku z naruszeniem ochrony danychMarcin Sierpień07.05.2018

References: art. 49
 art. 7
 art. 23
 art. 27
 art. 54
 art. 19
 art. 51