Source: https://zpp.net.pl/stanowisko-zpp-ws-projektu-ustawy-o-ochronie-danych-osobowych-z-12-wrzesnia-2017-roku/
Timestamp: 2019-10-18 21:14:14
Legal References Found: art. 83
 art. 86
 ustawy 1
 art. 5
 art. 41
 art. 33
 art. 5

Document Content:
Stanowisko ZPP ws. projektu ustawy o ochronie danych osobowych z 12 września 2017 roku - ZPP
STANOWISKO ZWIĄZKU PRZEDSIĘBIORCÓW I PRACODAWCÓW WS. PROJEKTU USTAWY O OCHRONIE DANYCH OSOBOWYCH Z 12 WRZEŚNIA 2017 ROKU
Niestety, pomimo przekazywanych przez przedsiębiorców głosów w ramach prekonsultacji częściowego projektu ustawy pokazanego przez Ministerstwo w marcu br., opublikowany 14 września br. projekt nowej ustawy o ochronie danych osobowych powiela negatywnie oceniane przez przedsiębiorców zapisy.
Zastanawiający jest również katalog warunków jakie musi spełniać kandydat na Prezesa Urzędu, jednym z bardziej kontrowersyjnych punktów wydaje się być posiadanie przez niego tytułu naukowego doktora. Co to tego zakresu w uzasadnieniu wskazano, że wykształcił się już taki zwyczaj, jednak taka argumentacja nie ma żadnej realnej wartości – tytuły naukowe wśród wymagań powinny znajdować się w odniesieniu do jednostek naukowych, a nie w zakresie stanowiska zarządczego, jakim de facto będzie stanowisko Prezesa Urzędu. Z tego względu, wydaje się że bardziej zasadne byłoby, patrząc na wymogi dot. chociażby Prezesa UOKIK, UKE czy URE, posiadanie przez kandydata kompetencji kierowniczych jak i odpowiedniego stażu pracy na stanowisku kierowniczym.
Przypomnieć należy, że na podstawie ustawy – Prawo o postępowaniu przed sądami administracyjnymi sąd podczas rozpatrywania skargi bada to czy organ, który wydał decyzję w sprawie nie naruszył przepisów prawa procesowego – sąd taki nie dokonuje co do zasady oceny sytuacji faktycznej, a więc tego czy organ wydając decyzję prawidłowo ocenił stan faktyczny sprawy. Taka procedura nie pozwoli niestety przedsiębiorcom na realną obronę swoich praw w postępowaniu.
Niezrozumiałe jest więc, czemu w obliczu tak dużej reformy odnoszącej się do ochrony danych osobowych Projektodawca nie korzysta z doświadczeń i instytucji prawnych przewidzianych w ramach UOKIK czy UKE. Jak samo Ministerstwo Cyfryzacji podkreśla, wprowadzane przepisy są rewolucyjne nie tylko w aspekcie wysokich kar, ale również w zakresie przewidywanych obowiązków oraz specyfiki ochrony danych osobowych w dobie nowych technologii – czemu więc w Rządzie nie widać zrozumienia dla złożoności przyszłych postępowań sądowych i konieczności dokonania specjalizacji w zakresie ich rozstrzygania. Pomimo doświadczenia w zakresie orzekania na gruncie obecnych przepisów nie wydaje się, aby taką specjalizację miały obecne sądy administracyjne – RODO wprowadza przecież absolutną zmianę prawa w tym zakresie, wobec czego czerpanie z dotychczasowego orzecznictwa nie wydaje się być najlepszy rozwiązaniem.
Zgodnie z art. 83 ust. 1 Projektu, maksymalna wysokość takiej kary pieniężnej to 100 tys. zł – jest to wyraźna wiadomość dla pomiotów publicznych, że właściwie nie muszą „bawić się” w dostosowanie do przepisów RODO, ponieważ ew. kara i tak będzie relatywnie niewielka.
Oczywiście to rozwiązanie bardzo praktyczne z perspektywy Skarbu Państwa, gdyż wszystkie ew. kary nakładane na podmioty publiczne wychodziłby z budżetu państwa, jednak to bardzo istotny sygnał nie tylko dla przedsiębiorców, od których organ nadzorczy będzie wymagał pełnego dostosowania i zrozumienia skomplikowanych, a wręcz niekiedy niejasnych reguł Rozporządzenia unijnego już od końca maja 2018 r. i nie będzie zapewne wahał się przed nakładaniem kar (w końcu to będzie wpływ do budżetu, a i dzięki projektowanemu art. 86 ustawy 1% kary będzie stanowiło wpływ do Funduszu Ochrony Danych Osobowych z którego wydatkowana będzie działalność organu w zakresie edukacji o ochronie danych – a wiec już nie w ramach budżetu samej jednostki), jednak przede wszystkim jest to sygnał dla nas wszystkich, a więc obywateli których dane osobowe są i będą przetwarzane przez jednostki administracji publicznej, że w sferze publicznej realna ochrona naszych danych nie ma znaczenia.
termin na złożenie uwag do raportu pokontrolnego (art. 72 ust. 4 “7 dni”),
termin na uiszczenie kar administracyjnych (art. 85 ust. 2 “14 dni od dnia upływu terminu na wniesienie skargi, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego”).
Certyfikacji miała być dokonywana zewnętrznie, przez akredytowane do tego podmioty, obecnie jednak przedstawiono zapisy dot. certyfikacji nadawanych wyłącznie bezpośrednio przez Prezes UODO. Przepisy Rozporządzenia pozwalają na dopuszczenie do procesu certyfikacji podmiotu prywatnego, który byłby akredytowany przez organ – taka propozycja zyskała również aprobatę obecnego organu ochrony danych osobowych. GIODO proponuje przyjęcie modelu hybrydowego w tym zakresie, wskazując że krąg podmiotów przyznających certyfikaty powinien być jak najszerszy. Certyfikat wydany przez sam organ, jak i wydany przez podmiot, który został akredytowany do takiego działania przez organ nadzorczy powinny mieć taką samą wartość na rynku.
W projekcie zawartych jest jeszcze kilka bardziej szczegółowych kwestii, które w naszej ocenie powinny zostać poprawione. Chodzi tu m.in. o przepisy art. 5 ust. 5 oraz art. 41 Ustawy, które przewidują prowadzenie przez Prezesa Urzędu systemów teleinformatycznych umożliwiających odpowiednio przesyłanie w postaci elektronicznej zawiadomień o wyznaczeniu inspektora ochrony danych oraz zgłaszanie naruszenia ochrony danych osobowych, o których mowa w art. 33 Rozporządzenia.
Zwracamy uwagę, że w Ustawie oraz przepisach wprowadzających brak jest regulacji intertemporalnej, pozwalającej zagwarantować, że w momencie wejścia w życie Ustawy i ww. przepisów systemy te będą działać, a zatem możliwe będzie dokonywanie przez zainteresowanych odpowiednich zawiadomień i zgłoszeń. W sytuacji, gdyby nastąpiło zatem jakiekolwiek opóźnienie w zakresie uruchomienia tych systemów, podmioty nie miałyby zapewnionej możliwości realizacji obowiązków określonych Ustawą – przykładowo, art. 5 Ustawy nie przewiduje innej niż drogą elektroniczną możliwości przekazywania powiadomień. Sugerowanym rozwiązaniem byłoby umożliwienie podmiotom dokonywania omawianych zawiadomień lub zgłoszeń w formie pisemnej, do czasu uruchomienia odpowiednich systemów informatycznych.
Zwiazek Przedsiębiorców i Pracodawców
Fot. Blue Coat Photos/na lic. Creative Commons/ flickr.com