Source: https://odo24.pl/blog-post.dziennik-urzedowy-oficjalna-publikacja-krolestwa-niderlandow-od-1814
Timestamp: 2019-07-16 08:51:32
Legal References Found: art. 4

art. 83

art. 14
 art. 17

art. 4

art. 35

art. 27

art. 15
 art. 6
 art. 4

Art. 2

Art. 3

Art. 4

Art. 5

Art. 6

Art. 7
 art. 3
 art. 25
 art. 58
 art. 40
 art. 42

Art. 8

Art. 9
 art. 8

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 14
 art. 2

art. 27

art. 27

art. 28

art. 28

art. 30

art. 33

art. 34

art. 34

art. 35

art. 37

art. 38

art. 38

art. 41

art. 42

art. 42

art. 42
 art. 2

art. 5

art. 5

art. 12

art. 12

art. 18

art. 18

art. 21

art. 21

art. 87
 art. 46

art. 89
 art. 45
 art. 58
 art. 58
 art. 58

art. 17
 art. 2

art. 11

art. 11

art. 11

art. 18

art. 19

art. 5
 art. 2

art. 24

art. 24

art. 25

art. 25

art. 28

art. 28

art. 17

art. 17

art. 22

art. 22

art. 39
 art. 7

art. 40
 art. 7

art. 42
 art. 17

art. 42
 art. 17

art. 46
 art. 22

art. 46
 art. 22

art. 51
 art. 7

art. 51

art. 51
 art. 17

art. 51
 art. 17

art. 51
 art. 22

art. 51
 art. 22

art. 51
 art. 24

art. 51
 art. 18

art. 51
 art. 7

art. 51
 art. 17

art. 51
 art. 17

art. 51
 art. 17

art. 51
 art. 18

art. 51
 art. 22

art. 51
 art. 22

art. 51
 art. 24
 art. 2

art. 19

art. 39
 art. 7

art. 39
 art. 7

art. 39
 art. 7

art. 39
 art. 7

art. 39
 art. 26

art. 39
 art. 26

art. 39
 art. 26

art. 40
 art. 7

art. 40
 art. 7

art. 40
 art. 7

art. 40
 art. 7

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 26

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 7

art. 51
 art. 26
 art. 1
 art. 26
 art. 51

art. 51
 art. 26
 art. 1
 art. 26
 art. 51

art. 51
 art. 1
 art. 26
 art. 51
 art. 14
 art. 15
 art. 15
 art. 11
 art. 18
 art. 19
 art. 5
 art. 35
 art. 27
 art. 39
 art. 51
 art. 51
 art. 4
 art.7
 art. 83
 art. 7
 art. 7
 art. 7
 art. 8
 art. 2
 art. 83
 art. 9
 art. 2

Document Content:
﻿ Po ile ten incydent? Holenderski taryfikator kar pieniężnych po polsku. - ODO24.pl
Jak wycenić naruszenie zasad ochrony danych osobowych? Holenderski taryfikator kar pieniężnych po polsku.
Nie ulega wątpliwości, że kary finansowe stanowią zasadniczy instrument pozwalający właściwym organom nadzorczym na egzekwowanie przepisów prawa ochrony danych osobowych.
Tym niemniej, europejskie regulacje nie wytyczają żadnych zasad, którymi należałoby się kierować przy określaniu wysokości nakładanych kar administracyjnych. Dostrzegając tak istotną lukę, 19 lutego 2019 r. holenderski organ ochrony danych (niderl. Autoriteit Persoonsgegevens) wydał rozporządzeniew sprawie administracyjnych kar pieniężnych, nazywane potocznie „cennikiem” albo „taryfikatorem”.
Zważywszy, że dokument taki jest niezaprzeczalną innowacją na gruncie ochrony danych osobowych, organy nadzorcze innych krajów – w tym Polski – z pewnością będą korzystać z opracowanego cennika. Aby zatem nie dać się zaskoczyć potencjalnym konsekwencjom zaistniałych naruszeń, warto zapoznać się z zamieszczonym poniżej tłumaczeniem rozporządzenia, a także z krótkim podsumowaniem, objaśniającym istotę oraz najważniejsze aspekty wydanego przez Holendrów aktu.
Ogólne Przepisy Administracyjne Urzędu Ochrony Danych Osobowych z dnia 19 lutego 2019 dotyczące ustalania wysokości administracyjnych kar pieniężnych (Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2019).
Urząd Ochrony Danych Osobowych, w odniesieniu do ustalania wysokości kar pieniężnych, uwzględniając:
art. 4:81 i 5:46, ust. 6 Ogólnej Ustawy Administracyjnej
art. 83 Ogólnego Rozporządzenia o Ochronie Danych,
art. 14, ust. 3, art. 17 i 18 Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
art. Z 11a Ustawy Wyborczej,
art. 4.1, ust. 1 Ustawy o Powszechnej Ewidencji Ludności,
art. 35c Ustawy o Rejestrach Policyjnych,
art. 27, 39r, 51, 51d, 51h Ustawy o Rejestrze Sądowym i Rejestrze Karnym,
art. 15.4, ust. 3 i 5 Ustawy Prawo Telekomunikacyjne,
Urząd Ochrony Danych Osobowych oznacza Urząd Ochrony Danych Osobowych, o którym mowa w art. 6, ust. 1 Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
kwota podstawowa grzywny oznacza kwotę stanowiącą podstawę do obliczenia wysokości nakładanej kary administracyjnej, ustaloną w oparciu o kategorię grzywien dotyczących danego wykroczenia, przed zastosowaniem paragrafu 2.6.
osoba, której dane dotyczą oznacza podmiot, którego dane można traktować w kategoriach danych osobowych, o czym mowa w art. 4, punkt 1 Ogólnego Rozporządzenia o Ochronie Danych
recydywa oznacza okoliczność, gdy przed upływem 5 lat od nałożenia kary administracyjnej przez Urząd Ochrony Danych Osobowych sprawca dopuszcza się takiego samego lub podobnego wykroczenia.
Paragraf 2.1 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 10.000.000 EUR lub 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 2% lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.
Art. 2 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych
2.1 Przepisy w sprawie wykroczenia, co do którego organ właściwy ds. danych osobowych może nałożyć karę grzywny administracyjnej w wysokości do 10.000.000 € lub – w odniesieniu do przedsiębiorców – do 2% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, sklasyfikowano w załączniku nr 1 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.
2.2 Przepisy regulujące kwestię naruszeń podlegających karze pieniężnej, możliwej do nałożenia przez Urząd Ochrony Danych Osobowych w wysokości do 20.000.000 EUR lub, w przypadku przedsiębiorstwa, do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa, zostały w załączniku 2 podzielone na kategorię I, kategorię II, kategorię III lub kategorię IV.
2.3 Organ właściwy ds. danych osobowych określa wysokość grzywny podstawowej za wykroczenia, co do których ustawowa maksymalna wysokość grzywny wynosi 10.000.000 lub – w odniesieniu do przedsiębiorców – do 2% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, lub 20.000.000 € lub – w odniesieniu do przedsiębiorców – do 4% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, w ramach następujących zasad wymiaru kary grzywny:
pomiędzy € 0 a € 200.000
Grzywna podstawowa: € 100.000
pomiędzy € 120.000 a € 500.000
Grzywna podstawowa: € 310.000
pomiędzy € 300.000 a € 750.000
Grzywna podstawowa: € 525.000
pomiędzy € 450.000 a € 1.000.000
Grzywna podstawowa: € 725.000
2.4 Wysokość grzywny podstawowej ustala się na poziomie minimalnej kwoty grzywny, powiększonej o połowę wysokości grzywny za wykroczenie związane z określoną kategorią podlegającą karze.
Paragraf 2.2 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 900.000 EUR.
Art. 3 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych
3.1 Przepisy regulujące kwestię naruszeń podlegających karze pieniężnej, możliwej do nałożenia przez Urząd Ochrony Danych Osobowych, w wysokości do 900.000 EUR, zostały w załączniku 3 podzielone na kategorię I, kategorię II lub kategorię III.
3.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 900.000 € w ramach następujących dopuszczalnych wymiarów grzywien:
Paragraf 2.3 Naruszenia przepisów podlegające karze pieniężnej w wysokości do € 830.000
Art. 4 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych
4.1 Przepisy dotyczące wykroczenia, w przypadku którego organ właściwy ds. danych osobowych może nałożyć karę grzywny w wysokości odpowiadającej co najwyżej kwocie kary pieniężnej kategorii szóstej określonej w artykule 23 ust. 4 Kodeksu karnego (na dzień 1 stycznia 2018 r. 830.000 €) , w załączniku nr 4 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.
4.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 830.000 € w ramach następujących dopuszczalnych wymiarów grzywien:
pomiędzy € 300.000 a € 830.000
Grzywna podstawowa: € 565.000
4.3 Wysokość grzywny podstawowej ustala się na poziomie minimalnej kwoty grzywny, powiększonej o połowę wysokości grzywny za wykroczenie związane z określoną kategorią podlegającą karze.
Paragraf 2.5 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 83.000 EUR.
Art. 5 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych
5.1 Przepisy dotyczące wykroczenia, w przypadku którego organ właściwy ds. danych osobowych może nałożyć karę grzywny w wysokości odpowiadającej co najwyżej kwocie kary pieniężnej kategorii piątej określonej w artykule 23 ust. 4 Kodeksu karnego (na dzień 1 stycznia 2018 r. 83.000 €), w załączniku nr 4 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.
5.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 83.000 € w ramach następujących dopuszczalnych wymiarów grzywien:
pomiędzy € 0 a € 25.000
Grzywna podstawowa: € 12.500
pomiędzy € 15.000 a € 50.000
Grzywna podstawowa: € 32.500
pomiędzy € 30.000 a € 83.000
Grzywna podstawowa: € 56.500
Paragraf 2.6 Ustalanie wysokości kary grzywny.
Art. 6 Grzywna podstawowa i jej ewentualne podwyższenie lub obniżenie
Organ właściwy ds. danych osobowych określa wysokość grzywny przez podwyższenie podstawowej kwoty grzywny (do co najwyżej maksymalnego wymiaru grzywny dla kategorii grzywny właściwej dla danego wykroczenia) lub jej obniżenie (maksymalnie do minimalnego wymiaru grzywny dla kategorii grzywny właściwej dla danego wykroczenia). Podstawowa kwota grzywny jest podwyższana lub obniżana w zależności od stopnia, w jakim znajduje to uzasadnienie w oparciu o czynniki określone w artykule 7.
Art. 7 Istotne czynniki
Bez uszczerbku dla stosowania art. 3: 4 i 5:46 Ogólnej ustawy administracyjnej, organ ochrony danych bierze pod uwagę czynniki wymienione w lit. od a do k, o ile ma to zastosowanie w konkretnym przypadku:
charakter, powagę i czas trwania naruszenia, biorąc pod uwagę charakter, zakres lub cel przedmiotowego przetwarzania, a także liczbę dotkniętych osób, których dane dotyczą, oraz zakres poniesionej przez nie szkody;
zakres odpowiedzialności administratora lub podmiotu przetwarzającego, przy uwzględnieniu środków technicznych i organizacyjnych wdrożonych zgodnie z art. 25 i 32 Ogólnego Rozporządzenia o Ochronie Danych;
stopień współpracy z organem nadzorczym w celu zaradzenia naruszeniu i ograniczenia jego ewentualnych negatywnych skutków;g) kategorie danych osobowych, których dotyczy naruszenie;
sposób, w jaki organ nadzoru dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosił naruszenie;
zgodność z określonymi w art. 58, ust. 2 Ogólnego Rozporządzenia Ochrony Danych środkami, które zostały wcześniej podjęte względem administratora lub podmiotu przetwarzającego w odniesieniu do tej samej sprawy;
stosowanie zatwierdzonych kodeksów postępowania, zgodnie z art. 40 Ogólnego Rozporządzenia Ochrony Danych lub z zatwierdzonymi mechanizmami certyfikacji zgodnymi z art. 42 Ogólnego Rozporządzenia Ochrony Danych;
wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.
Art. 8 Wykroczenie poza limit stawek kar pieniężnych oraz zwiększona kara maksymalna dla przedsiębiorstwa
8.1 W przypadku naruszenia przepisów, podlegającego pod kategorię niepozwalającą na nałożenie odpowiedniej do danego wykroczenia kary, Urząd Ochrony Danych Osobowych może zastosować karę w oparciu odpowiednio o kolejno wyższą bądź niższą kategorię.
8.2 W ramach uzupełnienia artykułu 7 lit. e przedmiotowych wytycznych i zastrzeżeniem postanowień artykułu 15.4 ust. 5 ustawy o telekomunikacji, organ właściwy ds. danych osobowych stosuje zasadę podwyższenia kwoty grzywny o 50% w przypadku ponownego dopuszczenia się wykroczenia, chyba że w okolicznościach danej sprawy należy to uznać za nieracjonalne. Organ właściwy ds. danych osobowych może przy tym przekroczyć właściwe ograniczenia dotyczące wymiaru grzywny, z uwzględnieniem ustawowej maksymalnej kwoty kary grzywny.
8.3 Jeżeli w przedmiocie określonego naruszenia, na przedsiębiorstwo może zostać nałożona kara grzywny administracyjnej w kwocie co najwyżej 10.000.000 €, a maksymalna kwota według właściwych przepisów dotyczących wymiaru kary grzywny w ocenie organu ds. ochrony danych nie pozwala na nałożenie kary we właściwej wysokości, to może on na podstawie artykułu 83 ust. 4 Ogólnego rozporządzenia ws. ochrony danych nałożyć na nie karę w wyższej kwocie, do co najwyżej 10.000.000 € lub 2% całkowitej wysokości obrotów światowych w skali roku w roku księgowym poprzedzającym wydanie decyzji w przedmiocie nałożenia kary grzywny administracyjnej, jeżeli kwota ta jest wyższa. Organ właściwy ds. danych osobowych dokonuje przy tym czynności z pominięciem ograniczeń wymiaru kary grzywny określonych w artykule 2.3.
8.4 Jeżeli w przedmiocie określonego naruszenia, na przedsiębiorstwo może zostać nałożona kara grzywny administracyjnej w kwocie co najwyżej 20.000.000 €, a maksymalna kwota według właściwych przepisów dotyczących wymiaru kary grzywny w ocenie organu ds. ochrony danych nie pozwala na nałożenie kary we właściwej wysokości, to może on na podstawie artykułu 83 ust. 5 i 6 Ogólnego rozporządzenia ws. ochrony danych nałożyć na nie karę w wyższej kwocie, do co najwyżej 20.000.000 € lub 4% całkowitej wysokości obrotów światowych w skali roku w roku księgowym poprzedzającym wydanie decyzji w przedmiocie nałożenia kary grzywny administracyjnej, jeżeli kwota ta jest wyższa. Organ właściwy ds. danych osobowych dokonuje przy tym czynności z pominięciem ograniczeń wymiaru kary grzywny określonych w artykule 2.3.
Paragraf 2.7 Kondycja finansowa.
Art. 9 Kondycja finansowa
Wymierzając administracyjną karę pieniężną, Urząd Ochrony Danych Osobowych bierze pod uwagę kondycję finansową podmiotu. W przypadku ograniczonej bądź niezadowalającej zdolności finansowej osoby dopuszczającej się naruszenia, Urząd Ochrony Danych Osobowych może zmniejszyć karę pieniężną, jeżeli, po zastosowaniu art. 8.1 niniejszego rozporządzenia, uzna nałożenie kary w wysokości mieszczącej się w limicie niższej kategorii za nieproporcjonalnie wysoką.
Paragraf 2.8 Naruszenie kilku przepisów.
Art. 10 Kary za naruszenia kilku przepisów
W przypadku naruszenia kilku przepisów w ramach tych samych lub powiązanych operacji przetwarzania całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie.
Art. 11 Kary za naruszenia kilku przepisów
W przypadku naruszeń przepisów, w odniesieniu do których Urząd Ochrony Danych Osobowych stwierdza, iż zostały popełnione przed obowiązywaniem Ogólnego Rozporządzenia o Ochronie Danych oraz przed wejściem w życie Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych dnia 25 maja 2018, zastosowanie ma obowiązujące wcześniejsze Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016.
Art. 12 Kary za naruszenia kilku przepisów
Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016 zostaje uchylone.
Art. 13 Wejście w życie
Art. 14 Tytuł
Tytuł niniejszego rozporządzenia otrzymuje brzmienie: Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2019.
Art. 14 Niniejsze rozporządzenie wraz z notami objaśniającymi zostanie opublikowane w Dzienniku Urzędowym.
Haga, 19 luty 2019
Załącznik 1 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019
Naruszenia przepisów podlegające karze pieniężnej w wysokości do 10.000.000 EU bądź, w przypadku przedsiębiorstw, 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
Przetwarzanie niewymagające identyfikacji. I
Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych. II
Współadministratorzy. I
art. 27, z zastrzeżeniem ust. 3
Przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii. III
art. 27, ust. 3
Przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii. II
art. 28, z zastrzeżeniem ust. 9
Podmiot przetwarzający. II
art. 28, ust.
Podmiot przetwarzający. I
Przetwarzanie z upoważnienia administratora lub podmiotu przetwarzającego. I: jeśli naruszający przepisy jest osobą fizyczną;
II: jeśli naruszający przepisy jest osobą prawną lub częścią osoby prawnej.
Rejestr czynności przetwarzania danych osobowych. II
art. 30, ust. 3
Rejestr czynności przetwarzania danych osobowych. I
Współpraca z organem nadzorczym. III
Bezpieczeństwo przetwarzania. II
Zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu. III
art. 33, ust. 3
Zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu. II
art. 34, z zastrzeżeniem ust. 2
Zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych. III
art. 34, ust. 2
Zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych. II
art. 35, z zastrzeżeniem ust. 9
Ocena skutków w zakresie ochrony danych. II
Ocena skutków w zakresie ochrony danych. I
Uprzednia konsultacja. II
art. 37, z zastrzeżeniem ust. 7
Wyznaczenie inspektora ochrony danych. II
Wyznaczenie inspektora ochrony danych. I
art. 38, z zastrzeżeniem ust. 2 i 6
Status inspektora ochrony danych. II
art. 38, ust. 2 i 6
Status inspektora ochrony danych. I
Zadania inspektora ochrony danych. II
art. 41, ust. 4
Monitorowanie zatwierdzonych kodeksów postępowania. I
art. 42, z zastrzeżeniem ust. 3 i 6
Certyfikacja. II
art. 42, ust. 3
Certyfikacja. I
art. 42, ust. 6
Certyfikacja. III
Podmioty certyfikujące. I
Ustawa - Przepisy wprowadzające ustawę o ochronie danych osobowych
Administracyjna kara pieniężna nakładana na instytucje rządowe.
I, II lub III, w zależności od klasyfikacji podstawowych przepisów.
Załącznik 2 do art. 2
Naruszenia przepisów podlegające karze pieniężnej w wysokości do 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
art. 5, ust. 1, z zastrzeżeniem pkt. a
Zasady dotyczące przetwarzania danych osobowych. III
art. 5, ust. 1, pkt. a, i ust. 2
Zasady dotyczące przetwarzania danych osobowych. I, II lub III, w zależności od klasyfikacji podstawowych przepisów.
Zgodność z prawem każdego przetwarzania danych. III
Warunki udzielenia zgody. III
Przetwarzanie szczególnych kategorii danych osobowych. IV
art. 12, z zastrzeżeniem ust. 3-5
Przejrzyste informowanie i przejrzysta komunikacja oraz tryb wykonywania praw przez osobę, której dane dotyczą. III
art. 12, ust. 3-5
Przejrzyste informowanie i przejrzysta komunikacja oraz tryb wykonywania praw przez osobę, której dane dotyczą. II
Informacje podawane w przypadku zbierania danych osobowych od osoby, której dane dotyczą. III
Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. III
Prawo dostępu przysługujące osobie, której dane dotyczą. III
Prawo do poprawiania danych. III
Prawo do usunięcia danych. III
art. 18, z zastrzeżeniem ust. 3
Prawo do ograniczenia przetwarzania. III
art. 18, ust. 3
Prawo do ograniczenia przetwarzania. II
Obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania. II
Prawo do przenoszenia danych. III
art. 21, z zastrzeżeniem ust. 4
Prawo sprzeciwu. III
art. 21, ust. 4
Prawo sprzeciwu. II
Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach (w tym profilowanie). IV
Ogólne zasady przekazywania. III
Przekazywanie na podstawie decyzji stwierdzającej odpowiedni poziom ochrony. III
Przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń. III
Wiążące reguły korporacyjne. III
Przekazywanie lub ujawnianie niedozwolone na mocy prawa Unii. III
Wyjątki w szczególnych sytuacjach. III
wszystkie obowiązki wynikające z prawa ustanowionego przez państwa członkowskiego, przyjęte na podstawie rozdziału IX rozporządzenia, np.
I, II lub III lub IV w zależności od klasyfikacji podstawowych przepisów.
art. 87 Ogólnego Rozporządzenie o Ochronie Danych w związku z art. 46 , ust. 1 Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
Przetwarzanie krajowego numeru identyfikacyjnego. IV
art. 89 Ogólnego Rozporządzenie o Ochronie Danych w związku z art. 45 Ustawy - Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
Przetwarzanie krajowego numeru identyfikacyjnego. III
Zabezpieczenia i wyjątki mające zastosowanie do przetwarzania do celów archiwalnych w interesie publicznym, do celów badań. III
nieprzestrzeganie nakazu, tymczasowego lub ostatecznego ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 lub niezapewnienie dostępu skutkującego naruszeniem art. 58 ust. 1.
nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2
Ustawa - Przepisy wprowadzające ustawę o ochronie danych osobowych.
art. 17, ust. 1
Administracyjna kara pieniężna o charakterze karnym za niezgodne z prawem przetwarzanie danych osobowych. IV
Administracyjna kara pieniężna nakładana na instytucje rządowe. I, II lub III lub IV w zależności od klasyfikacji podstawowych przepisów.
Załącznik 3 do art. 2
Naruszenia przepisów podlegające karze pieniężnej w wysokości do 900.000 EUR
art. 11.3a, z zastrzeżeniem ust. 3 i 7
Obowiązek zgłaszania naruszeń danych przez dostawców publicznie dostępnych usług łączności elektronicznej.
art. 11.3a, ust. 3 i 7
Obowiązek zgłaszania naruszeń danych przez dostawców publicznie dostępnych usług łączności elektronicznej. I
art. 11.5b
Przetwarzanie danych osobowych przez dostawców usług zaufania. II
art. 18.15a
Wytyczne dotyczące dostarczanych danych przy powiadamianiu o naruszeniu bezpieczeństwa lub utracie integralności. I
Rozporządzenie (UE) nr 910/2014 (rozporządzenie eIDAS)
art. 19, ust. 2
Obowiązek zgłaszania naruszeń danych w rozporządzeniu eIDAS. II
art. 5:20, ust. 1
Obowiązek współpracy (monitorowanie zgodności z ustawą Prawo Telekomunikacyjne) . III
Załącznik 4 do art. 2
Naruszenia przepisów podlegające karze pieniężnej w wysokości do 830.000 EUR.
Ustawa o Rejestrach Policyjnych
Szczególne kategorie rejestrów policyjnych.
Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach. III
art. 24a, z zastrzeżeniem ust. 2 i 3
Przekazanie informacji osobie, której dane dotyczą. II
art. 24a, ust. 2 i 3
Przekazanie informacji osobie, której dane dotyczą. I
Udzielenie informacji osobie, której dane dotyczą. II
art. 25, ust. 1
Prawo dostępu II
art. 25, ust. 2
Prawo dostępu I
art. 28, ust. 1 i 2
Prawo do poprawiania i usunięcia danych z rejestrów policyjnych. II
art. 28, ust. 3, 4 i 5
Prawo do poprawiania i usunięcia danych z rejestrów policyjnych. I
Ustawa o Rejestrze Sądowym i Rejestrze Karnym
Zautomatyzowane przetwarzanie (w tym profilowanie) III
Informacja dla osoby, której dane dotyczą. II
art. 17b, z zastrzeżeniem ust. 2
art. 17b, ust. 2
Udzielenie informacji osobie, której dane dotyczą. I
Prawo dostępu. II
art. 22, z zastrzeżeniem ust. 4 i 5
Prawo do poprawiania, usunięcia lub zablokowania danych. II
art. 22, ust. 4 i 5
Prawo do poprawiania, usunięcia lub zablokowania danych. I
Obowiązek zgłoszenia poprawy, usunięcia lub zablokowania danych I
art. 39c, ust. 1 w związku z art. 7e
Zautomatyzowane przetwarzanie (w tym profilowanie). III
art. 40, ust. 3 w związku z art. 7e
Zautomatyzowane przetwarzanie (w tym profilowanie)Uwaga! Akt prawny mówi o art. „40a, ust. 3”. III
art. 42b, z zastrzeżeniem analogicznego zastosowania art. 17b, ust. 2
art. 42b, w odniesieniu do analogicznego zastosowania art. 17b, ust. 2
art. 46, z zastrzeżeniem ust. 4 oraz analogicznego zastosowania art. 22, ust. 5
art. 46, ust. 4 oraz w odniesieniu do analogicznego zastosowania art. 22, ust. 5
Obowiązek zgłoszenia poprawy, usunięcia lub zablokowania danych. I
art. 51b, ust. 1 w związku z art. 7e
art. 51b, ust. 1 w związku z 17a
art. 51b, ust. 1 w związku z art. 17b, z zastrzeżeniem ust. 2 tego artykułu
art. 51b, ust. 1 w związku z art. 17b, ust. 2
art. 51b, ust. 1 w związku z art. 22, z zastrzeżeniem ust. 4 i 5 tego artykułu
art. 51b, ust. 1 w związku z art. 22, ust. 4 i 5
art. 51b, ust. 1 w związku z art. 24
art. 51b, ust. 2 w związku z art. 18
art. 51f, ust. 1 w związku z art. 7e
art. 51f, ust. 1 w związku z art. 17a
art. 51f, ust. 1 w związku z art. 17b, z zastrzeżeniem ust. 2 tego artykułu
art. 51f, ust. 1 w związku z art. 17b, ust. 2
art. 51f, ust. 1 w związku z art. 18
art. 51f, ust. 1 w związku z art. 22, z zastrzeżeniem ust. 4 i 5 tego artykułu
art. 51f, ust. 1 w związku z art. 22, ust. 4 i 5
Prawo do poprawiania, usunięcia lub zablokowania danych I
art. 51f, ust. 1 w związku z art. 24
Załącznik 5 do art. 2
Naruszenia przepisów podlegające karze pieniężnej w wysokości do 83.000 EUR
Ochrona danych w fazie projektowania III
Domyślna ochrona danych. III
Ocena skutków w zakresie ochrony danych. III
Podmiot przetwarzający. III
Rejestr. III
Dokumentacja. II
Zgłaszanie naruszeń danych. III
Uprzednia konsultacja z Urzędem Ochrony Danych Osobowych. III
Inspektor ochrony danych. III
Obowiązki administratora i podmiotu przetwarzającego oraz bezpieczeństwo danych. III
Ochrona danych w fazie projektowania i domyślna ochrona danych. III
art. 19, ust. 1
Obowiązek rejestracji i archiwizowania wniosków o wgląd do rejestru sądowego. II
Zgłaszanie naruszenia bezpieczeństwa. III
art. 39c, ust. 1 w związku z art. 7
Obowiązki administratora oraz bezpieczeństwo danych. III
art. 39c, ust. 1 w związku z art. 7a
art. 39c, ust. 1 w związku z art. 7b
art. 39c, ust. 1 w związku z art. 7d
art. 39r, ust. 1 w związku z art. 26c
Rejestr III
art. 39r, ust. 1 w związku z art. 26g
art. 39r, ust. 1 w związku z art. 26h
art. 40, ust. 3 w związku z art. 7
Obowiązki administratora oraz bezpieczeństwo danych. Uwaga! Akt prawny mówi o art. „40a, ust. 3”. III
art. 40, ust. 3 w związku z art. 7a
Ochrona danych w fazie projektowania i domyślna ochrona danych. Uwaga! Akt prawny mówi o art. „40a, ust. 3”. III
art. 40, ust. 3 w związku z art. 7b
Ocena skutków w zakresie ochrony danych. Uwaga! Akt prawny mówi o art. „40a, ust. 3”. III
art. 40, ust. 3 w związku z art. 7d
Podmiot przetwarzający. Uwaga! Akt prawny mówi o art. „40a, ust. 3”. III
art. 51, ust. 1 w związku z art. 26c
art. 51, ust. 1 w związku z art. 26f
art. 51, ust. 1 w związku z art. 26g
art. 51, ust. 1 w związku z art. 26h
Uprzednia konsultacja z Urzędem Ochrony Danych Osobowych III
art. 51b, ust. 1 w związku z art. 7
art. 51b, ust. 1 w związku z art. 7a
Ochrona danych w fazie projektowania i domyślna ochrona danych . III
art. 51b, ust. 1 w związku z art. 7b
Ocena skutków w zakresie ochrony danych III
art. 51b, ust. 1 w związku z art. 7d
art. 51d, ust. 1 w związku z art. 26c
art. 51d, ust. 1 w związku z art. 26f
Inspektor ochrony danych . III
art. 51d, ust. 1 w związku z art. 26g
art. 51d, ust. 1 w związku z art. 26h.
art. 51f, ust. 1 w związku z art. 7
art. 51f, ust. 1 w związku z art. 7a
art. 51f, ust. 1 w związku z art. 7b
art. 51f, ust. 1 w związku z art. 7d
art. 51h, ust. 1 w związku z art. 26c.
RejestrUwaga! W odniesieniu do sądowych rejestrów karnych art. 1h, ust. 3, pkt. c błędnie odnosi się do „art. 51d, ust. 1 w odniesieniu do analogicznego zastosowania art. 26c, 26g i 26h w tym ustępie” zamiast „pierwszy ustęp, w odniesieniu do (…)” (por. art. 51). III
art. 51h, ust. 1 w związku z art. 26g
Inspektor ochrony danychUwaga! W odniesieniu do sądowych rejestrów karnych art. 1h, ust. 3, pkt. c błędnie odnosi się do „art. 51d, ust. 1 w odniesieniu do analogicznego zastosowania art. 26c, 26g i 26h w tym ustępie” zamiast „pierwszy ustęp, w odniesieniu do (…)” (por. art. 51). III
art. 51h, ust. 1 w związku z ar. 26h
Zgłaszanie naruszenia bezpieczeństwaUwaga! W odniesieniu do sądowych rejestrów karnych art. 1h, ust. 3, pkt. c błędnie odnosi się do „art. 51d, ust. 1 w odniesieniu do analogicznego zastosowania art. 26c, 26g i 26h w tym ustępie” zamiast „pierwszy ustęp, w odniesieniu do (…)” (por. art. 51). III
Noty objaśniające do Rozporządzenia
Urząd Ochrony Danych Osobowych jest niezależnym organem nadzorczym, mającym za zadanie sprawować nadzór prawny nad przetwarzaniem danych osobowych. Zadania oraz uprawnienia Urzędu wynikają w głównej mierze bezpośrednio z Ogólnego Rozporządzenia o Ochronie Danych (zwanego dalej: RODO) , a zostały dalej doprecyzowane w Ustawie - Przepisy wprowadzające ustawę o ochronie danych osobowych, (zwanej dalej: Przepisy wprowadzające RODO).
Uprawnienia Urzędu do nakładania kar pieniężnych
Na mocy uchylonej 25 maja 2018 roku Ustawy o ochronie danych osobowych (zwanej dalej Wbp) Urząd Ochrony Danych Osobowych uprawniony był do nakładania administracyjnych kar pieniężnych w przypadku naruszenia przepisów tej ustawy. W celu stosowania tego uprawnienia, Urząd Ochrony Danych Osobowych ustanowił wytyczne, Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016.
W związku z ostatnim rozszerzeniem kompetencji Urzędu do nakładania kar pieniężnych na podstawie Wbp powstał system egzekwowania prawa, mający zastosowanie od dnia 25 maja 2018 RODO, który zastąpił Wbp. RODO zapewnia krajowym organom nadzorczym szerokie uprawnienia ws. nakładania kar, wynikających z rozporządzenia. Na podstawie art. 14, ust. 3 tej Ustawy uprawnienia te przydzielone zostały Urzędowi Ochrony Danych Osobowych. Na mocy artykułu 18 Ustawy Urząd może również nałożyć karę pieniężną na instytucje rządowe bądź inne organy władzy publicznej z tytułu naruszenia RODO.
3 października 2017 ówczesna Grupa Robocza ds. Ochrony Danych przyjęła Artykuł 29 „Wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia (UE) nr 2016/679”. Wytyczne te zostały 25 maja 2018 zatwierdzone przez Europejską Radę Ochrony Danych (European Data Protection Board; zwaną dalej: EROD). W dokumencie tym ustanowiono przepisy i zasady regulujące stosowanie uprawnień do nakładania kar pieniężnych na podstawie RODO.
W związku z tym, że EROD nie ustanowiła jeszcze wspólnych zasad obliczania kar pieniężnych, Urząd Ochrony Danych Osobowych skłania się ku temu, by ustalić regulacje w zakresie wdrożenia uprawnień do nakładania kar na podstawie RODO i Przepisów wprowadzających RODO. Regulacje te odnoszą się do określania wysokości kar pieniężnych, w imię zasad równości i pewności prawa. EROD ma na celu wypracowanie wspólnych zasad dotyczących obliczania kar pieniężnych z tytułu naruszeń RODO. Ustanawiane przez Urząd Ochrony Danych Osobowych regulacje mają zatem w tym zakresie co do zasady charakter tymczasowy. W związku z powyższym Urząd, dostosowując swoją politykę do naruszeń RODO, podjął decyzję o zachowaniu struktury przedstawionej w niniejszym dokumencie, jaką jest kategoryzacja naruszeń przepisów a stawki kar pieniężnych. Oprócz kompetencji do nakładania kar pieniężnych wynikających z RODO oraz Przepisów Wprowadzających RODO, Urząd Ochrony Danych Osobowych na podstawie art. 15.4, ust. 4 Ustawy Prawo Telekomunikacyjne (zwanej dalej Tw) jest uprawniony do nałożenia kary pieniężnej za naruszenie przepisów, o których mowa w art. 15.1, ust. 2 tejże ustawy (obowiązek zgłaszania naruszeń danych w art. 11.3a Tw), oraz przepisów art. 18.15a Tw, art. 19, ust. 2 Rozporządzenia eIDAS i art. 5:20 Ogólnej Ustawy Administracyjnej (zwanej dalej Awb), nadzorując przestrzeganie przepisów Tw.
Ponadto Urząd ma prawo, na podstawie art. 35c, ust. 1 Ustawy o Rejestrach Policyjnych (zwanej dalej Wpg) oraz art. 27, ust. 4, art. 39r, ust. 3, art. 51, ust. 3, 51d, ust. 3 i art. 51h, ust. 3 Ustawy o Rejestrze Sądowym i Rejestrze Karnym (zwanej dalej Wjsg) nałożyć karę pieniężną za naruszenia przepisów wynikających z powyższych ustaw.
Przepisy wymienionych powyżej ustaw, których naruszenie grozi karą grzywny, zostały sklasyfikowane wg maksymalnej wysokości kary, są też wymienione i opisane w załącznikach 1-5 w niniejszym rozporządzeniu.
Należy przy tym zaznaczyć, że nowelizacja Wpg i Wjsg wdrażająca europejską dyrektywę o ochronie danych do celów wykrywania i ścigania czynów zabronionych zawiera pewne nieprawidłowe odniesienia.
Dotyczy to odniesień do artykułów ustaw Wpg oraz Wjsg, których nieprzestrzeganie przez administratora może skutkować nałożeniem kary administracyjnej. Zostało to wyraźnie wskazane przez rząd w odpowiedzi skierowanej do Pierwszej Izby Zapewniono, że wszystkie nieprawidłowości zostaną skorygowane możliwie jak najszybciej w oddzielnym wniosku legislacyjnym.
Ustalanie wysokości administracyjnych kar pieniężnych
Ustalając wysokość kary Urząd Ochrony Danych Osobowych musi zastosować się do m.in. ustawowo maksymalnej wysokości kary pieniężnej, obowiązujących przepisów (rozdział 5) Awb oraz ogólnych zasad dobrej administracji.
Zgodnie z Rozporządzeniem ws. Administracyjnych Kar Pieniężnych 2016 Urząd Ochrony Danych Osobowych z w pierwszej kolejności umożliwia zrozumienie czynników określających wysokość kary pieniężnej. Z drugiej strony przepisy te zapewniają Urzędowi odpowiednią elastyczność, pozwalającą na dostosowanie odpowiednich rozwiązań w indywidualnych przypadkach.
Zgodnie z art. 4:84 Awb Urząd Ochrony Danych Osobowych może odstąpić od przepisów dotyczących ustalania wysokości kar pieniężnych w przypadku sytuacji o charakterze szczególnym, które nie zostały uwzględnione w rozporządzeniu (możliwość odstąpienia od nałożenia administracyjnej kary pieniężnej).
Struktura Rozporządzenia ws. Administracyjnych Kar Pieniężnych
W celu ogólnego objaśnienia struktury kategoryzacji naruszeń przepisów a stawek kar pieniężnych Urząd Ochrony Danych Osobowych odsyła w pierwszej kolejności do not objaśniających przy Rozporządzeniu ws. Administracyjnych Kar Pieniężnych 2016 (Dziennik Urzędowy 2016, 2043).Ustalając kategoryzację, Urząd Ochrony Danych Osobowych postanowił przyjąć podział naruszeń przepisów na 3 kategorie, powiązane z odpowiednio wysokimi administracyjnymi karami pieniężnymi.
Wyjątek od powyższego stanowią przepisy dotyczące naruszenia, za które Urząd Ochrony Danych Osobowych ma prawo nałożyć administracyjną karę pieniężną w wysokości do 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wykroczenia, w przypadku których kara ta ma zastosowanie, zostały podzielone w załączniku 2 na 4 kategorie.
Ustalając klasyfikację przepisów w kategoriach kar, Urząd o Ochronie Danych Osobowych ocenił wagę naruszonej normy. Dotyczy to zarówno wartości przepisów, jak i ich miejsca w hierarchii w zakresie ustawodawstwa i rozporządzeń w ramach prawa ochrony danych, z uwzględnieniem realizowanych przez nie celów i interesów publicznych, których przepisy mają za zadanie chronić.
Każdej kategorii odpowiadają stawki kar pieniężnych, które Urząd Ochrony Danych Osobowych uznał za odpowiednie i konieczne. Oznacza to, że wysokość kary musi być proporcjonalna i wystarczająco odstraszająca zarówno dla sprawcy (prewencja szczególna), jak i dla potencjalnych sprawców (prewencja ogólna). Urząd Ochrony Danych w ramach każdej kategorii stawek ustala kwotę podstawową grzywny, będącą kwotą wyjściową do obliczania odpowiednich kar pieniężnych. Urząd Ochrony Danych Osobowych ustala kwotę podstawową grzywny na poziomie 50% stawki odpowiadającej kategorii, przypisanej do odpowiedniego naruszenia.
Nakładając karę pieniężna, Urząd Ochrony Danych Osobowych uwzględnia czynniki wymienione w art.7. Czynniki te oparte są na art. 83, ust. 2 RODO. Oprócz czynników określonych w art. 7, lit. a- j, przepisy z art. 7 lit. k przewidują możliwość uwzględnienia innych, mających zastosowanie do okoliczności sprawy, czynników. Mogą one m.in., choć nie wyłącznie, dotyczyć zysków finansowych. Wysokość nakładanej kary jest w dalszej kolejności dostosowywana na podstawie stosownych okoliczności łagodzących bądź obciążających w ramach stawek odpowiadających danej kategorii. Innymi słowy uwzględniana jest waga danego naruszenia oraz stopień, w jakim naruszenie można przypisać sprawcy. Urząd Ochrony Danych Osobowych może przy tym, w stosownych przypadkach oraz zależnie od stopnia, w jakim czynniki określone w art. 7 mają swoje uzasadnienie, odpowiednio zmniejszyć bądź zwiększyć karę, dopasowując ją do kolejno wyższej lub niższej kategorii (art. 8, ust. 1). Rozpatrywane może być również wykroczenie poza ustalone limity w przypadku, gdy wysokość kary, uwzględniając okoliczności konkretnego przypadku, nie zadziała wystarczająco prewencyjnie bądź jest nieproporcjonalnie wysoka. Ponadto podwyższenie nakładanej kary w przypadku recydywy może także skutkować wykraczaniem poza ustalone limity w stosownych przypadkach.
Stawki odpowiadające kategoriom naruszeń ustaw Tw, Wpg oraz Wjsg bazują w najwyższej kategorii na ustawowo maksymalnej karze pieniężnej. W odniesieniu do stawek przypisanych odpowiednim kategoriom naruszeń zgodnie z RODO postanowiono podzielić te naruszenia na 4 kategorie, przy czym stawka maksymalna przy najwyższej kategorii wynosi 1.000.000 EUR. Klasyfikacja ta uznana jest przez Urząd Ochrony Danych Osobowych za odpowiednią z punktu widzenia prewencji. Urząd bierze w szczególności pod uwagę fakt, iż kwota podstawowa kary w kategorii 4 (725.000 EUR) dotyczy sankcji, która - niezależnie od okoliczności szczególnych przypadków - jest odpowiednia, zważywszy na wagę naruszonej normy. Jeśli naruszenie zostało popełnione przez przedsiębiorstwo, a najwyższa kwota w odpowiedniej kategorii stawek kar pieniężnych nie pozwala w tym konkretnym przypadku w ocenie Urzędu na odpowiednią karę - przy czym można wziąć pod uwagę wagę firmy, wyrażoną w rocznym obrocie - wówczas art. 8, ust. 3 i 4 niniejszego rozporządzenia stanowi, że Urząd Ochrony Danych Osobowych może wykroczyć poza limit określonych w art. 2, ust. 3, kategorii stawek i nałożyć karę równą ustawowo maksymalnej karze zgodnie z RODO, art. 83, ust. 4, 5, 6.
Zastosowanie zasady proporcjonalności nakłada na Urząd Ochrony Danych Osobowych obowiązek uwzględniania sytuacji finansowej sprawcy przy ustalaniu wysokości kary. W przypadku ustalenia przez Urząd ograniczonej bądź niezadowalającej zdolności finansowej osoby, która dopuściła się naruszenia, może on zmniejszyć karę pieniężną w oparciu o art. 9. W tym kontekście Urząd odwołuje się również do art. 2a Ustawy - Przepisów Wprowadzających RODO, który nakłada wymóg uwzględniania potrzeb małych, średnich i mikroprzedsiębiorstw.
W celu przybliżenia najistotniejszych elementów powyższego rozporządzenia, polecamy zapoznanie się z artykułem pt. Cennik kar, czyli ile dokładnie zapłacimy za naruszenie zasad ochrony danych osobowych.