Source: http://docplayer.pl/3150306-Czy-widza-panstwo-wartosc-dodana-w-dalszej-harmonizacji-obowiazujacych-w-poszczegolnych-panstwach-czlonkowskich-ue-przepisow-o-ochronie-danych.html
Timestamp: 2017-12-17 14:50:23
Legal References Found: art. 7
 art. 15
 art. 20
 Art. 4
 Art. 4
 art. 31
 Art. 5
 Art. 7
 Art. 11
 Art. 12
 Art. 13
 Art. 14
 art. 14
 art. 6
 art.12
 Art. 17
 art. 17
 Art. 23
 Art. 23
 art. 30
 art. 4
 Art. 33
 Art. 72
 art. 29
 Art. 73
 art. 74
 Art. 79
 Art.84
 art. 85

Document Content:
Czy widzą Państwo wartość dodaną w dalszej harmonizacji obowiązujących w poszczególnych państwach członkowskich UE przepisów o ochronie danych? - PDF
Czy widzą Państwo wartość dodaną w dalszej harmonizacji obowiązujących w poszczególnych państwach członkowskich UE przepisów o ochronie danych?
Download "Czy widzą Państwo wartość dodaną w dalszej harmonizacji obowiązujących w poszczególnych państwach członkowskich UE przepisów o ochronie danych?"
1 Warszawa, dn r. UWAGI BIURA INFORMACJI KREDYTOWEJ S.A. DO PROJEKTU ROZPORZĄDZENIA PARLAMENTU EUROPEJSKIEGO I RADY W SPRAWIE OCHRONY OSÓB FIZYCZNYCH W ZWIĄZKU Z PZRETWARZANIEM DANCH OSOBOWYCH I SWOBODNYM PRZEPŁYWEM TAKICH DANYCH Z DNIA R. PYTANIE 1 Czy Państwa zdaniem dotychczasowa dyrektywa należycie odpowiada nowym warunkom, czy też widzą Państwo potrzebę ustanowienia bardziej całościowej i spójnej polityki w zakresie podstawowego prawa do ochrony danych osobowych? Czy widzą Państwo wartość dodaną w dalszej harmonizacji obowiązujących w poszczególnych państwach członkowskich UE przepisów o ochronie danych? PYTANIE 2 Czy proponowane w projekcie Rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych rozwiązania spełniają oczekiwania w zakresie ochrony danych i tworzenia rynku wewnętrznego? Czy istnieją aspekty ochrony danych i tworzenia rynku wewnętrznego, które w niedostatecznym stopniu lub w ogóle nie zostały poruszone w ramach projektu Rozporządzenia? PYTANIE 3 Jakie są punkty krytyczne proponowanych rozwiązań? (Proszę podać powody krytycznej oceny oraz o ile możliwe kontrpropozycje rozwiązań) ODPOWIEDŹ NA PYTANIE 1: W ocenie Biura Informacji Kredytowej S.A. (dalej: BIK: lub rejestr kredytowy ), podjęta przez Komisję Europejską inicjatywa zmodyfikowania istniejących obecnie regulacji w zakresie ochrony danych osobowych znajduje uzasadnienie, w szczególności biorąc pod uwagę gwałtowne zmiany technologiczne, jakie miały miejsce w ciągu ostatnich dwóch dekad. Z pewnością sfera szeroko rozumianej technologii IT w obecnym stanie daleko wyprzedza istniejące regulacje w zakresie ochrony danych osobowych, zarówno na poziomie UE, jak i na poziomie krajowym. Na poparcie zasługuje też z całą pewnością harmonizacja obowiązujących w poszczególnych państwach członkowskich przepisów w zakresie ochrony danych osobowych. Wartość dodaną, jaką widzimy, w szczególności z perspektywy sektora bankowego jest rozwój transgranicznych usług finansowych, możliwość zaciągania kredytów w Polsce przez obywateli z innych państw członkowskich oraz przez obywateli polskich w innych państwach członkowskich UE. Harmonizacja przepisów w zakresie danych osobowych umożliwi bowiem transgraniczną wymianę informacji pomiędzy kredytodawcami oraz rejestrami kredytowymi w państwach UE, co na dzień dzisiejszy z uwagi na istniejące w poszczególnych krajach 1
2 odmienne regulacje jest mocno utrudnione. Sprzyjać to będzie zdecydowanie rozwojowi jednolitego rynku usług finansowych. ODPOWIEDŹ NA PYTANIE 2 Proponowane rozwiązania co do zasady sprzyjają rozwojowi rynku wewnętrznego jeśli weźmiemy pod uwagę propozycję harmonizacji przepisów. W naszym przekonaniu raczej nie istnieje problem niedostatecznego ujęcia lub nie ujęcia jakichś aspektów ochrony danych w Rozporządzeniu. Stawiamy raczej odwrotną tezę: paradoksalnie Rozporządzenie chroniąc z założenia podmiot danych w nadmiernym stopniu ingeruje w autonomię woli tego podmiotu, wprowadzając jednocześnie ogromną nierównowagę pomiędzy prawami podmiotów danych, a prawami (i obowiązkami) administratorów danych zdecydowanie na niekorzyść tych ostatnich. Jeśli bowiem w art. 7 ust.4 Rozporządzenia ustawodawca arbitralnie rozstrzyga, że zgoda nie stanowi podstawy prawnej przetwarzania w sytuacji poważnej nierówności między podmiotem danych a administratorem. Cóż to zatem oznacza? Po pierwsze to, iż w pewnych przypadkach może dojść do sytuacji kiedy to ktoś inny (organ nadzorczy?), niż podmiot danych zdecyduje, że udzielona zgoda nie może stanowić podstawy prawnej przetwarzania, bo udzielona została w sytuacji poważnej nierówności (notabene: jak zmierzyć poważną nierówność?), pomimo, że podmiot danych tak nie uznawał i nie wycofywał zgody. Czy zatem ma wolną wolę i świadomość tego, na co się godził, czy nie? Przecież Rozporządzenie (ale również obowiązująca Dyrektywa) pozwala każdemu podmiotowi na wycofanie zgody. Podmiot niezadowolony z przetwarzania jego danych w każdej chwili może zgodę odwołać. Wtedy korzysta z autonomii woli. Gdy czyni to za niego arbitralnie niezależny organ powstaje pytanie na ile nie narusza to praw jednostki?. Poza tym aspektem pozostaje jeszcze kwestia identyfikowania stanu nierównowagi. W większości relacji podmiot danych - administrator, w szczególności w przypadku administratorów danych świadczących usługi dla masowych odbiorców w oparciu o wzorce umów i regulaminy, np. banki, operatorzy telekomunikacyjni, przewoźnicy z łatwością będzie można uznać, że przewagę w tym wypadku ma podmiot świadczący usługę. Klasycznym przykładem będzie też relacja pracodawca pracownik, która to relacja z mocy prawa opiera się na stosunku podporządkowania. Pozostawienie tego przepisu oznaczałoby, że jedyna podstawą przetwarzania danych pracownika byłyby przepisy prawa pracy, które z całą pewnością nie są dostosowane obecnie do realiów przetwarzania danych im potrzeb pracodawcy w tym zakresie. Ponadto takie rozwiązanie podważa postrzeganie konsumenta jako osoby świadomie korzystającej z własnych praw i swobodnie wyrażającej swoją wolę. Przyjęte jest raczej założenie, że zgoda jest wymuszona, co jak wspomnieliśmy wcześniej - stawia też administratora danych w pozycji niewiarygodnego partnera kontraktu, a tym samym podważa jego pozycję jako podmiotu uprawnionego do przetwarzania danych. Powyższy przykład obrazuje w sposób najbardziej wyrazisty podstawowy problem Rozporządzenia, jakim w naszej ocenie oczywista nierównowaga pomiędzy prawami, jakie przyznano podmiotowi danych, wkraczającymi wręcz w jego swobodną wolę w zakresie 2
3 dysponowania danymi, a nałożonymi na administratorów danych nadmiernymi, niewspółmiernymi do ochrony praw jednostki i generującymi trudne do oszacowania koszty, obowiązkami i bardzo restrykcyjnymi sankcjami za najmniejsze, nie niosące zagrożenia ani nie powodujące szkody dla jednostki naruszenie zasad przetwarzania danych. ODPOWIEDŹ NA PYTANIE 3 Odpowiadając na to pytanie na wstępie przekazujemy uwagi krytyczne o charakterze ogólnym, a potem uwagi szczegółowe. 1. Rozporządzenie powoduje stan niepewności prawa. Rozporządzenie jako akt bezwzględnie obowiązujący i nie pozostawiający państwom członkowskim żadnej swobody w dalszym regulowaniu materii objętych jego przedmiotem pozostawia jednocześnie niezwykle dużo kwestii otwartych, nieprecyzyjnie uregulowanych. Oddaje je do decyzji KE w ramach uprawnienia do wydawania przez KE aktów delegowanych. Skutkować to może, po pierwsze: odłożeniem w czasie uregulowania niezwykle ważnych i skutkujących poważnymi sankcjami finansowymi dla administratorów danych postanowień, po drugie: powodować będzie permanentny stan niepewności prawnej: z jednej strony administratorzy nie będą wiedzieli jak się zachowywać, jak postępować, bo nie będzie jeszcze przepisów szczególnych wydanych przez KE, a drugiej strony obowiązywać już będą przepisy Rozporządzenia dotyczące kar i sankcji administracyjnych nakładanych na administratorów. Takie rozwiązanie uznać należy za wysoce niezadowalające, groźne, nieprzewidywalne w skutkach (w szczególności finansowych dla administratorów) oraz rodzi pytanie: czy tak poważna w skutkach dla funkcjonowania biznesu regulacja może być częściowo wyłączona spod kontroli Parlamentu Europejskiego i społeczeństwa? Jesteśmy za jak najszerszym i najbardziej precyzyjnym uregulowaniem, wszystkich spraw w Rozporządzeniu i ewentualnym pozostawieniu kwestii o charakterze czysto technicznym do uregulowania w ramach aktów delegowanych KE. 2. Konflikt Rozporządzenia z obowiązującymi przepisami: Rozporządzenie w niektórych jego fragmentach może powodować konflikt z obowiązującymi przepisami prawa, w szczególności na przykład z przepisami Prawa bankowego, przewidującymi szczególną ochronę informacji stanowiących tajemnicę bankową. Przykładem takiego potencjalnego konfliktu jest przepis art. 15 ust.2 Rozporządzenia nakazujący administratorowi danych udostępnienie informacji w formie elektronicznej jeśli podmiot danych tego zażąda. Nie zawsze możliwe będzie zidentyfikowanie takiej osoby i potwierdzenie jej tożsamości, a udostępnienie informacji stanowiących tajemnicę bankową osobie nieuprawnionej podlega odpowiedzialności karnej. Podobnie oczywista sprzeczność zaistnieje pomiędzy przepisem art. 20 Rozporządzenia, który co do zasady wprowadza zakaz automatycznego przetwarzania 3
4 danych w celu oceny osoby, a przepisami Dyrektywy 2006/48/WE 14 czerwca 2006 r. w sprawie podejmowania i prowadzenia działalności przez instytucje kredytowe oraz Dyrektywy 2006/49/WE z dnia 14 czerwca 2006 r. w sprawie adekwatności kapitałowej firm inwestycyjnych i instytucji kredytowych, które to przepisy wprowadzają specyficzne dla sektora bankowego obowiązki w zakresie obliczania wymogów kapitałowych i szacowania ryzyka banku, oparte na metodach (modelach) statystycznych, wśród których występuje również scoring, czyli ocena punktowa, służąca bankom także do oceny wiarygodności kredytowej kredytowej potencjalnego kredytobiorcy. 3. Przepisy Rozporządzenia nie są w pełni adekwatne do wszystkich sektorów gospodarki. Rozporządzenie przygotowywane było przede wszystkim z myślą o uregulowaniu i wzmocnieniu przetwarzania danych w dobie gospodarki cyfrowej (jak wskazano w komunikacje Komisji z dnia 25 stycznia 2012 r.). Jak powiedziała Pani Viviane Reding Rozporządzenie ma na celu zbudowanie zaufania do usług on-line. Koncentrowano się zatem na ochronie danych osobowych przetwarzanych przez sektor IT, w szczególności na portalach internetowych, portalach dyskusyjnych, społecznościowych. Jakkolwiek widzimy potrzebę wprowadzenia jasnych reguł tym zakresie, to jednak obawiamy się skutków braku uwzględnienia w Rozporządzeniu specyfiki poszczególnych branż biznesu. Mamy takie spostrzeżenie, że wymogi dotyczące uregulowania przetwarzania danych w portalach internetowych czy przy sprzedaży on-line, jak np. prawo do bycia zapomnianym i usunięcia danych, czy prawo do przenoszenia danych rozciąga się na wszystkie inne podmioty gospodarcze, które takiej specyfiki działania nie mają. Takie podejście może spowodować bardzo poważne konsekwencje na przykład w sektorze bankowym: brak możliwości automatycznej oceny (scoring) opóźni znacznie proces kredytowania, a prawo do bycia zapomnianym może powodować usunięcie danych historycznych niezbędnych do oceny wiarygodności kredytowej, co spowoduje poważne zagrożenie udzielenia kredytu osobom bez historii kredytowej, ale które miały wobec banków zaległości ze spłatą kredytu, a które korzystając z prawa do bycia zapomnianym spowodowały usunięcie tych danych z rejestrów kredytowych. Uwagi krytyczne szczegółowe: Art. 4 pkt. ( 2) definicja danych osobowych jest zbyt szeroka i nieprecyzyjna. Postulujemy zmianę tej definicji, która uwzględniałaby m.in. fakt, że nie wszystkie dane pozwalają na jednoznaczną identyfikację osoby, np. adres IP (z jednego korzysta więcej niż jedna osoba), czy dane dotyczące lokalizacji. Proponowana zmiana: Dane osobowe- oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Danymi osobowymi nie są takie dane, które w sposób jednoznaczny nie pozwalają na identyfikację osoby oraz dane, których użycie wymagałoby nadmiernych kosztów, czasu lub działań.. 4
5 W ślad za tym postulujemy zmianę definicji podmiotu danych (art.4 pkt.(1) podmiot danych: oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio za pomocą środków, które z rozsądnym prawdopodobieństwem mogą być użyte przez administratora, a których użycie nie wymaga nadmiernych kosztów, czasu lub działań. Art. 4 ust. 9 - postulujemy zmianę definicji naruszenia ochrony danych osobowych, która jest obecnie zbyt szeroka, a zważywszy na istniejący w art. 31 jednoznaczny obowiązek administratora danych zgłoszenia każdorazowego przypadku naruszenia ochrony danych osobowych bez nieuzasadnionej zwłoki i jeśli jest to możliwe nie później niż 24 godziny od momentu dowiedzenia sie o tym naruszeniu, oznaczać to może bardzo poważne sankcje dla administratorów nawet w przypadku, gdy nastąpił jakiś problem techniczny nie skutkujący de facto jakąkolwiek szkodą po stronie podmiotu danych. Proponujemy zatem: naruszenie ochrony danych osobowych oznacza takie naruszenie bezpieczeństwa, które doprowadziło do bezpowrotnej utraty danych, ich zniszczenia lub ujawnienia osobom nieupoważnionym o trudnych do przewidzenia skutkach. Art. 5 pkt c - zdecydowanie sprzeciwiamy się wprowadzeniu pojęcia ograniczone do niezbędnego minimum. Kto bowiem oceniał będzie niezbędne minimum? Na gruncie obecnie obowiązującej ustawy w praktyce dochodziło do sytuacji kiedy to inne organy oceniały jakie dane mogą być przetwarzane, np. przy ocenie zdolności kredytowej. To banki powinny oceniać jakie dane są niezbędne do tej oceny, bo one finalnie za tę ocenę (jej prawidłowość) odpowiadają. Ogólność i wielość kryteriów, jakie przetwarzanie danych musiałoby spełniać zgodnie z projektem rozporządzenia pogłębi istniejący już spór pomiędzy administratorami danych a organami nadzorczymi. Sytuacja jest bardziej skomplikowana, jeśli chodzi o osobę fizyczną prowadzącą działalność gospodarczą. Osoba ta odpowiada całym swoim majątkiem osobistym za zobowiązania z tytułu prowadzonej działalności. Zatem przetwarzanie danych takiej osoby powinno być w zakresie szerszym, niż np. wynikałoby to z danych zawartych w Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Proponujemy pozostawienie wyłącznie sformułowanie: merytorycznie poprawne i adekwatne do celów, w jakich są przetwarzane. Art. 7 pkt 4 - stanowczo opowiadamy się za wykreśleniem tego punktu jako rażąco naruszającego równowagę stron, pozycjonującego administratora danych jako podmiotu mającego przewagę i tym samym niewiarygodnego jeśli chodzi o podstawę przetwarzania przez niego danych osobowych. Jak wskazaliśmy wyżej w większości relacji podmiot danych - administrator, w szczególności w przypadku administratorów danych świadczących usługi dla masowych odbiorców w oparciu o wzorce umów i regulaminy, np. banki, operatorzy 5
6 telekomunikacyjni, przewoźnicy z łatwością będzie można uznać, że przewagę w tym wypadku ma podmiot świadczący usługę. Klasycznym przykładem będzie też relacja pracodawca pracownik, która to relacja z mocy prawa opiera się na stosunku podporządkowania. Pozostawienie tego przepisu oznaczałoby, że jedyną podstawą przetwarzania danych pracownika byłyby przepisy prawa pracy, które z całą pewnością nie są dostosowane obecnie do realiów przetwarzania danych im potrzeb pracodawcy w tym zakresie. Art. 11 zawiera szereg niejednoznacznych i nieprecyzyjnych wymogów w zakresie polityk (dlaczego polityk, a nie polityki?) przetwarzania danych osobowych oraz przekazywania komunikatów i informacji podmiotom danych. Z tego względu proponujemy wykreślenie nieostrych sformułowań: W ust.1 wykreślić przejrzystymi W ust.2 wykreślić: dostosowane do potrzeb podmiotu danych Art. 12 artykuł ten nakłada na administratorów danych bardzo poważne obowiązki, skutkujące poważnymi obciążeniami finansowymi. Jeśli służyć one mają wykonywaniu przez podmioty danych m.in. prawa do informacji, to administratorzy danych powinni mieć możliwość pobierania opłat za udostępnienie informacji w wysokości, która odpowiadałaby kosztom związanym z wygenerowaniem i przekazaniem informacji (np koszty administracyjne związane z przygotowaniem i wysyłką informacji dla pytającego, w tym koszt przesyłki poleconej). Powinno to dotyczyć każdorazowego udostępnienia informacji, a nie jak stanowi ust.4 tego artykułu tylko w przypadku kiedy wnioski są wyraźnie przesadne jakkolwiek nieprecyzyjnie to brzmi. Dodatkowo zwracamy uwagę na podniesiony już w uwagach ogólnych problem obowiązku udostępniania informacji on-line - jeśli podmiot danych sobie tego życzy. Pojawia się tu niebezpieczeństwo braku identyfikacji osoby co do tożsamości i tym samym zagrożenie udostępnienia danych prawnie chronionych osobie nieuprawnionej. Art. 13 jest całkowicie nadmiarowy, w żaden sposób nie przynosi dodatkowych wartości dla podmiotu danych, a spowodować może u administratorów bardzo poważne koszty, niewspółmierne do celu, jaki przewiduje ten przepis i do ewentualnych korzyści podmiotu danych. Proponujemy usunięcie tego przepisu. Art. 14. proponujemy wykreślenie z ustępu 1 słów co najmniej oraz wykreślenie lit. h). 6
7 Przy tak szerokich obowiązkach informacyjnych i zagrożeniu wysokimi sankcjami, konieczne jest zastosowanie zamkniętego katalogu informacji, jakie administrator zobowiązany jest przekazać. Za całkowicie niepotrzebny i obciążający podmiot danych nadmierna informacją uznać należy obowiązek przekazywania postanowień umów i warunków ogólnych, przewidziany w art. 14 ust.1 lit. b) proponujemy wykreślenie fragmentu w brzmieniu: w tym postanowienia umów i warunków ogólnych jeśli przetwarzanie odbywa się na podstawie art. 6 ust.1 lit. b). Art możliwość uzyskania od administratora na wniosek podmiotu danych złożony w dowolnym momencie informacji na temat przetwarzania danych oraz delegacja dla Komisji do opracowania szczegółów może spowodować, że administratorzy do czasu określenia szczegółowych formularzy i wskazania terminu na odpowiedź będą obciążani duża ilością takich wniosków (obecnie wniosek raz na 6 miesięcy, odpowiedź administratora w terminie miesiąca). Negatywnie należy ocenić brak jakiegokolwiek ograniczenia czasowego, co do okresu, w którym podmiot informacji może wnosić o informację czy i w jakim zakresie jego dane są przetwarzane. Dodatkowo zwracamy uwagę na ust.2 przewidujący możliwość udostępniania danych w formie elektronicznej- problem identyfikacji jak w art.12. Art. 17 Prawo do bycia zapomnianym w naszej ocenie klasyczny przykład nierównowagi stron na niekorzyść administratora danych. Wydaje się, iż przepis ten jest w praktyce niemożliwy w realizacji, w szczególności w zakresie obowiązku poinformowania osób trzecich o wniosku podmiotu danych. Przepis w naszej ocenie jest raczej ideowy, niż mający praktyczne znaczenie ( w sensie możliwości jego realizacji). Natomiast niezwykle groźna i niewspółmierna jest kara nakładana na administratora w wysokości 2 % obrotów. Dodatkowo zawarty w art. 17 ust. 7 obowiązek wdrożenia mechanizmów służących zapewnieniu przestrzegania terminów usunięcia danych osobowych związany będzie z dużymi kosztami po stronie administratora, m.in. polegającymi na modyfikacji systemów. Art wprowadzenie prawa podmiotu danych do przenoszenia danych rodzi bardzo poważne koszty po stronie administratorów danych. Dlatego jeśli przepis ten miałby być utrzymany postulujemy zdecydowanie odpłatność na rzecz administratora danych za taką usługę. Postulowalibyśmy zmianę ust.2 tego artykułu przez dodanie po wyrażeniu: ma prawo wyrażenia: bez obciążania go nadmiernymi kosztami przez administratora 7
8 Art. 23 projektu pojawia się pytanie czy system zaproponowany przez Komisję będzie system opt-in czy opt out. Należ poprzeć system opt-out, jako zgodny z marketingiem w bankowości. Zmiana podejścia do zgody marketingowej z opcji opt-out na opt-in wymagać będzie zmian we wnioskach oraz procedurach bankowych. Art. 23 przewidziany obowiązek uwzględnienia najnowszych osiągnięć technicznych przy projektowaniu środków niezbędnych do przetwarzania danych budzi wątpliwości ze względu na brak kryteriów oceny, jakie są najnowsze osiągnięcia techniczne. Należy doprecyzować ten zwrot ograniczając nowości techniczne do powszechnie dostępnych. Ponadto, delegacja dla Komisji do wydawania aktów delegowanych, określona w art. 30 ust. 3 nie daje gwarancji oceny najnowszych osiągnięć technicznych do czasu wydania regulacji w tym zakresie. Art dotyczący zgłoszenia naruszenia ochrony danych osobowych do DPA w terminie 24 godzin. Postulujemy konsekwentnie jak w komentarzu do art. 4 p (.9) - zawężenie obowiązku powiadamianie do istotnych naruszeń, które mogą spowodować szkodę dla podmiotu danych Konsekwentnie pozostałe wymogi przewidziane w tym artykule powinny dotyczyć tylko istotnych naruszeń, jak np. przewidziany w ust.4 obowiązek sporządzania dokumentacji dotyczącej wszelkich naruszeń. Art 32 - postuluje się usunąć przepis pozostawiając obowiązek zgłoszenia bez nieuzasadnionej zwłoki. Powstaje również pytanie, co DPA uczyni ze zgłoszeniem, ponieważ nie zostało określone jaki skutek będzie miało zgłoszenie. Art. 33 postulujemy usunięcie tego artykułu. Nie przynosi on żadnych korzyści dla podmiotu danych, a spowoduje kolejne potężne obciążenia finansowe dla administratorów danych, zwłaszcza dla małych i średnich przedsiębiorstw. Jest to typowy przykład nadmiernych obciążeń biurokratycznych nakładanych na przedsiębiorców. Artykuły 35, 36 oraz 37 całkowicie niezrozumiałe tworzenie nowego stanowiska Inspektora Ochrony Danych, z szeregiem niczym nieuzasadnionych przywilejów (jak nieusuwalność z urzędu przez dwa lata, czy całkowita niezależność od Zarządu) przy braku jakiejkolwiek odpowiedzialności. Odpowiedzialnym za nieprawidłowe przetwarzanie danych pozostaje nadal Zarząd firmy! Postulujemy zasadniczą zmianę tych artykułów i przywrócenie odpowiednich relacji w zakresie uprawnień i obowiązków i związanej z tym odpowiedzialności 8
9 za przestrzeganie przepisów przetwarzania danych lub powrót do znanych już regulacji i utrzymania funkcji Administratora Bezpieczeństwa Informacji jak to jest obecnie. Art. 72 Rada Ochrony Danych niejasne są przyczyny tworzenia nowego organu zastępującego (prawdopodobnie?) Grupę art. 29, mającego jedynie uprawnienia konsultacyjne. Wątpliwości budzi zgodność utworzenia tego ciała z zasadami pomocniczości. Koordynatorem działań organów nadzorczych na polu międzynarodowym mógłby być Europejski Inspektor Ochrony Danych osobowych. Czy to nowe ciało nie jest zatem dublowaniem funkcji Europejskiego Inspektora Ochrony Danych osobowych? Dlaczego obrady Rady Ochrony Danych są Poufne? W kontekście niezależności tego podmiotu budzi to poważne wątpliwości Powołanie Rady byłoby uzasadnione, jeśli jej naczelna funkcją byłoby zapewnienie jednolitego stosowania rozporządzenia oraz opiniowanie aktów delegowanych pod kątem tej jednolitości. Zasadne byłoby doprecyzowanie, że Rada pełni funkcje doradcze wobec KE Dlaczego obrady Rady Ochrony Danych są Poufne? W kontekście niezależności tego podmiotu budzi to poważne wątpliwości. Art. 73 ust. 2 i 3 - pozwala dowolnym organizacjom, które przyjmą miano organizacji chroniącej prawa podmiotów danych na składanie skarg do organów nadzorczych w imieniu jednego lub większej liczby podmiotów jeżeli arbitralnie uznają, że prawa podmiotu zostały naruszone! Jest to bardzo niebezpieczny przepis, budzący wątpliwości o jego zgodność z konstytucją. Naruszający prawo do sprawiedliwego sądu. Stawiający w całkowitej nierównowadze administratora danych w stosunku do podmiotów danych. Przepis ten powoduje trudne do przewidzenia skutki: mnogość tworzących się ad hoc organizacji broniących interesów podmiotów danych, lawinę skarg, mnogość postępowań, i.t.p.. Prawo do sądowego środka ochrony prawnej przeciwko organowi nadzorczemu powinno przysługiwać też osobie prawnej. Proponujemy dopisanie w art. 74 ust.2 i 4 osoby prawnej. Art. 79 przepis wysoce restrykcyjny, szczególnie w sytuacji braku pewności prawa, o czym pisaliśmy na wstępie. Przy tak szerokiej delegacji dla KE do wydania w przyszłości aktów delegowanych spowoduje on trudne do przewidzenia w skutkach konsekwencje finansowe dla firm. Spowoduje to również brak pewności obrotu gospodarczego. Przewidywane kary są nieproporcjonalne do rentowności przedsiębiorstw w poszczególnych państwach członkowskich. Niezbędne jest wprowadzenie fazy przejściowej pomiędzy poinformowaniem administratorów i przetwarzających danych o naruszeniu a faktycznym nałożeniu sankcji. Naszym zdaniem wprowadzenie fazy pośredniej mogłoby zostać dokonane poprzez rozszerzenie procedury z punktu 3 artykułu 79. procedura ostrzegawcza powinna mieć zastosowanie do wszystkich administratorów danych. Art.84 proponujemy wykreślenie tego artykułu. Postanowienia artykułu mogą prowadzić do ingerowania organów nadzorczych w kompetencje niektórych administratorów w zakresie zasadności gromadzenia danych np. w toku oceny zdolności kredytowej. Widzimy tutaj 9
10 niebezpieczeństwo dyskryminacyjnego traktowania niektórych podmiotów w zakresie nakładanych na nich obowiązków. Proponujemy, np. w art. 85 wprowadzenie jednoznacznej regulacji przesądzającej o tym, iż jeśli przepisy dotyczące przetwarzania informacji o charakterze szczególnym, np. w zakresie tajemnicy bankowej przewidują dalej idącą ochronę, niż wynika to z Rozporządzenia, to stosuje się te przepisy. Art dwuletni termin vacatio legis uznajemy za nadmiernie krótki, szczególnie w kontekście wielości aktów delegowanych z bliżej nieokreślonym terminem ich wejścia w życie. 10
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH dr Edyta Bielak-Jomaa Warszawa, dnia 12 maja 2016 r. DOLiS-033-133/16 Podsekretarz Stanu w Ministerstwie Spraw Wewnętrznych i Administracji w związku z zamieszczeniem
Warszawa, 13 czerwca 2013r. Do Zarządu Krajowego Związku Banków Spółdzielczych OPINIA PRAWNA
Warszawa, 13 czerwca 2013r. Do Zarządu Krajowego Związku Banków Spółdzielczych OPINIA PRAWNA Dot. poselskiego projektu Prawo spółdzielcze (druk sejmowy nr 980). Zgodnie z treścią uzasadnienia projektu
Warszawa, 6 kwietnia 2012 r. Uwagi Fundacji PANOPTYKON do projektu dyrektywy Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez właściwe organy
U Z A S A D N I E N I E Projektowane zmiany ustawy z dnia 28 marca 2003 r. o transporcie kolejowym oraz ustawy z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym wynikają z zobowiązania RP, przesłanego
Warszawa, dn. 27 stycznia 2017 r. Szanowny Pan Piotr Nowak Podsekretarz Stanu w Ministerstwie Finansów Dotyczy: projektu rozporządzenia Ministra Finansów w sprawie sposobu, trybu oraz warunków prowadzenia
Administrator Bezpieczeństwa Informacji ( aktualny stan prawny oraz propozycje przyszłych rozwiązań )
Administrator Bezpieczeństwa Informacji ( aktualny stan prawny oraz propozycje przyszłych rozwiązań ) Administrator bezpieczeństwa informacji ( w skrócie zwany ABI ) jest instytucją wywodzącą się bezpośrednio