Source: http://cyfroteka.pl/ebooki/Ustawa_o_ochronie_danych_osobowych__Komentarz-ebook/p0203564i020
Timestamp: 2019-10-18 09:45:37
Legal References Found: Art. 1
 Art. 2
 Art. 3
 Art. 3
 Art. 4
 Art. 5
 Art. 6
 Art. 7
 Art. 8
 Art. 9
 Art. 10
 Art. 11
 Art. 12
 Art. 12
 Art. 13
 Art. 14
 Art. 15
 Art. 16
 Art. 17
 Art. 18
 Art. 19
 Art. 19
 Art. 20
 Art. 21
 Art. 22
 Art. 22
 Art. 23
 Art. 24
 Art. 25
 Art. 26
 Art. 26
 Art. 27
 Art. 28
 Art. 29
 Art. 31
 Art. 31
 Art. 32
 Art. 33
 Art. 34
 Art. 35
 Art. 36
 Art. 37
 Art. 38
 Art. 39
 Art. 39
 Art. 40
 Art. 41
 Art. 42
 Art. 43
 Art. 44
 Art. 44
 Art. 45
 Art. 46
 Art. 46
 Art. 47
 Art. 48
 Art. 49
 Art. 50
 Art. 51
 Art. 52
 Art. 53
 Art. 54
 Art. 54
 Art. 55
 Art. 61
 Art. 62
 art. 448
 art. 448
 Art. 29
sui generis
 art. 29
 art. 29
 art. 2
 art. 16
 art. 286
 art. 47
 art. 51
 art. 51
 art. 68
 art. 5
 Art. 1
 art. 47
 art. 51
 art. 51
 art. 51
 art. 8
 art. 31
 art. 31
 Art. 2
 art. 2
 art. 2
 art. 2
 art. 7
 art. 2
 art. 7
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 7
 art. 2
 art. 2
 art. 7
 art. 2
 art. 2
 art. 2
 art. 7
 art. 2
 art. 2
 art. 2
 art. 47
 art. 23
 art. 6
sui generis
sui generis
 art. 2
 art. 2
 art. 2
 art. 2
 art. 3
 art. 2
 art. 2
 art. 2
 art. 16
 art. 40
 art. 32
 art. 36
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 2
 art. 26
 art. 2
 Art. 2
 Art. 3
 Art. 3
 Art. 7

Document Content:
00446 028358 15680371 na godz. na dobę w sumie
Autor: Paweł Barta, Paweł Litwiński Liczba stron: 377
ISBN: 978-83-255-5644-0 Data wydania: 2014-06-20
Wydawca: Wioleta Beczek Skład i łamanie: C.H. Beck © Wydawnictwo C.H. Beck 2013 ISBN 978-83-255-5644-0 Wydawnictwo C.H. Beck Sp. z o.o. ul. Bonifraterska 17, 00-203 Warszawa www.księgarnia.beck.pl Konwersja: eLitera s.c.
Spis treści Wykaz skrótów Wykaz literatury A. Ustawa o ochronie danych osobowych Rozdział 1. Przepisy ogólne Wprowadzenie Art. 1. Prawo do ochrony Art. 2. Przedmiot regulacji Art. 3. Zakres stosowania Art. 3a. Wyłączenie stosowania Art. 4. Wyłączenie stosowania Art. 5. Odesłanie Art. 6. Objaśnienia Art. 7. Słowniczek Rozdział 2. Organ ochrony danych osobowych Wprowadzenie Art. 8. Generalny Inspektor Art. 9. Ślubowanie Art. 10. Ograniczenia prowadzenia działalności Art. 11. Immunitet; odpowiedzialność karna Art. 12. Zadania Art. 12a. Zastępca Generalnego Inspektora Art. 13. Biuro Generalnego Inspektora Art. 14. Uprawnienia inspektorów Art. 15. Umożliwienie kontroli Art. 16. Protokół z czynności kontrolnych Art. 17. Upoważnienie Art. 18. Naruszenie przepisów Art. 19. Zawiadomienie o popełnieniu przestępstwa Art. 19a Wystąpienia Art. 20. Sprawozdanie Art. 21. Wniosek o ponowne rozpatrzenie Art. 22. Stosowanie KPA Art. 22a. Upoważnienie dla ministra Rozdział 3. Zasady przetwarzania danych osobowych Art. 23. Dopuszczalność przetwarzania danych Art. 24. Obowiązki administratora danych Art. 25. Rozszerzenie Art. 26. Nakaz zachowania szczególnej staranności Art. 26a. Niedopuszczalność ostatecznych rozstrzygnięć Art. 27. Zakaz przetwarzania danych Art. 28. Numery porządkowe Art. 29–30. (uchylone) Art. 31. Powierzenie przetwarzania danych Art. 31a. Obowiązek wyznaczenia przedstawiciela w RP Rozdział 4. Prawa osoby, której dane dotyczą Wprowadzenie Art. 32. Prawo do kontroli przetwarzania danych Art. 33. Obowiązek informowania Art. 34. Odesłanie Art. 35. Obowiązek uzupełnienia i sprostowania danych Rozdział 5. Zabezpieczenie danych osobowych Wprowadzenie Art. 36. Środki zapewniające ochronę danych Art. 37. Upoważnienie do przetwarzania danych Art. 38. Kontrola przetwarzania danych Art. 39. Osoby zatrudnione przy przetwarzaniu danych Art. 39a. Upoważnienie dla ministra Rozdział 6. Rejestracja zbiorów danych osobowych Wprowadzenie Art. 40. Zgłoszenie zbioru danych do rejestracji Art. 41. Rozwinięcie Art. 42. Zasada jawności rejestru Art. 43. Zwolnienie z obowiązku rejestracji Art. 44. Odmowa rejestracji Art. 44a. Przyczyny wykreślenia danych z rejestru Art. 45. (uchylony) Art. 46. Rozpoczęcie przetwarzania danych Art. 46a. Upoważnienie dla ministra Rozdział 7. Przekazywanie danych osobowych do państwa trzeciego Wprowadzenie Art. 47. Zasady przekazywania danych Art. 48. Zgoda na przekazywanie danych za granicę Rozdział 8. Przepisy karne Wprowadzenie Art. 49. Przetwarzanie danych przez nieuprawnionego Art. 50. (uchylony) Art. 51. Udostępnianie danych osobom nieuprawnionym Art. 52. Naruszenie obowiązku zabezpieczenia danych Art. 53. Niezgłoszenie danych do rejestru Art. 54. Niedopełnienie obowiązku poinformowania Art. 54a. Udaremnianie wykonania czynności kontrolnej Rozdział 9. Zmiany w przepisach obowiązujących, przepisy przejściowe i końcowe Art. 55–60. (pominięte) Art. 61. Rejestrowanie dotychczas istniejących zbiorów Art. 62. Wejście w życie Odnośnik 1. B. Akty prawne 1. Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych 2. Rozporządzenie (WE) Nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych 3. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych 4. Rozporządzenie Prezydenta Rzeczypospolitej Polskiej z dnia 10 października 2011 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych 5. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych 6. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych Przypisy
Wykaz skrótów 1. Źródła prawa DzUbezpU ustawa z 22.5.2003 r. o działalności ubezpieczeniowej (t.j. Dz.U. z 2010 r. Nr 11, poz. 66 ze zm.) dyrektywa 95/46 WE dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.Urz. WE L Nr 281, s. 31 ze zm.) EgzAdmU ustawa z 17.6.1966 r. o postępowaniu egzekucyjnym w administracji (t.j. Dz.U. z 2012 r. poz. 1015 ze zm.) EKPC Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności podpisana 4.11.1950 r. (Dz.U. z 1993 r. Nr 61, poz. 284 ze zm.) EwidLudU ustawa z 10.4.1974 r. o ewidencji ludności i dowodach osobistych (t.j. Dz.U. 2006 r. Nr 139, poz. 993 ze zm.) GospU ustawa z 23.12.1988 r. o działalności gospodarczej (Dz.U. Nr 41, poz. 324 ze zm.) – obecnie nie obowiązuje KC ustawa z 23.4.1964 r. – Kodeks cywilny (Dz.U. Nr 16, poz. 93 ze zm.) KK ustawa z 6.6.1997 r. – Kodeks karny (Dz.U. Nr 88, poz. 553 ze zm.) Konstytucja RP Konstytucja Rzeczypospolitej Polskiej z 2.4.1997 r. (Dz.U. Nr 78, poz. 483 ze zm.) KP ustawa z 26.6.1974 r. – Kodeks pracy (t.j. Dz.U. z 1998 r. Nr 21, poz. 94 ze zm.) KPA ustawa z 14.6.1960 r. – Kodeks postępowania administracyjnego (t.j. Dz.U. z 2013 r. poz. 267) KRO ustawa z 25.2.1964 r. – Kodeks rodzinny i opiekuńczy (t.j. Dz.U. z 2012 r. poz. 788 ze zm.) KRSU ustawa z 20.8.1997 r. o Krajowym Rejestrze Sądowym (t.j. Dz.U. z 2007 r. Nr 168, poz. 1186 ze zm.) OchrDanOsU ustawa z 29.8.1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) OrdPod ustawa z 29.8.1997 r. – Ordynacja podatkowa (t.j. Dz.U. z 2012 r. poz. 749 ze zm.) PostAdmU ustawa z 30.8.2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2012 r. poz. 270 ze zm.) PrAut ustawa z 4.2.1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2006 r. Nr 90, poz. 631 ze zm.) PrBank ustawa z 29.8.1997 r. – Prawo bankowe (t.j. Dz.U. z 2012 r. poz. 1376 ze zm.) PrPras ustawa z 26.1.1984 r. – Prawo prasowe (Dz.U. Nr 5, poz. 24 ze zm.) PrTelekom ustawa z 16.7.2004 r. – Prawo telekomunikacyjne (Dz.U. Nr 171, poz. 1800 ze zm.) PrTymU ustawa z 9.7.2003 r. o zatrudnianiu pracowników tymczasowych (Dz.U. Nr 166, poz. 1608 ze zm.) SamGmU ustawa z 8.3.1999 r. o samorządzie gminnym (t.j. Dz.U. z 2013 r. poz. 594) SamPowU ustawa z 5.6.1998 r. o samorządzie powiatowym (t.j. Dz.U. z 2013 r. poz. 595) SamWojU ustawa z 15.6.1998 r. o samorządzie województwa (t.j. Dz.U. z 2013 r. poz. 596) SwobDziałGospU ustawa z 2.7.2004 r. o swobodzie działalności gospodarczej (t.j. Dz.U. z 2013 r. poz. 672 ze zm.) TUE Traktat o Unii Europejskiej (Dz.U. z 2004 r. Nr 90, poz. 864/30 ze zm.) TFUE Traktat o Funkcjonowaniu Unii Europejskiej (Dz.Urz. UE z 2008 r. C Nr 115, s. 47) TWE Traktat ustanawiający Wspólnotę Europejską (Dz.U. z 2004 r. Nr 90, poz. 864/2 ze zm.) UsElU ustawa z 18.7.2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204 ze zm.) 2. Organy, instytucje i organizacje ETPC Europejski Trybunał Praw Człowieka TSUE Trybunał Sprawiedliwości Unii Europejskiej GIODO Generalny Inspektor Ochrony Danych Osobowych KRS Krajowy Rejestr Sądowy NSA Naczelny Sąd Administracyjny RPO Rzecznik Praw Obywatelskich SA Sąd Apelacyjny SKO Samorządowe Kolegium Odwoławcze SN Sąd Najwyższy TK Trybunał Konstytucyjny WSA Wojewódzki Sąd Administracyjny 3. Publikatory i czasopisma BSN Biuletyn Sądu Najwyższego Dz.U. Dziennik Ustaw Dz.Urz. Dziennik Urzędowy EPS Europejski Przegląd Sądowy FK Finanse Komunalne KPP Kwartalnik Prawa Prywatnego KZS Krakowskie Zeszyty Sądowe MoP Monitor Prawniczy ONSA Orzecznictwo Naczelnego Sądu Administracyjnego OSG Orzecznictwo Sądów Gospodarczych OSNAPiUS Orzecznictwo Sądu Najwyższego Zbiór Urzędowy Izba Administracyjna, Pracy i Ubezpieczeń Społecznych OSNAiWSA Orzecznictwo Naczelnego Sądu Administracyjnego i Wojewódzkich Sądów Administracyjnych OSNKW Orzecznictwo Sądu Najwyższego Izba Karna i Wojskowa OSS Orzecznictwo w Sprawach Samorządowych OTK Orzeczenia Trybunału Konstytucyjnego OTK-A Orzeczenia Trybunału Konstytucyjnego – Seria A Pal. Palestra PiP Państwo i Prawo PiZS Praca i Zabezpieczenia Społeczne PN Przegląd Notarialny PPA Przegląd Prawa i Administracji PPH Przegląd Prawa Handlowego Prz. Sejm. Przegląd Sejmowy PS Przegląd Sądowy PUG Przegląd Ustawodawstwa Gospodarczego Rej Rejent R. Pr. Radca Prawny RPEiS Ruch Prawniczy, Ekonomiczny i Socjologiczny Rzeczp. Rzeczpospolita SP Studia Prawnicze ST Samorząd Terytorialny Wok. Wokanda Zb. Orz. Zbiór Orzeczeń Trybunału Sprawiedliwości Wspólnot Europejskich 4. Inne skróty ABI Administrator bezpieczeństwa informacji ang. angielska (-ie, -y) art. artykuł aut. autor cyt. cytat, cytowana (-e, -y) cz. część EOG Europejski Obszar Gospodarczy lit. litera m.in. między innymi nast. następna (-e, -y) niepubl. niepublikowana (-e, -y) np. na przykład Nr numer orz. orzeczenie pkt punkt por. porównaj post. postanowienie przyp. przypis r. rok s. strona t.j. tekst jednolity tj. to jest tzw. tak zwana (-e, -y) uchw. uchwała ust. ustęp w zw. z w związku z ww. wyżej wymienione wyr. wyrok zd. zdanie ze zm. ze zmianami zob. zobacz
Wykaz literatury B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005 B. Adamiak, J. Borkowski, Polskie postępowanie administracyjne i sądowoadministracyjne, Warszawa 2000 A. Adamski, Prawo karne komputerowe, Warszawa 2000 D. Bainbridge, EC Data Protection Directive, Londyn–Dublin–Edynburg 1996 B. Banaszak, K. Wygoda, Regulacja prawna ochrony danych osobowych w Polsce w świetle ustawy z 29.8.1997 r. i standardów europejskich, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 J. Barcz (red.), Prawo Unii Europejskiej, Warszawa 2004 P. Barta, Przetwarzanie danych osobowych w kancelariach radców prawnych, Radca Prawny 2011, Nr 119 J. Barta, M. Czajkowska-Dąbrowska, Z. Ćwiąkalski, R. Markiewicz, E. Traple, Prawo autorskie i prawa pokrewne. Komentarz, Kraków 2005 J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2004, 2007, 2011 P. Barta, P. Litwiński, Dane objęte tajemnicą zawodową, w: Prawo reklamy i promocji (red. E. Traple), Warszawa 2007 J. Barta, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2002 J. Barta, R. Markiewicz, Pytania i wątpliwości, Rzeczp. 22.1.2001 r. J. Barta, R. Markiewicz, Ustawa o ochronie baz danych. Komentarz, Kraków 2002 G. Bieniek, H. Ciepła, S. Dmowski, J. Gudowski, K. Kołakowski, M. Zychowicz, T. Wiśniewski, Cz. Żuławska, Komentarz do Kodeksu cywilnego. Księga trzecia. Zobowiązania, t. I, Warszawa 1996 A. Bierć, Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce – aspekty cywilnoprawne, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 S. Biernat, Wykładnia prawa krajowego zgodnie z prawem wspólnotowym, w: Implementacja prawa integracji europejskiej w krajowych porządkach prawnych (red. C. Mik), Toruń 1998 S. Biernat, Źródła prawa Unii Europejskiej, w: Prawo Unii Europejskiej (red. J. Barcz), Warszawa 2004 A. Błachnio-Parzych, Prawnokarna ochrona inspektora ochrony danych osobowych – przestępstwo udaremnienia lub utrudnienia kontroli przestrzegania przepisów o ochronie danych osobowych, MoP 2011, Nr 3 J. Boć, T. Kuta, Prawo administracyjne. Zagadnienia podstawowe, Warszawa 1984 J. Borowicz, Obowiązek prowadzenia przez pracodawcę dokumentacji osobowej i organizacyjnej z zakresu ochrony danych osobowych, PiZS 2001, Nr 3 M. Byczkowski, Polityka Bezpieczeństwa Informacji a ochrona danych osobowych. Ochrona nośników zawierających dane osobowe, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 10 L. A. Bygrave, Data Protection Law. Approaching Its Rationale, Logic and Limits, Haga–Londyn–Nowy Jork 2002 P. Carey, Data Protection, Oxford 2004 P. Carey, Data protection. A practical guide to UK and EU Law, Nowy Jork 2004 P. Carey, E-mail Addresses – are they Personal Data?, Entertainment Law Review 2000, Nr 1 W. Chróścielewski, Organ administracji publicznej w postępowaniu administracyjnym, Warszawa 2002 Z. Cieślik, Umowa administracyjna w państwie prawa, Kraków 2004 U. Dammann, S. Simitis, EG-Datenschutzrichtlinie, Kolonia 1999 S. Dmowski, S. Rudnicki, Komentarz do Kodeksu cywilnego. Księga pierwsza. Część ogólna, Warszawa 1999 P. Dobosz, J. Zimmermann (red.), Źródła prawa administracyjnego. Konferencja z okazji 100 rocznicy urodzin profesora Jerzego Stefana Langroda, Kraków 2005 A. Drozd, Prawo podmiotu zatrudniającego do pozyskiwania informacji o kandydatach na pracowników, Warszawa 2003 A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, Warszawa 2004, 2007 A. Drozd, Zakres zakazu przetwarzania danych osobowych, PiP 2003, Nr 2 P. Fajgielski, Kontrola przetwarzania i ochrony danych osobowych. Studium teoretyczno-prawne, Lublin 2008 P. Fajgielski, Ochrona danych osobowych w telekomunikacji – aspekty prawne, Lublin 2003 B. Fischer, Transgraniczność prawa administracyjnego na przykładzie regulacji przekazywania danych osobowych z Polski do państw trzecich, Warszawa 2010 B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 3.1.2006 r. B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 3.1.2006 r. B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 11.1.2006 r. B. Fischer, D. Karwala, Transfer danych osobowych do państwa trzecich, PiP 2007, Nr 1 B. Fischer, D. Karwala, Umowy transferowe jako instrument przekazywania danych osobowych do państw trzecich, PPH 2007, Nr 10 D. Fleszer, Prawo do kontroli przetwarzania swoich danych osobowych, Glosa 2004, Nr 1 D. Frey, Niedostateczna ochrona podatników, Rzeczp. 12.3.2004 r. S. Fundowicz (red.), Współczesne problemy prawa publicznego. Studia z prawa publicznego, t. I, Lublin 1999 Z. Goik, Forma udostępniania (odmowy udostępniania) danych osobowych, R. Pr. 2000, Nr 1 R. Góral, O. Górniok, Przestępstwa przeciwko instytucjom państwowym i wymiarowi sprawiedliwości, Warszawa 2000 T. Górzyńska, Kto strzeże prywatności, Rzeczp. 26.5.1997 r. T. Górzyńska, Prawo do informacji i zasada jawności administracyjnej, Kraków 1999 P. Granecki, Odpowiedzialność sprawcy szkody niemajątkowej na podstawie art. 448 KC, SP 2002, Nr 2 S. Grynhoff, P. Woźny, Ochrona danych osobowych w praktyce, Poznań 2000 S. Grzybowski, System Prawa Cywilnego, t. I, Wrocław 1985 R. Hauser, Przetwarzanie danych osobowych: cel i środki, Rzeczp. 6.4.1999 r. P. J. Hustinx, Data Protection and Security in European Union, referat wygłoszony w trakcie 14 Forum Ochrony Danych Osobowych, 23.6.2005, Wiesbaden 2005 E. Iserzon, J. Starościak, Kodeks postępowania administracyjnego. Komentarz, teksty, wzory i formularze, Warszawa 1970 W. Iszkowski, X. Konarski, Usługi elektroniczne, Rzeczp. 4.3.2003 r. M. Jackowski, Ochrona danych medycznych, Warszawa 2002 K. Jandy-Jendrośka, J. Jendrośka, System jurysdykcyjnego postępowania administracyjnego, w: System prawa administracyjnego (red. T. Rabska, J. Łętowski), t. III, Wrocław–Warszawa 1978 A. Janowicz, Postępowanie administracyjne i postępowanie przed sądem administracyjnym, Warszawa 1982 A. Jaroszyński, Zasady postępowania administracyjnego, w: Księga pamiątkowa Profesora Eugeniusza Ochendowskiego, Toruń 1999 J. Jastrzębski, Kilka uwag o naprawieniu szkody niemajątkowej, Pal. 2005, Nr 3–4 A. Kaczmarek, G. Sibiga, Ochrona danych osobowych w systemie informatycznym, R. Pr. 2000, Nr 3 J. Kamińska, B. Sadowski, Transgraniczne przetwarzanie danych osobowych, Służba Pracownicza 2005, Nr 3 M. Kawecki, Generalny Inspektor Ochrony Danych Osobowych jako centralny organ administracji państwowej, Przegląd Prawa Technologii Informacyjnych ICT Law Review 2013, Nr 1 R. Kędziora, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005 A. Kisielewicz, Ochrona danych osobowych w praktyce orzeczniczej Naczelnego Sądu Administracyjnego, Glosa 2001, Nr 2 W. Klonowiecki, Strona w postępowaniu administracyjnym, Lublin 1938 W. Kocot, Nowe zasady zawierania i wykonywania umów z udziałem konsumentów, cz. II, PPH 2000, Nr 12 X. Konarski, Internet i prawo w praktyce, Warszawa 2002 X. Konarski, Komentarz do ustawy o świadczeniu usług drogą elektroniczną, Warszawa 2004 X. Konarski, Marketing bezpośredni w świetle ustawy o ochronie danych osobowych, Ochrona Danych Osobowych, Biul. ABI 2000 X. Konarski, Nowe zasady i tryb udostępniania danych osobowych, MoP 2011, Nr 3 X. Konarski, G. Sibiga, Nierozerwalny związek, Rzeczp. 19.4.2004 r. X. Konarski, G. Sibiga, Przepisy trzeba poprawić, Rzeczp. 26.11.2004 r. X. Konarski, G. Sibiga, Wizerunek w Internecie bez pełnej ochrony, Rzeczp. 10.6.2008 r. X. Konarski, G. Sibiga, Zmiany w ustawie o ochronie danych osobowych w świetle dyrektywy 95/46/WE, MoP 2004, Nr 12 M. Kosiarski, Uczelnia musi zgłosić, co wie o kandydatach na studentów, Rzeczp. 9.6.2007 r. M. Kosiarski, S. Wikariak, Lepiej nie ujawniać numeru komputera, Rzeczp. 12.11.2007 r. J. Kosik, Zespół praw i jedno prawo podmiotowe jako metody ochrony dóbr osobistych w Kodeksie cywilnym, PPA 1977, Nr 9 C. Kosikowski, Ustawa o swobodzie działalności gospodarczej. Komentarz, Warszawa 2005 D. Kot, Dyrektywa Unii Europejskiej o handlu elektronicznym i jej implikacje dla prawa cywilnego, KPP 2001, Nr 1 M. Kotulski, Normy kontraktowe jako przejaw tworzenia i stosowania prawa administracyjnego, w: Źródła prawa administracyjnego. Konferencja z okazji 100 rocznicy urodzin profesora Jerzego Stefana Langroda (red. P. Dobosz, J. Zimmermann), Kraków 2005 K. Kowalik-Bańczyk, Prowspólnotowa wykładnia prawa polskiego, EPS 2000, Nr 3 A. Krasuski, D. Skolimowska, Dane osobowe w przedsiębiorstwie, Warszawa 2007 M. Królikowska, T. Osiej, Ochrona danych osobowych w praktyce. Pytania i odpowiedzi, Warszawa 2000 T. Kuczyński, Ochrona danych osobowych w stosunkach zatrudnienia, PS 1998, Nr 11–12 E. Kulesza, Agent nie jest administratorem, Rzeczp. 3.11.1999 r. E. Kulesza, Ankieta, która budzi poważne wątpliwości, Rzeczp. 13.8.1999 r. E. Kulesza, Celnik ma pisać i uzasadniać, Rzeczp. 18.1.2000 r. E. Kulesza, Istotne rozróżnienie, Rzeczp. 14.2.2000 r. E. Kulesza, Metryka nie zawsze potrzebna, Rzeczp. 15.3.2002 r. E. Kulesza, Niespójności trzeba usunąć, Rzeczp. 1.7.1999 r. E. Kulesza, Ochrona danych o stanie zdrowia w świetle ustawodawstwa europejskiego i polskiej ustawy o ochronie danych osobowych, Prawo i Medycyna 2000, Nr 5 E. Kulesza, Pewność obrotu gospodarczego, Rzeczp. 27.10.1999 r. E. Kulesza, Podstawowe zagadnienia ochrony danych osobowych, Biuletyn Rzecznika Praw Obywatelskich 2000, Nr 38 E. Kulesza, Rejestr musi być aktualny, Rzeczp. 31.7.2000 r. E. Kulesza, Trzeba informować, Rzeczp. 21.1.2000 r. E. Kulesza, Tylko to, co niezbędne, Rzeczp. 2.7.1999 r. E. Kulesza, W bankowym rejestrze, Rzeczp. 12.6.2000 r. E. Kulesza, Wystarczy ułożyć alfabetycznie, Rzeczp. 20.7.2000 r. E. Kulesza, Zbyt częste nieprawidłowości, Rzeczp. 1.2.2000 r. E. Kulesza, Zdrowie: zasada i wyjątki, Rzeczp. 4.5.2000 r E. Kulesza, G. Sibiga, Wykonanie obowiązku rejestracji zbiorów danych osobowych przez kasy chorych, Prawo i Medycyna 2000, Nr 6–7 B. Kurzępa, Przestępstwa z ustawy o ochronie danych osobowych, Prok. i Pr. 1999, Nr 6 E. Lehmann, M. Helfrich, Datenschutsrichlinie. Kurzkommentar, Kolonia 1999 B. Lewaszkiewicz-Petrykowska, W sprawie wykładni art. 448 KC, PS 1997, Nr 1 I. Lipowicz, Administracyjnoprawne zagadnienia informatyki, Katowice 1984 P. Litwiński, Obrót prawny bazami danych osobowych, PPH 2003, Nr 9 P. Litwiński, Przelew wierzytelności konsumenckiej a udostępnianie danych osobowych konsumenta, Glosa 2004, Nr 12 P. Litwiński, Świadczenie usług drogą elektroniczną, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007 G. Łaszczyca, Cz. Martysz, A. Matan, Kodeks postępowania administracyjnego. Komentarz, t. I–II, Kraków 2005 G. Łaszczyca, Cz. Martysz, A. Matan, Postępowanie administracyjne ogólne, Warszawa 2003 E. Łętowska, Prawo umów konsumenckich, Warszawa 2002 E. Łętowska, Ustawa o ochronie niektórych praw konsumentów. Komentarz, Warszawa 2000 P. Majer (red.), Ochrona danych osobowych i prawo do prywatności w Kościele, Kraków 2002 Cz. Martysz, Zakres zastosowania Kodeksu postępowania administracyjnego w ustawie o ochronie danych osobowych, w: Przetwarzanie i ochrona danych osobowych (red. G. Szpor), Katowice 1998 A. Mednis, Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46 Nr 15/2011 (WP 187), MoP 2012, Nr 7 A. Mednis, Cesja wierzytelności konsumenckiej bez zgody konsumenta, Prawo i Ekonomia w Telekomunikacji 2005, Nr 4 A. Mednis, Ochrona danych osobowych w konwencji Rady Europy i dyrektywie Unii Europejskiej, PiP 1997, Nr 6 A. Mednis, Ochrona prawna danych osobowych a zagrożenia prywatności – rozwiązania polskie, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 A. Mednis, Prawo do prywatności a interes publiczny, Warszawa 2006 A. Mednis, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2001 A. Mednis, Uwagi na temat ustawy z 26.7.2001 r. o zmianie ustawy o ochronie danych osobowych (po poprawkach Senatu z 9.8.2001 r.), Ochrona Danych Osobowych, Biul. ABI 2001, Nr 18 C. Mik (red.), Implementacja prawa integracji europejskiej w krajowych porządkach prawnych, Toruń 1998 A. Młynarska-Sobaczewska, M. Sakowska, Przetwarzanie danych osobowych a przelew wierzytelności, PiP 2005, Nr 11 A. Młynarska-Sobaczewska, M. Sakowska-Baryła, Glosa do wyroku Sądu Najwyższego z 2.10.2006 r., Pal. 2008, Nr 9–10 E. Ochendowski, Prawo administracyjne. Część ogólna, Toruń 1999 Z. Okoń, Ochrona baz danych, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007 M. Owen, E. Kiernan Earl, Data Protection: how did we get here and where are we going?, t. VIII, Communication Law 2003, Nr 7 J. Ożegalska-Trybalska, Adresy e-mailowe a dane osobowe, Ochrona Danych Osobowych. Biul. ABI 2000, Nr 23 J. Panowicz-Lipska, Majątkowa ochrona dóbr osobistych, Warszawa 1975 M. M. Pedrazzini (red.), Festschrift zum 65. Geburtstag, Berno 1990 S. Piątek, Prawo telekomunikacyjne. Komentarz, Warszawa 2013 P. Podrecki (red.), Prawo Internetu, Warszawa 2007 M. Polok, Ochrona tajemnicy państwowej i tajemnicy służbowej w polskim systemie prawnym, Warszawa 2006 A. Powałowski (red.), Ustawa o swobodzie działalności gospodarczej. Komentarz, Warszawa 2007 P. Przybysz, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005 P. Przybysz, Kompetencje egzekucyjne Generalnego Inspektora Ochrony Danych Osobowych oraz postępowanie egzekucyjne prowadzone przez organ ochrony danych osobowych, MoP 2011, Nr 3 Z. Radwański, Prawo cywilne. Część ogólna, Warszawa 2005 Z. Radwański (red.), System Prawa Prywatnego, t. II, Prawo cywilne – część ogólna, Warszawa 2002 A. Redelbach, Ochrona tajemnicy zawodowej notariusza w świetle ustawy o ochronie danych osobowych, Rej. 2001, Nr 5 S. Rozmaryn, O zasadach ogólnych postępowania administracyjnego, PiP 1961, Nr 12 M. Safjan, w: Kodeks cywilny. Komentarz (red. K. Pietrzykowski), t. I, Warszawa 2004 M. Safjan, Granice autonomii informacyjnej, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 M. Safjan, Refleksje wokół konstytucyjnych uwarunkowań rozwoju ochrony dóbr osobistych, KPP 2002, Nr 1 M. Safjan, Zasada swobody umów, PiP 1993, Nr 4 M. Sakowska, Pojęcie „zbiór danych” na gruncie ustawy o ochronie danych osobowych, R. Pr. 2005, Nr 2 M. Sakowska, Pozycja ustrojowa i zadania Generalnego Inspektora Ochrony Danych Osobowych, Prz. Sejm. 2006, Nr 2 M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa” z ustawy o ochronie danych osobowych jako gwarancja wolności wypowiedzi, PiP 2005, Nr 1 G. Sibiga, Dostęp do informacji publicznej a prawa do prywatności jednostki i ochrony jej danych osobowych, ST 2002, Nr 11 G. Sibiga, Martwy obowiązek aktualizacji, Rzeczp. 4.4.2002 r. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003 G. Sibiga, Udostępnienie akt sprawy a udostępnienie danych osobowych. Glosa do postanowienia SN z 22.2.2001 r., MoP 2003, Nr 23 G. Sibiga, Zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Danych Osobowych, MoP 1999, Nr 8 R. Sikorski, Ochrona sui generis baz danych w prawie polskim, RPEiS 2004, Nr 1 S. Simitis, „Sensitive Daten” – Zur Geschichte und Wirkung einer Fiktion, w: Festschrift zum 65. Geburtstag von (red. M. M. Pedrazzini), Berno 1990 S. Singleton, Data Protection. The New Law, Bristol 1998 A. Siostrzonek, Dane osobowe gromadzone w bazach danych i ich ochrona w prawie polskim, Rej. 1999, Nr 9 R. Skubisz (red.), Internet 2000. Prawo – ekonomia – kultura, Lublin 2000 E. Sobol (red.), Mały słownik języka polskiego, Warszawa 1995 S. Stanisławska-Kloc, Problematyka prawnej ochrony „tradycyjnych” i „elektronicznych” baz danych, R. Pr. 2001, Nr 2 M. Stanowska, Udostępnianie dziennikarzom akt sądowych i prokuratorskich, PS 2001, Nr 10 T. Stawecki, Rejestry publiczne. Funkcje instytucji, Warszawa 2005 R. Szałowski, Ochrona danych osobowych. Komentarz do ustawy z 29.8.1997 r., Zielona Góra 2000 T. Szewc, Udostępnianie danych osobowych na wniosek, MoP 2006, Nr 22 A. Szewc, Z problematyki ochrony danych osobowych, cz. I, R. Pr. 1999, Nr 3 A. Szewc, Z problematyki ochrony danych osobowych, cz. II, R. Pr. 1999, Nr 4 A. Szewc, Z problematyki ochrony danych osobowych, cz. III, R. Pr. 1999, Nr 5 M. Szewczyk, Nadzór w materialnym prawie administracyjnym, Poznań 1995 G. Szpor, Informacja w zagospodarowaniu przestrzennym, Katowice 1998 G. Szpor (red.), Przetwarzanie i ochrona danych osobowych, Katowice 1998 G. Szpor, Publicznoprawna ochrona danych osobowych, PUG 1999, Nr 12 G. Szpor, Ustawa o ochronie danych osobowych, w: Wolność informacji i jej granice (red. G. Szpor), Katowice 1997 G. Szpor (red.), Wolność informacji i jej granice, Katowice 1997 A. Szpunar, Ochrona czci w prawie cywilnym, Studia Iuridica Silesiana 1979, t. V A. Szpunar, Zgoda uprawnionego w zakresie ochrony dóbr osobistych, RPEiS 1990, Nr 1 B. Świątkiewicz, Zasada indywidualizacji odpowiedzialności karnej, Przegląd Policyjny 1992, Nr 1 E. Traple (red.), Prawo reklamy i promocji, Warszawa 2007 M. T. Tinnenfeld, Ochrona danych – kamień węgielny budowy Europy, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 J. P. Tarno, Zasady ogólne KPA w orzecznictwie Naczelnego Sądu Administracyjnego, Studia Prawno-Ekonomiczne 1986, t. XXXVI M. Wierzbowski (red.), Prawo administracyjne, Warszawa 2002 W. R. Wiewiórkowski, Nowe ramy ochrony danych osobowych w Unii Europejskiej, MoP 2012, Nr 7 T. Woś, H. Knysiak-Molczyk, M. Romańska, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, Warszawa 2005 M. Wyrzykowski (red.), Ochrona danych osobowych, Warszawa 1999 M. Wyrzykowski, Ochrona danych – zagadnienia konstytucyjne, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999 J. Zimmermann, Prawo administracyjne, Kraków 2005 W. Zimny, Czy adresy e-mailowe są danymi osobowymi?, Ochrona Informacji, Biul. TISM 2002, Nr 2 W. Zimny, Imienna kolejka na poczcie, Rzeczp. 10.8.2001 r. W. Zimny, Omówienie przedłożenia rządowego nowelizacji ustawy o ochronie danych osobowych, Ochrona Danych Osobowych, Biul. ABI 2001, Nr 17 W. Zimny, Przesłanki legalizujące przetwarzanie, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 4 W. Zimny, Udostępnianie danych osobowych w trybie art. 29 ustawy o ochronie danych osobowych. Część I, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 6 W. Zimny, Udostępnienie danych osobowych w trybie art. 29 ustawy o ochronie danych osobowych. Część II, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 7 M. Zmyślony, O ochronie danych i zabezpieczeniu systemów teleinformatycznych w administracji rządowej, w: Internet 2000. Prawo – ekonomia – kultura (red. R. Skubisz), Lublin 2000 Cz. Żuławska, Wokół zasady wolności umów (art. 3531 KC i wykładnia zwyczaju), Acta Universitatis Wratislavensis 1994, Nr 1960
A. Komentarz Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (Dz.U. Nr 133, poz. 883)[1],[2] tekst jednolity z dnia 17 czerwca 2002 r. (Dz.U. Nr 101, poz. 926) (zm.: Dz.U. 2011, Nr 230, poz. 1371; Dz.U. 2010, Nr 41, poz. 233, Nr 182, poz. 1228, Nr 229, poz. 1497; Dz.U. 2007, Nr 165, poz. 1170, Nr 176, poz. 1238; Dz.U. 2006, Nr 104, poz. 708, poz. 711; Dz.U. 2004, Nr 25, poz. 219, Nr 33, poz. 285; Dz.U. 2002, Nr 153, poz. 1271) Rozdział 1. Przepisy ogólne Wprowadzenie 1 1. Cel ochrony danych osobowych. Celem publicznoprawnej ochrony danych osobowych jest zagwarantowanie możliwości podejmowania decyzji w sferze informacji przez jednostkę, której te informacje dotyczą, a zarazem zapewnienie realizacji prawnie chronionego prawa jednostki do prywatności i intymności. Ochrona danych osobowych stawia sobie za cel wzmocnienie autonomii jednostki w realizacji przysługujących jej praw, w szczególności prawa do prywatności, za pomocą procedur o charakterze organizacyjnym i za pomocą środków technicznych [M. T. Tinnenfeld, Ochrona danych – kamień węgielny budowy Europy, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999, s. 35–39]. Jednocześnie uwzględnić należy niewątpliwy konflikt chronionych przez prawo wartości, do którego dochodzi na styku prawa jednostki do ochrony informacji o niej samej oraz przysługującej każdemu wolności gromadzenia i przetwarzania informacji (G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 16). 2 2. Pierwszy akt prawny chroniący dane osobowe. W skali międzynarodowej, za pierwszy akt prawny z dziedziny ochrony danych osobowych uznaje się Konwencję Nr 108 Rady Europy z 28.1.1981 r. o ochronie osób ze względu na automatyczne przetwarzanie danych o charakterze osobowym. Postanowienia konwencji oddziałują jednak jedynie w sferze publicznoprawnej, nie wywołują natomiast żadnych skutków prawnych bezpośrednio po stronie obywateli państw, które ją ratyfikowały (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2004, s. 71; por. także A. Mednis, Ochrona danych osobowych w konwencji Rady Europy i dyrektywie Unii Europejskiej, PiP 1997, Nr 6, s. 31). 3 3. Pierwsza na świecie ustawa o ochronie danych osobowych. Ustawodawstwo wewnętrzne państw-stron Konwencji uchwalone po jej przyjęciu okazało się w praktyce bardzo zróżnicowane. Pierwsza na świecie ustawa o ochronie danych osobowych uchwalona została w 1970 r. przez parlament krajowy kraju związkowego Hesji, a pierwszą ustawą na szczeblu krajowym była ustawa szwedzka z 1973 r. 4 4. Dyrektywa o ochronie danych osobowych. W ramach instytucji Unii Europejskiej prowadzone były od 1990 r. prace mające na celu opracowanie projektu dyrektywy dotyczącej ochrony danych osobowych. W ich rezultacie przyjęto dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz.Urz. WE L Nr 281, s. 31). Dyrektywa, jako akt prawa wtórnego Unii Europejskiej wiąże – podobnie jak Konwencja Nr 108 Rady Europy – państwa członkowskie Unii w odniesieniu do rezultatu, który ma być osiągnięty, pozostawia jednak organom krajowym swobodę wyboru formy i środków stosowanych w tym celu [S. Biernat, w: Prawo Unii Europejskiej (red. J. Barcz), Warszawa 2004, s. 212]. 5 5. Akty międzynarodowe o ochronie danych osobowych. Akty prawne rangi międzynarodowej odnoszące się do ochrony danych osobowych są stosowane do przetwarzania danych osobowych tak w sektorze prywatnym, jak i w sektorze publicznym (por. L. A. Bygrave, Data Protection Law. Approaching Its Rationale, Logic and Limits, Haga–Londyn–Nowy Jork 2002, s. 53). W szczególności samo pojęcie administratora danych osobowych, definiowane w art. 2 pkt d dyrektywy 95/46/WE, obejmuje także podmioty ze sfery prawa publicznego – w definicji wyraźnie wymieniono „urzędy publiczne, agendy lub inne organy” (cyt. za: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 864; oficjalny tekst dyrektywy w języku angielskim posługuje się zwrotem public authority, agency or any other body). Co więcej, także pojęcia podmiotu przetwarzającego dane osobowe na zlecenie, podmiotu trzeciego, a także odbiorcy danych, zdefiniowane zostały z wykorzystaniem tego samego zwrotu, tak więc zakres tych pojęć obejmuje także podmioty należące do szeroko pojmowanego sektora publicznego. Stanowisko to zostało potwierdzone przez Trybunał Sprawiedliwości Unii Europejskiej w wyr. z 20.5.2003 r., C-465/00, C-138/01 oraz C-139/01, Rechnungshof przeciwko Österreichischer Rundfunk i innym oraz Christa Neukomm i Joseph Lauermann przeciwko Österreichischer Rundfunk, Zb. Orz. 2003, s. 4989, w którym Trybunał przyjął, że zastosowanie przepisów dyrektywy 95/46/WE nie może zostać w konkretnej sprawie uzależnione od tego, czy stan faktyczny, leżący u podstaw stosowania dyrektywy, pozostaje w związku z którąkolwiek z podstawowych swobód gwarantowanych przez Traktat ustanawiający Wspólnotę Europejską (Traktat o utworzeniu Europejskiej Wspólnoty Gospodarczej zawarty w Rzymie 25.3.1957 r.), w szczególności ze swobodą przepływu osób pomiędzy państwami Unii Europejskiej. Jednocześnie Trybunał podkreślił, że postanowienia dyrektywy znajdują pełne zastosowanie do przetwarzania danych osobowych przez organy administracji państw członkowskich Unii Europejskiej (P. J. Hustinx, Data Protection and Security in European Union, referat wygłoszony w trakcie 14 Forum Ochrony Danych Osobowych, 23.6.2005, Wiesbaden 2005, s. 3). 6 6. Rozporządzenie Nr 45/2001. W ramach samej Unii Europejskiej, jej organy zobowiązane są dodatkowo do przestrzegania postanowień rozporządzenia Nr 45/2001 Parlamentu Europejskiego i Rady z 18.12.2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.Urz. WE L z 2001 r. Nr 8, s. 1). Rozporządzenie stanowi wykonanie obowiązku, o jakim mowa w art. 16 TFUE (dawny art. 286 TWE), a jednocześnie nie wywiera wpływu na prawa i obowiązki państw członkowskich Unii Europejskiej wynikające z dyrektywy 95/46/WE. 7 7. Odstępstwa od postanowień dyrektywy 95/46/WE. Postanowienia dyrektywy 95/46/WE nie wyznaczają minimalnego standardu ochrony danych osobowych, lecz służą zarówno ochronie osób fizycznych, jak i zapewnieniu swobodnego przepływu danych osobowych. Dlatego ustawodawca krajowy nie powinien odstępować od postanowień dyrektywy, jeżeli ona sama nie dopuszcza takich odstępstw (A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, Warszawa 2004, s. 15). 8 8. Projekt nowego rozporządzenia o ochronie danych. W czasie, gdy przygotowywane jest do druku to wydanie komentarza, trwają prace nad projektem rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych). Projekt rozporządzenia opublikowany został oficjalnie przez Komisję Europejską w dniu 25.1.2012 r. Wśród proponowanych zmian na plan pierwszy wybija się zmiana formy prawnej z dyrektywy na rozporządzenie, które zacznie obowiązywać bezpośrednio w systemie prawnym państw członkowskich Unii Europejskiej. Kształt poszczególnych instytucji uregulowanych w rozporządzeniu jest obecnie w fazie ustalania (por. szerzej na ten temat W. R. Wiewiórkowski, Nowe ramy ochrony danych osobowych w Unii Europejskiej, MoP 2012, Nr 7). 9 9. Ochrona danych osobowych w Konstytucji RP. W polskim systemie prawnym, ochrona danych osobowych wywodzi się z przepisów Konstytucji RP – w art. 47 Konstytucja RP gwarantuje każdemu prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym, natomiast w art. 51 Konstytucji RP zawarte zostały bezpośrednie gwarancje ochrony danych osobowych (G. Sibiga, Postępowanie, s. 22). Należy wśród nich wymienić: a) prawo do samodzielnego decydowania każdej osoby o ujawnianiu dotyczących jej informacji, b) prawo każdej osoby do sprawowania kontroli nad informacjami na swój temat, gwarantowane prawem dostępu do dotyczących jej urzędowych dokumentów i zbiorów danych, c) prawo do weryfikowania lub żądania usunięcia danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 120–122). 10 10. Ustawa o ochronie danych osobowych. W art. 51 ust. 5 Konstytucji RP zawarto zapowiedź uchwalenia ustawy regulującej „zasady i tryb gromadzenia oraz udostępniania informacji”. Jak powszechnie przyjmuje się w nauce prawa [por. A. Mednis, Ochrona prawna danych osobowych a zagrożenia prywatności – rozwiązania polskie, w: Ochrona (red. M. Wyrzykowski), s. 168; B. Kurzępa, Przestępstwa z ustawy o ochronie danych osobowych, Prok. i Pr. 1999, Nr 6, s. 45], wykonaniem tej zapowiedzi stało się uchwalenie ustawy z 29.8.1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.). Ustawa przyjęta została również w wykonaniu zobowiązania zapewnienia przez Rzeczpospolitą Polską zgodności jej przyszłego ustawodawstwa z ustawodawstwem unijnym, stosownie do treści art. 68 Układu Europejskiego, ustanawiającego stowarzyszenie między Rzeczpospolitą Polską a Unią Europejską i jej Państwami Członkowskimi, sporządzonego 16.12.1991 r. (Dz.U. z 1994 r. Nr 11, poz. 38 ze zm.). W chwili uchwalenia ustawy nie można było jednak mówić o jej zgodności z dyrektywą 95/46/WE, a co za tym idzie, ustawa w pierwotnym brzmieniu nie mogła zostać uznana za implementację dyrektywy. Z tego względu konieczne stały się jej dwie istotne nowelizacje, dokonane w 2001 i 2004 r. 11 11. Rozporządzenia wykonawcze. Na przepisy o ochronie danych osobowych sensu stricto (G. Sibiga, Postępowanie, s. 26) składają się, oprócz przepisów ustawy o ochronie danych osobowych, także wydane na jej podstawie i w celu wykonania jej przepisów rozporządzenia wykonawcze: a) rozporządzenie Prezydenta Rzeczypospolitej Polskiej z 10.10.2011 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz.U. Nr 225, poz. 1350), b) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29.4.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024), c) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 11.12.2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz.U. Nr 229, poz. 1536), d) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 22.4.2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych (Dz.U. Nr 94, poz. 923 ze zm.). 12 12. Przepisy prawa materialnego i procesowego dotyczące przetwarzania i ochrony danych osobowych. Można wyróżnić przepisy o ochronie danych osobowych sensu largo, na które składają się inne, rozproszone w wielu ustawach, przepisy prawa materialnego i procesowego dotyczące przetwarzania i ochrony danych osobowych (G. Sibiga, Postępowanie, s. 27). Zawsze wtedy gdy przepis odrębnej ustawy odnoszący się do przetwarzania danych osobowych będzie przewidywał dalej idącą ochronę, niżby to wynikało z przepisów ustawy o ochronie danych osobowych, powstanie normatywny, bo wynikający z art. 5 OchrDanOsU, obowiązek zastosowania przepisu ustaw szczególnej (por. A. Drozd, Ustawa, s. 33). Art. 1. [Prawo do ochrony] 1. Każdy ma prawo do ochrony dotyczących go danych osobowych. 2. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. 1 1. Ochrona prywatności informacyjnej. Jednym z aspektów prawa do prywatności, którego wyspecjalizowaną postać stanowi ochrona danych osobowych [M. Safjan, Granice autonomii informacyjnej, w: Ochrona (red. M. Wyrzykowski), s. 10], jest ochrona tzw. prywatności informacyjnej, na którą składa się uprawnienie jednostki do kontrolowania treści i obiegu informacji, które tej jednostki dotyczą (A. Mednis, Ochrona prawna danych, s. 167). W orzecznictwie sądowym zasadę autonomii informacyjnej sformułowano po raz pierwszy w orzecznictwie niemieckim. W wyroku niemieckiego Federalnego Trybunału Konstytucyjnego z 15.12.1983 r. (1BvR 209/83) Trybunał przyjął, że „w warunkach nowoczesnego przetwarzania danych”, Konstytucja Republiki Federalnej Niemiec chroni jednostkę przed „nieograniczonym gromadzeniem, używaniem i przekazywaniem jej danych osobowych”. Konstytucja gwarantuje również „prawo jednostki do zasadniczo samodzielnego stanowienia o ujawnianiu i używaniu jej danych osobowych”. Trybunał Federalny zwrócił także uwagę na możliwości ograniczenia prawa do „informacyjnego samostanowienia” – ograniczenia tego prawa dopuszczalne są jednak wyłącznie, gdy przeważa interes ogółu, przy zachowaniu zasady proporcjonalności. Jednocześnie, jak podkreślił Trybunał, prawo do „informacyjnego samostanowienia” nie jest zapewnione bez granic. Jednostka nie dysponuje prawem w rozumieniu bezwzględnego, niedającego się niczym ograniczyć panowania nad „swoimi” danymi. 2 2. Ochrona życia prywatnego w Konstytucji RP. Dorobek niemieckiego Federalnego Trybunału Konstytucyjnego został w istotnej części przejęty w orzecznictwie polskiego Trybunału Konstytucyjnego – zgodnie z ustalonym orzecznictwem Trybunału ochrona życia prywatnego, gwarantowana konstytucyjnie co do zasady w art. 47 Konstytucji RP, obejmuje sobą także autonomię informacyjną, rozumianą przez Trybunał jako prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeżeli znajdują się w posiadaniu innej osoby (wyr. TK z 19.2.2002 r., U 3/01, OTK-A 2002, Nr 1, poz. 3). 3 3. Zasada autonomii informacyjnej. Szczegółowy zakres uprawnień wchodzących w zakres zasady autonomii informacyjnej może zostać określony na podstawie wielu orzeczeń Trybunału Konstytucyjnego. Trybunał przyznaje podstawowe znaczenie woli osoby, której dotyczą informacje i dane. Stwierdził, że „istota autonomii informacyjnej każdego człowieka sprowadza się do pozostawienia każdej osobie swobody w określeniu sfery dostępności dla innych wiedzy o sobie. Zasadą powszechnie przyjmowaną według takiego ujęcia jest ochrona każdej informacji osobowej i przyznanie podstawowego znaczenia przesłance zgody osoby zainteresowanej na udostępnienie informacji” (wyr. TK z 12.11.2002 r., SK 40/02, OTK-A 2002, Nr 6, poz. 81). Takie stanowisko pozostaje w zgodzie z poglądami nauki prawa w tym zakresie – jak bowiem podkreślono w literaturze, cała koncepcja nowoczesnego podejścia do sfery autonomii informacyjnej przyjmuje za punkt wyjścia ochronę wszelkich danych osobowych i kryterium zgody jako podstawową przesłankę legalności ich ujawniania (M. Safjan, Refleksje wokół konstytucyjnych uwarunkowań rozwoju ochrony dóbr osobistych, KPP 2002, Nr 1, s. 238). 4 4. Źródła o charakterze normatywnym. Funkcję źródła o charakterze normatywnym dla zasady autonomii informacyjnej spełnia art. 51 Konstytucji RP. Po pierwsze, uprawnieniem wynikającym z art. 51 Konstytucji RP jest prawo do nieujawniania informacji dotyczących osoby. Regułą jest więc prawo do nieujawniania informacji o charakterze danych osobowych, a wyjątkiem od tej reguły – zobowiązanie do ich ujawniania, które może zostać nałożone wyłącznie w drodze ustawy (M. Safjan, Refleksje, s. 25). Stanowisko to znalazło potwierdzenie w orzecznictwie Trybunału Konstytucyjnego. W wyr. z 19.2.2002 r., U3/01 (OTK-A 2002, Nr 1, poz. 3), Trybunał podkreślił, że obowiązek ujawnienia informacji o osobie stanowi ograniczenie autonomii informacyjnej jednostki. Analogicznie, w wyr. z 21.10.1998 r., K 24/98 (OTK 1998, Nr 6, poz. 97), Trybunał stwierdził, że sfera prywatności jednostki naruszana jest już przez sam obowiązek złożenia przez nią oświadczenia lustracyjnego, a więc w wyniku ujawnienia przez jednostkę informacji mających charakter danych osobowych. 5 5. Zasada niepozyskiwania, niegromadzenia i nieudostępniania informacji o obywatelach. Zasadzie nieujawniania przez osobę informacji jej dotyczących odpowiada zasada niepozyskiwania, niegromadzenia i nieudostępniania informacji o obywatelach przez organy władzy publicznej [M. Wyrzykowski, Ochrona danych – zagadnienia konstytucyjne, w: Ochrona (red. M. Wyrzykowski), s. 25]. Należy jednak podkreślić, że gwarantowana konstytucyjnie ochrona prawa do życia prywatnego nie ma charakteru absolutnego i może podlegać pewnym ograniczeniom (por. orz. TK z 19.6.1992 r., U 6/92, OTK 1992, Nr 1, poz. 13; orz. TK z 26.4.1995 r., K 11/94, OTK 1995, Nr 1, poz. 12; orz. TK z 21.11.1995 r., K 12/95, OTK 1995, Nr 3, poz. 15; orz. TK z 24.6.1997 r., K 21/96, OTK 1997, Nr 2, poz. 23; uchw. TK z 2.3.1994 r., W 3/93, OTK 1994, Nr 1, poz. 17; uchw. TK z 16.3.1994 r., W 8/93, OTK 1994, Nr 1, poz. 18; uchw. TK z 24.4.1996 r., W 14/95, OTK 1996, Nr 2, poz. 14). 6 6. Ograniczenia wolności. Ustawowe ograniczenia wolności, w tym autonomii informacyjnej, dopuszczalne są w świetle orzecznictwa Trybunału Konstytucyjnego wyłącznie w razie spełnienia czterech warunków: „Po pierwsze, ustawowe ograniczenie wolności może nastąpić tylko wówczas, gdy dopuszczone jest w sposób wyraźny w innych przepisach konstytucyjnych, bądź gdy konieczne jest zharmonizowanie tej wolności z innymi normami, zasadami lub wartościami konstytucyjnymi. Po drugie, ustawowe ograniczenia wolności wprowadzane być mogą tylko w niezbędnym zakresie. Ustawodawca może ingerować w sferę wolności obywatela tylko w razie konieczności i tylko w koniecznym wymiarze. Innymi słowy, konieczne zachowanie jest proporcji między stopniem ograniczenia wolności jednostki, a rangą chronionego interesu publicznego, czyli zakazana jest nadmierna ingerencja Państwa w swobodę działania jednostki. Po trzecie, ustawowe ograniczenia wolności traktowane być muszą w kategoriach wyjątków. Ich istnienie zawsze musi wynikać z wyraźnie sformułowanych przepisów ustawowych i nie może opierać się na domniemaniu. Po czwarte, ani poszczególne ograniczenia, ani ich suma, nie mogą naruszać istoty ograniczanego prawa czy wolności” (por. orz. TK z 21.11.1995 r., K 12/95, OTK 1995, Nr 3, s. 15). 7 7. Ograniczenie prawa do prywatności. W odniesieniu do ograniczenia prawa do prywatności należy odnotować pogląd zawarty w zdaniu odrębnym sędziego TK J. Skórzewskiej-Łosiak do wyr. TK z 11.3.2000 r., K 15/98 (OTK 2000, Nr 3, poz. 86), zgodnie z którym „ograniczenia prawa do prywatności są dopuszczalne, jeżeli umożliwiają ochronę bezpieczeństwa państwa, porządku publicznego, zdrowia, moralności publicznej, środowiska albo wolności lub praw innych osób. Muszą one być zgodne z zasadą proporcjonalności. Ustanowione ograniczenia spełniają wymóg proporcjonalności, jeżeli: a) wprowadzona regulacja ustawodawcza jest w stanie doprowadzić do zamierzonych przez nią skutków (zasada przydatności), b) regulacja ta jest niezbędna dla ochrony interesu publicznego, z którym jest powiązana (zasada konieczności), a ponadto c) jej efekty pozostają w proporcji do ciężarów nakładanych przez nią na obywatela (zasada proporcjonalności w ścisłym tego słowa znaczeniu)”. 8 8. Termin „gromadzenie informacji”. W przypadku ochrony danych osobowych stanowiącej element zasady autonomii informacyjnej, Trybunał zwrócił uwagę, że w myśl art. 51 ust. 5 Konstytucji RP: „zasada wyłączności ustawy obejmuje zasady i tryb gromadzenia i udostępniania informacji. (...) W ocenie Trybunału Konstytucyjnego, termin «gromadzenie informacji» użyty w wymienionym przepisie obejmuje nie tylko wąsko rozumiane czynności zbierania informacji dotyczących jednostki, ale również różnego rodzaju operacje przetwarzania tych informacji. (...) Regulacji ustawowej wymaga określenie warunków dopuszczalności przetwarzania danych osobowych. Szczególnej precyzji wymaga natomiast określenie warunków przetwarzania danych odnoszących się do sfery intymności jednostki. W drodze rozporządzenia mogą natomiast podlegać regulacji niektóre sprawy szczegółowe i techniczne związane z przetwarzaniem danych” (wyr. TK z 19.2.2002 r., U 3/01, OTK-A 2002, Nr 1, poz. 3; por. także M. Jackowski, Ochrona danych medycznych, Warszawa 2002, s. 99). 9 9. Dopuszczalność przetwarzania informacji o obywatelach. Jak stwierdził Trybunał Konstytucyjny: „ani (...) względy celowości, ani wygody władzy nie uzasadniają naruszenia autonomii informacyjnej. Jej naruszenie może nastąpić, jeżeli jest to konieczne w demokratycznym państwie prawnym” (wyr. TK z 20.11.2002 r., K 41/02, OTK-A 2002, Nr 6, s. 83 z glosą J. Galstera, Prz. Sejm. 2002, Nr 2, s. 123). Także w orzecznictwie Europejskiego Trybunału Praw Człowieka podkreślano, że pojęcie konieczności, o której mowa w art. 8 ust. 2 Konwencji, zakłada, że „ingerencja jest związana z pilną potrzebą społeczną oraz, w szczególności, że jest proporcjonalna do zamierzonego słusznego celu (...)” (por. wyr. ETPC z 26.3.1987 r. w sprawie Leander przeciwko Szwecji, skarga Nr 9248/81). Interes państwa, wyrażający się w ochronie porządku publicznego, musi być więc zrównoważony ze stopniem ingerencji w prawo jednostki (tak TK w wyr. z 20.6.2005 r., K 4/04, OTK-A 2005, Nr 6, poz. 64). Powstaje zatem pytanie, jak w świetle zasady autonomii informacyjnej jednostki należy co do zasady ocenić dopuszczalność przetwarzania informacji o obywatelach przez organy administracji publicznej w toku prowadzonych przez nie postępowań. 10 10. Ograniczenie zasady autonomii informacyjnej. Zgodnie z art. 31 ust. 3 Konstytucji RP ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane, zgodnie z zasadą proporcjonalności, jeżeli są konieczne ze względu na ochronę bezpieczeństwa państwa, porządku publicznego, zdrowia, moralności publicznej, środowiska albo wolności lub praw innych osób. Ta zasada znajduje również zastosowanie do ustawowego ograniczenia prawa do prywatności (wyr. TK z 11.4.2000 r., K 15/98, OTK 2000, Nr 3, poz. 86), a więc także ograniczeń w zakresie prywatności informacyjnej. Aby ocenić, czy ograniczenie zasady autonomii informacyjnej przejawiające się w dopuszczalności przetwarzania przez organy administracji publicznej danych osobowych obywateli w toku postępowań administracyjnych znajduje konstytucyjne podstawy, należy w pierwszej kolejności ustalić, czy takie ograniczenie można uznać za jedną z wartości, o których mowa w art. 31 ust. 3 Konstytucji RP. 11 11. Pojęcie „porządek publiczny”. W nauce prawa zwrócono uwagę, że elementem składającym się na szersze pojęcie porządku publicznego jest wartość określana jako dobro wymiaru sprawiedliwości. Jest to wartość związana z zapobieganiem przestępczości i dobrobytem gospodarczym kraju, jednak pełniąca szerszą funkcję – dobro wymiaru sprawiedliwości obejmuje bowiem sprawne działanie całego wymiaru sprawiedliwości nie tylko w sprawach karnych, lecz także cywilnych i administracyjnych (A. Mednis, Prawo do prywatności a interes publiczny, Warszawa 2006, s. 237). Nie ulega wątpliwości, że w związku z wykorzystaniem informacji o charakterze danych osobowych na potrzeby toczących się postępowań, mamy do czynienia z konfliktem dóbr chronionych – dobru wymiaru sprawiedliwości przeciwstawia się dobro w postaci prywatności i poufności informacji, które przysługuje stronom postępowania (por. wyr. TK z 22.11.2004 r., SK 64/03, OTK-A 2004, Nr 10, poz. 107). Jednak interes państwa przejawiający się w trosce ustawodawcy o należyte, harmonijne współżycie członków społeczeństwa, co obejmuje ochronę interesów poszczególnych osób, jak i dóbr społecznych (tak wyr. TK z 12.1.1999 r., P 2/98, OTK 1999, Nr 1, poz. 2), uzasadnia w tym przypadku ograniczenie prawa do prywatności informacyjnej jednostek w celu umożliwienia prawidłowego funkcjonowania wymiaru sprawiedliwości w szerokim rozumieniu tego pojęcia, obejmującego także postępowanie administracyjne. 12 12. Zakres ograniczeń prywatności informacyjnej. Ograniczenie konstytucyjnie chronionej prywatności informacyjnej jednostki, przez umożliwienie organom władzy publicznej pozyskiwania, gromadzenia i udostępniania informacji o obywatelach, dopuszczalne jest wyłącznie w takim zakresie, w jakim jest to niezbędne w demokratycznym państwie prawnym (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 123). W każdym przypadku więc ingerencja w sferę prywatności informacyjnej, a więc wykorzystanie informacji stanowiących dane osobowe, musi nosić cechy niezbędności charakterystycznej dla demokratycznego państwa prawnego. Art. 2. [Przedmiot regulacji] 1. Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. 2.[3] Ustawę stosuje się do przetwarzania danych osobowych: 1) w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych, 2) w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych. 3. W odniesieniu do zbiorów danych osobowych sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji, mają zastosowanie jedynie przepisy rozdziału 5. 1 1. Zakres przedmiotowy OchrDanOsU. Artykuł 2 ustawy wyznacza zakres przedmiotowy zastosowania ustawy o ochronie danych osobowych. Precyzyjne wyznaczenie zakresu zastosowania przepisów komentowanej ustawy budzi jednak w nauce prawa, jak również w orzecznictwie, wiele kontrowersji. Koncentrują się one wokół odpowiedzi na pytanie, czy przepisy ustawy o ochronie danych osobowych są stosowane wyłącznie do przetwarzania danych osobowych w zbiorach danych, czy też do przetwarzania danych poza zbiorami, w postaci pojedynczych informacji (danych). W świetle tego M. Sakowska zwraca uwagę na „niefortunne” sformułowanie art. 2 ust. 1 i 2 OchrDanOsU, które nie pozwala na prawidłowe wyznaczenie zakresu przedmiotowego ustawy (M. Sakowska, Pojęcie „zbiór danych” na gruncie ustawy o ochronie danych osobowych, R. Pr. 2005, Nr 2, s. 62). 2 2. Zakres regulacji OchrDanOsU. Zakresem regulacji ustawy o ochronie danych osobowych objęte są zagadnienia związane z przetwarzaniem danych osobowych – przesądza o tym treść art. 2 ust. 1 OchrDanOsU. W nauce prawa nie ma jednak zgody co do interpretacji tego przepisu w zestawieniu z art. 2 ust. 2, który wskazuje sytuacje przetwarzania danych osobowych, do których znajdują zastosowania przepisy ustawy – ustawodawca wprowadził bowiem rozróżnienie (A. Drozd, Zakres zakazu przetwarzania danych osobowych, PiP 2003, Nr 2, s. 43) przetwarzania danych osobowych na: w zbiorach ewidencyjnych (art. 2 ust. 2 pkt 1) oraz w systemach informatycznych (art. 2 ust. 2 pkt 2). 3 3. Zbiory danych osobowych. Punktem wyjścia dla przyjęcia jednego ze stanowisk reprezentowanych w nauce prawa jest definicja zbioru danych osobowych, wokół której ogniskują się rozważania nauki prawa związane z zakresem zastosowania przepisów ustawy o ochronie danych osobowych (por. uwagi do art. 7 OchrDanOsU). Pojęcie zbioru danych osobowych nie jest jednak jedynym pojęciem, którego prawidłowa interpretacja przesądzać będzie o zakresie przedmiotowym zastosowania ustawy o ochronie danych osobowych – w art. 2 ust. 2 ustawa odwołuje się bowiem do pewnych kategorii tzw. zbiorów ewidencyjnych danych osobowych, takich jak kartoteki, skorowidze, księgi, wykazy. Powstaje więc w pierwszej kolejności pytanie o to, jak należy rozumieć pojęcie zbioru ewidencyjnego, w szczególności w zestawieniu z pojęciem zbioru danych osobowych. 4 4. Zbiory ewidencyjne. W nauce prawa zbiory ewidencyjne definiuje się jako zestawienia danych osobowych, które mają strukturę umożliwiającą dostęp do danych według jednego kryterium (A. Drozd, Ustawa, s. 19). Podkreśla się przy tym, że istoty zbioru ewidencyjnego należy doszukiwać się w posiadaniu przez niego struktury, która ułatwia przetwarzanie danych osobowych w zbiorze (A. Drozd, Zakres, s. 44). Powstaje więc pytanie, czym tak rozumiany zbiór ewidencyjny różni się od zbioru danych osobowych w znaczeniu, jakie temu pojęciu przypisuje art. 7 pkt 1 OchrDanOsU. Tak postawione pytanie jest o tyle zasadne, że pozwala udzielić odpowiedzi na pytanie o stosunek art. 2 ust. 2 do art. 2 ust. 1 ustawy. 5 5. Postać kwalifikowana zbiorów danych. W literaturze przedmiotu przedstawione zostały dwie możliwości rozwiązania wskazanego wyżej problemu. Po pierwsze, można przyjąć, że zbiór danych osobowych stanowi swoistą „postać kwalifikowaną” zestawów (zbiorów ewidencyjnych), o których mowa w art. 2 ust. 2 OchrDanOsU. Po drugie, funkcji art. 2 ust. 2 OchrDanOsU można dopatrywać się wyłącznie w egzemplifikowanych postaciach zbiorów danych osobowych (na temat możliwości interpretacji art. 2 ust. 1 i 2 OchrDanOsU por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 331). 6 6. Formy istnienia danych osobowych. Pierwszy z powołanych wyżej poglądów opiera się na założeniu, że należy wyodrębnić trzy podstawowe „formy istnienia danych osobowych”: jako pojedyncze informacje, w zestawach danych oraz w zbiorach danych (W. Zimny, Gdzie ty, bazo, tam ja, zbiór, Rzeczp. 31.8.2000). Aby powstał zbiór danych osobowych, konieczne jest zestawienie pojedynczych danych w zestaw, który następnie podlega określonemu uporządkowaniu, a dodatkowo powstać powinna struktura zestawu, niezbędna dla osiągnięcia łatwego dostępu do danych. Tym natomiast, co odróżnia zbiór danych od zestawu danych, jest wymóg utrzymania dostępności w sytuacji, gdy zbiór się „wtórnie rozprasza lub dzieli na podzbiory” (W. Zimny, Gdzie). W nauce prawa zwrócono również uwagę, że dane zgromadzone w zbiorze ewidencyjnym mogą stać się zbiorem danych po spełnieniu wymogów określonych w art. 7 pkt 1 OchrDanOsU (A. Drozd, Zakres, s. 44), co zdaje się prowadzić do wniosku, że zbiór danych stanowi kwalifikowaną postać zestawu danych osobowych. Innymi słowy, jak się wydaje, zbiory ewidencyjne, o których mowa w art. 2 ust. 2 pkt 1 OchrDanOsU, ze swojej istoty nie są zbiorami danych osobowych, lecz dopiero mogą się nimi stać. 7 7. Egzemplifikowana postać ochrony danych osobowych. Drugie spośród zaprezentowanych wyżej stanowisk, które każe upatrywać roli odwołania się w art. 2 ust. 2 OchrDanOsU do pojęcia zestawów danych wyłącznie w egzemplifikacji postaci (form utrwalenia), w jakich mogą występować zbiory danych osobowych, jest jednak prawidłowe. Zgodzić należy się bowiem z poglądem, że rezultatem przyjęcia pierwszego stanowiska byłoby powstanie kategorii zbędnej z punktu widzenia zasad zastosowania przepisów ustawy o ochronie danych osobowych, którą byłyby zestawy danych niespełniające cech zbioru danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 331). Jak bowiem podkreśla się w nauce prawa, ustawa o ochronie danych osobowych stosuje się tak do zbiorów danych, jak i do zbiorów ewidencyjnych (por. A. Drozd, Ustawa, s. 17). Jednocześnie, przy uwzględnieniu poglądów doktryny, należy uznać, że cechy, jakie powinien nosić zbiór danych osobowych, w istocie odpowiadają cechom zestawu danych – za zbiory ewidencyjne uznaje się bowiem zestawienia danych osobowych, które mają strukturę umożliwiającą dostęp do danych według jednego kryterium (por. A. Drozd, Ustawa, s. 17). 8 8. Dwie postaci przetwarzania danych osobowych. Skoro więc elementem konstytutywnym dla zbioru danych osobowych jest istnienie zestawu danych, który ma własną strukturę i w którym dane są dostępne według określonych kryteriów (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 389), należy uznać, że pojęcia „zbioru danych” z art. 7 pkt 1 i „zbioru ewidencyjnego” z art. 2 ust. 2 OchrDanOsU są sobie równoważne pod względem znaczeniowym. Jedynym celem, dla którego w art. 2 ust. 2 pkt 1 OchrDanOsU wymieniono pewne kategorie zestawień danych, jest egzemplifikacja postaci zbiorów danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 389). Powstaje natomiast pytanie, w jakim w ogóle celu ustawodawca w art. 2 ust. 2 ustawy wskazał na dwie postaci przetwarzania danych osobowych, tj. przetwarzanie danych w zbiorach ewidencyjnych (zbiorach danych osobowych) oraz przetwarzanie danych w systemach informatycznych. 9 9. System informatyczny. Okoliczność przetwarzania danych osobowych w systemie informatycznym nie wyklucza przyjęcia, że dane te są przetwarzane w zbiorze danych. Systemem informatycznym, zgodnie z art. 7 pkt 2a OchrDanOsU, jest bowiem zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych. W tym sensie system informatyczny jest więc wyłącznie narzędziem służącym przetwarzaniu danych, sposobem przetwarzania danych osobowych. 10 10. Przetwarzanie danych osobowych za pomocą systemu informatycznego a inne formy przetwarzania danych. Wskazane w art. 2 ust. 2 OchrDanOsU dwa sposoby przetwarzania danych osobowych powstały w celu różnego określenia zastosowania przepisów ustawy, w zależności od przyjętej postaci przetwarzania danych. W istocie bowiem, rozróżnienie dokonane w art. 2 ust. 2 OchrDanOsU sprowadza się do wyodrębnienia przetwarzania danych osobowych za pomocą systemu informatycznego od pozostałych form przetwarzania danych. I w zależności od tego, czy dane osobowe są przetwarzane w systemie informatycznym, czy też w inny sposób, inaczej ukształtowany został zakres zastosowania przepisów ustawy. 11 11. Przetwarzanie danych osobowych w inny sposób niż w systemach informatycznych. Ściśle semantyczna wykładnia art. 2 ust. 1 i 2 OchrDanOsU prowadziłaby do wniosku, że w przypadku przetwarzania danych osobowych w inny sposób niż w systemach informatycznych, brak jest podstaw do stosowania ustawy do czasu utworzenia zbiorów danych osobowych (na taką możliwość interpretacji wskazują J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 332). Wniosek taki, choć w nieco złagodzonej postaci, przyjmują także niektórzy przedstawiciele nauki prawa – zauważono bowiem, że ochrona wynikająca z przepisów ustawy dotyczy przede wszystkim sytuacji, gdy dane osobowe przetwarza się w systemach informatycznych [A. Bierć, Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce – aspekty cywilnoprawne, w: Ochrona (red. M. Wyrzykowski), s. 114]. Zdaniem autorów niniejszego komentarza, poglądy te jednak nie zasługują na akceptację. 12 12. Funkcja prewencyjna prawa do ochrony danych osobowych. W pierwszej kolejności należy zwrócić uwagę, że prawo do ochrony danych osobowych stanowi szczególną, wyspecjalizowaną konstrukcję służącą ochronie tych samych wartości, które chroni art. 47 Konstytucji RP, gwarantujący ochronę prawa do prywatności (A. Drozd, Ustawa, s. 11). Konstrukcja zakładająca ochronę pewnych informacji o osobach fizycznych w modelu prewencyjnym, zapobiegawczym, a więc w celu niedopuszczenia do naruszenia dobra prawnie chronionego, którym jest prawo do prywatności, stanowiła odpowiedź na pojawiające się nowe zagrożenia dla prywatności, w stosunku do których klasyczne, cywilnoprawne instrumenty ochrony okazywały się niewystarczające (A. Mednis, Ochrona, s. 30). Prewencyjny charakter tej regulacji oznacza, zdaniem autorów komentarza, że chroni ona obywateli przed zachowaniami potencjalnie mogącymi naruszyć ich prywatność. Nie oznacza to jednak, że do naruszenia prywatności będzie dochodzić zawsze w przypadku naruszenia przepisów OchrDanOsU (o wzajemnym stosunku tych dwóch regulacji – OchrDanOsU i KC – por. uwagi do art. 23 OchrDanOsU). 13 13. Przedmiot ochrony dyrektywy 95/46/WE. Konsekwentnie, przedmiotem ochrony dyrektywy 95/46/WE – wzorem Konwencji Nr 108 Rady Europy – są podstawowe prawa i wolności osób fizycznych, szczególne ich prawo do prywatności wobec przetwarzania danych o charakterze osobowym. Przedmiotem ochrony ustawy nie są więc dane osobowe jako takie (tak J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 186; inaczej A. Szewc, Z problematyki ochrony danych osobowych, cz. I, R. Pr. 1999, Nr 3, s. 23), jako że ochrona danych osobowych rozumianych jako informacje o osobie fizycznej, spełniające kryteria wskazane w art. 6 OchrDanOsU, służy wyłącznie zapewnieniu ochrony prywatności informacyjnej tejże osoby fizycznej (A. Mednis, Prawo, s. 127), a dane osobowe stanowią jedynie element prywatności tejże osoby (A. Mednis, Prawo, s. 72). Przedmiotem ochrony w przepisach o ochronie danych osobowych nie są również zbiory danych osobowych jako takie, jako że ustawa nie konstruuje żadnego prawa o charakterze wyłącznym przysługującego komukolwiek w stosunku do zbiorów danych (na temat potencjalnych modeli ochrony zbiorów danych por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 185–202). 14 14. Baza danych. W pewnych sytuacjach, zbiór danych osobowych może stanowić bazę danych w rozumieniu przepisów ustawy z 27.7.2001 r. o ochronie baz danych (Dz.U. Nr 128, poz. 1402 ze zm.) – nie każdy zbiór danych osobowych może zostać jednak uznany za bazę danych, jako że jednym z warunków powstania tzw. sui generis prawa do bazy danych jest poniesienie istotnego nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji bazy danych [na temat ochrony baz danych na podstawie ustawy o ochronie baz danych por.: J. Barta, R. Markiewicz, Ustawa o ochronie baz danych. Komentarz, Kraków 2002; Z. Okoń, Ochrona baz danych, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007; R. Sikorski, Ochrona sui generis baz danych w prawie polskim, RPEiS 2004, Nr 1, s. 59; S. Stanisławska-Kloc, Problematyka prawnej ochrony „tradycyjnych” i „elektronicznych” baz danych, R. Pr. 2001, Nr 2, s. 59]. 15 15. Przetwarzanie danych osobowych. Za nieuzasadniony i pozostający w sprzeczności z podstawowymi zasadami ochrony danych osobowych należy uznać pogląd, który ograniczałby zakres zastosowania przepisów ustawy o ochronie danych osobowych wyłącznie do sytuacji przetwarzania danych osobowych w zbiorach danych, jeżeli to przetwarzanie odbywałoby się inaczej niż za pomocą systemów informatycznych. Już bowiem z samego tytułu ustawy wynika, że dotyczy ona ochrony danych osobowych, nie zaś ochrony danych osobowych w zbiorach (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 334–335). Po drugie, z punktu widzenia osoby, której dane dotyczą, w szczególności ochrony jej prawa do prywatności, nie ma znaczenia, jak (w jakiej postaci) dochodzi do przetwarzania jej danych osobowych – istotne jest, że w ten sposób można naruszyć prawo do prywatności tejże osoby. Za nieuzasadnione ograniczenie konstytucyjnego prawa do prywatności należałoby więc uznać ograniczenie zastosowania przepisów ustawy tylko do takich przypadków przetwarzania danych osobowych w inny sposób niż w systemach informatycznych, które to przetwarzanie następuje w zbiorach danych. Uprawnienia przyznane osobom, których dane dotyczą, przysługują im bowiem niezależnie od tego, w jakiej postaci (zbioru danych, zbioru ewidencyjnego) przetwarzane są dane osobowe. 16 16. Zasady przetwarzania danych osobowych. Wskazane wyżej stanowisko zostało przyjęte również w orzecznictwie sądowym – jak bowiem stwierdził Sąd Najwyższy w postanowieniu z 11.12.2000 r. (II KKN 438/00, OSNKW 2001, Nr 3–4, poz. 33): „[w] art. 2 ust. 1 ustawa wskazuje (...), że «określa zasady postępowania przy przetwarzaniu danych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych». Nie chodzi przy tym o prawa osób, których dane – jak twierdzą niektórzy autorzy – «są lub mają być elementem zbioru» (tak A. Mednis), ale które «są lub mogą być przetwarzane w zbiorach». (...) Tym samym dane osobowe korzystają z ochrony przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli tylko mogą znaleźć się w zbiorze, bez względu na to, czy się w nim ostatecznie znalazły (...)”. 17 17. Pojęcie „mogą się znaleźć w zbiorze danych”. W przypadku gdy dane osobowe przetwarzane są w inny sposób niż z wykorzystaniem systemu informatycznego, podlegają ochronie przewidzianej przepisami ustawy wtedy, gdy tylko mogą znaleźć się w zbiorze danych, bez względu na to, czy się w nim ostatecznie znalazły (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 335; inaczej, jak się wydaje, X. Konarski, G. Sibiga, Zmiany w ustawie o ochronie danych osobowych w świetle dyrektywy 95/46/WE, MoP 2004, Nr 12, s. 548). Ocena, czy wymóg ten został spełniony, nie nastręcza trudności w przypadku, w którym dane osobowe stały się częścią zbioru danych – powstaje natomiast pytanie, jak należy rozumieć zwrot „mogą się znaleźć w zbiorze danych”. W szczególności, czy zwrot ten należy rozumieć w sposób uniwersalny (abstrakcyjny), czy też w odniesieniu do konkretnego przypadku, w którym dochodzi do przetwarzania danych. Wydaje się, że w każdej sytuacji ocenę należy relatywizować i uwzględniać indywidualne okoliczności konkretnego przypadku – w przeciwnym bowiem razie, każdy przypadek przetwarzania danych osobowych można by uznać za objęty zakresem zastosowania ustawy, jako że – potencjalnie – każda informacja może podlegać przetwarzaniu w ramach istniejącego bądź tworzonego zbioru danych. 18 18. Ocena organu, czy dochodzi do przetwarzania danych osobowych. Jako przykład tego rodzaju ocen wskazać można stanowisko Generalnego Inspektora Ochrony Danych Osobowych zajęte w związku z oceną, czy dochodzi do przetwarzania danych osobowych w związku z kontrolą dokumentów uprawniających do zniżek w środkach komunikacji publicznej (Sprawozdanie GIODO za rok 1999, s. 17). W ocenie organu ochrony danych osobowych w takim przypadku dochodzi do przetwarzania danych, które jednak nie odbywa się w zbiorze danych, a więc nie znajdują do niego zastosowania przepisy ustawy o ochronie danych osobowych. Inaczej twierdzi T. Szewc, który wskazał, że już samo okazanie danych osobowych należy kwalifikować jako przetwarzanie tych danych (T. Szewc, Udostępnianie danych osobowych na wniosek, MoP 2006, Nr 22, s. 1229). 19 19. Wgląd w informacje. W nauce prawa zwrócono uwagę, że chociaż sam wgląd w informacje o osobie zawarte w jej dokumencie tożsamości jest operacją wykonywaną na danych osobowych, dane przetwarzane w ten sposób nie są objęte ochroną wynikającą z ustawy, nie ma nawet bowiem teoretycznej możliwości ich przetwarzania w zbiorze danych. Jeżeli natomiast dane zostały zapisane, np. w notatce, wówczas czynność ta stanowiłaby granicę, od której rozpoczynałaby się publicznoprawna ochrona tych danych, nawet gdyby dane pochodzące z notatki nigdy nie weszły do zbioru danych (G. Sibiga, Postępowanie, s. 50). 20 20. Gromadzenie informacji. W przypadku przetwarzania danych osobowych inaczej niż za pomocą systemu informatycznego, ochrona wynikająca z przepisów ustawy obejmuje więc informacje już na etapie ich gromadzenia, a zatem wówczas, gdy zbiór danych jeszcze nie istnieje, ale ma zostać utworzony na podstawie zbieranych danych (A. Mednis, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2001, s. 15; M. Sakowska, Pojęcie, s. 64). Zakresem przedmiotowym ustawy objęte są również te przypadki, w których zbiór danych co prawda istnieje, ale zbierane dane (z przeznaczeniem do umieszczenia w zbiorze) nie stały się jeszcze częścią tego zbioru (M. Sakowska, Pojęcie, s. 64–65). 21 21. Ochrona danych a sposób ich przetwarzania. W nauce prawa podkreśla się, że ustawa o ochronie danych osobowych jest aktem prawnym kompleksowo ujmującym całość zagadnień związanych z przetwarzaniem danych, bez względu na sposób, w jaki następuje przetwarzanie – przepisy ustawy obejmują zarówno tradycyjne metody przetwarzania danych, jak i odbywające się w systemach informatycznych [B. Banaszak, K. Wygoda, Regulacja prawna ochrony danych osobowych w Polsce w świetle ustawy z 29.8.1997 r. i standardów europejskich, w: Ochrona (red. M. Wyrzykowski), s. 53]. Wniosek ten pozostaje jednak o tyle tylko prawdziwy, o ile uprzednio zostanie stwierdzone, że konkretna operacja dokonywana na danych osobowych podlegać będzie regulacji ustawy ze względu na sposób przetwarzania danych. Jeżeli bowiem w sposób tradycyjny przetwarzane będą pojedyncze dane, które – choćby potencjalnie – nie będą mogły znaleźć się w zbiorze danych, wówczas dane te nie będą podlegać przepisom ustawy. Inaczej natomiast będzie się kształtować sytuacja tych samych pojedynczych danych, jeżeli będą przetwarzane za pomocą systemów informatycznych – zgodnie bowiem z art. 2 ust. 2 pkt 2 OchrDanOsU takie przetwarzanie danych będzie objęte jej zakresem przedmiotowym. 22 22. Zakres zastosowania ustawy w przypadku przetwarzania danych osobowych w systemach informatycznych. W swoim pierwotnym brzmieniu, art. 2 ust. 2 OchrDanOsU budził istotne wątpliwości interpretacyjne – przepis nie stanowił bowiem wystarczająco jasno, jak kształtuje się zakres zastosowania ustawy w przypadku przetwarzania danych osobowych w systemach informatycznych. Co prawda w nauce prawa zwracano uwagę, że intencją autorów projektu ustawy było objęcie ochroną pojedynczych danych przetwarzanych informatycznie (A. Mednis, Ustawa, s. 15), jednak nie usunęło to wszystkich wątpliwości (por. R. Szałowski, Ochrona danych osobowych. Komentarz do ustawy z 29.8.1997 r., Zielona Góra 2000, s. 18–19). Jednocześnie zwrócono uwagę na niezgodność ówczesnego brzmienia art. 2 ust. 2 OchrDanOsU z prawem Unii Europejskiej – zgodnie bowiem z art. 3 dyrektywy 95/46/WE przepisy dyrektywy powinny znaleźć zastosowanie do wszystkich danych osobowych przetwarzanych w systemach informatycznych; stosownej regulacji zabrakło natomiast w art. 2 ust. 2 OchrDanOsU (J. Barta, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2002, s. 289). Na niezgodność art. 2 ust. 2 OchrDanOsU z postanowieniami dyrektywy 95/46/WE zwrócono uwagę w raporcie oceniającym zgodność ustawy o ochronie danych osobowych z prawem unijnym w związku z przystąpieniem Polski do Unii Europejskiej [por. raport Dyrekcji Generalnej do spraw rozszerzenia Unii Europejskiej, ELARG-PL/LG D (2001), Bruksela 2001, s. 4]. Stąd w uzasadnieniu projektu ustawy o zmianie ustawy o ochronie danych osobowych (Sejm IV kadencji, druk sejmowy Nr 2120, s. 1) podkreślono, że zmiana art. 2 ust. 2 ma wykluczyć wątpliwości interpretacyjne, a także dostosować prawo polskie do prawa europejskiego. 23 23. Przetwarzanie danych poza zbiorem danych. Obecnie nie budzi już wątpliwości, że ustawę stosuje się do przetwarzania danych osobowych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 338; X. Konarski, G. Sibiga, Zmiany, s. 548). Nie wykazuje przy tym prawnej doniosłości okoliczność, czy zbiór danych w ogóle istnieje, a dane osobowe są przetwarzane poza zbiorem, którego były wcześniej częścią, czy też zbiór danych nigdy nie został utworzony – jeżeli dane przetwarzane są w systemach informatycznych, ochronie podlegają w każdym przypadku, tj. gdy są przetwarzane w zbiorze, a także poza zbiorem. Takie ukształtowanie zakresu stosowania przepisów ustawy wynika ze specyfiki przetwarzania danych w sposób zautomatyzowany, co z jednej strony ułatwia wykonywanie operacji przetwarzania danych, z drugiej zaś, może sprawiać trudności z ustaleniem istnienia zbioru danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 338). Podkreślić również należy, że rozwiązanie analogiczne, a więc obejmujące ochroną dane osobowe niezależnie od objęcia ich zbiorem danych osobowych, przyjęte zostało w przepisach UsElU – zgodnie bowiem z art. 16 ust. 2 tej ustawy dane osobowe podlegają ochronie przewidzianej w jej przepisach niezależnie od tego, czy ich przetwarzanie odbywa się w zbiorach danych (por. szerzej na ten temat: X. Konarski, Komentarz do ustawy o świadczeniu usług drogą elektroniczną, Warszawa 2004, s. 173). 24 24. Pojęcie „poza zbiorem danych”. Przepisy ustawy o ochronie danych osobowych są więc stosowane w przypadku tradycyjnego przetwarzania danych tam, gdzie dane są lub mogą być przetwarzane w zbiorach danych, natomiast w przypadku przetwarzania danych w systemach informatycznych – także do przetwarzania pojedynczych danych osobowych. Na tle tak ukształtowanego zakresu zastosowania ustawy powstaje pytanie, czy w przypadku przetwarzania danych osobowych w systemie informatycznym istnieje – choćby potencjalnie – możliwość, że przetwarzanie to nie będzie regulowane przepisami ustawy. Pytanie to w istocie sprowadza się do ustalenia znaczenia zwrotu „poza zbiorem danych” – jak się wydaje, pojęcie to obejmować będzie każdą sytuację przetwarzania danych, która nie odbywa się w zbiorze, a więc w szczególności przetwarzanie danych w tego rodzaju zestawach, które nie spełniają cech zbioru danych osobowych, bądź przetwarzanie pojedynczych danych. Przyjąć więc należy, że każda postać przetwarzania danych w systemie informatycznym będzie objęta zakresem zastosowania ustawy. 25 25. Obowiązek rejestracyjny. Pewne obowiązki związane z przetwarzaniem danych osobowych dotyczą wyłącznie przetwarzania danych w zbiorach. W szczególności taki charakter ma obowiązek rejestracyjny – dotyczy on wyłącznie zbiorów danych (por. uwagi do art. 40). W odniesieniu natomiast do praw osób, których dane dotyczą, w nauce prawa wyrażony został pogląd, że uprawnienia te przysługują niezależnie od tego, w jakiej postaci przetwarzane są dane osobowe (por. uwagi do art. 32). 26 26. Obowiązek zabezpieczenia danych osobowych. Analogiczna sytuacja, a więc ograniczenie pewnej kategorii obowiązków wyłącznie do sytuacji przetwarzania danych osobowych w zbiorach danych, występowała w ustawie w stanie prawnym przed 1.5.2004 r. w zakresie obowiązków zabezpieczenia danych osobowych – już bowiem sam tytuł rozdziału 5 ustawy wskazywał, że zawarte w nim przepisy stosowano wyłącznie do przetwarzania danych osobowych w zbiorach danych. Stan ten uległ radykalnej zmianie wraz z wejściem w życie ustawy z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych (Dz.U. Nr 33, poz. 285), która – przez nowelizację art. 36 OchrDanOsU – rozciągnęła obowiązek zabezpieczenia także na sytuacje przetwarzania danych poza zbiorami danych. J. Barta, P. Fajgielski, R. Markiewicz wskazują, że obecnie obowiązki zabezpieczenia powinny odnosić się przede wszystkim do samych danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 663–664). 27 27. Zbiór tworzony doraźnie. Wyłom w stosunku do tak określonego zakresu zastosowania przepisów ustawy o ochronie danych osobowych ustanowiony został w art. 2 ust. 3 w stosunku do tzw. zbiorów tworzonych doraźnie. Do takich zbiorów danych znajdują bowiem zastosowanie wyłącznie przepisy rozdziału 5 ustawy, tj. przepisy o zabezpieczeniu danych. Zdaniem autorów niniejszego komentarza, nie można jednak stosować ściśle literalnej wykładni sformułowania wskazującego, że do tych zbiorów znajdują zastosowanie „wyłącznie” przepisy o zabezpieczeniu danych, gdyż prowadziłoby to do wyłączenia w stosunku do tej kategorii zbiorów przepisów ustawy kształtujących podstawy prawne przetwarzania (art. 23 i 27 OchrDanOsU), obowiązki informacyjne (art. 24 i 25 OchrDanOsU), a także obowiązki w zakresie należytej staranności przy przetwarzaniu danych (art. 26 OchrDanOsU). Takie stanowisko nie może zostać zaakceptowane, w szczególności ze względu na potencjalną możliwość dopuszczenia w ten sposób do istotnych naruszeń prawa do prywatności osób, których dane dotyczą, przez pominięcie regulacji stanowiących gwarancję legalności działań administratora danych. Według autorów, przepis ten w istocie wyłącza w stosunku do kategorii zbiorów doraźnych zastosowanie przepisów ustawy dotyczących zbiorów danych. Ze względu na okoliczność, że ww. przepisy dotyczące podstaw przetwarzania danych, obowiązków informacyjnych oraz obowiązków w zakresie dochowania należytej staranności przy przetwarzaniu danych, odnoszą się do zbierania i przetwarzania „danych osobowych” i nie odnoszą się do pojęcia „zbioru danych”, będą one znajdowały w pełni zastosowanie również w przypadku tworzenia zbiorów doraźnych. W konsekwencji, jedynymi przepisami, które nie znajdą zastosowania do tej kategorii zbiorów, będą przepisy dotyczące rejestracji zbiorów danych osobowych, zawarte w rozdziale 6 OchrDanOsU. 28 28. Zabezpieczenie danych. W tym kontekście, nie stoi na przeszkodzie, a nawet potwierdza powyższe stanowisko, nowe brzmienie rozdziału 5 OchrDanOsU (wprowadzone nowelizacją na mocy przepisów ustawy z 22.1.2004 r.), które odnosi się do zabezpieczenia danych, a nie – jak uprzednio – do zabezpieczenia zbiorów danych. Treść art. 2 ust. 3 OchrDanOsU nie zmieniła się bowiem w wyniku nowelizacji w oparciu o przepisy ustawy z 22.1.2004 r., mimo zmiany w samych postanowieniach przepisu art. 2 oraz istotnych zmian w rozdziale 5 OchrDanOsU. Pierwotnie więc zamierzeniem ustawodawcy było wyłączenie w stosunku do zbiorów doraźnych przepisów dotyczących zbiorów danych, z wyjątkiem rozdziału 5 (który uprzednio dotyczył zabezpieczenia zbiorów danych). Powyższe stanowisko było więc tym bardziej uzasadnione w pierwotnym brzmieniu przepisów rozdziału 5 OchrDanOsU. 29 29. Obowiązek zabezpieczenia danych. Sam przepis art. 2 ust. 3 OchrDanOsU nie został jednak sformułowany jasno, przez co możliwe są jego dwie, wzajemnie się wykluczające, interpretacje. Jak wskazują J. Barta, P. Fajgielski, R. Markiewicz, obecnie obowiązki zabezpieczenia powinny odnosić się przede wszystkim do samych danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 339). Zgodnie z art. 2 ust. 3 OchrDanOsU w odniesieniu do zbiorów danych osobowych „sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji”, znajdują zastosowanie wyłącznie przepisy rozdziału 5. Przepis jednak nie precyzuje, czy wskazane w nim cechy zbioru doraźnego powinny występować kumulatywnie, czy też wystarczające jest zaistnienie choćby jednej z tych cech (M. Sakowska, Pojęcie, s. 65; na taką możliwość wskazuje też A. Drozd, Ustawa, s. 20). Stąd pierwsza możliwa interpretacja zakłada, że wystarczy spełnienie choćby jednej z cech wskazanych w przepisie, żeby zbiór danych został uznany za „doraźny” w rozumieniu art. 2 ust. 3 OchrDanOsU (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 339–340). Konkurencyjna, bardziej rygorystyczna, wykładnia art. 2 ust. 3 OchrDanOsU zakłada, że przepis dotyczy tylko takich zbiorów danych sporządzanych doraźnie, które jednocześnie powstały ze względów technicznych, szkoleniowych albo w związku z dydaktyką w szkołach wyższych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 340). 30 30. Interpretacja zawężająca obowiązek zabezpieczenia danych. W nauce prawa powszechnie przyjmowana jest pierwsza spośród wskazanych wyżej możliwości interpretacji art. 2 ust. 3 OchrDanOsU (tak A. Drozd, Ustawa, s. 20; M. Sakowska, Pojęcie, s. 65). Wśród uzasadnień tej właśnie wykładni przywołuje się zasadę wykładni językowej, w której podkreśla się, że art. 2 ust. 3 OchrDanOsU, jako wyjątek od zasady ogólnej, powinien być interpretowany zawężająco (M. Sakowska, Pojęcie, s. 65), a także zwraca się uwagę na niesamodzielny charakter przesłanki „doraźności”, która wymaga uzupełnienia przez dodatkowe przesłanki, wymienione w przepisie (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 340–341). Chociaż stanowisko takie nie zostało zajęte wprost, analiza decyzji administracyjnych wydawanych przez organ ochrony danych prowadzi do wniosku, że interpretację zawężającą art. 2 ust. 3 OchrDanOsU przyjmuje także Generalny Inspektor Ochrony Danych Osobowych (por. A. Drozd, Ustawa, s. 21–22). 31 31. Zbiór danych osobowych. Zbiór danych osobowych, o którym mowa w art. 2 ust. 3 OchrDanOsU, powinien więc w pierwszej kolejności zostać utworzony „doraźnie”, tj. dla chwilowej potrzeby (M. Sakowska, Pojęcie, s. 66), w pewnej sytuacji, okolicznościowo (A. Drozd, Ustawa, s. 20). Wątpliwości budzi natomiast przyjęcie, że zbiorem stworzonym doraźnie może być tylko taki zbiór danych, jaki nie został utworzony w typowym celu przetwarzania danych przez danego administratora, lecz wyłącznie w celu towarzyszącym działalności tego podmiotu (A. Drozd, Ustawa, s. 20–21). Analogiczne stanowisko zdaje się zajmować Generalny Inspektor Ochrony Danych Osobowych, który w materiałach dostępnych pod adresem www.giodo.gov.pl, w dziale „Pytania i odpowiedzi”, stwierdza: „Jeżeli dane tworzące określoną strukturę służą realizacji zasadniczego, głównego celu przetwarzania, trudno uznać tę strukturę za zbiór doraźny”. 32 32. Cel przetwarzania danych. Niewątpliwie zgodzić się należy z tezą, że nie tylko czas przetwarzania danych, ale przede wszystkim cel ich przetwarzania będzie przesądzał o możliwości zakwalifikowania zbioru jako utworzonego doraźnie (A. Drozd, Ustawa, s. 20). Nie wydaje się jednak trafne przyjmowanie a priori, że pewne cele przetwarzania – w tym przypadku typowe cele przetwarzania danych przez konkretnego administratora – będą ze swojej istoty wyłączone spod zakresu pojęcia zbiorów „doraźnych”. Cel przetwarzania danych osobowych w badanym zbiorze w tym sensie bowiem powinien mieć znaczenie decydujące, że przy jego pomocy należy ustalić, czy zbiór ma charakter okolicznościowy, czasowy. Jak się wydaje, nie ma przy tym przeszkód, żeby tego rodzaju „chwilowe” zbiory danych były tworzone częściej, np. w związku z określoną działalnością prowadzoną przez administratora danych. 33 33. Pojęcie „doraźności” lub „czasowości”. Pojęcie „doraźności” lub „czasowości” oznacza zdaniem autorów co najmniej tyle, że administrator danych powinien przewidywać termin zakończenia czynności przetwarzania danych osobowych w takim zbiorze. Przy czym okres przetwarzania (w tym przechowywania) danych osobowych powinien być znany mu przynajmniej w przybliżeniu. Nie można bowiem przyjąć, że mamy do czynienia ze zbiorem doraźnym w sytuacji, gdy administrator danych nie może określić – chociażby w przybliżeniu – okresu, przez który będzie przetwarzał dane osobowe w danym zbiorze. Zatem nie będą zbiorami doraźnymi zbiory danych osobowych, które są przetwarzane przez długi okres lub też przez czas nieokreślony. Powyższe stanowisko dotyczące ograniczenia czasowego potwierdza GIODO, który, nakazując (por. Sprawozdanie GIODO za rok 2006, s. 59; M. Kosiarski, Uczelnia musi zgłosić, co wie o kandydatach na studentów, Rzeczp. 9.6.2007 r.) wyższym uczelniom dokonywanie zgłoszeń zbiorów danych kandydatów na studia, przyjął, że nie mogą być one traktowane jako zbiory doraźne ze względu na przechowywanie kopii dokumentów przez okres 12 miesięcy zgodnie z § 21 ust. 2 rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z 14.9.2011 r. w sprawie dokumentacji przebiegu studiów (Dz.U. Nr 201, poz. 1188). 34 34. „Czasowy” zbiór danych. Tak utworzony „czasowy” zbiór danych powinien zostać stworzony w jednym z celów wskazanych w art. 2 ust. 3 (zbiór utworzony „ze względów”), tj. w celu szkoleniowym, w związku z dydaktyką w szkołach wyższych lub ze względów technicznych. Tak rozumiany cel utworzenia zbioru doraźnego nie może być utożsamiany z celem przetwarzania danych osobowych w zbiorze w rozumieniu art. 26 ust. 1 pkt 2 OchrDanOsU. Artykuł 2 ust. 3 OchrDanOsU mówi bowiem o celu utworzenia zbioru danych, nie zaś o celu przetwarzania danych w zbiorze. Podkreślić przy tym należy, że wskazane względy utworzenia zbioru doraźnego określone zostały w ustawie w sposób nieostry, odwołując się do zwrotów bliżej nieokreślonych, takich jak w szczególności „względy techniczne”. Nie jest przy tym jasne, dlaczego pewne zbiory danych mogą podlegać łagodniejszemu reżimowi, pewne zaś nie – niejasna jest np. ratio legis objęcia wyłączeniem zbiorów związanych z dydaktyką w szkołach wyższych, natomiast w pozostałych typach szkół już nie (por. na ten temat J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 341). 35 35. Dane wrażliwe. Nie ma przeszkód, by w zbiorach doraźnych były przetwarzane tzw. dane wrażliwe (por. A. Drozd, Ustawa, s. 23). O tym, czy przetwarzanie danych ma charakter doraźny, rozstrzyga cel i czas ich przetwarzania, a nie typ przetwarzanych danych osobowych ani postanowienia regulaminu czy umowy odnoszących się do przetwarzania (tak Sprawozdanie GIODO za rok 2001, s. 256). Należy zaakceptować stanowisko GIODO w tym zakresie, jednak z zastrzeżeniem, że w rzeczywistości – odwołując się do treści samego art. 2 ust. 3 OchrDanOsU – rozstrzygnięcia w zakresie przyznania statusu zbioru doraźnego należy upatrywać nie w celu przetwarzania danych, a w celu utworzenia zbioru (doraźnego). 36 36. Weryfikacja zbiorów danych osobowych tworzona na potrzeby konkursów, loterii lub innych akcji promocyjnych. W praktyce obrotu gospodarczego powstaje często problem, jak należy zakwalifikować zbiory danych osobowych tworzone na potrzeby konkursów, loterii lub innych akcji promocyjnych związanych z przetwarzaniem danych osobowych. Po pierwsze, jak przyjął GIODO (Sprawozdanie GIODO za rok 2000, s. 281; Sprawozdanie GIODO za rok 2001, s. 230), jeżeli dane zebrane w wyniku umowy z firmą marketingową zostały wykorzystane jednorazowo, dla celów własnej akcji promocyjnej (zbiór doraźny sporządzany ze względów technicznych), a po wykorzystaniu niezwłocznie usunięte albo poddane anonimizacji, to mamy do czynienia ze zbiorem doraźnym. Należy jednak wskazać, że chodzi wyłącznie o wykorzystanie danych dla przeprowadzenia jakiejś akcji promocyjnej i usunięcie lub zanonimizowanie ich w całości (odnośnie do anonimizacji por. X. Konarski, Komentarz, s. 126). Analogicznie, GIODO przyjął, że wykorzystanie danych wyłącznie do wysyłki ankiet i
Przypisy A. Tekst ustawy [1] Tekst jednolity ogłoszono dnia 6.07.2002 r. [2] Odnośnik dodany ustawą z dnia 24.08.2007 r. (Dz.U. Nr 176, poz. 1238), która wchodzi w życie 10.10.2007 r. Treść odnośnika publikujemy na końcu ustawy. [3] Art. 2 ust. 2 w brzmieniu ustawy z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej. [4] Art. 3 w brzmieniu ustawy z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej. [5] Art. 3a dodany ustawą z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej. [6] Art. 7 zmieniony ustawą z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej; pkt 5 w brzmieniu ustawy z dnia 29.10.2010 r. (Dz.U. Nr 229, poz. 1497), która wchodzi w życie 7.03.2011 r.
<a href="http://cyfroteka.pl/ebooki/Ustawa_o_ochronie_danych_osobowych__Komentarz-ebookRO/p0203564i020" target="_blank" title="Ustawa o ochronie danych osobowych. Komentarz [Paweł Barta, Paweł Litwiński] - KLIKAJ I CZYTAJ ONLINE" > <img src="http://cyfroteka.pl/images/BRD.png" style="border:none;background:none transparent;box-shadow:none;-webkit-box-shadow:none;-webkit-border-radius:0;border-radius:0;" alt="Ustawa o ochronie danych osobowych. Komentarz [Paweł Barta, Paweł Litwiński] - KLIKAJ I CZYTAJ ONLINE"/></a>