Tomasz Osiej (TO): Pani Profesor, od lutego 2024 roku jest Pani zastępczynią Prezesa UODO, a od wielu lat przedstawicielką świata naukowego. Dr hab. nauk prawnych w zakresie prawa europejskiego (INP PAN 2016), profesorka w Kolegium Prawa Akademii Leona Koźmińskiego (Katedra Prawa Międzynarodowego i Prawa UE). Jak czytamy dalej na stronie UODO, jest Pani autorką, współautorką i redaktorką wielu książek, artykułów i innych publikacji naukowych. Co spowodowało, że zdecydowała się Pani na transfer ze świata nauki do świata urzędu?
Agnieszka Grzelak (AG): Nie przeniosłam się ze świata nauki do świata urzędów, bo w świecie administracji publicznej jestem od dwudziestu czterech lat, a moja kariera naukowa zawsze łączyła się z praktyką zawodową. Pierwszą pracę podjęłam zaraz po studiach, w 2000 roku, w Urzędzie Komitetu Integracji Europejskiej, jako referendarz. Później zajmowałam różne stanowiska w Kancelarii Sejmu, w biurze Rzecznika Praw Obywatelskich, przed UODO pracowałam również w Biurze Studiów i Analiz Sądu Najwyższego. Ochroną danych osobowych zajmuję się od 2012 roku – od czasu, gdy się pojawił projekt tzw. dyrektywy policyjnej. Bardzo interesowała mnie współpraca policyjna i sądowa w sprawach karnych w Unii Europejskiej i zaraz po publikacji projektu zaczęłam mu się bliżej przyglądać. W ten sposób weszłam do świata ochrony danych osobowych i w wymiarze praktycznym i w wymiarze naukowym. Zajmowałam się tą tematyką jeszcze w Kancelarii Sejmu, a później również w biurze RPO i trochę w Sądzie Najwyższym, bo tam również pojawiały się różne sprawy z nią związane. Z Panem Prezesem Wróblewskim pracowaliśmy wcześniej razem w biurze RPO. Myślę więc, że moja nominacja na jego Zastępczynię nie była zaskoczeniem.
TO: Czyli pytanie nie było do końca trafione. Ten urząd jednak wyróżnia się nie tylko strukturą czy zespołem, ale przede wszystkim tematyką. Z jednej strony mamy do czynienia z bardzo wąskim zakresem – ochroną danych osobowych, z drugiej zaś z szerokim spektrum problemów z tym związanych. Czy praca w UODO to dla Pani wyzwanie bardziej organizacyjne, czy naukowe? A może te aspekty są równie istotne?
AG: Zdecydowanie mogę powiedzieć, że praca tutaj wiąże się z wieloma wyzwaniami, z jakimi wcześniej nie miałam do czynienia – przede wszystkim dlatego, że zajmuję obecnie tak wysokie stanowisko kierownicze. Stawia to przede mną szereg wyzwań o charakterze organizacyjnym, na przykład w obszarze zarządzania zespołem. Jednocześnie, specyfika pracy w urzędzie wymaga głębokiego zrozumienia prawa Unii Europejskiej, co dodatkowo mobilizuje mnie do refleksji naukowej nad funkcjonowaniem urzędu, kierunkami rozwoju ochrony danych osobowych oraz analizą potencjalnych skutków regulacji. To interdyscyplinarne podejście – łączenie organizacji i nauki – jest dla mnie szczególnie inspirujące, ponieważ umożliwia przekładanie teorii na konkretne działania, które mają realny wpływ na rzeczywistość prawną i społeczną.
Co ciekawe, nie jestem jedyną osobą w urzędzie, która łączy działalność naukową z praktyką zawodową. Zupełnie przykładowo, ale jednocześnie z dumą mogę wskazać, że w ostatnim okresie np. pan dr Olgierd Jakubowski z Departamentu Orzecznictwa i Legislacji (obecnie Prawa i Nowych Technologii), obronił rozprawę doktorską. Taka symbioza nauki i praktyki przynosi wymierne korzyści dla naszej pracy. Moje doświadczenie związane z prawem unijnym, na którym koncentrowałam się szczególnie w ostatnich latach, pozwala mi spojrzeć na działalność urzędu przez pryzmat kontekstu legislacyjnego, orzecznictwa TSUE czy interpretacji przepisów unijnych. Dotykamy także nowych wyzwań związanych z prezydencją Polski w Radzie UE, co dodaje jeszcze większego znaczenia naszej działalności. W czerwcu obchodziliśmy 20-lecie członkostwa Polski w Unii, organizując z tej okazji konferencję. Widać więc, że tematów wymagających pogłębionej analizy nie brakuje.
TO: Na kolejne pytanie odpowiedziała Pani już częściowo, ale chciałbym zapytać, wokół jakich obszarów koncentruje się Pani aktywność zawodowa?
AG: Zgodnie z decyzją Prezesa i regulaminem organizacyjnym Urzędu, zakres kompetencji jego zastępców obejmuje wszystkie zadania zlecone przez Prezesa. Nie dokonaliśmy formalnego podziału tematyki – zarówno ja, jak i wiceprezes Komornicki wspieramy Prezesa Wróblewskiego we wszystkich działaniach, w zależności od potrzeb. Ja, siłą rzeczy, zajmuję się głównie tematami europejskimi, w szczególności doradzając w zakresie prawa unijnego.
W kręgu moich szczególnych zainteresowań znajdują się opinie legislacyjne przygotowywane przez Departament Orzecznictwa i Legislacji (obecnie Prawa i Nowych Technologii), a także analiza orzeczeń TSUE, stanowisk w trakcie postępowań przed TSUE i ich implikacji dla polskiego systemu prawnego. Przykładowo, wspieram urząd w przygotowywaniu opinii dotyczących konieczności zmian przepisów krajowych w związku z wydawanymi wyrokami. Poza tym, zajmuję się zagadnieniami związanymi z systemem informacyjnym Schengen oraz systemami wjazdu i wyjazdu (system EES), które mieszczą się w kompetencjach naszego Departamentu Kontroli i Naruszeń. To tylko niektóre przykłady.
Bliska jest mi także współpraca w ramach Europejskiej Rady Ochrony Danych (EROD), a w tym roku szczególną uwagę poświęcamy zagadnieniom międzynarodowym, prezydencji Polski w Radzie UE, czy procedurom związanym ze skargami na działalność amerykańskich służb wywiadowczych. Choć takich skarg jeszcze nie odnotowaliśmy, posiadamy już opracowane procedury w tym zakresie. Współpracuję także z naszym społecznym zespołem ekspertów, co również stanowi dla mnie istotny obszar działalności.
Ponadto czytam niemal wszystkie decyzje Prezesa Urzędu. Często dyskutujemy w różnych kwestiach, bo nasze poglądy nie zawsze są jednolite.
TO: Wspomniała Pani, że nie zawsze zgadza się z decyzją Prezesa. Czy to oznacza występowanie konfliktów wewnętrznych?
AG: Nie, konfliktów nie ma.
TO: Ale dyskusje wewnętrzne się pojawiają?
A.G. Oczywiście, dyskusje są nieodłączną częścią naszej pracy, zwłaszcza w przypadku najważniejszych decyzji. W ramach urzędu działa tzw. zespół karowy złożony głównie z dyrektorów departamentów, którzy przygotowują projekty decyzji. Na tym etapie odbywają się gruntowne i merytoryczne dyskusje, w których często uczestniczymy, najpierw jako słuchacze, a następnie prowadząc rozmowy w mniejszym gronie.
TO: A jak wygląda to z Pani perspektywy jako wykładowczyni akademickiej? W jakich obszarach ochrony danych osobowych widzi Pani potrzebę pogłębionej dyskusji lub badań?
AG: Jeśli chodzi o naukowy wymiar ochrony danych osobowych, dostrzegam pewien deficyt. Zgadzam się z opinią Pani Prezes Edyty Bielak-Jommy, która podczas jednej z konferencji zauważyła, że w tej dziedzinie jest wciąż za mało badań naukowych. Wiele prac koncentruje się na interpretacji przepisów, co jest oczywiście cenne dla praktyków, ale w nauce brakuje szerszej analizy – refleksji nad potrzebami, celami czy konsekwencjami regulacji.
W mojej opinii najbliższe lata zdominują badania nad sztuczną inteligencją, w tym jej skutecznością i aspektami etycznymi, a także nad nowymi technologiami, takimi jak dane biometryczne czy neurotechnologie. Szczególną uwagę zwrócą również kwestie zgody na przetwarzanie danych w ekosystemach cyfrowych, gdzie granice tego pojęcia ewoluują. Temat suwerenności cyfrowej, cyberbezpieczeństwa oraz wykorzystania danych w systemie ochrony zdrowia – w tym danych genetycznych i telemedycyny – również wymaga dogłębnych analiz. W mojej ocenie te zagadnienia będą kluczowe w najbliższym czasie.
TO: Czy mogłaby Pani doprecyzować, co dokładnie ma Pani na myśli, mówiąc, że jest „mało nauki w nauce o ochronie danych osobowych”?
AG: Wydaje mi się, że obecnie skupiamy się głównie na interpretowaniu przepisów wprowadzanych w ramach – że użyję tego określenia – „tsunami legislacyjnego”. Analizujemy je i tłumaczymy ich zastosowanie, ale rzadziej zastanawiamy się nad ich genezą, celami czy konsekwencjami. Mam jednak nadzieję, że po zakończeniu etapu interpretacji przepisów wrócimy do szerszych zagadnień w tej dziedzinie. Zawsze byłam zwolenniczką łączenia teorii z praktyką, dlatego wspieram poszukiwanie praktycznych zastosowań przepisów i pytanie: „co to nam da w praktyce?” oraz „jaki będzie wymierny efekt?”. Uważam jednak, że nauka powinna sięgać głębiej – tego też oczekuję od jej przedstawicieli.
TO: Zgadzam się, że przepisy mnożą się w ogromnym tempie, a naszą rolą jest ich uporządkowanie, zrozumienie i interpretacja. Jednak mam wrażenie, że obecnie panuje chaos – pewnego rodzaju bałagan poprzedzający wspomniane „tsunami”. Czy zgadza się Pani z taką diagnozą?
AG: Trochę chaosu rzeczywiście występuje. W obszarze ochrony danych osobowych nowe akty prawne często zawierają klauzule zastrzegające, że są one „bez uszczerbku dla danych osobowych” lub „bez uszczerbku dla RODO”. To pokazuje, że RODO traktowane jest jako akt nadrzędny i kluczowy. Jednak brakuje głębszej refleksji nad interakcją między tymi regulacjami. Przed nami wiele pracy analitycznej w tym zakresie.
TO: W swoich publikacjach krytykowała Pani implementację tzw. dyrektywy policyjnej w Polsce. Czy coś się zmieniło w tej kwestii po kilku latach od przyjęcia ustawy?
AG: Niestety, moje stanowisko pozostaje krytyczne. Nie wprowadzono istotnych zmian ani korekt, a moim zdaniem wciąż brakuje zrozumienia wagi tego aktu dla obywateli. Władze zdają się być zadowolone z przyznanych im kompetencji, podczas gdy z punktu widzenia obywatela dyrektywa mogłaby pełnić kluczową rolę w ochronie przed nadużyciami władzy. Gdyby była odpowiednio wdrożona, być może uniknęlibyśmy takich sytuacji, jak sprawa Pegasusa. Niestety, Komisja Europejska ogranicza się do badania formalnego wdrożenia przepisów, a nie ich merytorycznej oceny.
Zwracam często uwagę na przykład artykułu 17 dyrektywy, który przewiduje prawo do pośredniej kontroli przez organ nadzorczy (np. Prezesa UODO) przetwarzania danych osobowych przez służby policyjne, w sytuacjach, gdy obywatele nie mogą być poinformowani o przetwarzaniu swoich danych. Ten przepis, choć kluczowy, wciąż nie został wdrożony w polskim prawie. Co więcej, Trybunał Sprawiedliwości UE w odniesieniu do innych państw wydał wyroki, które wskazują na potrzebę sądowej kontroli działań organu nadzorczego w takich przypadkach. Nasze sądy nie mają jednak nawet czego kontrolować. O nieprawidłowościach w zakresie wdrożenia dyrektywy jest mowa również w raporcie ewaluacyjnym, który właśnie otrzymaliśmy, dotyczącym stosowania przepisów odnoszących się do strefy Schengen w Polsce. Może to będzie jakiś argument do podjęcia inicjatywy w zakresie niezbędnych zmian.
Mimo licznych problemów, jedyne, co możemy robić, to „pukać do drzwi” – bo Prezes UODO nie ma inicjatywy ustawodawczej. Brakuje zrozumienia ze strony decydentów, co utrudnia wprowadzenie zmian.
TO: To mocne stwierdzenie, że dyrektywa policyjna jest ważniejsza dla obywatela niż RODO.
AG: Tak, to dość kontrowersyjna teza, ale moim zdaniem uzasadniona. Dyrektywa pozostaje mało znana, ponieważ w obecnym kształcie jest w praktyce niestosowalna. Przepisy wprowadzające ją w życie są pełne wyjątków i klauzul generalnych, co uniemożliwia obywatelom korzystanie z przysługujących im praw. Organy zawsze znajdą podstawę, by uzasadnić brak zastosowania tych gwarancji. W efekcie dyrektywa nie spełnia swojej funkcji, a świadomość obywateli na jej temat jest znikoma.
TO: Mam pytanie odchodzące nieco od problemów szeroko rozumianej administracji. Jak ocenia Pani ochronę danych w różnych sektorach? Czy niektóre branże są bardziej profesjonalne, a inne mniej?
AG: Nie prowadzimy badań systemowych, które pozwoliłyby na jednoznaczną ocenę poziomu profesjonalizacji w różnych branżach. Na pewno jednak sektor publiczny pozostaje pod naszą szczególną uwagą. W najbliższym czasie zamierzamy przyjrzeć się również małym i średnim przedsiębiorstwom oraz sektorowi ochrony zdrowia.
Ochrona zdrowia jest dla nas szczególnie istotna, ponieważ dotyczy każdego obywatela i wiąże się z przetwarzaniem wrażliwych danych, takich jak dane genetyczne. Z jednej strony mamy nowoczesne systemy i badania naukowe, z drugiej – wciąż zdarzają się przypadki rażących błędów w przetwarzaniu danych w podstawowych placówkach. Dlatego ten sektor wymaga szczególnej uwagi.
Jeśli chodzi o skargi, dominują te dotyczące sektora finansowego, zwłaszcza banków. W tym roku odnotowaliśmy także wiele zgłoszeń naruszeń związanych z atakami ransomware, głównie w bankach spółdzielczych. Inne obszary zainteresowania to tzw. chińskie platformy sprzedażowe, które nasuwają liczne wątpliwości dotyczące ochrony prywatności, choć skarg w tej kwestii praktycznie nie ma. Nasza intuicja podpowiada, że wynika to z braku świadomości obywateli na temat przetwarzania ich danych przez te platformy.
Podsumowując, ochrona danych w różnych sektorach wciąż wymaga uwagi i doskonalenia. Szczególnie zależy nam na zwiększeniu świadomości obywateli oraz poprawie stosowalności kluczowych regulacji.
TO: Wspomniała Pani o małych i średnich przedsiębiorstwach. Czy moglibyśmy się przy tym na chwilę zatrzymać? Czy chodzi o marketing, który jest zmorą dla większości z nas?
AG: Tak, to zdecydowanie problematyczna kwestia. Choć istnieje wiele obszarów, które wymagają uwagi, marketing bezpośredni jest jednym z tych, które najczęściej dotykają obywateli. W tej dziedzinie współpracujemy z innymi organami, choć pojawiają się trudności związane z podziałem kompetencji i odpowiedzialności.
TO: A małe i średnie przedsiębiorstwa? Co z nimi?
AG: Ten sektor jest obecnie przedmiotem naszego szczególnego zainteresowania. Minęło już sześć lat od wprowadzenia RODO, ale wciąż zauważamy brak ugruntowanej i powszechnej wiedzy na ten temat wśród małych i średnich przedsiębiorców. Planujemy pewne działania, aby przyjrzeć się, jak realizowane są wymogi RODO w praktyce.
TO: Czyli RODO nie wszędzie się przyjęło?
AG: Nie wszędzie. Niestety, wielu przedsiębiorców traktuje je jedynie jako formalny wymóg – kolejną porcję dokumentów do wypełnienia i odłożenia na półkę. Nie dostrzegają natomiast faktycznego celu i korzyści, jakie niesie za sobą ochrona danych osobowych.
TO: A co z zapowiedzianymi poradnikami? Kiedy możemy się ich spodziewać? Czy będą one zawierać zdania odrębne doradców społecznych, zgodnie z wcześniejszymi zapowiedziami?
AG: Pracujemy nad kilkoma poradnikami, w tym dwoma we współpracy z naszym Społecznym Zespołem Ekspertów – jeden dotyczy zatrudnienia, a drugi zgłaszania naruszeń. Bardziej zaawansowane są prace nad tym drugim, który powinien ukazać się jeszcze w styczniu. Poradnik dotyczący zatrudnienia wymaga więcej czasu, ponieważ w trakcie konsultacji otrzymaliśmy wiele uwag, które musimy dokładnie przeanalizować. Ponadto, w ostatnich latach pojawił się szereg nowych problemów, do których taki poradnik powinien się odnieść.
Poradniki będą przedstawiać jednolite stanowisko Urzędu, aby uniknąć zamieszania. Choć eksperci mają prawo do swojego zdania odrębnego, publikacje powinny być spójne i jasne dla odbiorców. W razie zmian w interpretacji wynikających z orzecznictwa sądowego, poradniki będą aktualizowane.
TO: W ostatnim czasie pojawiło się kilka ciekawych wypowiedzi dotyczących sygnalistów, o które chciałbym dopytać. Czy UODO planuje wydać wytyczne dotyczące ochrony tożsamości sygnalistów? Jak będą wyglądać procedury rozpatrywania zgłoszeń zewnętrznych?
AG: Przypominam, że na etapie przyjmowania przepisów urząd zgłaszał szereg wątpliwości i zastrzeżeń, których nie uwzględniono w pracach. Rozumiem, że ustawodawca się śpieszył, co było uzasadnione wyrokiem TSUE nakładającym karę pieniężną na Polskę, ale wydaje mi się, że pewne przepisy można było lepiej skonstruować. W tej chwili pojawiają się problemy, z którymi my musimy się zmierzyć. Już trafiają do nas pytania dotyczące interpretacji przepisów ustawy. Po czerwcowym seminarium, obecnie zbieramy informacje i planujemy kolejne seminarium poświęcone zgłoszeniom zewnętrznym, które zamierzamy zorganizować z grupą ekspertów i biurem RPO. To pozwoli na zidentyfikowanie problemów i w razie potrzeby opracowanie stanowisk zgodnych z oczekiwaniami rynku.
TO: Przy zgłoszeniach zewnętrznych Urząd jest również jedną z instytucji, do których będą trafiać zgłoszenia. Jaka będzie procedura rozpatrywania zgłoszenia i jak będzie się miała do dotychczasowego trybu rozpatrywania skarg?
AG: Przygotowaniem stosownych procedur w Urzędzie zajmował się zespół pod kierunkiem Pana Prezesa Komornickiego. Wszelkie informacje na ten temat znajdują się na naszej stronie internetowej. Jeśli chodzi o procedury, od 25 grudnia przyjmujemy zgłoszenia sygnalistów. To oznacza, że skargę do Prezesa UODO należy odróżnić od zgłoszenia sygnalisty. W tym drugim przypadku postępowanie będzie toczyło się nieco inaczej – nie mamy np. obowiązku stosowania przepisów kodeksu postępowania administracyjnego. Osoba, która będzie zgłaszała skargę jako sygnalista, będzie chroniona w relacji do podmiotu, którego zgłoszenie dotyczy. Wprowadziliśmy także oddzielne kanały komunikacyjne dla sygnalistów.
TO: W sprawozdaniu Prezesa UODO widać, że kary są nakładane głównie za powtarzające się uchybienia, takie jak brak zgłaszania naruszeń czy błędy w analizie ryzyka. Czy wynika to z niewiedzy administratorów czy z ich podejścia?
AG: Celem kar nakładanych przez Prezesa UODO nie jest wyłącznie ukaranie podmiotu, ale przede wszystkim szersza edukacja, nie tylko podmiotu ukaranego, poprzez wskazanie właściwego sposobu postępowania w podobnych przypadkach. Staramy się, aby decyzje były analizowane i traktowane jako wzorzec dla innych. Mamy przecież 2025 r., mija już 7 rok stosowania RODO. Po tylu latach trudno zasłaniać się brakiem wiedzy, stąd pojawiają się kary. Chcielibyśmy jednak, by były one szerzej czytane i analizowane.
Zmodyfikowaliśmy – również w tym celu – strategię komunikacyjną Urzędu, aby wyjaśniać nasze działania w sposób zrozumiały i przystępny. Komunikaty są formułowane w sposób bardziej zrozumiały, ale nadal sporo do zrobienia jest po tzw. „drugiej stronie”, czyli wśród odbiorców komunikatów. Czasem mam wrażenie, że od urzędu oczekuje się podstawowych działań edukacyjno-szkoleniowych, podczas gdy powinniśmy już wszyscy być o wiele dalej i prowadzić o wiele bardziej zaawansowane analizy, chociażby dotyczące wpływu SI na nasze dane. W każdym razie, z przedstawianych informacji powinno jasno wynikać, że kary nakładane są w ostateczności – tylko 1% zgłoszonych naruszeń kończy się taką decyzją. Naszym celem jest współpraca i wspieranie podmiotów w minimalizowaniu ryzyka.
TO: Czyli mamy się nie bać zgłaszania naruszeń?
AG: Nie, absolutnie nie należy się bać zgłaszania naruszeń, wprost przeciwnie – dobra współpraca z urzędem może pozwolić na zminimalizowanie problemów. Jednocześnie mam nadzieję, że poradnik o naruszeniach wyjaśni, że nakładanie kar to nie jest żaden automatyzm, a zgłoszenie naruszenia nie zawsze równa się wszczęciu postępowania. Chcemy raczej podkreślić konieczność współpracy z urzędem i zgłaszania naruszeń, oczywiście nie wszystkich, bo nie wszystkie muszą być do nas zgłaszane. Myślę, że w poradniku wiele tematów zostanie wyjaśnionych.
TO: Pozostając w temacie naruszeń, ale to już ostatnie pytanie z tej puli. Dlaczego Polska zajmuje pierwsze miejsce pod względem liczby zgłoszeń naruszeń na mieszkańca? Czy wynika to z obaw, nadgorliwości, czy może rzeczywiście jesteśmy krajem przyfrontowym, w którym dzieje się dużo w tej kwestii?
AG: Nie sądzę, by samo położenie Polski miało na to znaczący wpływ. Raczej dostrzegam tu dwa istotne czynniki. Pierwszy to zgłaszanie naruszeń „na wszelki wypadek” – często także sytuacji, które faktycznie tego nie wymagają. Wynika to z obawy przed ewentualnymi konsekwencjami braku zgłoszenia. Drugi czynnik to swoista „presja kar”. Już od początku obowiązywania RODO podkreślano wysokość potencjalnych sankcji finansowych – często milionowych. Ta wizja wciąż jest żywa w świadomości administratorów. W efekcie zgłaszają oni naruszenia z dużą ostrożnością, kierując się zasadą, że lepiej być nadgorliwym niż zaniedbać obowiązek.
TO: To tutaj poradnik rzeczywiście może odegrać kluczową rolę. Czekamy z niecierpliwością.
Czy Urząd Ochrony Danych Osobowych jest gotowy sprostać wyzwaniom związanym z dynamicznym rozwojem sztucznej inteligencji? Jak zamierzacie nad tym zapanować?
AG: Nasza rola w systemie regulacji sztucznej inteligencji wciąż się kształtuje. Opracowywany jest projekt ustawy, w którym przewiduje się udział Prezesa Urzędu w pracach Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. W obszarze ochrony danych osobowych kluczowe jest zapewnienie niezależności organu ochrony danych osobowych – zgodnie z założeniami aktów prawnych dotyczących ochrony danych osobowych, jak i SI. Na razie podchodzimy do tematu aktywnie, opiniujemy projekty ustaw, a w konkretnym wymiarze monitorujemy zagrożenia i analizujemy skargi, które do nas wpływają. Szczególnie uważnie przyglądamy się tym sprawom, w których pojawia się problem współpracy z innymi organami w Europie. Działania międzynarodowe są kluczowe, ponieważ sztuczna inteligencja często funkcjonuje w ramach globalnych struktur.
Równolegle widzimy konieczność rozwoju własnych kompetencji i wsparcia ekspertów w tej dziedzinie. Liczymy, że uda się pozyskać odpowiednie środki finansowe na rozbudowę kadr i pozyskanie specjalistycznej wiedzy, ponieważ tematyka ta jest niezwykle złożona. Już teraz wspieramy tworzenie kodeksów i wytycznych, które pomogą w regulowaniu stosowania SI, choć nadal wszyscy uczymy się tej materii.
TO: Co Panią zaskoczyło w pracy w UODO – zarówno pozytywnie, jak i negatywnie?
AG: Zdecydowanie na plus zaskoczyło mnie zaangażowanie i poziom eksperckości zespołu pracowników Urzędu. To osoby z ogromnym doświadczeniem, które „zjadły zęby” na ochronie danych osobowych. Wielu z nich znałam wcześniej i współpracowałam z nimi już od czasów ministra Wiewiórowskiego, co teraz tylko dodatkowo ułatwia współpracę.
Zaskoczeniem – w nieco trudniejszym wymiarze – jest współpraca z niektórymi resortami. Liczyłam, że w Polsce wzrosło zrozumienie dla problematyki ochrony danych osobowych, ale wciąż widzimy deficyty, choćby w zakresie przeprowadzania ocen skutków dla ochrony danych przy projektowaniu nowych przepisów i szereg innych, bardzo znaczących problemów z uwzględnieniem kwestii ochrony danych osobowych na poziomie stanowienia przepisów prawa. Przecież dopuszczalne ograniczenie prawa do ochrony danych osobowych, w tym obowiązek wykazania ich konieczności i niezbędności to nie są nowe wymogi. O tym stanowi już Konstytucja RP.
Nie ukrywam, że oczekiwalibyśmy budżetowego wsparcia dla urzędu w kontekście nowych obowiązków wynikających z regulacji takich jak akt o sztucznej inteligencji, DSA czy DGA, ale też związanych z innymi nowymi zadaniami. Chociażby związanymi z wielkoskalowymi systemami informacyjnymi. Bardzo dobrze rozwija się natomiast współpraca Prezesa UODO z takimi organami jak Rzecznik Praw Dziecka czy regulatorzy rynków – tworzymy wspólne zespoły robocze i porozumienia, co pozwala działać skuteczniej.
TO: Jakie wyzwania w ochronie danych osobowych będą dominować w 2025 roku?
AG: Największym wyzwaniem będzie integracja RODO z innymi regulacjami cyfrowymi, takimi jak akt o sztucznej inteligencji, akt o zarządzaniu danymi, akt o usługach cyfrowych czy dyrektywa NIS 2. Wdrożenie tych przepisów wymagać będzie dostosowania procedur i zapewnienia spójności między różnymi standardami prawnymi. Ta tematyka zresztą jest jednym z priorytetów polskiej prezydencji w Radzie UE – różne wymiary bezpieczeństwa, w tym informacyjnego. Na znaczeniu zyskają też kwestie związane z cyberbezpieczeństwem i ochroną danych osobowych. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa nakłada dodatkowe obowiązki, które będą wymagały koordynacji między różnymi podmiotami.
Poza tym, w mojej ocenie kwestia mediów społecznościowych nadal będzie tym kluczowym obszarem, w którym pojawią się wyzwania, chociażby w kontekście dezinformacji, ataków hakerskich w powiązaniu z nadchodzącymi wyborami prezydenckimi. Będziemy się temu przyglądać.
Będziemy również niezmiennie kładli bardzo duży nacisk na ochronę danych grup wrażliwych, w szczególności dzieci i seniorów.
TO: Właśnie chciałem zapytać o tę grupę. Szczególnie chodzi mi o seniorów, których temat jest nieco pomijany. Kilkakrotnie podejmowaliśmy ten temat w naszym podcaście #RODOłamacz i wiem, że jest duży deficyt zainteresowania wykluczeniem seniorów. Nie sądzi Pani, że jeśli chodzi o ludzi starszych i ich cyfryzację, to jest to bardzo zaniedbana grupa? Czy starsze osoby są wystarczająco wspierane w cyfrowym świecie?
AG: Seniorzy są grupą, która rzeczywiście często pozostaje na marginesie działań edukacyjnych w zakresie cyfryzacji i ochrony danych. Postanowiliśmy się przyjrzeć temu problemowi i zaadresować pewne działania Urzędu właśnie w kierunku tej grupy społecznej. Niedawno podpisaliśmy porozumienie z uniwersytetami trzeciego wieku, a w planach mamy powołanie senioralnej rady doradczej. Chcemy wsłuchać się w głos seniorów, aby lepiej zrozumieć ich potrzeby i wyzwania, przed jakimi stają. Widzimy przecież wszyscy problemy, o których Pan wspomniał: wykluczenie cyfrowe, brak możliwości zrozumienia pewnych treści czy zagrożenie zdarzeniami, z którymi seniorzy sobie nie radzą, takimi jak chociażby cyberoszustwa.
TO: Bardzo dobra inicjatywa. Wyraźnie widzimy potrzebę wsparcia seniorów, a kiedyś wszyscy będziemy seniorami. Jesteśmy nagabywani, by założyć aplikację taką czy inną, a potem okazuje się, że osoby starsze są wobec nich bezbronne, w zasadzie nie wiedzą, co z tym zrobić.
AG: No tak, pojawiają się teraz różne pomysły, różne inicjatywy – chociażby na przykład aplikacje zdrowotne, które starsi ludzie będą instalować w swoich urządzeniach, bo przecież mają takie potrzeby. Nie mają jednak świadomości, jakie to może mieć istotne dla nich konsekwencje i jak korzystać z takich rozwiązań, nie narażając się jednocześnie na zagrożenia.
TO: Na koniec – jakie przesłanie chciałaby Pani przekazać administratorom danych i wszystkim zaangażowanym w ochronę danych osobowych?
AG: Najważniejsze to nie zatracić sensu RODO. Nie traktować go jako kolejnego formalnego obowiązku, lecz jako narzędzie służące ochronie praw człowieka. Kluczowe jest dbanie o interes osób, których dane dotyczą, a nie wyłącznie o interes finansowy administratora. RODO to ochrona przed nadużyciami władzy i gwarancja poszanowania praw obywatelskich. Warto pamiętać, że chodzi o ludzi i ich prywatność – to oni powinni być w centrum tych działań. Myślę, że to jest najważniejsze.
TO: Bardzo dziękuję za rozmowę.
Zobacz najnowszy odcinek videcastu #RODOłamacz!